SOC 24/7 explicado: qué vigila realmente un centro de operaciones de seguridad

Qué es, en términos concretos

Un SOC —Centro de Operaciones de Seguridad— es la combinación de personas, procesos y tecnología dedicada a vigilar de forma continua la actividad de una infraestructura, con el objetivo de detectar y responder a incidentes lo antes posible. No es un producto que se instala: es una función operativa que se sostiene en el tiempo, día y noche, festivos incluidos.

La pregunta que de verdad importa no es "¿tenemos un SOC?", sino "¿cuánto tiempo pasa entre que algo sospechoso ocurre y que alguien lo revisa?". A esa ventana de tiempo se le llama tiempo de detección, y es, con diferencia, el factor que más influye en si un incidente se queda en un susto o se convierte en una crisis.

Por qué un antivirus no es lo mismo

Un antivirus o un endpoint protegido toma decisiones automáticas y locales: bloquea lo que reconoce como malicioso según sus reglas y firmas. Eso es necesario, pero no suficiente. Muchas señales de un ataque en curso —un usuario iniciando sesión a las 3 de la madrugada desde un país donde la empresa no opera, una cuenta de servicio accediendo de repente a decenas de carpetas que nunca toca, un pico de tráfico saliente fuera de horario— no son "un virus". Son comportamientos que solo cobran sentido cuando alguien —o algo con contexto suficiente— los correlaciona y los interpreta.

Esa correlación es precisamente el trabajo del SOC: cruzar eventos de distintas fuentes —endpoints, firewall, DNS, identidad— para distinguir una anomalía real de un falso positivo, y decidir cuándo una alerta merece intervención humana inmediata.

Qué hace un SOC en un día normal

• Monitorización continua de las alertas generadas por las distintas capas de protección.
• Triaje: clasificar cada alerta según su severidad real, descartando falsos positivos sin perder de vista lo relevante.
• Investigación de las alertas que sí ameritan revisión: qué usuario, qué equipo, qué proceso, qué conexión.
• Contención activa cuando se confirma actividad maliciosa: aislar un equipo de la red, bloquear una cuenta, cortar una conexión, sin esperar a que alguien lo autorice manualmente si el riesgo es alto.
• Documentación de cada incidente, para que el informe mensual refleje lo ocurrido con datos, no con sensaciones.

Por qué el horario importa tanto como la tecnología

Muchos ataques se lanzan deliberadamente fuera de horario laboral —de madrugada, en fin de semana, durante un puente— precisamente porque saben que la vigilancia humana suele relajarse en esas franjas. Un SOC que solo opera en horario de oficina deja sin cubrir buena parte de las horas en las que un atacante decide actuar. La cobertura 24/7 no es un lujo: es una respuesta directa a cómo se comportan realmente los atacantes.

Preguntas que conviene hacer antes de contratar un SOC

• ¿La cobertura es realmente 24/7/365, o "24/7 en horario laboral ampliado"?
• ¿Qué tiempo medio de respuesta se compromete ante una alerta crítica?
• ¿Puede actuar de forma autónoma —aislar un equipo, bloquear una cuenta— o solo notifica y espera instrucciones?
• ¿El informe periódico incluye datos concretos —amenazas bloqueadas, tiempo de respuesta, vulnerabilidades pendientes— o es un resumen genérico?