El mes del que viene hablando esta serie tuvo 183 correos reportados por los propios empleados. La pieza anterior siguió a uno de ellos desde el botón hasta la decisión del equipo de seguridad, y ese recorrido tomó cuatro minutos. Esta pieza mira el mismo mes desde el otro lado del escritorio, cuando el triaje de los reportes de phishing todavía era trabajo manual y esos 183 correos se abrían de a uno. Los números son de una organización concreta, la misma de las piezas anteriores, y no promedios del sector.
¿Cuánto tiempo consume clasificar un correo reportado a mano?
Cada reporte pedía exactamente lo mismo. Abrir el correo original. Revisar los encabezados y la autenticación del remitente. Verificar la reputación del dominio y de cada enlace, uno por uno. Analizar los archivos adjuntos. Y recién ahí clasificar.
Cada reporte le llevaba entre cinco y quince minutos, según lo ambiguo que estuviera el caso. Sumaban unas veinte horas al mes, media semana laboral dedicada en su enorme mayoría a confirmar que 160 correos eran inofensivos.
El primer paso de esa lista es además el que nadie quiere hacer. Abrir el correo original significa manipular a mano el archivo que alguien reportó justamente porque le parecía peligroso, con el cuidado que eso exige y en la computadora de quien lo revisa.
Hay algo peor que el total de horas, y es el orden. Una cola que se procesa por fecha de llegada trata igual el correo del proveedor nuevo y el ataque dirigido, porque hasta que alguien no lo abre no hay forma de saber cuál es cuál. La prioridad no existe antes de la clasificación, así que la clasificación es lo primero que hay que sacar del camino.
¿Qué trabajo queda cuando el triaje es automático?
Los reportes entran a la consola ya resueltos. Cada uno llega con su veredicto, con una puntuación de riesgo de 0 a 100 que además dice a qué banda pertenece, y con el detalle de lo que se revisó para llegar ahí. El listado sigue ordenado por fecha, como cualquier bandeja, pero ahora se puede filtrar por veredicto y leer la gravedad de un vistazo, sin abrir nada.
Tu equipo deja de clasificar correos y empieza a revisar decisiones.
El mes cambia de forma. Se revisan a fondo los que vinieron marcados como phishing, que son pocos y ya traen la evidencia armada, y se hace una pasada por las falsas alarmas para auditar que estén bien clasificadas. Tres horas. Las otras diecisiete quedan para investigar las amenazas confirmadas, que es el trabajo por el cual se contrató a esa persona.
Conviene no confundir esa puntuación con el puntaje de riesgo de la persona que reportó. Una mide qué tan peligroso es un correo. La otra mide comportamiento a lo largo del tiempo, y reportar pesa a favor.
¿Quién tiene la última palabra sobre el veredicto?
El análisis propone y tu equipo dispone, y eso está sostenido en la mecánica y no en una promesa. Cualquier reporte se confirma o se corrige a mano desde su propio detalle, en un clic. Si alguien corrige el veredicto mientras el análisis todavía está corriendo, gana la corrección de la persona.
La consola tampoco pierde de vista quién decidió qué. Cada reporte muestra con un ícono si su veredicto lo dejó el análisis automático o lo dejó una persona, y esa misma distinción viaja al listado exportado. El nombre, la hora y la clasificación que había antes del cambio quedan en la pista de auditoría del reporte.
Eso es lo que contesta la pregunta que aparece seis meses después, cuando alguien quiere saber por qué un correo se clasificó de cierta manera. La respuesta está registrada, con autor y con fecha, y cuando el autor fue el análisis el registro también lo dice.
¿Qué pasa cuando el análisis se equivoca?
Se equivoca, como se equivoca el email security y como se equivoca una persona a las seis de la tarde de un viernes. Lo que decide si eso es un problema es qué tan barato resulta corregir ese error y qué tan visible queda el cambio.
La pasada de auditoría por las falsas alarmas es ese control, y rinde más con un criterio explícito. Un correo peligroso archivado como falsa alarma cuesta muchísimo más que una falsa alarma tratada como phishing, así que la revisión se concentra en un solo lado y no en discutir los aciertos.
Cuando alguien corrige un veredicto, ese reporte deja de contar como resuelto por el análisis y empieza a contar como resuelto por una persona. Es la lectura que corresponde y la que deja limpia la cuenta del mes, porque lo que el tablero presenta como clasificación automática es exactamente lo que nadie tuvo que tocar.
¿Cómo se evita que las alertas terminen saturando al equipo?
Las alertas se controlan con tres avisos independientes, cada uno con su propio interruptor.
- Aviso de nuevo reporte. Suena cada vez que alguien usa el botón, sin esperar ningún análisis.
- Alerta de phishing confirmado por IA. Sale cuando el análisis cierra el caso como ataque real.
- Aviso de falsa alarma detectada por IA. Sale cuando el análisis descarta el correo.
Los dos últimos tienen además su propia lista de destinatarios, así que la alerta de un ataque real y el registro de una falsa alarma no tienen por qué llegarle a la misma gente.
La responsable de seguridad de esta historia encendió uno solo, el de phishing confirmado, dirigido a su equipo. El aviso de nuevo reporte quedó apagado, porque enterarse 183 veces al mes de que alguien reportó algo no le cambia ninguna decisión. El de falsa alarma también, porque son 160 correos que no necesitan interrumpir a nadie para cerrarse.
Un SOC grande puede querer los tres encendidos, cada uno con sus propios destinatarios. Un equipo de dos personas puede no encender ninguno y mirar el tablero una vez por día. La diferencia entre una herramienta que ayuda y una que agota se decide casi siempre en quién controla cuándo suena el teléfono.
¿Qué se mira en el tablero cuando el triaje ya no ocupa el mes?
El tablero de reportes muestra qué resolvió la clasificación automática en el mes en curso, cuántos reportes siguen sin decisión, los análisis más recientes y la actividad mes a mes de los últimos seis meses.
De los cuatro, el que más dice sobre el estado del programa es el de los reportes sin decisión. Son un acumulado y no un flujo del mes, así que uno que quedó abierto hace tres meses sigue contando hoy. Ese número es la deuda real del triaje, y con el análisis automático en marcha debería tender a cero sin que nadie trabaje más horas.
¿Qué cambia además de las horas que se liberan?
Es fácil leer todo esto como una cuenta de productividad, y lo es. Diecisiete horas al mes valen lo que valen y cualquiera puede multiplicarlas por lo que cuesta una hora de su equipo.
Pero el cambio que importa es otro. Cuando el triaje es manual, el tiempo que tarda tu organización en enterarse de un ataque depende de cuánta cola tenga una persona esa semana, de si está de licencia y de si el reporte llegó un lunes o un viernes. Con la clasificación resuelta antes de que alguien mire, la velocidad de contención deja de ser una variable de agenda.
Así trabaja Smart Triage dentro de la consola de reportes de SMARTFENSE, sobre los correos que tu gente reporta con el botón. Los avisos, los destinatarios y el nivel de detalle los configura cada organización según su protocolo.
En la última pieza de la serie el reporte deja de ser un asunto del equipo de seguridad y vuelve al programa de concienciación, donde cambia lo que cada persona recibe después. Y llega la pregunta del comité.
Deja una respuesta