Matriz de severidad

El impacto mide cuánto pierde la organización si el incidente sigue su curso: datos, servicios, personas. La urgencia mide cuánto tiempo hay para actuar antes de que se pierda más: un cifrado en curso o un acceso activo son urgentes; un problema ya remediado no. Son ejes independientes: un caso puede tener mucho impacto y poca urgencia (una exposición ya cerrada de datos de clientes) o poco impacto y mucha urgencia.

Con un solo número de «gravedad» se mezclan las dos cosas y el equipo termina discutiendo qué quiso decir cada quien. Con dos ejes y una tabla, la discusión se vuelve una comprobación.

Abre la estación. La política define tres niveles de impacto, tres de urgencia y el cruce que da la severidad, de S1 (la más alta) a S4. El impacto toma el nivel más alto que cumpla el caso en cualquiera de sus criterios; la urgencia se lee de cómo evoluciona.

Aplica los criterios al caso C-03 del archivo de casos: calcula primero el impacto, luego la urgencia y entonces mira la matriz.

La severidad no es un adorno del ticket: de ella cuelga cuánto tiempo tiene el equipo para dar la primera respuesta. Un plazo mal asignado tiene dos fallos posibles, y los dos son caros: uno demasiado largo deja crecer el daño y uno demasiado corto agota al equipo con casos que podían esperar.

Calcula la severidad del caso C-01 y busca su plazo en la política.

El caso C-05 es una base de clientes que estuvo expuesta públicamente: 2400 titulares y datos personales. Es fácil decir «S1, es lo peor que nos puede pasar». La matriz obliga a mirar el segundo eje: la exposición está contenida con un bloqueo temporal, aunque la causa de fondo sigue sin corregirse y falta saber si alguien descargó la base. El daño ya no crece y un impacto alto no hace S1 por sí solo.