Clasificar la cola de tickets

La categoría de una taxonomía responde a qué tipo de hecho ocurrió, no a cuánto pesa ni a quién lo hizo. Se elige por el efecto más grave que ya está confirmado: lo que solo se sospecha va anotado aparte y no decide la categoría, porque clasificar por una sospecha es afirmar algo que no se ha probado.

La severidad sale de cruzar dos ejes: el impacto, que mide cuánto pierde la organización, y la urgencia, que mide cuánto tiempo hay para actuar antes de perder más. El impacto toma el nivel más alto que cumpla cualquiera de sus criterios; la urgencia se lee de cómo evoluciona el daño. Los dos se toman de lo confirmado.

De la severidad cuelga el tiempo para dar la primera respuesta. Un plazo no se lee de la tabla sin más: hay que saber desde cuándo corre y a qué ticket pertenece. Para encontrar el más urgente de la cola hay que calcular la severidad de todos, no quedarse con el primero que suene grave.

Todo incidente exige respuesta, pero la brecha tiene una condición más: que se haya confirmado que datos llegaron a una parte no autorizada. Que pudieran haber llegado no basta, y de esa diferencia dependen muchas obligaciones de aviso. La definición se aplica a lo que ya consta como confirmado, no a lo que el ticket teme.

Una clasificación inicial es provisional y se corrige cuando llega evidencia nueva sobre el impacto, la urgencia o el tipo. Lo que no la cambia es la presión: una petición de bajar un nivel para no alarmar a nadie se anota y se explica por qué no procede. Y la evidencia también puede bajar un nivel, no solo subirlo.