Comienza por el motivo
Una investigación debe dejar claro por qué existe. Comienza desde una alerta, evento, hallazgo cloud, coincidencia de amenaza, resultado de búsqueda o pregunta de negocio confiables. Registra alcance afectado, evidencia inicial, periodo, riesgo inmediato y decisión que debe respaldar la investigación.
Construye el caso sin perder evidencia
- Conserva registros originales y referencias de fuente antes de resumirlos.
- Construye una cronología que separe eventos observados de secuencia inferida.
- Sigue usuarios, activos, direcciones, procesos, recursos cloud, datos y relaciones afectadas.
- Registra evidencia de respaldo, evidencia en conflicto, duplicados, brechas de cobertura y preguntas sin resolver.
- Mantén responsables, decisiones, acciones solicitadas y resultados reportados en el mismo historial.
Registra los hallazgos de la investigación
- Hechos observados
- Lo que muestra directamente la evidencia de origen conservada dentro del alcance y periodo indicados.
- Conclusiones respaldadas
- Lo que la evidencia respalda razonablemente, con confianza y fundamento visibles.
- Incógnitas
- Preguntas importantes que la evidencia disponible aún no puede responder.
- Decisión
- La disposición actual del analista y el siguiente paso justificado.
- Resultado
- Lo informado después de que el trabajo aprobado terminara o fallara.