Cómo se descubrió

Quien descubre un incidente de proveedor suele ser alguien que compara: un cliente que ve en su registro de salida algo que el programa no hacía, una persona investigadora que contrasta lo publicado con lo que debería ser, o el propio proveedor cuando su monitoreo ve un uso inusual de una cuenta.

Para un cliente, lo más rentable es tener registros de salida de red con historial y alguien que mire los destinos nuevos. Sin ese historial no hay contra qué comparar y la señal pasa como ruido.

La tabla de casos recoge quién descubrió cada uno y con qué observación. Conviene fijarse en que cada descubridor usó una fuente distinta, y que no siempre fue quien tenía más información sobre el sistema afectado.

Descubrir por cuenta propia suele acortar la exposición, porque quien ve la señal es también quien puede cortar el acceso o retirar la versión sin intermediarios.

Entre el cambio no autorizado y el descubrimiento hay un intervalo que no se puede reducir después: es el tiempo durante el cual el incidente avanzó sin que nadie lo supiera. Se cuenta en días de calendario entre la fecha de alteración que fija el informe y la del descubrimiento, sin mirar horas.

Como la fecha de alteración es la que los registros disponibles permiten sostener, el intervalo es un mínimo: lo que haya ocurrido antes de lo que se conserva no se vio.

Cuando un cliente avisa, el tiempo que importa es el que pasa hasta que el proveedor confirma, porque hasta entonces el resto de clientes sigue instalando. Se cuenta entre el envío del aviso del cliente y la confirmación del proveedor. Si cruza la medianoche, se suman los minutos hasta las 24:00 y los del día siguiente.

Un aviso con el extracto del registro adjunto, como el de este caso, acorta esa espera porque el proveedor no tiene que pedir la evidencia.

En los tres casos hubo señales antes del descubrimiento: algo que alguien vio y no pasó a ser una alerta. La tabla de señales no atendidas dice quién las tuvo y qué se hizo con ellas. En ningún caso una persona fue negligente por mirar: lo que faltó fue un camino para convertir lo visto en una pregunta con dueño.

La respuesta de proceso es barata: lo que alguien nota fuera de lo normal se anota donde alguien lo lea, con fecha y dueño, aunque se piense que tiene explicación.