La mayoría de las organizaciones cuentan con dos equipos que deberían trabajar codo con codo, pero que a menudo operan en mundos separados: el de operaciones de TI, que se encarga de mantener los sistemas en funcionamiento, y el de seguridad, que vela por su protección. Cuando estas dos funciones trabajan de forma aislada, las brechas entre ellas se convierten precisamente en el tipo de puntos ciegos que aprovechan los atacantes. Las actualizaciones se retrasan por miedo a afectar al tiempo de actividad. Las alertas de seguridad quedan sin investigar porque nadie se hace cargo del proceso de respuesta. Los incidentes que podrían haberse contenido en cuestión de minutos tardan días en resolverse.
Las operaciones de seguridad, o SecOps, constituyen el enfoque organizativo que permite subsanar esas deficiencias. Este enfoque aúna las funciones de seguridad y de TI en una práctica unificada centrada en la supervisión continua, la detección de amenazas y la respuesta rápida. Para los proveedores de servicios gestionados (MSP) y las empresas a las que prestan apoyo, la plataforma de seguridad de Kaseya (que incluye Kaseya MDR, Kaseya SIEM y Datto EDR) está diseñada para ofrecer esa cobertura unificada sin necesidad de contar con un equipo de seguridad empresarial específico.
¿Qué son las operaciones de seguridad (SecOps)?
SecOps, abreviatura de «operaciones de seguridad», es la práctica integrada que combina las funciones de seguridad y de operaciones de TI en una única disciplina colaborativa. En lugar de considerar la seguridad como una función independiente que reacciona ante los problemas a posteriori, SecOps integra la mentalidad de seguridad en las operaciones diarias de TI. La supervisión, la detección, la respuesta ante incidentes y la gestión de vulnerabilidades se convierten en actividades operativas continuas, en lugar de ejercicios periódicos.
El término refleja un cambio más amplio en la forma en que las organizaciones abordan la ciberseguridad. Las defensas basadas en el perímetro y las auditorías de seguridad programadas se diseñaron para un mundo en el que las amenazas eran menos frecuentes, menos sofisticadas y menos específicas de lo que son hoy en día. SecOps es una respuesta a la realidad de que las amenazas son constantes y de que la única respuesta eficaz es la vigilancia continua.
SecOps frente a los silos tradicionales de TI y seguridad
En un modelo tradicional, las operaciones de TI y la seguridad operan con mandatos distintos. Las operaciones de TI dan prioridad a la disponibilidad (mantener los sistemas en funcionamiento, las aplicaciones activas y a los usuarios productivos). La seguridad da prioridad a la protección (reducir el riesgo, aplicar controles y responder a los incidentes). Estos objetivos no están reñidos, pero cuando los equipos que los persiguen no se comunican entre sí, las concesiones suelen resolverse a favor de quien haya abierto el ticket más recientemente.
SecOps elimina esa barrera. Un equipo unificado comparte simultáneamente la visibilidad tanto del estado operativo del entorno como de su postura de seguridad. Un parche que debe implementarse no tiene que esperar a que un equipo de seguridad independiente lo marque como crítico. Una alerta que se activa durante una ventana de mantenimiento se investiga, en lugar de descartarse como ruido. El resultado es una práctica de seguridad más rápida, más coherente y menos dependiente de los traspasos entre equipos para funcionar.
Responsabilidades principales de un equipo de operaciones de seguridad
Los equipos de SecOps abarcan una amplia gama de responsabilidades, pero la mayoría de los programas se centran en cuatro funciones fundamentales que, en conjunto, definen cómo se desarrolla el día a día de las prácticas de seguridad operativa.
Vigilancia y detección
La supervisión continua es la base de las operaciones de seguridad (SecOps). Implica recopilar datos de telemetría de los terminales, las redes, los servicios en la nube, los sistemas de identidad y las aplicaciones las 24 horas del día, y analizar esos datos en busca de indicios de actividad sospechosa. La detección se produce cuando la supervisión revela un evento que justifica una investigación, ya sea una firma de malware conocida, un patrón de comportamiento anómalo o una correlación de eventos en varios sistemas que, por separado, parecen inofensivos.
La calidad de un programa de supervisión y detección se mide en función de la cobertura y la precisión. La cobertura determina lo que el equipo puede detectar; la precisión determina en qué medida merece la pena actuar sobre lo que detecta. La fatiga por alertas (el agobio que supone recibir un gran volumen de alertas de baja calidad) es uno de los fallos operativos más comunes en SecOps, y para solucionarla es necesario ajustar continuamente las reglas de detección y los umbrales.
Respuesta ante incidentes
Cuando una detección se convierte en una amenaza confirmada, entra en acción la respuesta a incidentes. Se trata del proceso estructurado para contener la amenaza, investigar su alcance, eliminarla del entorno y restablecer el funcionamiento normal. Un plan de respuesta a incidentes bien documentado define quién hace qué, en qué orden y en qué condiciones, de modo que, cuando se produce un incidente, el equipo actúe siguiendo un protocolo en lugar de improvisar bajo presión.
La calidad de la respuesta ante incidentes se mide principalmente en términos de rapidez. El tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR) son los indicadores clave. Una detección rápida limita el tiempo que tiene un atacante para desplazarse lateralmente, escalar privilegios o sustraer datos. Una respuesta rápida limita el daño que puede causar una vez detectado. Cada hora de retraso tiene un coste cuantificable.
Gestión de vulnerabilidades
Los equipos de SecOps no solo responden a amenazas activas. También trabajan de forma proactiva para identificar y subsanar las debilidades antes de que los atacantes puedan aprovecharlas. La gestión de vulnerabilidades consiste en analizar el entorno en busca de vulnerabilidades conocidas, priorizarlas según el riesgo y coordinar su corrección mediante la aplicación de parches, cambios de configuración o controles compensatorios.
La gestión de parches es la parte que más recursos operativos requiere de esta función. Con miles de CVE publicadas cada año, ningún equipo puede aplicar todos los parches de inmediato. Los marcos de priorización que se centran en las vulnerabilidades con mayor probabilidad de ser explotadas en el entorno actual de amenazas son esenciales para que las tareas de corrección se centren en lo que realmente importa.
Cumplimiento normativo y presentación de informes
Los equipos de SecOps suelen encargarse de demostrar que la organización cumple los requisitos de seguridad normativos y contractuales. Esto incluye mantener una documentación de los controles de seguridad lista para auditorías, generar pruebas para las evaluaciones de cumplimiento y realizar un seguimiento de los indicadores que demuestran que el programa de seguridad funciona según lo previsto.
En el caso de los MSP, esta función se extiende a los clientes. Demostrar que se cuenta con un programa de operaciones de seguridad (SecOps) operativo, con pruebas de una supervisión continua, una respuesta a incidentes documentada y el cumplimiento de los parches, se está convirtiendo cada vez más en un requisito básico en los contratos con los clientes y en las solicitudes de seguros cibernéticos.
SecOps y el SOC: cómo se relacionan
SecOps es la disciplina. El centro de operaciones de seguridad (SOC) es la estructura organizativa en la que se aplica dicha disciplina. En las organizaciones lo suficientemente grandes como para contar con uno, el SOC es un equipo especializado formado por analistas, ingenieros y personal de respuesta a incidentes que trabaja desde una plataforma compartida con una visión global del entorno.
No todas las organizaciones cuentan con un SOC, y la mayoría de las pymes carecen de él. Eso no significa que no puedan llevar a cabo operaciones de seguridad (SecOps). Un proveedor de servicios gestionados (MSP) que ofrece detección y respuesta gestionadas a sus clientes, un equipo de TI formado por dos personas que gestiona un EDR y un SIEM, o una organización que utiliza un servicio de seguridad gestionado por terceros, están llevando a cabo operaciones de seguridad (SecOps) de una forma adecuada a su tamaño. El SOC es la versión empresarial de las operaciones de seguridad (SecOps); no es un requisito previo para ellas.
Para obtener más información sobre las funciones de un SOC, su dotación de personal y su estructura, consulta nuestra guía completa sobre el centro de operaciones de seguridad.
Herramientas y soluciones clave para operaciones de seguridad
Los programas de SecOps se ejecutan en una combinación de plataformas tecnológicas que se encargan de la supervisión, la detección, la respuesta y la gestión. No existe una única herramienta que abarque todo el ámbito de las operaciones de seguridad; esta práctica requiere un conjunto de herramientas, y la eficacia de dicho conjunto depende en gran medida de la buena coordinación entre sus componentes.
La detección y respuesta en endpoints (EDR) ofrece una capacidad de supervisión y respuesta continuas a nivel de dispositivo. Los agentes EDR realizan un seguimiento de la actividad de los procesos, los cambios en los archivos, las conexiones de red y otros comportamientos de los endpoints, y pueden aislar un dispositivo, poner un archivo en cuarentena o detener un proceso en respuesta a una amenaza detectada. Para la mayoría de los programas de operaciones de seguridad (SecOps), el EDR es la principal fuente de telemetría de endpoints. Nuestra guía sobre detección y respuesta en endpoints aborda este tema en detalle.
La gestión de información y eventos de seguridad (SIEM) recopila datos de registros y eventos de todo el entorno y aplica reglas de correlación para detectar amenazas que abarcan varios sistemas. El SIEM proporciona a los equipos de operaciones de seguridad la visibilidad global del entorno que necesitan para detectar ataques distribuidos que ninguna herramienta de una sola fuente podría identificar. Para obtener más información, consulta nuestra introducción al SIEM.
La detección y respuesta gestionadas (MDR) añaden un nivel de analistas externos a la estructura de detección y respuesta. Los proveedores de MDR combinan la tecnología de detección con un equipo de analistas de seguridad que supervisan, investigan y responden en nombre de sus clientes las 24 horas del día. Para las organizaciones que no pueden contar con personal interno que cubra las operaciones de seguridad (SecOps) las 24 horas del día, los 7 días de la semana, el MDR es la vía más práctica para lograr una protección continua. Consulte nuestra descripción general del MDR para obtener información detallada.
La orquestación, automatización y respuesta en materia de seguridad (SOAR) automatiza los flujos de trabajo relacionados con la respuesta a incidentes de seguridad, coordina las acciones entre las distintas herramientas, ejecuta los guiones de respuesta y reduce el esfuerzo manual que requieren la clasificación y la contención. SOAR amplía la capacidad de gestión de un equipo de operaciones de seguridad sin necesidad de aumentar la plantilla.
Las herramientas de gestión de vulnerabilidades y de gestión de parches se encargan de la parte proactiva de las operaciones de seguridad (SecOps): detectar puntos débiles, realizar un seguimiento del estado de las correcciones y mantener el software actualizado en todo el entorno. Estas herramientas cierran el ciclo entre la identificación de un riesgo y la confirmación de que se ha solucionado.
El papel de la inteligencia artificial y la automatización en las operaciones de seguridad
El volumen de datos de telemetría de seguridad que genera un entorno informático moderno supera con creces lo que cualquier equipo humano puede revisar manualmente. Esto ha convertido a la inteligencia artificial y la automatización en elementos fundamentales del funcionamiento de los programas de SecOps, no como una tendencia de futuro, sino como una necesidad operativa actual.
La IA contribuye principalmente a la detección y la clasificación de incidentes. Los modelos de aprendizaje automático entrenados con grandes conjuntos de datos sobre amenazas pueden identificar patrones de ataque sutiles que la detección basada en reglas pasaría por alto, correlacionar señales de múltiples fuentes para crear narrativas coherentes de los incidentes y clasificar las alertas según su nivel de confianza, de modo que los analistas se centren en las detecciones con mayor probabilidad de ser reales. El resultado es una reducción significativa del ruido de las alertas y una escalada más rápida de las amenazas reales.
La automatización contribuye principalmente a la capacidad de respuesta. Los guiones automatizados pueden ejecutar medidas de contención, como aislar un terminal, revocar una sesión o bloquear un dominio, en cuestión de segundos tras activarse una detección de alta fiabilidad. En el caso de amenazas de rápida propagación, como el ransomware, esa rapidez marca la diferencia entre un incidente contenido y una interrupción que afecta a toda la organización.
La ventaja práctica para los equipos de operaciones de seguridad con recursos limitados es un efecto multiplicador. Un equipo reducido que cuente con sistemas de detección basados en IA bien ajustados y respuestas automatizadas puede cubrir eficazmente un ámbito de supervisión y respuesta que, de otro modo, requeriría un número de efectivos considerablemente mayor. Esto resulta especialmente relevante para los proveedores de servicios gestionados (MSP) que gestionan las operaciones de seguridad de una amplia base de clientes, donde la cobertura manual a gran escala simplemente no es viable desde el punto de vista económico.
Kaseya Intelligence hace realidad todo esto dentro de la plataforma Kaseya, utilizando IA basada en agentes para obtener información útil, automatizar los flujos de trabajo rutinarios de seguridad y TI, y convertir la telemetría en acciones autónomas. Tanto para los equipos de TI internos como para los MSP, reduce la carga de trabajo manual que supone gestionar un programa de SecOps sin sacrificar la visibilidad ni el control.
Métricas de operaciones de seguridad: cómo medir lo que realmente importa
Un programa de SecOps que no se evalúa a sí mismo no puede mejorar de forma sistemática. Las siguientes métricas son los indicadores más útiles desde el punto de vista operativo para evaluar el estado de un programa de SecOps:
- El tiempo medio de detección (MTTD) mide el tiempo que tarda el programa en identificar una amenaza tras su entrada en el entorno. Se trata del principal indicador de la capacidad de detección. Un MTTD elevado significa que los atacantes disponen de más tiempo para desplazarse lateralmente, escalar privilegios y causar daños antes de ser identificados.
- El tiempo medio de respuesta (MTTR) mide el tiempo que se tarda en contener y resolver una amenaza confirmada. Esto refleja la eficacia de los procesos de respuesta ante incidentes, el grado de automatización y la claridad de los guiones de respuesta.
- La relación entre alertas e incidentes mide qué porcentaje de alertas se convierten en incidentes confirmados. Una relación elevada puede indicar que la configuración de la detección es insuficiente; una relación muy baja puede indicar que se están pasando por alto amenazas reales. El seguimiento de este indicador a lo largo del tiempo permite determinar si la calidad de la detección está mejorando o empeorando.
- La tasa de cumplimiento de parches mide el porcentaje de vulnerabilidades conocidas que se han solucionado dentro de los plazos establecidos en el acuerdo de nivel de servicio (SLA). Se trata de un indicador adelantado del riesgo de exposición. Las organizaciones con un bajo nivel de cumplimiento de parches ofrecen sistemáticamente a los atacantes una superficie de ataque más susceptible de ser explotada.
- El tiempo medio hasta la aplicación del parche (MTTP) complementa la tasa de cumplimiento al medir la rapidez con la que el equipo pasa de la identificación de una vulnerabilidad a la corrección confirmada. Un MTTP elevado, aun con tasas de cumplimiento aceptables, puede indicar la existencia de cuellos de botella en los procesos, más que de problemas de carga de trabajo.
El seguimiento de estos indicadores en comparación con los valores de referencia a lo largo del tiempo convierte la gestión del programa de SecOps de un ejercicio cualitativo en uno basado en datos. El Marco de Ciberseguridad 2.0 del NIST ofrece un enfoque estructurado muy utilizado para organizar los resultados de seguridad a lo largo de todo el ciclo de vida (gobernanza, identificación, protección, detección, respuesta y recuperación), y constituye una referencia útil para los equipos que están creando o perfeccionando un programa de medición de SecOps.
Buenas prácticas de SecOps
La creación de un programa de SecOps eficaz no consiste tanto en implementar las herramientas adecuadas como en cómo esas herramientas, procesos y personas trabajan en conjunto. Las siguientes prácticas reflejan lo que distingue a los programas de SecOps que funcionan bien bajo presión de aquellos que solo quedan bien sobre el papel.
Centraliza la visibilidad antes de optimizar la detección
La carencia más habitual en los programas de SecOps en fase inicial es una cobertura incompleta. Si no se implementa un EDR en todos los terminales, si la actividad de las aplicaciones en la nube no se transmite al SIEM o si no se supervisa el tráfico de red, esos puntos ciegos se convierten en las vías más fáciles para los atacantes. Primero la cobertura, luego la optimización.
Documenta los procedimientos de respuesta antes de que los necesites
La respuesta a incidentes bajo presión resulta caótica cuando depende del criterio individual y de una coordinación improvisada. Contar con procedimientos documentados para los tipos de incidentes más comunes (ransomware, phishing, robo de credenciales, filtración de datos) garantiza una ejecución coherente, independientemente de quién esté de guardia cuando se produzca un incidente.
Integre sus herramientas
: un EDR, un SIEM y un MDR que funcionen como productos independientes generan trabajo duplicado y una respuesta más lenta que si las mismas herramientas compartieran datos y contexto. Cuando la telemetría de los puntos finales se transmite automáticamente al SIEM para su correlación, y los analistas de MDR tienen visibilidad de ambos, el programa funciona como un sistema en lugar de como un conjunto de partes.
Considere la gestión de vulnerabilidades como un proceso continuo
Las organizaciones que realizan análisis de vulnerabilidades trimestrales evalúan una instantánea de su situación de riesgo. Las organizaciones que realizan análisis de forma continua y hacen un seguimiento de los acuerdos de nivel de servicio (SLA) para la corrección gestionan esa situación en tiempo real. La diferencia en cuanto a la exposición entre estos dos enfoques es significativa, especialmente en entornos en los que se implementan con frecuencia nuevos activos y aplicaciones.
Planificar la escalabilidad desde el principio
Para los MSP, los programas de operaciones de seguridad (SecOps) diseñados para adaptarse a toda la cartera de clientes desde el primer día son mucho más sostenibles que aquellos basados en configuraciones específicas para cada cliente. El uso de herramientas estandarizadas, la lógica de detección compartida, la visibilidad centralizada de todos los clientes y los procedimientos de escalado documentados permiten ofrecer una cobertura de operaciones de seguridad coherente a medida que crece la cartera de clientes, sin necesidad de aumentar proporcionalmente la plantilla.
Cómo Kaseya optimiza las operaciones de seguridad
La gama de soluciones de seguridad de Kaseya se adapta perfectamente a las funciones básicas de un programa de operaciones de seguridad (SecOps), lo que proporciona a los proveedores de servicios gestionados (MSP) y a los equipos de TI las herramientas necesarias para supervisar, detectar, responder y generar informes sin necesidad de recurrir a un conjunto fragmentado de productos inconexos.
Datto EDR se encarga de la supervisión y la detección en los terminales. La supervisión del comportamiento se lleva a cabo de forma continua en dispositivos Windows, macOS y Linux, y cada detección se asocia al marco MITRE ATT&CK para proporcionar un contexto inmediato. Más de 65 acciones de respuesta automatizadas se encargan de la contención sin necesidad de esperar a la revisión de un analista, y la función de reversión de ransomware ofrece una opción de recuperación cuando se detecta actividad de cifrado. La integración con Datto RMM y Kaseya VSA mantiene la seguridad de los terminales dentro del mismo flujo de trabajo de gestión que ya utilizan los MSP.
Kaseya MDR ofrece el equipo de analistas gestionado que la mayoría de las pymes y los MSP no pueden permitirse mantener internamente de forma rentable. Un equipo de analistas con sede en EE. UU. supervisa los entornos las 24 horas del día, y la correlación basada en inteligencia artificial reduce el ruido de las alertas para que los analistas puedan dedicar su tiempo a las amenazas reales. La cobertura abarca los dispositivos finales, Microsoft 365 y los cortafuegos. Para los MSP, Kaseya MDR es la vía más práctica para ofrecer cobertura de operaciones de seguridad (SecOps) las 24 horas del día, los 7 días de la semana, a toda su base de clientes sin tener que crear un SOC dedicado desde cero.
Kaseya SIEM gestiona la correlación entre entornos y la gestión de registros, recopilando datos de telemetría de los terminales y las aplicaciones SaaS en un único panel de control con más de 60 conectores nativos y una retención de registros de 400 días. Funciona en combinación con Kaseya MDR, en lugar de sustituirlo, encargándose de la agregación de registros, la elaboración de informes de cumplimiento normativo y la investigación de incidencias históricas, mientras que MDR se ocupa de la detección y la respuesta en tiempo real. Para los equipos que estén comparando enfoques, nuestro análisis comparativo entre MDR y SIEM explica dónde encaja cada uno y cómo se complementan entre sí.
En conjunto, estas herramientas abarcan todo el ciclo de vida de las operaciones de seguridad (SecOps). La supervisión y detección continuas a través de Datto EDR y Kaseya SIEM, la respuesta gestionada mediante Kaseya MDR y la visibilidad integrada que hace que cada función sea más eficaz de lo que sería si funcionara por separado. Para los equipos que desarrollan un programa de SecOps con un presupuesto realista, es precisamente en esa integración donde reside el valor práctico.
