El informe final y las recomendaciones

Un informe de incidente se contrasta con la evidencia línea por línea antes de salir. Una hora tomada de un reloj que no es el de referencia, o sin su huso, es de los errores que más rápido se encuentran y más daño hacen: quien lee ajusta sus horarios y sus registros a lo que lee.

Revisa el borrador contra los hechos consolidados, sobre todo las líneas que dan una hora.

Lo difícil de un borrador no son las faltas de ortografía, sino las frases que suenan razonables y no resisten una fuente. Un acceso denegado no es una lectura, y una frase que cuenta como leído lo que el registro dice que se negó afirma más de lo que pasó.

Contrasta cada línea con los hechos. Hay una que afirma algo que los hechos desmienten.

Hay otra clase de frase peligrosa: la que no contradice la evidencia, pero la excede. Cuando ninguna fuente identifica a quien recibió los datos, escribir quién fue y para qué es escribir una hipótesis como si fuera un hecho, y es el error que luego se corrige en público.

Mira qué dicen los hechos del propietario del destino y decide qué se hace con esa línea.

Un incidente no está contenido porque casi todas las acciones estén hechas. La que falta es la que deja la puerta como estaba. Antes de firmar «contenido» se lee la lista entera y se pregunta cuántas siguen sin hacer y cuáles, sobre todo si la que falta es la que corta una credencial.

Lee el estado de las acciones de contención.

Las cinco causas del catálogo son ciertas y todas merecen arreglo, pero no pesan igual. La que se escribe como raíz es la que, de haberse corregido, habría impedido el paso más grave de la cadena aunque las demás hubieran fallado. Cerrar el programa sin firma habría evitado esta intrusión concreta; la raíz es lo que habría impedido que un puesto comprometido llegara al servidor.

Piensa en el paso sin el cual no habría existido la lectura en el servidor, y qué causa lo habría impedido.