Sala 5 · La noche del 6 de octubre

En un incidente con un agente, la primera pregunta es qué leyó antes de actuar. La pasarela marca lo que le parece sospechoso aunque no lo detenga, y esa marca, cruzada con la hora de la primera acción extraña del agente, señala por dónde entró.

Contar intentos no es contar daño. Un pago que la herramienta rechazó después de la contención no salió de la cuenta, y un pago legítimo a otro contratista esa misma noche no es parte del incidente.

La pérdida que se informa a la junta es la de hoy: lo que salió menos lo que ya volvió a la cuenta de la empresa. Lo que se espera recuperar se informa aparte, como expectativa.

Un SIEM que detecta y un turno que cierra sin investigar dan el mismo resultado que un SIEM que no detecta. En la revisión de un incidente se busca la primera oportunidad real de cortarlo y qué pasó con ella.

El tiempo que se informa se mide desde la primera señal que la empresa tuvo disponible, no desde que alguien la tomó en serio. Es la cifra que dice cuánto pudo haberse evitado.