Evento, alerta, incidente, brecha

Un evento es cualquier ocurrencia observable: un inicio de sesión, un archivo que se crea, un paquete que el cortafuegos descarta. Casi todos son normales. Una alerta es el aviso que una regla o una herramienta genera a partir de uno o más eventos: es una hipótesis, no un hecho. Una alerta puede resultar un falso positivo, una actividad legítima o el primer rastro de algo real, y eso solo se sabe revisándola.

Por eso la relación va en un solo sentido: de muchos eventos salen pocas alertas, y de unas pocas alertas, algunos incidentes. Llamar «incidente» a toda alerta satura al equipo; llamar «evento» a lo que ya se confirmó retrasa la respuesta.

Un incidente es un evento, o un conjunto de ellos, confirmado y que compromete la confidencialidad, la integridad o la disponibilidad de un activo, o que viola la política de seguridad. Una brecha es un caso particular de incidente: aquel en el que se confirmó que datos llegaron a una parte no autorizada. Que pudieran haber llegado no basta; mientras eso no se confirme, el caso es un incidente y se sigue investigando.

La distinción importa porque muchas obligaciones de aviso a clientes o a autoridades se activan con la brecha, no con el incidente. Abre la estación, lee el glosario y recorre el registro del día.

El glosario trae dos reglas de registro que ahorran mucho ruido: una amenaza bloqueada antes de actuar sobre el activo se anota como evento prevenido y no se declara incidente, y un fallo técnico sin componente de seguridad se deriva a la mesa de servicios. Declarar incidente es una decisión con costo: abre roles, tiempos y, a veces, avisos. Si todo lo que pasa por la consola se declara, la declaración deja de significar algo.

Esto no quiere decir ignorar: el bloqueo se anota, se revisa si hubo otras señales y se deja trazable.

Medir el registro con las cuatro palabras da una foto útil: cuántas filas son solo eventos, cuántas generaron alerta y cuántas terminaron en incidente. Esa proporción es la que, a lo largo de los meses, dice si las reglas son demasiado ruidosas o demasiado mudas.

Cuenta con los datos de la columna de regla de alerta del registro.