Señales débiles acumuladas

Un sistema de alertas puntúa cada señal por separado: una sesión fuera de horario es de gravedad baja, una cuenta nueva es de gravedad baja, un reenvío de correo es de gravedad media. Ninguna, sola, justifica una investigación. La intrusión larga se esconde exactamente en esa puntuación individual.

La salida es cambiar la unidad de lectura. En lugar de preguntar cuánto pesa cada señal, se pregunta qué le ha pasado a cada entidad (una cuenta, un equipo, un buzón) en las últimas semanas. Tres señales bajas sobre la misma cuenta dicen más que una señal alta sobre un equipo cualquiera.

La tabla de señales trae una columna con la entidad a la que se refiere cada una. Contar cuántas veces aparece cada entidad es el primer cruce que se hace, y no necesita nada más que leer con atención.

La entidad que más se repite no es necesariamente la más grave: es la que más veces fue explicada y cerrada.

Con el expediente completo a la vista, la revisión posterior responde, señal por señal, si estaba relacionada con la intrusión. Casi siempre hay una o dos que no, y es sano que las haya: una cuenta con contraseña olvidada no es parte de ninguna historia.

La proporción importa. Si casi todas las señales «explicadas» eran la misma intrusión, el problema no fue la regla que las generó sino la forma de cerrarlas.

La primera señal relacionada con la intrusión marca el momento en que alguien pudo haberla visto. La diferencia con el descubrimiento es la oportunidad perdida, medida en días de calendario.

La fecha de la primera señal está en la tabla de señales y la del descubrimiento en la suya; se restan sin mirar horas.

Los cierres de la tabla comparten un patrón: son explicaciones razonables que nadie podía comprobar en el momento. «Cambio autorizado», «falso positivo», «atribuida a una copia»: cada una pudo ser cierta, y ninguna dejó un rastro verificable.

El arreglo pide dos cosas, una sobre el cierre y otra sobre la lectura. Hay que escoger la redacción que las contiene a las dos.