¿Qué diferencia hay entre un SOC interno y uno externalizado?
En un SOC interno, tu empresa contrata a los analistas, compra y mantiene las herramientas y escribe los procedimientos. En un SOC externalizado, un proveedor aporta el equipo y los procesos y trabaja sobre tu entorno. Entre ambos está el modelo híbrido, en el que tu equipo conserva parte de la operación.
Los nombres comerciales se mezclan: SOC as a service (SOCaaS), SOC gestionado y MDR (Managed Detection and Response) se usan a menudo como sinónimos. Fíjate en lo que incluye cada servicio: si solo te avisa o también contiene la amenaza, sobre qué fuentes trabaja y quién toma cada decisión.
SOC interno vs externalizado: comparativa
| Criterio | SOC interno | SOC externalizado (SOCaaS / MDR) | Híbrido |
|---|---|---|---|
| Estructura de coste | Salarios, formación, licencias, infraestructura y mantenimiento. Coste fijo alto aunque haya pocos incidentes. | Cuota de servicio, normalmente ligada al número de equipos, usuarios o fuentes. Más previsible. | Equipo interno reducido más la cuota del servicio. |
| Cobertura 24/7 | Exige turnos rotativos: unas cinco personas por cada puesto que quieras tener ocupado siempre. | Incluida si el contrato lo especifica. Comprueba que la respuesta, además de la vigilancia, sea 24/7. | El proveedor cubre noches, fines de semana y picos; tu equipo, el horario laboral. |
| Talento | Tienes que contratar, formar y retener analistas en un mercado con pocos perfiles disponibles. | El proveedor asume la contratación y la formación. | Necesitas menos perfiles internos, pero más especializados. |
| Puesta en marcha | Larga: contratar, desplegar herramientas, escribir casos de uso y procedimientos antes de detectar con fiabilidad. | Más corta: los procesos ya existen y el plazo depende sobre todo de conectar tus fuentes. | Depende de qué parte asume cada equipo. |
| Control y contexto | Máximo. El equipo conoce tus sistemas, tus usuarios y tus prioridades de negocio. | Depende del contrato y de la información que compartas. El proveedor necesita tiempo para aprender tu entorno. | El contexto de negocio se queda dentro; la operación continua, fuera. |
| Visión de amenazas | Limitada a lo que ves en tu propia organización. | El proveedor ve campañas en muchos clientes y puede aplicar lo aprendido en todos. | Combina ambas visiones. |
| Datos | Los controlas tú, aunque si usas herramientas en la nube (EDR o SIEM en modo SaaS) también se procesan fuera. | El proveedor accede a tu telemetría. Pregunta dónde se procesa y quién la ve. | Según qué fuentes compartas. |
¿Por qué la cobertura 24/7 es el punto crítico?
Los atacantes eligen el momento en que nadie mira. Según el Active Adversary Report 2026 de Sophos, basado en 661 casos de respuesta a incidentes y MDR, el 88 % del ransomware se desplegó fuera del horario laboral de la víctima, y el 79 % de las acciones de exfiltración de datos también ocurrió fuera de horario.
Un SOC que trabaja de 9 a 18 de lunes a viernes deja sin vigilancia 123 de las 168 horas de la semana. Cubrirlas con personal propio tiene una aritmética sencilla: un año tiene 8.760 horas, y una persona a jornada completa (40 horas semanales) trabaja unas 1.800 al año una vez descontados vacaciones y festivos. Mantener un solo puesto ocupado día y noche requiere unas cinco personas, antes de contar bajas, formación y rotación. Y un turno de noche con un único analista es un punto único de fallo.
¿Cuándo conviene un SOC interno?
- Tienes un volumen de activos y de riesgo que justifica un equipo dedicado, y presupuesto para mantenerlo varios años.
- Puedes contratar y retener perfiles de N2 y N3, además de analistas de N1.
- Tus sistemas son muy específicos (entornos industriales, desarrollos propios) y el contexto pesa más que la escala.
- Hay datos que, por política interna o por contrato con tus clientes, no pueden salir de tu infraestructura. Consulta con tu asesoría jurídica las obligaciones que puedan aplicarte.
¿Cuándo conviene externalizar el SOC?
- No tienes equipo de seguridad, o es de una o dos personas que también llevan otras tareas.
- Necesitas cobertura 24/7 ya y no puedes esperar a contratar y formar a un equipo.
- Ya tienes herramientas (EDR, firewall, correo, identidad) pero nadie las vigila de forma continua.
- Quieres convertir un coste fijo e incierto en una cuota previsible.
¿Cómo funciona un SOC híbrido?
Encaja en empresas medianas y grandes que ya tienen algo de equipo propio. Un reparto típico: el proveedor vigila, hace el triaje y ejecuta la contención inicial 24/7; tu equipo conserva la arquitectura, la relación con el negocio, las decisiones de remediación y la caza de amenazas sobre sus propios sistemas.
Funciona si las responsabilidades están por escrito: quién puede aislar un servidor de producción a las 3 de la mañana, a quién se llama y en qué orden, y qué acciones ejecuta el proveedor sin esperar confirmación.
¿Qué preguntar antes de contratar un SOC externalizado o un MDR?
- ¿Qué incluye la respuesta? ¿Solo notificáis o también aisláis equipos, deshabilitáis cuentas y bloqueáis indicadores?
- ¿Cómo se mide el SLA? ¿Desde la alerta hasta la notificación, hasta el inicio de la investigación o hasta la contención?
- ¿Trabajáis sobre mis herramientas actuales o tengo que cambiar de EDR o de SIEM?
- ¿Qué fuentes cubrís: endpoint, red, correo, identidad, cloud?
- ¿Dónde se procesan mis datos, quién tiene acceso y qué pasa con ellos al terminar el contrato?
- ¿Usáis IA? ¿Es propia o de terceros? ¿Mi telemetría sale hacia servicios de otras empresas?
- ¿Qué queda registrado de cada acción y cómo puedo auditarlo?
Cómo te ayuda Ciberia
Ciberia MDR es un MDR agéntico que trabaja sobre la telemetría que ya tienes (endpoint, red, correo, identidad y cloud), con el servicio gestionado incluido. Se integra con más de 600 fuentes y no sustituye tu EDR ni tu SIEM. Sus agentes de IA, de arquitectura y desarrollo propios, investigan cada alerta en segundos y automatizan alrededor del 90 % del triaje; un analista valida las decisiones con impacto y cada acción automática queda trazada. Los datos se procesan en servidores ubicados en España, y el SLA contractual es de 15 minutos desde la alerta crítica hasta la contención inicial.
