El ciclo de inteligencia: cómo transformar registros técnicos dispersos en conocimiento capaz de atribuir un ataque y de perfilar a quien lo dirige.

Cuando una organización descubre que ha sido atacada, la reacción inmediata se concentra casi siempre en el daño: qué se ha roto, qué datos se han perdido, cuánto costará restablecer el servicio. La pregunta que de verdad importa a quien investiga llega algo más tarde y resulta bastante más incómoda de responder: quién estaba al otro lado del teclado, con qué medios y movido por qué propósito. Contestarla exige mucho más que pericia técnica. Exige un método para ordenar el caos de registros, conexiones y ficheros que deja cualquier intrusión y convertirlo en conocimiento con valor para la investigación y, llegado el caso, para un tribunal. Ese método tiene nombre y tiene guía: la CCN-STIC-425, «Ciclo de Inteligencia y Análisis de Intrusiones», del Centro Criptológico Nacional.