El cierre de la brecha

Un informe de incidente es un documento que se contrasta con la evidencia, línea por línea, antes de salir. Una hora sin huso o con el huso equivocado es de los errores que más rápido se encuentran y más daño hacen: la gente ajusta sus propios horarios y registros a lo que lee, y si la hora está mal, el resto del relato se desplaza.

Revisa el borrador contra los hechos consolidados.

Lo difícil de un borrador no son las faltas de ortografía, sino las frases que suenan razonables y no resisten una fuente. Una frase categórica sobre lo que el atacante no hizo es la más peligrosa: la evidencia dice qué pasó, y la ausencia de evidencia no demuestra nada.

Contrasta cada línea con los hechos consolidados. Hay una que afirma una ausencia que los hechos desmienten.

El informe llega a más de un interlocutor, y uno de ellos, el responsable de datos de la filial, solo necesita su parte. El conteo total de la sala anterior se divide por país con los datos del área comercial. Cada objeto leído cuenta una sola vez, aunque se haya leído más de una.

Cuenta solo a quienes residen en Ecuador y solo en los objetos que el atacante leyó con éxito.

Un incidente no está contenido porque casi todas las acciones estén hechas. La que falta es la que deja la puerta como estaba. Antes de firmar «contenido» se lee la lista entera, no el resumen, y se pregunta cuántas siguen sin hacer y cuáles.

Mira el estado de las acciones de contención.

Las cinco causas del catálogo son ciertas y todas merecen arreglo, pero no todas pesan igual. La causa raíz que se escribe en el informe es la que, de haberse corregido, habría impedido el paso más grave de la cadena aunque las demás hubieran fallado. Una clave que se rota o una alerta que salta ayudan a detectar antes o a cerrar la puerta, no a evitar que lo robado se use como se usó.

Piensa en qué paso sin el cual no habría existido persistencia, y qué causa lo habría impedido.