Guía defensiva
¿Cómo diferenciar una señal de un incidente de seguridad?
Una señal es una observación que merece revisión. Un incidente compromete o amenaza de forma inminente la confidencialidad, integridad o disponibilidad de la información. Para clasificar una señal, busca contexto y registra tu decisión; un único registro puede ser concluyente según el caso.
Describe el hecho antes de explicar su causa
Empieza con lo observable: hora, fuente, activo, evento y alcance conocido. Una entrada de prueba que indique varios accesos denegados a api.example.com es una señal. No afirma todavía que alguien comprometió una cuenta, porque faltan datos sobre credenciales, cambios autorizados y actividad posterior.
Conserva la fuente y su precisión temporal. Los relojes pueden diferir y una fuente ausente no prueba que no hubo actividad. Una nota que separa observaciones de hipótesis permite que otra persona compruebe el caso sin heredar una conclusión presentada como hecho.
Busca corroboración y contexto relevante
Relaciona la señal con las fuentes autorizadas que respondan a la misma pregunta: identidad, aplicación, cambios aprobados o inventario del activo. Compara entidad, tiempo y acción, pero no trates la cercanía temporal como causalidad. Una ventana de mantenimiento puede explicar una acción concreta sin explicar todos los eventos cercanos.
Un log de aplicación de ejemplo puede mostrar una exportación inesperada. Antes de llamarlo incidente, revisa si existe una solicitud aprobada, qué cuenta la inició, qué datos abarcó y si otra fuente confirma el alcance. Si la evidencia contradice la hipótesis, consérvala.
El activo modifica la prioridad. Una señal con la misma confianza puede requerir atención distinta según los datos o servicios que podría afectar. Documenta por qué.
Escala con una nota accionable
Cuando la evidencia confirme impacto o actividad que exige respuesta, registra la transición: qué se confirmó, qué sigue en duda, quién toma el caso y qué acción reversible reduce el riesgo. Preserva los registros necesarios antes de restaurar o cambiar estados, siguiendo el procedimiento autorizado de tu organización.
Una buena nota puede cerrar como señal explicada, mantenerse en observación o escalar a incidente. En los tres casos conserva el razonamiento y sus límites. Ese hábito mejora la detección posterior sin inventar certeza donde sólo había una alerta.