> For the complete documentation index, see [llms.txt](https://agents.glueckkanja.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://agents.glueckkanja.com/es/agents/insider-risk-profiler/overview.md).

# Descripción general

> **Estimación de costo de SCU**\
> Este agente normalmente consume **0,2 – 1,5 SCU por ejecución de análisis**, dependiendo del número de alertas de Insider Risk Management (IRM) y de la profundidad del enriquecimiento (modo Rápido, Estándar o Profundo). Los entornos más grandes con altos volúmenes de alertas o ventanas de retrospectiva ampliadas pueden consumir más SCU.

### Introducción

**Perfilador de riesgos internos** ayuda a los equipos de seguridad a centrarse en lo que realmente importa al convertir las alertas ruidosas de riesgo interno en inteligencia procesable. En lugar de correlacionar manualmente señales entre Purview, Defender y Entra, el agente crea un perfil de riesgo unificado que destaca qué alertas representan amenazas internas genuinas y por qué.

Enriquece automáticamente las alertas de IRM con señales de riesgo de identidad, cumplimiento del dispositivo y protección de datos, creando una cola priorizada con puntuación clara y narrativas contextuales. El resultado: triaje más rápido, menos falsos positivos y decisiones de remediación con confianza.

<figure><img src="https://2737940525-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fffp5FAPWgFPcbF2uAEkp%2Fuploads%2FW37IwtTKHY6jxDtqQusn%2FMarketplace%20Insider%20Risk%20Profiler-1.png?alt=media&amp;token=ff814540-18d2-424b-8e91-1e5f1390ca15" alt=""><figcaption></figcaption></figure>

<div><figure><img src="https://2737940525-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fffp5FAPWgFPcbF2uAEkp%2Fuploads%2FW37IwtTKHY6jxDtqQusn%2FMarketplace%20Insider%20Risk%20Profiler-1.png?alt=media&amp;token=ff814540-18d2-424b-8e91-1e5f1390ca15" alt=""><figcaption></figcaption></figure> <figure><img src="https://2737940525-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fffp5FAPWgFPcbF2uAEkp%2Fuploads%2F61JkDbDMt4EBFLgucn4y%2FMarketplace%20Insider%20Risk%20Profiler-2.png?alt=media&amp;token=7a62e92e-4218-4610-ad22-928553e72f6e" alt=""><figcaption></figcaption></figure> <figure><img src="https://2737940525-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fffp5FAPWgFPcbF2uAEkp%2Fuploads%2FPFIj4VQHwHbJHbibfzt4%2FMarketplace%20Insider%20Risk%20Profiler-3.png?alt=media&amp;token=56a9ae2b-5de2-4e81-9b4c-d22f4e7ac9cb" alt=""><figcaption></figcaption></figure> <figure><img src="https://2737940525-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fffp5FAPWgFPcbF2uAEkp%2Fuploads%2F3WSXeYnOHPCfFoqda8dK%2FMarketplace%20Insider%20Risk%20Profiler-4.png?alt=media&amp;token=ed227a65-d715-4699-8619-80cf9c8d153c" alt=""><figcaption></figcaption></figure></div>

***

### Qué hace

* Enriquece las alertas de Purview Insider Risk con telemetría de identidad, dispositivo y actividad de Defender
* Prioriza las alertas según una puntuación compuesta (identidad, actividad y riesgo de datos)
* Reduce la fatiga por alertas al destacar factores de riesgo explicables y perspectivas para ajustar las políticas
* Correlaciona el comportamiento entre actividades de correo electrónico, archivos y nube para revelar patrones de exfiltración
* Señala brechas de enriquecimiento y sugiere mejoras en la cobertura de la telemetría
* Proporciona plantillas predefinidas de investigación y notificación para una respuesta rápida

***

### Casos de uso

#### 1. **Enfocarse en las alertas correctas**

Cientos de alertas de IRM pueden aparecer a diario, pero no todas merecen la misma atención. Insider Risk Profiler aplica una lógica de puntuación transparente y muestra alertas de alta prioridad que involucran usuarios riesgosos, cuentas comprometidas o exposición de datos sensibles. Los analistas saben al instante qué investigar primero.

#### 2. **Acelerar las investigaciones**

El triaje tradicional de IRM requiere saltar entre varios portales y fuentes de datos. Este agente consolida los datos de identidad, actividad y DLP en una línea temporal de comportamiento unificada. Los analistas ven qué ocurrió, cuándo y por qué importa, ahorrando horas de correlación manual.

#### 3. **Reducir el ruido y la fatiga por alertas**

Las políticas demasiado amplias suelen generar falsos positivos. Insider Risk Profiler identifica patrones benignos o de bajo impacto, recomienda ajustes para la configuración de políticas y destaca fuentes de alertas redundantes, permitiendo que su equipo se centre en las amenazas internas reales.

#### 4. **Mejorar la confianza y la transparencia**

Los líderes de seguridad suelen preguntar: *¿Por qué esta alerta tiene alta prioridad?* El agente explica la puntuación enumerando factores contribuyentes, como inicios de sesión recientes fuera de horario, infracciones de DLP o intentos fallidos de autenticación. Esto mejora la confianza en la automatización y en los modelos de puntuación.

#### 5. **Estandarizar la respuesta y la comunicación**

Desde las notas del analista hasta las notificaciones al usuario o al administrador, el agente genera plantillas de respuesta estructuradas con un tono coherente y redacción legal, garantizando que cada incidente se gestione con rapidez y de conformidad.

***

### ¿Por qué Insider Risk Profiler?

#### Retos que resuelve

* El gran volumen de alertas dificulta ver el riesgo real
* La puntuación de alertas carece de transparencia y explicabilidad
* Las reglas redundantes o ruidosas desperdician el tiempo de los analistas
* El contexto de las secuencias de comportamiento (recopilación → exfiltración) está fragmentado
* La comunicación de la respuesta es lenta e incoherente

#### Beneficios que obtiene

* Cola de alertas explicable y priorizada con factores de puntuación claros
* Recomendaciones de optimización de políticas para reducir las alertas benignas
* Línea temporal de comportamiento condensada que vincula señales de riesgo entre fuentes
* Plantillas de comunicación estandarizadas y listas para usar
* Análisis claro de las brechas de enriquecimiento para mejorar la cobertura de la telemetría

***

### Cómo funciona

#### Qué entra

* Alertas y metadatos de Insider Risk de Purview
* Señales de riesgo de identidad y de dispositivo de Microsoft Defender
* Telemetría de actividad de aplicaciones en la nube, correo electrónico y archivos
* Eventos de violación de DLP y anomalía de comportamiento
* Contexto de directorio de usuario y grupo (Entra ID)

#### Qué hace

* Correlaciona las alertas con señales de identidad, dispositivo y datos
* Enriquece la actividad del usuario en múltiples fuentes de telemetría
* Calcula puntuaciones de riesgo multidimensionales (Identidad 40 %, Actividad 30 %, Datos 30 %)
* Asigna las alertas a bandas de prioridad (Crítica, Alta, Media, Baja)
* Genera una narrativa de triaje estructurada y pasos de remediación recomendados

#### Qué obtiene

* Resumen ejecutivo con alertas priorizadas y distribución de puntuaciones
* Cola de las 10 alertas priorizadas principales con factores clave
* Sugerencias para ajustar políticas y mejorar el enriquecimiento
* Orientación estructurada para la remediación y plantillas de respuesta
* Informe de triaje exportable para fines de documentación o auditoría


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://agents.glueckkanja.com/es/agents/insider-risk-profiler/overview.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.