¿Qué es un centro de operaciones de seguridad (SOC)? Una guía para responsables de TI y proveedores de servicios gestionados (MSP)
Según el informe de Kaseya sobre el estado de los MSP en 2026, el 61% de los MSP señala que la mayoría o la totalidad de sus clientes acuden a ellos en busca de asesoramiento sobre ciberseguridad, lo que convierte la capacidad de un SOC en una necesidad comercial más que en un factor diferenciador. Descargue el informe completo aquí.
La mayoría de las organizaciones no pueden permitirse el lujo de crear un centro de operaciones de seguridad. La infraestructura, las herramientas y, sobre todo, el personal (analistas de seguridad que trabajan en turnos continuos con la experiencia necesaria para interpretar los datos de amenazas y responder a incidentes activos) representan una inversión fuera del alcance de casi todas las empresas, salvo las más grandes.
Sin embargo, la capacidad de supervisión de seguridad que proporciona un SOC no está fuera de alcance. Los servicios de Managed SOC, ofrecidos por proveedores de MDR, han puesto las operaciones de seguridad continuas al alcance de organizaciones de cualquier tamaño. Comprender qué hace un SOC y qué se necesita para construir o acceder a uno es el punto de partida para tomar una decisión informada sobre cómo cumplir con los requisitos de las operaciones de seguridad.
Capacidad de SOC empresarial, ahora sin necesidad de personal empresarial
Kaseya SIEM ofrece detección de amenazas en todas las superficies a través de más de 60 fuentes de datos, respuesta automatizada y Managed SOC opcional las 24 horas del día, los 7 días de la semana, impulsado por Kaseya Intelligence y basado en más de mil millones de tickets de Help Desk y 17 millones de endpoints.
¿Qué es un SOC?
Un centro de operaciones de seguridad (SOC) es la función centralizada responsable de supervisar, detectar, investigar y responder a las amenazas de ciberseguridad en todo el entorno de TI de una organización. El término se refiere tanto al equipo (analistas e ingenieros de seguridad) como a la infraestructura tecnológica que operan (SIEM, EDR, plataformas de inteligencia de amenazas y herramientas de respuesta).
La característica definitoria de un SOC es su funcionamiento continuo: las amenazas no entienden de horarios comerciales y un SOC que solo opera de nueve a cinco deja una ventana sin supervisión que los atacantes explotan precisamente porque existe. Una verdadera capacidad de SOC implica supervisión y respuesta 24/7/365.
Funciones de un SOC
Supervisión continua de la telemetría de seguridad en todo el entorno: actividad de endpoints procedente de EDR, tráfico de red, datos de identidad y autenticación, registros de plataformas en la nube y registros de aplicaciones. El SOC recopila estos datos y aplica reglas de detección, aprendizaje automático y el criterio de los analistas para identificar amenazas.
Clasificación e investigación de alertas. Los entornos modernos generan enormes volúmenes de alertas de seguridad, muchos más de los que se pueden investigar individualmente. Los analistas del SOC aplican priorización y contexto para determinar qué alertas representan amenazas reales, e investigan la telemetría relevante para comprender el alcance y la naturaleza de los posibles incidentes.
Respuesta ante incidentes. Cuando se confirma una amenaza real, el SOC coordina la respuesta: conteniendo los sistemas afectados, erradicando la amenaza y guiando la recuperación. Los SOC internos suelen gestionar la respuesta técnica directamente, mientras que los servicios de SOC basados en MDR suelen actuar en colaboración con el equipo de TI del cliente.
Threat hunting (búsqueda de amenazas). Búsqueda proactiva de indicadores de compromiso que no hayan generado alertas automatizadas, buscando actividad de ataque en fases tempranas antes de que se convierta en un incidente activo.
Inteligencia de amenazas. Consumo, análisis y aplicación de inteligencia de amenazas (información sobre campañas de ataques actuales, tácticas, técnicas y procedimientos [TTP] de los atacantes y datos de indicadores de compromiso) para mejorar la detección y la búsqueda de amenazas.
Informes de seguridad. Elaboración de informes periódicos sobre la postura de seguridad, el volumen de amenazas, las métricas de detección y respuesta, y cualquier incidente o tendencia destacables.
Roles y estructura del equipo de un SOC
Los analistas de nivel 1 se encargan de la revisión inicial de las alertas, la clasificación de la cola de alertas, la determinación de la gravedad inicial y la escalada de las amenazas confirmadas o sospechosas. El nivel 1 concentra el mayor volumen de trabajo en el SOC.
Los analistas de nivel 2 realizan investigaciones más profundas sobre las alertas escaladas, determinan el alcance completo de los posibles incidentes, analizan datos forenses y asesoran sobre la contención y la remediación.
Los analistas de nivel 3 y especialistas en búsqueda de amenazas se centran en el threat hunting proactivo, la investigación de incidentes complejos y el análisis avanzado de adversarios. Este nivel suele estar compuesto por el personal más experimentado.
El gestor del SOC y la ingeniería de seguridad proporcionan liderazgo operativo, gestionan el desarrollo de reglas de detección y herramientas, y se encargan de la coordinación con las operaciones de TI y las partes interesadas del negocio.
Construir y dotar de personal a esta estructura es la principal barrera para la creación de un SOC interno. Los analistas de seguridad experimentados son escasos y costosos. Mantener una cobertura continua requiere personal por turnos que multiplica los requisitos de plantilla. Un SOC interno totalmente dotado de personal y disponible 24/7 requiere una inversión multimillonaria, algo justificable para grandes empresas con entornos complejos y presupuestos de seguridad específicos, pero prohibitivo para la mayoría de las organizaciones.
Herramientas y tecnología para un SOC
El conjunto tecnológico principal para un SOC incluye:
SIEM (Security Information and Event Management), que agrupa los registros y los datos de telemetría de todo el entorno, aplica reglas de correlación para identificar patrones de amenazas y ofrece la interfaz de investigación para los analistas.
EDR, la fuente principal de telemetría de los terminales y la capacidad de respuesta ante amenazas a nivel de terminal.
SOAR (Security Orchestration, Automation and Response), que automatiza los flujos de trabajo de respuesta y permite la ejecución rápida de acciones de contención y remediación sin intervención manual ante patrones de amenazas conocidos.
Plataforma de inteligencia de amenazas, que recopila y operacionaliza la inteligencia sobre amenazas de fuentes internas y externas, alimentando las reglas de detección y las investigaciones de los analistas.
Gestión de vulnerabilidades, que integra los datos de vulnerabilidades en el contexto del SOC para priorizar adecuadamente la actividad de explotación contra vulnerabilidades conocidas.
SOC interno frente a SOC coseguro o totalmente gestionado
Un SOC interno ofrece el máximo control, pero requiere una inversión total en personal, herramientas y procesos. Es adecuado para grandes empresas con presupuesto suficiente y un compromiso sostenido de mantener dicha capacidad.
Un SOC coseguro (también denominado SIEM coseguro) proporciona cobertura de analistas MDR como una extensión del equipo interno; por lo general, lo utilizan organizaciones que cuentan con cierto personal de seguridad pero que resulta insuficiente para una cobertura 24/7 o para capacidades especializadas de búsqueda de amenazas. El equipo interno y el proveedor de servicios gestionados comparten las responsabilidades, cuya división se define por contrato.
Un SOC totalmente gestionado (MDR) ofrece la capacidad completa de un SOC como servicio. El proveedor de MDR se encarga de las herramientas, el equipo de analistas y los procesos operativos. El equipo de TI del cliente actúa como socio de escalado para los incidentes confirmados y se encarga de la ejecución de la remediación. Este es el modelo adecuado para aquellas organizaciones que no disponen de personal interno de operaciones de seguridad.
El servicio MDR de Kaseya, disponible en Kaseya 365 Pro, ofrece una capacidad de SOC totalmente gestionado operado por expertos en seguridad en EE. UU. las 24 horas, los 7 días de la semana. Se integra con Datto EDR y con la plataforma más amplia de Kaseya 365. Solicite una demostración aquí.
Métricas de un SOC que realmente importan
Tiempo medio de detección (MTTD): el tiempo transcurrido desde la vulneración inicial hasta su detección. Cuanto menor sea, mejor; los largos tiempos de permanencia permiten a los atacantes establecer persistencia, escalar privilegios y acceder a datos valiosos antes de que se identifique el incidente.
Tiempo medio de respuesta (MTTR): el tiempo transcurrido desde la detección hasta la contención. La velocidad de contención es el factor determinante principal del alcance de un incidente.
Tasa de falsos positivos: la proporción de alertas que no corresponden a amenazas reales. Unas tasas elevadas de falsos positivos hacen perder el tiempo a los analistas y contribuyen a la fatiga por alertas. Un SOC bien optimizado debe mostrar tasas de falsos positivos en descenso constante a medida que se refinan las reglas de detección.
Tasa de escalamiento: la proporción de detecciones que requieren la intervención de un analista frente a aquellas gestionadas de forma automatizada. Unas tasas de escalamiento elevadas pueden indicar oportunidades de optimización o un problema de volumen de amenazas.
Amplitud de cobertura: el porcentaje de fuentes de telemetría del entorno cubiertas por la monitorización del SOC. Las lagunas en la cobertura equivalen a lagunas en la visibilidad.
Kaseya SIEM: Capacidad de SOC empresarial sin necesidad de personal empresarial
Gestionar un SOC internamente ha requerido tradicionalmente ingenieros de seguridad dedicados, herramientas costosas y personal disponible las 24 horas, una barrera que dejaba la capacidad de un SOC fuera del alcance de la mayoría de las PYMES y las organizaciones del mercado medio.
Kaseya SIEM, que ya está disponible de forma general, cambia ese paradigma. Kaseya SIEM, disponible de forma general, ofrece operaciones de seguridad de nivel empresarial sin necesidad de personal ni costes de nivel empresarial. Unifica la telemetría en terminales, redes, entornos en la nube, identidades y correo electrónico, correlacionando señales procedentes de más de 60 fuentes de datos para detectar y responder a amenazas en toda la superficie de ataque. La correlación multisuperficie proporciona a los equipos de TI una perspectiva completa del ataque en una sola interfaz; la respuesta automatizada contiene las amenazas en cuestión de minutos sin desviar alertas hacia personas, y una retención de registros de 400 días cumple con los requisitos normativos desde el primer momento. Para aquellos equipos que prefieren no gestionar un SOC interno, un servicio de operaciones de seguridad gestionadas 24/7, acelerado por Kaseya Intelligence, ofrece la cobertura de un SOC dedicado sin los costes indirectos que implica crearlo. Explore Kaseya SIEM.
Para los MSP, Kaseya SIEM ofrece una forma escalable de proporcionar operaciones de seguridad con categoría de SOC en múltiples entornos de clientes desde una única plataforma, sin la necesidad de personal que exige un modelo de SOC tradicional.
Puntos clave
- Un SOC proporciona supervisión continua de la seguridad, detección, investigación y respuesta las 24 horas del día, los 7 días de la semana; se trata de la función de seguridad operativa que la mayoría de las organizaciones no pueden permitirse desarrollar de forma interna.
- Construir un SOC interno exige una inversión importante y sostenida en personal y herramientas. Las alternativas de MDR coseguro y totalmente gestionado proporcionan una capacidad equivalente a un coste accesible.
- Las métricas clave, MTTD, MTTR y la tasa de falsos positivos, miden la eficacia operativa del SOC, no meramente su existencia.
- Para los MSP, el acceso a las capacidades de un Managed SOC (a través de MDR) representa tanto un activo de seguridad interno como una oferta de servicios diferenciadora para los clientes.
