Registrar con vocabulario estructurado (VERIS)

VERIS organiza cada registro en cuatro secciones, las «cuatro A» en inglés: Actor (quién), Action (qué hizo), Asset (qué se afectó) y Attribute (qué propiedad de la información se vio comprometida: confidencialidad, integridad o disponibilidad). Cada campo admite un conjunto cerrado de valores; el esquema está publicado en un repositorio abierto. El texto libre se reserva para los comentarios.

Un vocabulario cerrado hace dos cosas que la prosa no puede: obliga a decidir (no se puede dejar «algo con correos») y permite contar. Si cien registros de cien meses usan los mismos valores, se puede preguntar cuántos fueron de tipo social y cuántos de error humano.

Abre la estación. En la narrativa el incidente tiene fases: un correo falso que lleva a una página que captura contraseñas, un inicio de sesión ajeno y una exportación. En VERIS la acción se registra por categoría de lo que se hizo, y un incidente puede llevar más de una. Una categoría describe engañar a una persona para que entregue algo; otra, usar el acceso técnico (entre otras cosas, con credenciales robadas).

Busca en el extracto del esquema la lista de categorías y elige la que corresponde a la fase del engaño por correo.

VERIS no tiene una casilla «brecha» sí/no: lo expresa con el campo data_disclosure dentro de la confidencialidad. Sus cuatro valores separan lo que el equipo sabe: hubo divulgación confirmada, solo pudo haberla, no la hubo o no se sabe. El borrador pone el segundo valor; la narrativa dice que la transferencia se confirmó con dos registros distintos.

Corrige el valor del campo según lo que demuestra la narrativa.

El borrador anota registros: 3. Ese número sale de otra frase de la narrativa, la de las contraseñas escritas en la página falsa: son personas, no filas de datos. En un registro estructurado cada campo tiene una definición, y mezclar «personas engañadas» con «registros expuestos» arruina cualquier estadística.

El campo registros cuenta las filas de datos personales de clientes exportadas, según el registro del cortafuegos y de la base.

La narrativa termina con una frase importante: no se sabe quién está detrás del acceso. El borrador la «resolvió» escribiendo Internal y una organización criminal, dos suposiciones que no están en la evidencia. Lo que sí está es que quien inició sesión era ajeno a la empresa. El esquema ofrece Unknown precisamente para esto.