Qué debe tener un caso

Una plataforma de casos guarda un incidente como un expediente vivo: sus datos, sus tareas, los equipos y cuentas afectados, la evidencia, las notas y una cronología. Las hay de código abierto (DFIR-IRIS, por ejemplo, se publica con licencia LGPL-3.0) y comerciales; el producto importa menos que la disciplina de llenarlo.

Lo que separa un caso de un simple ticket es su propósito: debe permitir que otra persona retome el trabajo, o que usted mismo lo explique meses después, sin preguntar a nadie qué pasó.

Toda organización fija unos campos obligatorios: sin ellos el caso no se puede traspasar, medir ni auditar. Abre la estación, lee campos-obligatorios.txt y revisa la ficha ficha-C-0417.txt. Un campo en blanco no es un detalle menor: es una pregunta sin responder que alguien tendrá que hacer.

La política dice que un campo en blanco, o que solo dice «pendiente», no cuenta como llenado. Es una regla útil: un caso con la mitad de los campos en «pendiente» parece abierto y trabajado, pero no se puede medir ni entregar a nadie.

Lee ficha-C-0422.txt y cuenta los campos de la política que sí tienen un valor real.

Un caso lleva tres momentos distintos: cuándo empezó el hecho (lo dice la evidencia), cuándo lo vio alguien por primera vez y cuándo se abrió la ficha. Solo la tercera la pone la plataforma sola; las otras dos las escribe una persona, y de ellas salen más tarde las métricas de tiempo.