Reclasificar cuando cambia la evidencia

Cuando llega evidencia nueva, la clasificación cambia, y el sistema de tickets guarda cada cambio como una fila nueva, con la evidencia que lo motivó, quién lo hizo y por qué. La fila anterior no se edita ni se borra. Parece burocracia, pero de ese historial salen tres cosas: la auditoría (se puede ver qué se sabía en cada momento), las métricas (cuánto tardó el equipo en darse cuenta de la gravedad) y la lección aprendida (por qué la primera clasificación se quedó corta).

Una clasificación inicial equivocada no es una falta: es lo normal con poca información. Borrarla sí es una falta, porque destruye lo que se sabía y cuándo.

Abre la estación. El ticket HT-2210 empezó como un patrón de inicios de sesión fallidos y fue creciendo a medida que aparecían registros nuevos. Cada fila del historial dice a qué hora se registró el cambio, con qué evidencia y con qué severidad. El momento en que el ticket llega a su nivel más alto es la hora que importa para cualquier informe posterior.

Lee el historial de HT-2210 y busca la hora en que pasó a la severidad más alta.

La diferencia entre la primera clasificación y el paso a la severidad más alta mide algo concreto: cuánto tardó el equipo en darse cuenta de lo grave que era el caso. No siempre es culpa del equipo: a veces la evidencia solo llegó entonces. Pero es una cifra que merece ser mirada, porque si se repite caso tras caso señala una fuente de evidencia que llega tarde.

Calcula los minutos entre la primera fila del historial de HT-2210 y la fila en que pasó a S1.

Reclasificar no es solo subir. El ticket HT-2211 empezó como una alerta de un ejecutable desconocido y una hora después cambió, porque apareció evidencia de que era un ejercicio propio y autorizado. El historial deja ver la categoría con la que quedó. Lo importante es que la fila antigua sigue ahí y la nueva explica el motivo.

La severidad cambia con evidencia sobre impacto, urgencia o tipo. Una petición de «bájalo para no asustar a la junta» o de «bórrala porque ya no es cierta» no es evidencia, es una preferencia. El analista no la ignora: la anota, explica por qué no procede y deja la decisión de comunicación a quien corresponde. Si más tarde cambia la evidencia, cambia la severidad.

Lee las notas del turno y decide qué procede con las dos peticiones.