Cómo leer un informe de incidente

Un informe público mezcla tres clases de frases, y el lector gana mucho si las separa. Un hecho observado se apoya en un registro, una captura o una comparación que otra persona podría repetir. Una inferencia es una conclusión razonable que se deduce de hechos, pero que otra explicación podría igualar. Una opinión es el juicio de quien escribe, sin evidencia que la sostenga.

Las tres son legítimas en un informe; lo que no es legítimo es leer una como si fuera otra. Un informe que dice «probablemente» o «es posible que» está avisando de que habla de inferencia; si el lector lo cita como hecho, el informe queda diciendo lo que nunca dijo.

Antes del relato conviene leer la ficha del informe: quién lo escribe, quién lo encargó, qué sistemas cubre, qué periodo revisó, con qué método y qué reconoce que no pudo ver. Cada campo cambia cómo se pesan las frases que vienen después.

Un informe externo no es neutral por el solo hecho de ser externo: quien paga fija el alcance. Y un alcance que deja fuera una parte de la organización no permite afirmar nada sobre esa parte.

Las fechas son el esqueleto del informe. La tabla de fechas clave trae cada hito con la fuente que lo respalda. Para comparar casos hay un número que casi siempre se pide: los días de calendario entre el primer acceso conocido y el inicio del cifrado.

Se cuentan restando las fechas, sin mirar las horas: del 1 al 3 de un mes hay dos días. Y la palabra importante es «conocido»: es la primera fecha que los registros disponibles permiten sostener, no necesariamente la primera real.

El cuerpo de un informe es una lista de afirmaciones, y cada una trae, o debería traer, la evidencia que la sostiene. Se lee la tabla de afirmaciones con dos columnas a la vez: la clase que el informe le asigna y la evidencia que cita.

Una afirmación sin evidencia citada no es necesariamente falsa. Pero el lector no puede comprobarla, y por eso no debe apoyar una decisión en ella: se lee como la opinión de quien escribe.

Las limitaciones de la ficha afectan a las cifras que se sacan del informe. Si el informe reconoce que sus registros no llegan más atrás de cierta fecha, cualquier intervalo calculado desde esa fecha es un mínimo: lo que hubo antes no se vio.

Al resumir un informe para otra persona, el respondedor cita la cifra junto con su límite. Es lo que permite que el resumen sea tan honesto como el original.