SOC y Operaciones de Seguridad
SOC como control financiero: cuantifica la intrusión
Un SOC como control financiero cambia la conversación en cualquier comité de dirección. Durante años el mercado presentó el centro de operaciones de seguridad como una garantía técnica, y medimos lo que resultaba fácil medir: alertas cerradas, tiempo de detección, cobertura de turnos. Sin embargo, la pregunta del director financiero seguía sin respuesta.
La pregunta era simple: cuánto perdemos si esto falla y cuánto evitamos gastando aquí. Casi nadie la contestaba con números. Por eso, cuando un incidente llegaba a la primera plana, la discusión se volvía emocional. Y cuando la discusión es emocional, el presupuesto se decide por miedo y no por criterio.
Defiendo una postura incómoda: el SOC debe rendir cuentas como un control financiero, no como una sala de monitoreo. Eso obliga a cambiar las métricas que pedimos a los equipos internos y a los proveedores. También obliga a aceptar algo que incomoda: hay incidentes que cuesta más contener que asumir.
SOC como control financiero: la tesis
La tesis es directa. Si una intrusión tiene un coste, la capacidad de detectarla y contenerla tiene un valor medible. Por lo tanto, el SOC como control financiero deja de ser una metáfora y se convierte en una disciplina de gestión. No se trata de poner precio a cada alerta, sino de acotar la exposición con la misma lógica con la que se acota el riesgo de crédito.
Un control financiero tiene cuatro atributos: dueño, tolerancia, evidencia y consecuencia. Si el SOC no reúne los cuatro, es monitoreo disfrazado de gobernanza. En la práctica, casi ningún programa que reviso los tiene completos. Suele faltar la consecuencia, que es justamente lo que convierte una métrica en una decisión.
Como mayorista de ciberseguridad veo esta distancia a diario en las conversaciones con partners. Cuando el cliente compra herramientas, pregunta por funciones. Cuando compra control, pregunta por exposición. Son dos compras distintas, aunque el proveedor sea el mismo y la factura se parezca.
Cambiar el marco implica revisar cuatro cosas:
- Quién firma la tolerancia al riesgo de cada proceso crítico.
- Qué evidencia se conserva cuando una detección se valida.
- Cuánto cuesta una hora de interrupción en cada proceso.
- Qué decisión se toma cuando contener cuesta más que asumir.
NIST ya reconoce esa lógica en la versión 2.0 de su marco, que incorpora la función Govern y coloca la estrategia de ciberseguridad al mismo nivel que la gestión de riesgo organizacional. Puedes revisar el marco NIST Cybersecurity Framework y comprobar que el enfoque es de gobernanza, no de herramienta.
Por qué importa ahora y no hace tres años
Tres presiones convergen al mismo tiempo. La primera es regulatoria: en Iberia, la directiva NIS2 y el reglamento DORA trasladan la responsabilidad de la gestión del riesgo cibernético a la alta dirección. La segunda es contractual: aseguradoras y clientes grandes piden evidencia de control, no promesas de intención.
La tercera es económica. El coste de la interrupción subió porque la operación depende de más sistemas conectados que hace una década. Un ERP caído hoy no detiene una facturación; detiene la planta, la logística y el cobro al mismo tiempo. Esa simultaneidad es nueva y explica buena parte de la urgencia.
Por eso el SOC como control financiero dejó de ser un ejercicio académico. Cuando el regulador pregunta quién aprobó la tolerancia al riesgo de un proceso, la respuesta ya no puede ser el proveedor de turno. Y cuando el seguro pregunta qué control existía, la respuesta tampoco puede ser una captura de pantalla.
Además, la presión regulatoria sobre el SOC ya se discute abiertamente en el Ciberblog de My IT Channel, con análisis que bajan estas exigencias al terreno operativo del partner. No es teoría: es lo que aparece en las licitaciones que se ganan y se pierden.
Qué cuesta de verdad una intrusión
No voy a publicar aquí cifras de informes que no puedo verificar. Prefiero algo más útil: una estructura de coste que cada organización puede llenar con sus propios números. Esa estructura se sostiene en cinco capas y todas se pueden auditar con evidencia interna.
- Contención y respuesta: horas de especialistas, forense, asesoría legal y comunicación.
- Interrupción: facturación perdida, producción detenida y penalizaciones por SLA.
- Recuperación: reconstrucción de sistemas, restauración de datos y refuerzo posterior.
- Regulatorio y legal: notificaciones obligatorias, sanciones y litigios.
- Diferido: prima de seguro, renovaciones perdidas y licitaciones excluidas.
La última capa es la que más pesa y la que menos se mide. Un cliente que no renueva por desconfianza no aparece en el informe del incidente. Tampoco aparece la licitación que se perdió porque el cuestionario de seguridad salió en ámbar. Sin embargo, ambas cosas salen del mismo presupuesto.
Aquí conviene un matiz de opinión. Muchas compañías compran detección para evitar la noticia y no para evitar la pérdida. Es una decisión legítima, aunque cara. Si el objetivo real es reputacional, el presupuesto debería ir a continuidad y comunicación, no solo a sensores. El SOC como control financiero obliga a declarar cuál de los dos objetivos se está comprando.
Cómo traducir señales técnicas a euros
El método tiene cuatro pasos y no requiere un modelo financiero complejo. Requiere, eso sí, sentarse con quien conoce el proceso de negocio. Sin esa conversación, cualquier cifra es decoración.
- Identificar el proceso crítico expuesto y su dueño real.
- Estimar la ventana de interrupción tolerable antes del daño irreversible.
- Asignar un valor por hora de indisponibilidad, validado por finanzas.
- Cruzar la probabilidad estimada con el impacto para obtener exposición.
El paso tres es el que genera resistencia. Los equipos técnicos rara vez tienen acceso al valor por hora de un proceso. Los dueños de negocio rara vez entienden qué es un activo expuesto. El SOC como control financiero vive justamente en esa frontera, y por eso necesita un traductor.
En la práctica, el traductor suele ser el CISO con apoyo del área financiera. Cuando esa dupla funciona, las decisiones dejan de discutirse por simpatía hacia la herramienta y empiezan a discutirse por exposición. Ese cambio de lenguaje reduce el ruido en las reuniones y acelera las aprobaciones.
Tres capas de coste que casi nadie suma
Primero, el coste directo: personas, tecnología y horas. Se factura y se ve. Segundo, el coste de oportunidad: el equipo que durante tres semanas no entregó el proyecto que sí generaba ingreso. Tercero, el coste de confianza: el tiempo comercial que se pierde respondiendo cuestionarios y tranquilizando clientes.
Sumar las tres capas cambia la conversación. Además, explica por qué un incidente pequeño puede costar más que uno grande. No depende del volumen de datos comprometidos, sino de qué proceso tocó y en qué momento del ciclo comercial apareció. Un SOC como control financiero mide eso y no el titular.
El error de medir solo el tiempo de respuesta
El tiempo medio de detección es una métrica honesta, pero incompleta. Sin alcance, sin contexto de activo y sin validación, describe la velocidad de una alerta y no la protección de un proceso. Un SOC rapidísimo sobre activos irrelevantes no reduce exposición.
El marco MITRE ATT&CK ayuda a ordenar esa conversación porque describe el comportamiento del adversario en tácticas y técnicas concretas. Cuando el SOC mapea sus detecciones a ese marco, puede responder qué técnicas cubre y cuáles no. Esa respuesta sí tiene valor financiero, porque indica qué parte de la cadena de intrusión está bajo control.
Dicho eso, el mapeo se convierte en papelería si nadie lo usa para priorizar. He visto matrices muy completas que no cambiaron una sola decisión de compra. La pregunta correcta no es cuántas técnicas cubrimos, sino cuáles de las que importan para nuestro negocio seguimos sin ver.
Por otro lado, conviene mirar el panorama de amenazas sin convertirlo en espectáculo. El Threat Landscape de ENISA ofrece una lectura institucional útil para argumentar ante comité. El SOC como control financiero usa esas fuentes para contextualizar, nunca para justificar una compra por miedo.
SOC como control financiero en la operación
Bajar la tesis a la operación diaria requiere tres cambios concretos. El primero es la priorización por impacto: dos alertas con la misma severidad técnica no merecen la misma cola si una toca facturación y la otra un portátil de pruebas.
El segundo es el playbook con dueño de negocio. Cada escenario de contención debería indicar a quién se avisa, quién decide y cuánto se tolera antes de escalar. El tercero es la evidencia: registrar por qué se decidió contener o no contener. Sin ese registro, el SOC como control financiero no tiene auditoría posible.
Estos tres cambios rara vez requieren inversión adicional. Requieren acuerdos internos y cierta incomodidad política, porque sacan la decisión de la sala técnica y la llevan a donde está el presupuesto. En mi experiencia, ese traslado es la parte que más tarda en un programa de madurez.
Tablero de SOC como control financiero
- Exposición residual por proceso crítico, expresada en moneda.
- Porcentaje de activos críticos con detección validada en 90 días.
- Tiempo de contención efectiva en los procesos críticos.
- Incidentes cuyo coste estimado superó la tolerancia definida.
- Cobertura de técnicas adversarias relevantes para el negocio.
- Coste del servicio frente a la exposición evitada.
Seis líneas bastan para una reunión de treinta minutos. Más indicadores suelen producir menos decisiones, porque nadie discute lo que no entiende. Además, un tablero largo se convierte en un ritual mensual sin consecuencias.
Métricas que un director financiero entiende
El director financiero no necesita saber qué es un EDR. Necesita saber cuánto se expone y cuánto cuesta reducir esa exposición. Por eso conviene expresar el desempeño del SOC en lenguaje de control y no en lenguaje de herramienta.
Un ejemplo de formato, con cifras inventadas solo para ilustrar: en lugar de reportar 4.000 alertas cerradas, reportar que el 92 % de los activos que soportan los tres procesos críticos tiene detección validada y que la contención en facturación bajó de seis horas a cuarenta minutos. La segunda frase se discute; la primera se archiva.
Otro criterio útil es el coste por hora protegida. Se calcula dividiendo el coste anual del servicio entre las horas de operación de los procesos cubiertos. No es una métrica perfecta. Sin embargo, permite comparar alternativas y discutir con números en lugar de con adjetivos.
El SOC como control financiero también admite una lectura inversa. Si el coste por hora protegida es alto y la exposición es baja, quizá el problema no sea el proveedor sino el alcance. Reducir alcance puede mejorar el ratio sin empeorar el riesgo real.
Un escenario hipotético con números
Aclaro antes de seguir: lo que viene es un escenario construido para mostrar el método. No es un caso real de cliente ni una cifra de mercado.
Distribución minorista en España, 900 empleados, de 6 horas de interrupción en el proceso de pedidos a 40 minutos. Supongamos un valor de 18.000 euros por hora de pedidos detenidos. La reducción de 5 horas y 20 minutos equivale a unos 96.000 euros por incidente evitado en esa sola capa.
Si el escenario se repite dos veces al año, la cifra supera los 190.000 euros. Ahora compárese con el coste anual del servicio de detección y respuesta. Si ese coste es menor, la decisión está tomada. Si es mayor, la conversación cambia de alcance, no de opinión.
El ejercicio tiene una trampa que conviene declarar. La probabilidad anual de incidente es una estimación, y las estimaciones se manipulan con facilidad. Por eso recomiendo usar rangos y no cifras únicas, y revisar el supuesto cada trimestre. El SOC como control financiero convierte ese supuesto en rutina y no en excepción.
El papel del mayorista de ciberseguridad
Un mayorista de ciberseguridad no opera el SOC del cliente ni asume su riesgo. Provee expertise: criterio técnico, comparación entre alternativas y acompañamiento en el diseño. Esa posición permite ver patrones entre decenas de proyectos y detectar dónde se repite el mismo error de medición.
También permite algo menos vistoso y más útil: decir cuándo una inversión no se justifica. He recomendado más de una vez reducir alcance en lugar de ampliar licencias. Un SOC como control financiero que nadie puede sostener en el tiempo termina siendo un gasto con buena presentación.
Hemos tratado el SOC como control financiero en varias entradas del Ciberblog, precisamente porque es donde el partner encuentra el argumento que el cliente no recibe de un fabricante. El mayorista aporta el marco de medición; el partner aporta la relación con el negocio.
Esa división importa. Sin marco, el cliente compra herramientas y sigue sin saber cuánto se expone. Con marco, la conversación se mueve hacia el proceso crítico y hacia la tolerancia que el comité está dispuesto a firmar.
Implicaciones prácticas para el próximo trimestre
Si tuviera que elegir tres acciones para los próximos noventa días, serían estas.
- Nombrar dueño de negocio para los tres procesos más expuestos.
- Calcular el valor por hora de indisponibilidad con el área financiera.
- Fijar una tolerancia de interrupción y llevarla por escrito al comité.
Después viene la parte incómoda: ajustar el servicio a esa tolerancia y no al revés. En la práctica, muchas organizaciones descubren que pagan detección avanzada para procesos que toleran ocho horas de caída. Y descubren también que el proceso que tolera veinte minutos no tiene cobertura adecuada.
Ahí es donde un mayorista de ciberseguridad aporta más valor que en la comparativa de precios. La conversación sobre exposición residual ordena la compra mejor que cualquier matriz de funciones. Además, permite justificar decisiones ante auditoría con evidencia y no con narrativa.
También conviene revisar el contrato del proveedor con la misma lente. Si el acuerdo mide alertas y no contención, el incentivo está mal puesto. El SOC como control financiero exige que la penalización o el bono dependan del resultado en el proceso crítico, no del volumen de tickets.
Si el objetivo es llevar esta conversación a un comité este trimestre, Habla con un Especialista y empecemos por el proceso, no por la herramienta.
Predicción y pregunta para el debate
Predicción: en los próximos dieciocho meses, los comités de riesgo pedirán exposición residual expresada en moneda, y los proveedores que no sepan responder perderán renovaciones. No será por moda regulatoria. Será porque el seguro y el contrato grande ya lo están exigiendo.
La pregunta para el debate es directa: ¿tu SOC puede decir hoy cuánto costaría una hora de caída en el proceso que más ingresos genera? Si la respuesta es no, el problema no es tecnológico. Cuando el SOC como control financiero sea la norma, esa pregunta dejará de incomodar y pasará a ser la primera del orden del día.
¿Cómo medir el retorno de un SOC en términos financieros?
Se mide con exposición residual, no con alertas. Identifica los procesos críticos, asigna un valor por hora de interrupción, fija una tolerancia y calcula cuánto reduce el SOC esa exposición. La comparación entre coste del servicio y pérdida evitada convierte la conversación técnica en una decisión financiera auditable.
My IT Channel
Suscríbete al Ciberblog
Recibe análisis técnicos, tendencias y recomendaciones de ciberseguridad directamente en tu correo.
