Análisis de objetivos: del alcance a un mapa verificable

1 · Formula una pregunta que pueda cerrarse

«Investigar a la empresa» no define un resultado. «Identificar dominios y servicios públicos bajo control de la organización para revisar su exposición» sí. Escribe una pregunta principal, el uso del resultado y el umbral de certeza. Así evitas acumular datos que no cambian ninguna decisión.

2 · Mapea la superficie desde semillas verificadas

Empieza con dos o tres semillas de alta confianza —web oficial, razón social, dominio principal— y expande por relaciones observables. Para cada activo anota cómo llegaste a él. Un nombre parecido o un certificado compartido es una pista, no una atribución.

1. Identidad: nombres legales, marcas y ubicaciones publicadas.
2. Presencia digital: dominios, subdominios visibles, aplicaciones y repositorios oficiales.
3. Infraestructura: proveedores, rangos anunciados y servicios expuestos, solo mediante fuentes autorizadas.
4. Personas y procesos: roles publicados, tecnologías mencionadas y canales de soporte.

3 · Registra evidencia, no recuerdos

Conserva URL, fecha y hora, captura o extracto mínimo, autor y método de obtención. Separa tres columnas:observación, inferencia y confianza. La observación debe poder ser repetida por otra persona; la inferencia explica qué significa y qué alternativa podría encajar.

4 · Prioriza por exposición, impacto y certeza

Una pista llamativa con atribución débil no debe desplazar a un panel administrativo confirmado. Puntúa exposición pública, sensibilidad del activo, facilidad de validación y confianza de la atribución. Marca como «por verificar» todo lo que dependa de una única fuente o de datos antiguos.

5 · Entrega un mapa que permita actuar

Abre con alcance y fecha de corte. Después presenta activos confirmados, relaciones, hallazgos priorizados, limitaciones y próximos pasos. No escondas incertidumbre detrás de un número: explica qué prueba falta para elevar la confianza. El anexo contiene fuentes; el cuerpo responde a la pregunta inicial.

• □La autorización y el alcance están por escrito
• □Cada activo tiene una cadena de atribución
• □Observación e inferencia aparecen separadas
• □La fecha de corte y las limitaciones son visibles
• □Los datos personales no necesarios se han eliminado

Glosario