Más allá de las alarmas: el valor real de medir en un CSIRT

Un Centro de Respuesta a Incidentes de Seguridad Informática (CSIRT) no se construye en base a consolas encendidas ni a personal capacitado únicamente. Su madurez se refleja en algo menos visible, pero profundamente determinante: la calidad de sus métricas. Porque donde no se mide, no se entiende, y donde no se entiende, se sobrevive a tientas.

La gran paradoja es que muchos CSIRT recogen datos operativos, pero no generan métricas accionables. Saber que se respondieron 45 incidentes de phishing en un mes no dice nada por sí solo, a menos que se cruce con tiempos de detección, nivel de escalamiento, origen de la detección y acciones de mejora posteriores.

Tiempos que definen la madurez

El Tiempo Medio de Detección (MTTD) y el Tiempo Medio de Respuesta (MTTR) son termómetros puros de madurez operativa. Un MTTD alto indica una red ciega o sensores mal ubicados. Un MTTR largo puede sugerir ausencia de procedimientos o falta de empoderamiento para actuar. Un CSIRT de una entidad financiera chilena redujo su MTTD de 8 horas a 45 minutos luego de reorganizar sus reglas de correlación en el SIEM. No hubo adquisiciones millonarias. Hubo inteligencia en la interpretación de datos.

Ruido que agota, ruido que esconde

La tasa de falsos positivos es una de las métricas más desatendidas y más corrosivas. Un CSIRT que convive con 85% de falsos positivos vive en permanente fatiga operativa. La alerta crítica del mañana se parece demasiado a la falsa alarma de ayer.

Visibilidad como deuda pendiente

En muchas organizaciones latinoamericanas, la cobertura real de monitoreo sobre activos críticos es inferior al 50%. Medir la cobertura activa de monitoreo en activos priorizados por impacto de negocio revela cómo de ciega está realmente la organización.

Lo que no se clasifica, no se entiende

El porcentaje de incidentes correctamente clasificados en menos de 30 minutos audita la capacidad analítica de los analistas Tier 1 y la claridad de sus playbooks.

Las verdades que vienen de fuera

Que un incidente de ransomware sea detectado por un tercero antes que por el CSIRT interno es señal de alerta. Esta métrica golpea donde duele: la credibilidad técnica y la reputación.

El arte de escalar sin fricción

El tiempo promedio de escalamiento entre niveles (Tier 1, 2, 3) es un indicador indirecto de salud operativa: puede destapar dinámicas tóxicas, como la falta de confianza entre niveles o cuellos de botella estructurales.

La profundidad importa

El porcentaje de incidentes con causa raíz identificada cambia radicalmente la forma de trabajar. Resolver el incidente es necesario. Entender por qué ocurrió es lo que evita su repetición.

La inteligencia no estática

La cobertura activa de indicadores de compromiso (IoCs) que están siendo utilizados en motores de detección permite entender el nivel de inteligencia aplicada. No se trata de tener miles de indicadores, sino de tener los correctos.

El poder de la convergencia

El verdadero valor emerge cuando las métricas se cruzan. Un CSIRT que cruza el MTTD con la cobertura de activos monitoreados descubre correlaciones poderosas. Un tablero que muestra que el 80% de los incidentes de phishing no tienen causa raíz identificada no necesita explicación. Pide acción.

Porque al final del día, un CSIRT que no mide está en modo reacción. Uno que mide, cruza, discute y mejora está en modo evolución. Y en ciberseguridad, eso marca la diferencia entre contener y anticiparse.