Reconstruir el informe de un incidente

El intervalo entre que una alerta se genera y alguien la abre mide la capacidad de atención del equipo, no la de la herramienta. Se calcula restando la hora de la alerta a la hora en que un analista la abre, en minutos.

La ventana que de verdad le importa a una organización es la que va desde que la credencial se usó mal por primera vez hasta que se cortó. No se mide desde la alerta, porque lo anterior a la alerta también fue tiempo de exposición.

Un informe publicado debe poder contrastarse con su cronología. Cuando una cifra del informe no coincide con la que se obtiene de los registros que el propio informe cita, la corrección pública es obligatoria: callar el error es peor que haberlo cometido.

Un informe separa lo que se sabe de lo que se supone. Una hipótesis sin fuente que se escribe en el mismo tono que un hecho confunde al lector, y mientras no haya una fuente que la respalde debería presentarse como hipótesis.

Un control que impide corta la cadena antes de que empiece; uno que detecta avisa cuando ya ocurrió. Con poco presupuesto se empieza por el que impide el eslabón inicial al menor costo, y se deja para después el que lo resuelve de raíz pero cuesta más.