SOC Modernización
SOCaaS sin SOC propio: cobertura 24/7 sin construirlo
Un SOCaaS sin SOC propio no es una contradicción. Es una decisión de arquitectura que muchas organizaciones ya tomaron, y la tomaron tarde. Lo he visto cerrarse en comités donde el equipo de seguridad llevaba meses pidiendo cobertura nocturna mientras el presupuesto se iba en licencias y en un SIEM que nadie miraba a las tres de la mañana.
Al final la pregunta cambió de forma. Ya no era cómo construimos un SOC, sino quién lo opera y con qué compromiso escrito. Esa es la conversación que voy a desmontar aquí.
El SOC interno que no llega de noche
Construir un SOC es fácil de explicar y difícil de sostener. Necesitas plataforma, fuentes de telemetría, casos de uso, runbooks y, sobre todo, personas despiertas. Y las personas son el cuello de botella real, no la herramienta.
Una regla de tres sencilla lo deja claro. Cubrir 24 horas al día, 7 días a la semana, con turnos de ocho horas, exige al menos cinco profesionales por rol operativo. Eso sin contar vacaciones, bajas y rotación. Por eso muchos equipos acaban haciendo lo contrario de lo que deberían: vigilancia pasiva durante el día y cero cobertura durante la noche.
Además, la rotación golpea justo donde más duele. Formas a un analista durante nueve meses y se va a un proveedor que le paga mejor por hacer lo mismo. En consecuencia, el conocimiento se reconstruye cada año y la madurez nunca despega.
Qué significa SOCaaS sin SOC propio
Un SOCaaS sin SOC propio consiste en contratar la operación de seguridad como servicio y no la infraestructura. El proveedor pone analistas, turnos, procesos y plataforma. Tu organización conserva la propiedad del riesgo y las decisiones de negocio.
La diferencia entre comprar herramientas y comprar operación explica por qué el SOCaaS sin SOC propio gana terreno en organizaciones de tamaño medio. Compras capacidad instalada de detección, no un proyecto de dos años.
En la práctica, un servicio de este tipo suele incluir:
- Ingesta y normalización de telemetría de endpoint, red, identidad y nube.
- Monitorización continua con turnos que cubren las 24 horas.
- Triaje, correlación y clasificación de severidad.
- Investigación de primer y segundo nivel con evidencias documentadas.
- Acciones de contención acordadas por contrato y escalado al cliente.
- Informes periódicos con métricas de detección y respuesta.
Dicho eso, conviene aclarar algo incómodo. Un SOCaaS no compra tu riesgo. Compra horas de atención experta. La responsabilidad de decidir qué se protege primero sigue en tu mesa y no se delega con la firma.
Cobertura 24/7 sin construir infraestructura
La cobertura real se demuestra en el traspaso, no en la diapositiva. Un buen servicio define qué pasa desde que se genera una alerta hasta que alguien con criterio la cierra. Ahí es donde se cae la mitad de las propuestas que veo.
Por eso insisto en tres piezas. La primera es el acuerdo de nivel de servicio con tiempos medibles de detección, triaje y notificación. La segunda es el runbook compartido, ese documento donde queda escrito qué puede hacer el proveedor sin preguntar y qué no.
La tercera es la trazabilidad. Si no puedes reconstruir la línea temporal de un incidente, no tienes un SOC: tienes una caja negra. La guía de respuesta a incidentes del NIST sigue siendo la referencia más útil para ordenar ese ciclo de vida, y su revisión más reciente empuja justo hacia ahí: preparación, comunicación y aprendizaje posterior.
Qué cubre un SOCaaS y qué no
El servicio cubre vigilancia, detección, triaje y respuesta coordinada. No cubre la estrategia de seguridad, la relación con el negocio ni la decisión de apagar un sistema crítico un viernes a las diez de la noche. Eso requiere alguien dentro que asuma el coste político de la decisión.
Por lo tanto, el diseño correcto es de co-gestión. El proveedor aporta músculo operativo y memoria de miles de incidentes. Tu equipo aporta contexto de negocio y autoridad. Cuando ese reparto está claro, el modelo funciona. Cuando no, aparecen las fricciones que todos conocemos.
SOCaaS sin SOC propio frente a MSSP y MDR
Aquí hay mucho ruido comercial y poca precisión. Los tres términos se solapan, aunque no significan lo mismo. Un MSSP gestiona un catálogo amplio de servicios: firewall, parcheo, backup, endpoint. Un MDR se centra en detección y respuesta sobre endpoint, red e identidad, con analistas detrás.
El SOCaaS sin SOC propio pone el acento en la operación del centro de operaciones: plataforma, procesos, turnos y métricas. Muchas veces incluye capacidades de MDR y hereda funciones del MSSP. Por eso la etiqueta importa menos que el contenido del contrato.
Mi consejo es no comprar la sigla. Compra el detalle. Pregunta cuántas fuentes de datos se ingieren por defecto, cuánto se retiene la telemetría, quién ejecuta la contención y cómo se mide el éxito. Las tres letras no responden nada de eso.
SOCaaS sin SOC propio: lo que no se delega
La gobernanza no se externaliza. Los umbrales de riesgo, la clasificación de activos críticos y la comunicación a dirección siguen siendo internos. También la relación con el regulador y la decisión sobre qué datos pueden salir de tu jurisdicción.
Asimismo, la caza de amenazas con contexto propio merece un lugar en casa. El proveedor conoce técnicas genéricas; tu equipo conoce al adversario que ya te ha atacado antes. Ese conocimiento no viaja bien en un traspaso de servicio.
Para mapear ese adversario, las tácticas y técnicas de MITRE ATT&CK ofrecen un lenguaje común entre ambas partes. Cuando el proveedor reporta usando esa nomenclatura, las conversaciones dejan de ser opiniones y pasan a ser comparaciones.
El coste real de montar un SOC propio
No voy a dar cifras concretas porque varían por país y por escala, y porque las cifras inventadas envejecen mal. Sí puedo describir la estructura del coste, que casi nadie calcula completa antes de empezar.
Están las licencias: SIEM, EDR, orquestación, inteligencia de amenazas y almacenamiento. Están las integraciones, que consumen más horas de ingeniería de lo previsto. Y está el capítulo que se lleva la mayor parte: el equipo humano, con formación continua y planes de carrera.
Además, un SOC propio obliga a mantener actualizados los casos de uso. Sin esa revisión constante, el sistema acumula reglas heredadas y genera ruido. El resultado es conocido: analistas cerrando alertas sin investigar y una sensación falsa de control.
La factura invisible del turno nocturno
El turno de noche es caro aunque no aparezca en la factura. Afecta la salud del equipo, reduce la calidad del análisis y dispara la rotación. Y cuando alguien se va, se lleva el contexto que no estaba documentado.
Por eso, cuando un cliente me plantea construir su propio SOC con tres analistas, le hago siempre la misma pregunta: qué pasa el día que dos de ellos coinciden de baja. Si la respuesta es improvisar, el modelo no está listo para producción.
Cinco criterios para evaluar un SOCaaS
Estos son los filtros que aplico cuando acompaño una decisión de compra. No son los únicos, pero descartan rápido las propuestas débiles y ahorran semanas de reuniones.
- Acuerdo de nivel de servicio medible. Tiempos de detección, triaje y notificación con reporte mensual. Si el SLA no se puede auditar, no existe.
- Transparencia de la telemetría. Qué fuentes se ingieren, con qué retención y con qué posibilidad de exportar los datos al terminar el contrato.
- Modelo de escalado humano. Nombres, horarios y canal directo. Un formulario web no es escalado.
- Integración con tu stack actual. El proveedor debe adaptarse a tu entorno, no al revés. La migración forzada de herramientas es una señal de alarma.
- Residencia del dato y encaje regulatorio. Dónde se procesa la información y qué obligaciones aplican a tu sector.
Sin embargo, el criterio que casi nunca aparece en las matrices de evaluación es la calidad del handoff. Pregunta quién te llamará a las dos de la mañana y con qué nivel técnico. Ahí se decide si el servicio te ayuda o te traslada el problema con más latencia.
Soberanía del dato y residencia del SOCaaS
La ubicación del dato dejó de ser un detalle legal para convertirse en un requisito de diseño. En Europa, la directiva NIS2 obliga a las entidades esenciales e importantes a gestionar el riesgo de sus proveedores con criterios explícitos. No basta con confiar: hay que documentar.
En el sector financiero, el reglamento DORA, aplicable desde enero de 2025, añade exigencias sobre registro de acuerdos con terceros y pruebas de resiliencia. Por eso, un SOCaaS que no responde con claridad a las preguntas de residencia se descarta solo.
Del otro lado del Atlántico el debate es distinto, aunque converge. Los requisitos de notificación y los marcos locales empujan a revisar dónde se almacena la evidencia. Los informes de paisaje de amenazas de ENISA son un buen punto de partida para justificar decisiones ante un comité, porque aportan contexto y no promesas comerciales.
Señales de que necesitas cobertura 24/7
No todas las organizaciones necesitan lo mismo, y lo digo en contra de mi propio interés comercial. Sin embargo, hay síntomas que se repiten y que conviene reconocer a tiempo.
- Las alertas se acumulan durante el fin de semana y se revisan el lunes.
- Nadie tiene turnos definidos, solo disponibilidad informal.
- El equipo dedica más del 60% del tiempo a apagar incendios y no a prevención.
- La dirección pregunta por el impacto de un incidente y no hay respuesta con datos.
Si te reconoces en dos de estas señales, el problema ya no es tecnológico. Es de modelo operativo, y comprar otra herramienta no lo resuelve.
Escenario ilustrativo de migración
Aclaro algo antes de seguir: lo que viene es un escenario construido para explicar criterios, no un caso real con nombres y cifras. Retail en España, entre 500 y 900 empleados.
Antes: dos analistas con cobertura de ocho de la mañana a ocho de la tarde. Las alertas nocturnas llegaban como correo y se triaban a primera hora. El SIEM acumulaba reglas sin documentar y la dirección recibía un informe trimestral sin métricas de respuesta.
Después: cobertura continua con un proveedor externo, runbook acordado y escalado por guardia. El equipo interno pasó de triar a investigar, y de investigar a diseñar detecciones propias con contexto de negocio. La mejora no fue tener más herramientas, sino tener las horas que faltaban.
El detalle que cambió la conversación interna fue otro. Por primera vez hubo una línea temporal auditable de cada incidente, con decisiones registradas. Eso convirtió la discusión de seguridad en una conversación de gestión.
Implicaciones prácticas antes de firmar
Si te llevas una sola idea de este análisis, que sea esta: define el modelo operativo antes de mirar proveedores. Qué se monitoriza, quién decide, en cuánto tiempo y con qué evidencia. Todo lo demás se ordena alrededor de eso.
Después, exige pruebas. Un buen candidato acepta un periodo piloto con métricas reales. Pídele que te muestre cómo investigó un incidente de un cliente del mismo sector, con la telemetría anonimizada. Si no puede, no está preparado para tu entorno.
También conviene revisar la salida. Pregunta qué pasa con tus datos y con tus detecciones si decides terminar la relación. Un proveedor sólido entrega la documentación y facilita la transición, porque su valor está en la operación y no en la retención forzada.
Y negocia el escalado como si fuera el producto. Porque lo es. El mejor SOCaaS sin SOC propio no es el que detecta más, sino el que te despierta con la información correcta y una recomendación concreta. Desde nuestra posición como mayorista de ciberseguridad acompañamos ese proceso de selección y de integración con el stack del cliente, sin sustituir la decisión de negocio que solo tú puedes tomar.
Si quieres contrastar criterios antes de abrir un proceso de compra, Habla con un Especialista y revisamos tu caso con la misma matriz que acabo de describir.
El rol del mayorista en una estrategia SOCaaS
Como mayorista de ciberseguridad, en My IT Channel vemos el mercado desde una posición incómoda y útil a la vez. Hablamos con fabricantes, con integradores y con clientes finales. Eso nos da una vista que ninguno de ellos tiene completa.
Nuestro papel no es operar el SOC. Es ayudar a que la elección sea informada: qué encaja con tu stack, qué residencia de dato aplica, qué SLA es realista y qué parte del servicio debes mantener interna. Después de 34 años distribuyendo en LATAM e Iberia, hemos aprendido que el proveedor equivocado cuesta más que la herramienta equivocada.
Además, el modelo cambia según la geografía. En Iberia pesa la presión regulatoria y la exigencia de documentación. En LATAM pesa la disponibilidad de talento senior y la velocidad de despliegue. Un mismo servicio no se contrata igual en Madrid que en Ciudad de México.
Qué viene en el SOCaaS de la región
Mi predicción, y la firmo con nombre: en los próximos dos años el mercado se moverá hacia la especialización por sector. Los proveedores genéricos competirán por precio y sufrirán. Los que entiendan retail, salud o manufactura cobrarán más y rotarán menos.
Al mismo tiempo, el triaje asistido por modelos de lenguaje reducirá el ruido de forma visible. Eso empujará al alza la expectativa sobre lo que un analista humano debe aportar: criterio, contexto y responsabilidad. El trabajo repetitivo se degradará; la decisión no.
En consecuencia, el contrato del futuro cercano hablará menos de herramientas y más de resultados medibles. Detección efectiva, tiempo de contención y calidad de la evidencia. Lo demás será decoración.
La decisión que tienes delante
El SOCaaS sin SOC propio no resuelve la falta de estrategia. Resuelve la falta de horas, de turnos y de músculo operativo. Es una diferencia grande, y confundirlas es el error más costoso que veo en las mesas de compra.
Si tu equipo duerme por la noche y tú no, quizá el problema no sea la tecnología. Quizá sea el modelo. Y los modelos se cambian antes de que ocurra el incidente, no después.
Te dejo una pregunta para el debate, de esas que me gusta lanzar en LinkedIn: ¿puede una organización delegar la respuesta a incidentes sin delegar también la autoridad para tomar decisiones incómodas? Mi respuesta corta es no. La larga, la discutimos.
¿Puede un SOCaaS sustituir a un SOC interno?
Puede sustituir la operación, no la responsabilidad. Un SOCaaS aporta monitorización, triaje y respuesta con turnos propios y SLA medibles. La organización conserva la gobernanza, la priorización de riesgos y las decisiones de contención crítica. Para la mayoría de empresas medianas, esa combinación cubre más horas y mejor que un equipo interno reducido.
My IT Channel
Suscríbete al Ciberblog
Recibe análisis técnicos, tendencias y recomendaciones de ciberseguridad directamente en tu correo.
