Presentar una línea de tiempo

La línea de tiempo del informe no es un volcado: es una selección. Entra lo que cambia la lectura del incidente (el primer acceso, el cambio de privilegio, la preparación, la salida) y lo que pide el lector para decidir. Cada evento lleva su hora en UTC con la zona declarada, qué dice de él cada fuente y cuántas fuentes independientes lo respaldan.

Fuera queda todo lo que no cambia la historia, aunque sea llamativo. El detalle completo vive en el sketch, al que el informe remite.

Un evento respaldado por dos fuentes que no dependen una de otra es más sólido que uno respaldado por una. No significa que el de una fuente sea falso: puede que el resto de fuentes no registre ese tipo de hecho. Pero la diferencia se dice: el informe marca ese evento como «una sola fuente» y no construye una conclusión importante sobre él.

La tabla de la consola trae los seis eventos clave con sus fuentes.

La duración de un tramo es de lo que se ve, no de lo que ocurrió. Si el primer evento del tramo es el primero que quedó registrado, el hecho puede haber empezado antes. Por eso se redacta como «entre la hora A y la hora B se registró», no «duró».

Con eso claro, calcular la distancia entre dos eventos clave es una operación simple; lo difícil es no darle más significado del que tiene. En esta tarea, la sesión de la cuenta de servicio va de su primer evento clave al último.

Cada frase de la narración tiene que poder defenderse con las filas que la sostienen. Eso excluye atribuciones a una persona que no se ha identificado, intenciones («quiso robar»), consecuencias que no se observan («extrajo») y cualquier cosa que solo sea probable. Lo que sí se puede decir: qué cuenta, qué acción, a qué hora UTC, desde dónde y qué no se sabe.

El borrador de la consola tiene tres frases, una de las cuales afirma de más.