{"id":45754,"date":"2026-09-09T19:24:46","date_gmt":"2026-09-09T17:24:46","guid":{"rendered":"https:\/\/smartfense.com\/?p=45754"},"modified":"2026-09-09T19:25:07","modified_gmt":"2026-09-09T17:25:07","slug":"triaje-de-reportes-phishing-manual-o-automatico","status":"publish","type":"post","link":"https:\/\/smartfense.com\/es-ar\/blog\/triaje-de-reportes-phishing-manual-o-automatico\/","title":{"rendered":"De veinte horas a tres, lo que cambia cuando el triaje deja de ser manual"},"content":{"rendered":"

El mes del que viene hablando esta serie tuvo 183 correos reportados por los propios empleados. La pieza anterior<\/a> sigui\u00f3 a uno de ellos desde el bot\u00f3n hasta la decisi\u00f3n del equipo de seguridad, y ese recorrido tom\u00f3 cuatro minutos. Esta pieza mira el mismo mes desde el otro lado del escritorio, cuando el triaje de los reportes de phishing todav\u00eda era trabajo manual y esos 183 correos se abr\u00edan de a uno. Los n\u00fameros son de una organizaci\u00f3n concreta, la misma de las piezas anteriores, y no promedios del sector.<\/p>\n

\u00bfCu\u00e1nto tiempo consume clasificar un correo reportado a mano?<\/h2>\n

Cada reporte ped\u00eda exactamente lo mismo. Abrir el correo original. Revisar los encabezados y la autenticaci\u00f3n del remitente. Verificar la reputaci\u00f3n del dominio y de cada enlace, uno por uno. Analizar los archivos adjuntos. Y reci\u00e9n ah\u00ed clasificar.<\/p>\n

Cada reporte le llevaba entre cinco y quince minutos, seg\u00fan lo ambiguo que estuviera el caso. Sumaban unas veinte horas al mes, media semana laboral dedicada en su enorme mayor\u00eda a confirmar que 160 correos eran inofensivos.<\/p>\n

El primer paso de esa lista es adem\u00e1s el que nadie quiere hacer. Abrir el correo original significa manipular a mano el archivo que alguien report\u00f3 justamente porque le parec\u00eda peligroso, con el cuidado que eso exige y en la computadora de quien lo revisa.<\/p>\n

Hay algo peor que el total de horas, y es el orden. Una cola que se procesa por fecha de llegada trata igual el correo del proveedor nuevo y el ataque dirigido, porque hasta que alguien no lo abre no hay forma de saber cu\u00e1l es cu\u00e1l. La prioridad no existe antes de la clasificaci\u00f3n, as\u00ed que la clasificaci\u00f3n es lo primero que hay que sacar del camino.<\/p>\n

\u00bfQu\u00e9 trabajo queda cuando el triaje es autom\u00e1tico?<\/h2>\n

Los reportes entran a la consola ya resueltos. Cada uno llega con su veredicto, con una puntuaci\u00f3n de riesgo de 0 a 100 que adem\u00e1s dice a qu\u00e9 banda pertenece, y con el detalle de lo que se revis\u00f3 para llegar ah\u00ed. El listado sigue ordenado por fecha, como cualquier bandeja, pero ahora se puede filtrar por veredicto y leer la gravedad de un vistazo, sin abrir nada.<\/p>\n

\n

Tu equipo deja de clasificar correos y empieza a revisar decisiones.<\/p>\n<\/blockquote>\n

El mes cambia de forma. Se revisan a fondo los que vinieron marcados como phishing, que son pocos y ya traen la evidencia armada, y se hace una pasada por las falsas alarmas para auditar que est\u00e9n bien clasificadas. Tres horas. Las otras diecisiete quedan para investigar las amenazas confirmadas, que es el trabajo por el cual se contrat\u00f3 a esa persona.<\/p>\n

Conviene no confundir esa puntuaci\u00f3n con el puntaje de riesgo de la persona<\/a> que report\u00f3. Una mide qu\u00e9 tan peligroso es un correo. La otra mide comportamiento a lo largo del tiempo, y reportar pesa a favor.<\/p>\n

\u00bfQui\u00e9n tiene la \u00faltima palabra sobre el veredicto?<\/h2>\n

El an\u00e1lisis propone y tu equipo dispone, y eso est\u00e1 sostenido en la mec\u00e1nica y no en una promesa. Cualquier reporte se confirma o se corrige a mano desde su propio detalle, en un clic. Si alguien corrige el veredicto mientras el an\u00e1lisis todav\u00eda est\u00e1 corriendo, gana la correcci\u00f3n de la persona.<\/p>\n

La consola tampoco pierde de vista qui\u00e9n decidi\u00f3 qu\u00e9. Cada reporte muestra con un \u00edcono si su veredicto lo dej\u00f3 el an\u00e1lisis autom\u00e1tico o lo dej\u00f3 una persona, y esa misma distinci\u00f3n viaja al listado exportado. El nombre, la hora y la clasificaci\u00f3n que hab\u00eda antes del cambio quedan en la pista de auditor\u00eda del reporte.<\/p>\n

Eso es lo que contesta la pregunta que aparece seis meses despu\u00e9s, cuando alguien quiere saber por qu\u00e9 un correo se clasific\u00f3 de cierta manera. La respuesta est\u00e1 registrada, con autor y con fecha, y cuando el autor fue el an\u00e1lisis el registro tambi\u00e9n lo dice.<\/p>\n

\u00bfQu\u00e9 pasa cuando el an\u00e1lisis se equivoca?<\/h2>\n

Se equivoca, como se equivoca el email security y como se equivoca una persona a las seis de la tarde de un viernes. Lo que decide si eso es un problema es qu\u00e9 tan barato resulta corregir ese error y qu\u00e9 tan visible queda el cambio.<\/p>\n

La pasada de auditor\u00eda por las falsas alarmas es ese control, y rinde m\u00e1s con un criterio expl\u00edcito. Un correo peligroso archivado como falsa alarma cuesta much\u00edsimo m\u00e1s que una falsa alarma tratada como phishing, as\u00ed que la revisi\u00f3n se concentra en un solo lado y no en discutir los aciertos.<\/p>\n

Cuando alguien corrige un veredicto, ese reporte deja de contar como resuelto por el an\u00e1lisis y empieza a contar como resuelto por una persona. Es la lectura que corresponde y la que deja limpia la cuenta del mes, porque lo que el tablero presenta como clasificaci\u00f3n autom\u00e1tica es exactamente lo que nadie tuvo que tocar.<\/p>\n

\u00bfC\u00f3mo se evita que las alertas terminen saturando al equipo?<\/h2>\n

Las alertas se controlan con tres avisos independientes, cada uno con su propio interruptor.<\/p>\n