La clasificación decide con incertidumbre

Puedes priorizar una investigación sin fingir que conoces su causa.

Separar confianza y consecuencia

El triaje evalúa inicialmente prioridad, ámbito y siguiente tratamiento de un posible incidente. La confianza expresa cuánto respalda la evidencia una explicación. El impacto potencial expresa qué importaría si fuera cierta. Poca certeza no siempre justifica poca urgencia.

Una oficina ficticia gestiona solicitudes privadas de ayudas. Su política exige revisar en un máximo de sesenta minutos desde reconocer una exportación sensible inesperada junto con una alerta de cuenta sin resolver. Los registros no identifican a la persona que utilizó la cuenta.

Observaciones proporcionadas

• T1: Una alerta de acceso señala una región inusual para la cuenta de Dana.
• T2: Dana tiene un viaje aprobado a esa región. La ubicación de red es aproximada; falta confirmar el dispositivo.
• T3: La misma sesión exportó un informe fuera del horario habitual. Consta como completado, pero no se ha confirmado su autorización de negocio.

Conservar ambas explicaciones

Un viaje legítimo y un informe urgente autorizado podrían explicarlo. También podría explicarlo un uso indebido. T2 reduce la sorpresa sobre la región, pero no establece quién usó la sesión ni si se aprobó la exportación.

Solicita al propietario del informe confirmar propósito y ámbito mediante canales establecidos, junto con contexto disponible de sesión y dispositivo gestionado. Conserva el registro de exportación completada y su vínculo con la sesión. Registra cuándo se reconoció la condición combinada y fija el límite de sesenta minutos desde ese momento.

No conviertas «autorización sin confirmar» en «datos robados». Tampoco descartes T3 porque otra señal tenga una explicación plausible.

Estado modelo: Exportación sensible en revisión; uso indebido sin confirmar. El viaje aporta contexto; identidad de sesión y propósito siguen pendientes.