¿Qué hace un SOC y cuándo lo necesitas?
El SOC (Security Operations Center) se confunde con una sala llena de monitores. Su valor real está en el juicio humano detrás de las alertas: vigilar, decidir y responder. No es telemetría en pantalla; es decisiones a tiempo. Este artículo explica qué hace un SOC de verdad, por qué el tratamiento de falsos positivos es clave, cuándo conviene contratarlo y qué errores cometen las empresas al evaluarlo. La pregunta no es si tienes pantallas, sino si alguien responde.
Vigilar, no solo coleccionar
Un SOC recolecta señales de muchos orígenes y las correlaciona para encontrar ataques que, por separado, pasarían inadvertidos. La correlación es lo que convierte ruido disperso en una historia coherente que tiene sentido.
El objetivo no es tener más alertas, sino las correctas. Un SOC que produce miles de alertas sin contexto satura al negocio y no protege más; al contrario, la fatiga de alertas hace que se ignoren incluso las importantes.
Vigilar significa tener reglas que detecten lo que importa para tu negocio, no todo lo que suena. Un SOC genérico que avisa de todo no es mejor que no tener ninguno: lo que se avisa de más, se ignora.
Decidir y responder
Ante una alerta real, el SOC decide si contiene, aísla o escala. Esa decisión, tomada rápido, es lo que limita el daño. La detección sin respuesta no sirve de mucho: saber que hay un incendio no apaga el fuego.
Responder puede significar aislar un equipo, bloquear una cuenta o escalar a respuesta a incidentes. El SOC no reemplaza al equipo interno; lo amplía cuando este no puede cubrir todo el horario.
La diferencia entre un SOC útil y uno decorativo es la respuesta. Un SOC que solo avisa y espera a que tú actúes es un monitor caro. Un SOC que contiene, aísla y escala es lo que reduce el daño real.
Falsos positivos: el trabajo invisible
Una buena parte del trabajo es descartar ruido. Un SOC que no filtra bien termina saturando al negocio con alertas irrelevantes, lo que lleva a ignorarlas todas, incluidas las que sí importan.
El tratamiento de falsos positivos no es glamour, pero es lo que permite que la alerta real sea atendida. Sin eso, la fatiga de alertas anula la inversión: terminas pagando por ruido.
Un buen SOC mide cuántas alertas validó, cuántas descartó como ruido y cuántas escaló. Esa transparencia es señal de madurez; un SOC que solo reporta 'alertas detectadas' sin contexto esconde el trabajo que de verdad importa.
¿Cuándo lo necesitas?
Cuando no tienes un equipo interno que pueda vigilar fuera de horario, o cuando el volumen de alertas supera tu capacidad de respuesta. No todas las empresas necesitan un SOC; depende del riesgo y del tamaño.
Para muchas empresas, un SOC gestionado es la forma práctica de tener esa capacidad sin construir un equipo interno costoso. No es obligatorio para todos; es una decisión de riesgo y costo.
Si tu operación para con un incidente y no puedes permitirte un fin de semana sin responder, un SOC tiene sentido. Si tu riesgo es bajo y tu equipo puede cubrir el horario, quizá no lo necesites aún.
Errores comunes
Contratar un SOC y desconectarlo del negocio. Si el SOC no sabe qué es crítico para ti, no puede priorizar. El SOC necesita contexto del negocio, no solo logs.
Esperar que el SOC reemplace a tu equipo de TI. Vigilar y responder no es lo mismo que administrar y parchear. Son roles complementarios, no intercambiables.
Medir el SOC por cantidad de alertas en lugar de por incidentes contenidos y tiempo de respuesta. Más alertas no es mejor; incidentes contenidos a tiempo sí lo es.
Preguntas antes de contratar
¿Qué fuentes cubre el SOC: endpoints, identidad, correo, red?
¿Qué hace cuando detecta algo: avisa, aísla, o ambas?
¿Cómo se mide y reporta el avance, y con qué frecuencia?
¿Qué horario cubre y qué pasa fuera de él?