Ciberseguridad gestionada: por qué un SOC 24/7 rinde más que un equipo interno

El costo real de hacerlo puertas adentro

Montar un equipo de seguridad interno no es contratar a una persona: es contratar un turno. La vigilancia de amenazas no descansa de nueve a seis, así que cubrir 24 horas, los siete días de la semana, exige varios analistas para que nadie tenga que estar despierto todas las noches del mes. Un solo especialista no cubre un año: cubre, con suerte, un tercio del día.

A eso se suma el software. Un SOC funciona sobre tres piezas que hay que comprar, integrar y mantener: una plataforma de detección y respuesta en los equipos (EDR/XDR), un SIEM que reúna y correlacione las alertas de todas esas herramientas, y las licencias de cada fuente que se quiera vigilar. La mayoría de las empresas medianas termina comprando una parte y dejando el resto sin cubrir, no por descuido, sino porque el presupuesto no alcanza para todo a la vez.

El resultado típico no es una empresa sin seguridad. Es una empresa con herramientas encendidas que nadie mira a las tres de la mañana.

Qué hace un SOC que una alerta sola no hace

Una herramienta de seguridad genera alertas; no las explica. Un SOC gestionado —un Centro de Operaciones de Seguridad— es el equipo y el proceso que convierte esas alertas en decisiones: clasifica cada una, descarta el ruido, investiga las que lo ameritan y responde ante un incidente real, en lugar de dejarle a alguien de su equipo una bandeja llena de avisos sin priorizar.

Vale separar las siglas, porque se confunden. El EDR/XDR vive en los equipos y detecta comportamiento sospechoso. El SIEM es el centro que junta esas señales con las del resto de la red y las correlaciona. El SOC es la gente y la automatización que operan todo eso las 24 horas. Tener un EDR no es tener un SOC, igual que tener una alarma no es tener a alguien vigilando las cámaras.

En nuestro caso esa vigilancia corre sobre Microsoft Sentinel como SIEM, con tres agentes de inteligencia artificial propios —Triage, Report Generator y Response Assistant— que hacen la primera clasificación y la redacción de reportes, mientras los analistas humanos se concentran en lo que de verdad requiere criterio. En números, eso se traduce en detección en menos de un minuto, respuesta en cuatro, y 120.000 alertas de seguridad clasificadas cada mes.

Las nueve capas: dónde entra el SOC

La seguridad no es un producto, son capas. Nosotros trabajamos con nueve: humana, identidad, endpoints, red, aplicaciones, gestión de vulnerabilidades, protección de datos, inteligencia de amenazas y seguridad del dato. Un SOC no reemplaza a ninguna: las vigila a todas. Es la capa que se da cuenta cuando algo, en cualquiera de las otras ocho, empieza a comportarse distinto.

Por eso la pregunta útil no es “¿qué herramienta compro?”, sino “¿quién está mirando lo que ya tengo?”. La mayoría de las empresas ya pagó por más seguridad de la que usa; lo que le falta es alguien que la opere.

La pregunta no es si contratar, es cuándo

Ningún gerente de TI decide no proteger su empresa. La mayoría simplemente no sabe cuál de esas nueve capas tiene más urgencia en su caso. Por eso una evaluación de postura, antes que un contrato, es el primer paso sensato: le dice qué está cubierto, qué no, y en qué orden conviene resolverlo. No compromete a nada y ordena la conversación.

¿Le suena conocido?

Si en su empresa una sola persona de TI carga con la seguridad además de todo lo demás, si nadie revisa las alertas que ya generan las herramientas que tienen, o si la última vez que hablaron de seguridad fue después de un susto y no antes, es momento de mirar esto de otra forma.

En Lynxsource operamos nuestro propio SOC desde 2022, con analistas y automatización propios, no un servicio revendido. Lo primero que hacemos con un cliente nuevo no es venderle una capa: es mostrarle, con una evaluación sin costo, dónde está parado hoy.