¿Qué es un SOC en ciberseguridad?
Un SOC es la función que convierte datos de seguridad en decisiones. Recibe eventos y alertas de las herramientas de la organización, decide cuáles merecen atención, investiga las que pueden ser un ataque y coordina la respuesta. Puede ser una sala con pantallas o un equipo distribuido en remoto. En ambos casos, lo que importa es si detecta y contiene los ataques a tiempo.
Su valor se nota en quién detecta primero. Según el informe M-Trends 2026 de Mandiant (Google Cloud), en el 52 % de las intrusiones que investigó en 2025 fue la propia organización la que detectó primero la actividad maliciosa, frente al 43 % del año anterior. En el resto, la organización se enteró por una fuente externa.
¿Qué funciones tiene un SOC?
- Monitorización: recoger y vigilar eventos de endpoints, red, correo, identidad, cloud y aplicaciones, de día y de noche.
- Triaje de alertas: decidir si una alerta es un falso positivo, una actividad legítima o algo que hay que investigar, y con qué prioridad.
- Investigación: reconstruir qué ha pasado, qué equipos y cuentas están implicados y desde cuándo.
- Respuesta y contención: aislar equipos, bloquear cuentas, cortar comunicaciones y coordinar la recuperación con el equipo de IT.
- Ingeniería de detección: escribir, probar y ajustar las reglas que generan las alertas para que detecten técnicas reales con el menor ruido posible.
- Threat hunting: buscar de forma proactiva actividad que no ha disparado ninguna alerta, partiendo de hipótesis.
- Inteligencia de amenazas: incorporar IOCs, campañas y técnicas de los actores que atacan a tu sector y a tu país.
- Mejora continua: revisar cada incidente, medir tiempos como el MTTD y el MTTR y corregir los fallos del proceso.
¿Qué hace cada nivel de analista en un SOC?
La estructura clásica reparte el trabajo en tres niveles con escalado progresivo. Los nombres cambian entre organizaciones, pero la lógica es la misma: cuanto más arriba, más complejo es el caso y más experiencia hace falta.
| Nivel | Función principal | Qué hace en el día a día |
|---|---|---|
| Nivel 1 (N1) | Triaje | Revisa la cola de alertas, descarta falsos positivos, recoge el contexto básico y escala lo que parece real. |
| Nivel 2 (N2) | Investigación y respuesta | Analiza a fondo los casos escalados, determina el alcance, ejecuta la contención y propone la remediación. |
| Nivel 3 (N3) | Experto | Lleva los incidentes complejos, hace análisis forense y de malware, busca amenazas y mejora las detecciones. |
| Responsable del SOC | Gestión | Organiza turnos y procedimientos, mide el rendimiento y explica el riesgo a la dirección. |
Además de estos niveles, muchos SOC tienen perfiles especializados: ingenieros de detección, analistas de inteligencia de amenazas y threat hunters. En equipos pequeños, una misma persona cubre varios papeles.
¿Qué herramientas usa un SOC?
Cada herramienta cubre una parte del ciclo. El resultado depende de cómo se combinan y de quién las opera.
| Herramienta | Para qué sirve | Limitación habitual |
|---|---|---|
| SIEM | Centraliza y correlaciona logs de muchas fuentes, guarda el histórico y genera alertas a partir de reglas. | Genera mucho ruido si las reglas no se mantienen, y su coste suele crecer con el volumen de datos. |
| EDR / XDR | Registra la actividad de procesos, ficheros y conexiones en los equipos y permite aislarlos. El XDR amplía la correlación a correo, identidad, red o cloud. | El EDR solo ve el equipo donde está instalado; el XDR depende de las fuentes que conectes. |
| SOAR | Orquesta y automatiza tareas repetitivas con playbooks: enriquecer una alerta, abrir un ticket, bloquear un indicador. | Los playbooks son deterministas: hacen lo que se programó y fallan ante casos que nadie previó. |
| NDR | Analiza el tráfico de red para detectar movimiento lateral, exfiltración o comunicaciones con servidores de mando y control. | El cifrado limita lo que ve del contenido. |
| Inteligencia de amenazas | Aporta IOCs, actores, campañas y técnicas para enriquecer y priorizar alertas. | Sin contexto ni caducidad, los IOCs generan falsos positivos. |
| Ticketing | Registra cada caso, su responsable y su estado para que nada se pierda entre turnos. | Añade espera si cada escalado depende de un ticket manual. |
¿Qué tipos de SOC existen?
- SOC interno: personal, herramientas y procesos propios. Máximo control y conocimiento del negocio, a cambio de un coste alto y de la dificultad de cubrir turnos 24/7.
- SOC externalizado (SOC as a service o MDR): un proveedor vigila y responde sobre tu entorno. Te da cobertura continua sin montar turnos propios, pero exige definir bien qué puede hacer el proveedor y con qué datos.
- SOC híbrido: tu equipo lleva lo que mejor conoce (arquitectura, decisiones de negocio, remediación) y un proveedor cubre la vigilancia continua, las noches y los fines de semana.
- SOC cogestionado: variante del híbrido en la que ambos equipos trabajan sobre las mismas herramientas y comparten la cola de casos.
Si estás decidiendo entre montar uno propio o contratarlo, en la guía sobre SOC interno o externalizado comparamos coste, cobertura, talento y control.
¿Por qué el modelo de SOC tradicional tiene cuellos de botella?
El modelo clásico nació cuando había menos fuentes y menos alertas. Hoy sus límites aparecen en cuatro puntos.
- Volumen de alertas: cada herramienta nueva añade su propia cola. El N1 dedica gran parte del turno a descartar falsos positivos y las alertas de prioridad media se quedan sin revisar.
- Triaje manual y repetitivo: para cada alerta, el analista consulta la reputación de una IP, quién es el usuario, qué papel tiene el equipo y si hubo actividad parecida. Son minutos que se multiplican por cientos de alertas.
- Escalados lentos: cada salto de N1 a N2 y de N2 a N3 pasa por un ticket y por alguien disponible. De noche y en fin de semana esa espera crece, y los atacantes lo aprovechan.
- Rotación y conocimiento en personas: el trabajo de N1 desgasta, la rotación es alta y el criterio para decidir se va con quien se marcha.
Estos cuellos de botella explican la automatización en el SOC: primero con SOAR y ahora con agentes de IA que hacen el triaje y el enriquecimiento y dejan al analista las decisiones. Lo explicamos en la guía sobre qué es un SOC agéntico.
¿Cómo se mide si un SOC funciona?
Las métricas más usadas son el tiempo medio de detección (MTTD), de reconocimiento (MTTA), de contención (MTTC) y de respuesta (MTTR). Súmales la cobertura (qué fuentes y qué técnicas de MITRE ATT&CK detectas de verdad) y la calidad: porcentaje de falsos positivos y proporción de incidentes que detecta el propio SOC frente a los que llegan por aviso externo. Un SOC que cierra rápido alertas irrelevantes y no ve lo importante puede tener un buen MTTR y fallar igualmente.
Cómo te ayuda Ciberia
Ciberia MDR te da un SOC operativo a cualquier hora sobre las herramientas que ya tienes, con el servicio gestionado incluido. Se integra con más de 600 fuentes (EDR/XDR, SIEM, firewall, correo, identidad, cloud y ticketing) y no sustituye tu EDR ni tu SIEM. Funciona con IA soberana: sus agentes, de arquitectura y desarrollo propios, investigan cada alerta en segundos y automatizan alrededor del 90 % del triaje, y un analista valida las decisiones con impacto. Para alertas críticas, el SLA contractual es de 15 minutos desde la alerta hasta la contención inicial.
