Estrategia de seguridad
Nuevo TCO del SOC: talento, ingesta y oportunidad
El TCO del SOC rara vez aparece en la factura que llega al comité. Hace unos meses, un director de seguridad me mostró la suya: la línea de licencias había crecido por encima de lo que la organización recordaba haber aprobado. El problema no era el proveedor. Nadie había modelado la ingesta como parte del coste real del centro de operaciones.
El patrón se repite. Las áreas comparan precios de plataforma y dejan fuera el sueldo del analista, la rotación, la retención de registros y el tiempo que tarda una alerta en convertirse en decisión. Al final, la cuenta crece sin que nadie la firme.
Por qué el TCO del SOC cambia en 2026
Hoy el centro de operaciones compite por tres recursos escasos: analistas con criterio, presupuesto de datos y atención del comité. Si cualquiera de los tres se rompe, el coste se dispara aunque la plataforma siga pareciendo barata.
Durante años medimos el SOC por el precio de la herramienta. Esa métrica servía cuando el volumen de eventos era pequeño y el equipo tenía poca rotación. Ya no. Cada fuente nueva multiplica la ingesta y el analista experimentado cambia de empresa antes de lo previsto.
Además, el regulador pide evidencias, no paneles bonitos. En consecuencia, el TCO del SOC se ha convertido en una conversación de negocio: cuánto cuesta detectar, cuánto cuesta no detectar y quién firma ese equilibrio.
Los tres costes que casi nadie mide
Primero el talento, después los datos y, por último, la oportunidad. Los dos primeros suelen aparecer en los modelos financieros; el tercero casi nunca.
El talento incluye salario, formación, turnos nocturnos y reemplazo. Los datos incluyen almacenamiento, cómputo y retención. La oportunidad mide lo que deja de ocurrir cuando el equipo pasa el día cerrando falsos positivos en lugar de investigando incidentes reales.
En la práctica, muchas áreas comparan dos propuestas y solo revisan la casilla plataforma. Se olvidan del resto y la comparación se vuelve tramposa. Desde mi posición como mayorista de ciberseguridad veo esa distorsión a diario en partners que atienden cuentas empresariales.
El coste real de los falsos positivos
Cada alerta descartada consume minutos de un analista senior. Multiplica esos minutos por el volumen mensual y obtendrás una cifra que casi nunca figura en el presupuesto de seguridad.
Por eso el TCO del SOC debería incorporar una métrica de precisión. Si el equipo dedica media jornada a descartar ruido, el coste por investigación útil se duplica sin que nadie lo note en la factura.
Talento: el rubro que rompe el presupuesto
Un SOC no se sostiene con una persona. Necesita cobertura, turnos y supervisión. Sin embargo, el modelo financiero suele asumir que un analista cubre más de lo que humanamente cubre.
El resultado es predecible: rotación, fatiga de alertas y decisiones apresuradas. Cuando eso ocurre, el coste se traslada al tiempo de respuesta y a la calidad del triaje, dos variables que rara vez se facturan pero siempre se pagan.
Rotación y coste de reposición
Reemplazar a un analista cuesta más que su salario. Implica reclutamiento, curva de aprendizaje y meses de supervisión. Por eso el TCO del SOC debería incluir la rotación como línea propia y no como nota al pie del presupuesto.
Además, cada salida se lleva contexto. El conocimiento de la red, del histórico de falsos positivos y de los contactos internos no vive en ninguna herramienta. Se reconstruye con horas que nadie presupuesta.
Cómo calcular el TCO del SOC por analista
Dividir el coste total entre analistas operativos ofrece una métrica comparable entre modelos. Funciona mejor que el precio absoluto, porque normaliza tamaños y volúmenes distintos.
Fórmula mínima de cálculo
Un modelo defendible en comité necesita siete líneas visibles:
- Licencias de plataforma y módulos activos.
- Ingesta diaria contratada y su proyección a doce meses.
- Retención en caliente y en frío.
- Personal propio, con turnos y guardias.
- Rotación y formación.
- Horas de integración y mantenimiento de conectores.
- Coste de oportunidad del equipo.
Si alguna de esas líneas falta, el TCO del SOC se convierte en una estimación optimista. Y las estimaciones optimistas son las que después se transforman en sobrecostes difíciles de explicar.
Incluso así, la métrica por analista tiene un límite. No mide la cobertura real de turnos ni la calidad de la detección. Por eso conviene acompañarla siempre de una segunda cifra: coste por incidente investigado.
Ingesta: la factura que crece en silencio
La ingesta se cobra por volumen, y el volumen depende de cuántas fuentes decidas observar. EDR, identidad, nube y red generan eventos a un ritmo que ningún comité revisa mes a mes.
Por eso conviene medir antes de firmar. Un ejercicio sencillo consiste en proyectar el crecimiento de gigabytes diarios con las fuentes previstas para los próximos doce meses. Si el proveedor no acepta esa proyección por escrito, ya tienes una señal.
Asimismo, la cobertura de detección depende de las fuentes de datos que alimentan las técnicas del marco MITRE ATT&CK. Más telemetría mejora la detección y, al mismo tiempo, encarece la operación: ahí está la tensión real del TCO del SOC.
Cómo negociar ingesta y retención
Negociar no significa pedir descuento. Significa fijar reglas antes de crecer. Pide por escrito el precio del exceso, el aviso previo y el mecanismo para retirar fuentes sin penalización.
Después, define qué telemetría es crítica y cuál es contexto. En la práctica, esa distinción permite bajar la factura sin perder capacidad de investigación. Muchas organizaciones pagan por datos que nunca consultan.
Por último, separa retención en caliente de archivo frío. El TCO del SOC baja de forma notable cuando el histórico se mueve a un almacenamiento con otra tarifa y otra latencia.
Retención de datos y coste oculto del SIEM
Retener es barato hasta que deja de serlo. Los marcos de trabajo piden trazabilidad, y la trazabilidad exige conservar evidencia durante periodos que pocas veces se modelan con precisión.
En consecuencia, el equipo compra almacenamiento de emergencia, negocia descuentos de último minuto y rompe la previsión. El marco de ciberseguridad del NIST ayuda a ordenar la conversación: qué se conserva, para qué y durante cuánto tiempo.
Dicho eso, no toda la telemetría merece el mismo tratamiento. Separar datos críticos de datos de contexto reduce la factura sin afectar la capacidad de investigar un incidente.
Además, la retención tiene un componente organizativo. Si nadie sabe quién puede consultar el archivo histórico, el dato existe y no sirve. Ese desconcierto también forma parte del TCO del SOC.
SOC propio, SOCaaS o MDR: comparación honesta
Los tres modelos pueden funcionar. La diferencia está en qué coste asumes tú y cuál trasladas al proveedor.
- El SOC propio concentra el control y también el coste fijo de personal.
- El SOCaaS traslada la operación y mantiene la ingesta en tu contrato.
- El MDR añade respuesta y suele cobrar por endpoint o por identidad.
Cuando comparo propuestas con partners, el error clásico aparece aquí: se contrasta el precio del MDR con el salario de un analista y se ignora que el MDR no elimina la ingesta. Esa comparación incompleta distorsiona el TCO del SOC.
Cuándo conviene mantener el SOC propio
Si tienes volumen propio suficiente, equipo estable y requisitos regulatorios que exigen control directo, el SOC interno sigue teniendo sentido. Aun así, conviene externalizar la detección nocturna o la respuesta inicial para cubrir los huecos de cobertura.
Por el contrario, si el equipo depende de dos personas y el volumen crece cada trimestre, el modelo híbrido suele ser la opción más honesta. Mantiene el criterio interno y reparte la carga operativa donde falta cobertura.
Un caso modelado de TCO del SOC
Para ilustrar el método, uso un escenario construido con patrones habituales del canal. No describe a un cliente concreto ni reproduce resultados de una cuenta real.
Servicios financieros en México, 800 empleados, escenario modelado: 1,4 millones de dólares anuales en el modelo inicial frente a 1,05 millones tras recalcular ingesta, retención y rotación. La diferencia no vino de negociar mejor el precio. Vino de medir lo que faltaba.
Los tres ajustes fueron modestos: reducir fuentes de telemetría redundantes, separar retención en caliente y en frío, y cubrir el turno nocturno con un servicio gestionado. Ninguno exigió cambiar de plataforma, aunque sí ordenar el TCO del SOC por escrito.
Conviene subrayar el detalle metodológico. El ahorro apareció al poner cifras a partidas que el comité nunca había visto juntas. La negociación comercial llegó después y aportó menos de lo esperado.
Errores de decisión que encarecen el SOC
- Comprar ingesta ilimitada y no usarla con criterio.
- Modelar el talento con un solo turno.
- Ignorar la rotación en el presupuesto anual.
- Evaluar plataformas sin medir horas de integración.
- Comparar MDR con salario y no con coste total.
El más costoso, en mi experiencia, es el último. Comparar un servicio gestionado con la nómina de un analista parece intuitivo y no lo es. Falta la supervisión, la cobertura de turnos y la herramienta que ese analista necesita para trabajar.
Señales de que el cálculo está mal
Hay tres síntomas reconocibles. El primero: la ingesta se revisa solo cuando llega la factura anual. El segundo: nadie sabe cuántas horas se dedican a integrar fuentes nuevas.
El tercero es más sutil. Cuando el informe al comité habla de plataformas y nunca de personas, el TCO del SOC está incompleto. Las personas son el coste dominante en casi cualquier modelo operativo.
Qué preguntar antes de firmar un contrato
Estas preguntas cambian la conversación comercial porque obligan a poner números donde suele haber promesas:
- ¿Cómo se factura el exceso de ingesta y con cuánto aviso?
- ¿Qué retención incluye y cuánto cuesta ampliarla?
- ¿Qué cubre el acuerdo de nivel de servicio en horario nocturno?
- ¿Quién ejecuta la contención y con qué autorización?
- ¿Qué evidencia recibo para auditoría?
Las guías de ENISA y los marcos de referencia ayudan a formular estas preguntas con criterio. Aun así, la respuesta útil es la que llega por escrito y con cifras verificables.
Además, pide un escenario de crecimiento. Si el proveedor solo modela tu volumen actual, estás comprando el año uno de una relación que durará tres o cuatro.
El rol del mayorista de ciberseguridad
Aquí conviene aclarar el reparto. Un mayorista de ciberseguridad no opera el SOC del cliente final ni sustituye al integrador. Aporta criterio técnico, comparación entre modelos y acceso a servicios especializados que el partner puede revender.
Ese papel importa cuando hay que modelar el TCO del SOC sin sesgo de plataforma. En el canal vemos propuestas que llegan cerradas desde el fabricante; el trabajo del mayorista consiste en abrir la conversación y contrastar los supuestos.
Si tu equipo está evaluando un cambio de modelo operativo, puedes Habla con un Especialista y revisar el cálculo línea por línea antes de comprometer presupuesto.
Implicaciones para el CISO y su comité
El TCO del SOC no es un documento de compras. Es una herramienta de gobierno. Cuando el CISO presenta el coste por analista, el coste por incidente investigado y la cobertura real por turno, la conversación cambia de tono.
Por eso recomiendo tres movimientos concretos. Primero, documentar la ingesta mensual real y su tendencia. Segundo, separar coste fijo de coste variable. Tercero, revisar la rotación cada trimestre junto con recursos humanos.
Además, conviene revisar el TCO del SOC con la misma disciplina que se aplica a cualquier contrato plurianual. Sin esa disciplina, el presupuesto de seguridad se decide por inercia y no por evidencia.
En la práctica, ese ejercicio también protege al equipo. Un CISO que puede explicar su coste real negocia mejor y defiende su plantilla con datos en lugar de con percepción.
Predicción: el TCO se medirá por resultado
Mi predicción es simple. En los próximos dos años, las organizaciones dejarán de comparar plataformas por precio y empezarán a comparar modelos por coste por incidente gestionado.
Ese cambio obligará a los proveedores a publicar métricas de cobertura y a los equipos internos a documentar su propio rendimiento. El TCO del SOC pasará de ser un número de compras a un indicador operativo.
Mientras tanto, la ventaja competitiva seguirá estando en el talento. La herramienta se cambia en un trimestre; el equipo tarda años en madurar. Quien entienda eso antes invertirá distinto.
También creo que la conversación se moverá hacia el seguro y la continuidad del negocio. Cuando el comité entienda que el coste de un SOC débil se paga en interrupción, la partida dejará de discutirse como un gasto de herramientas.
Debate abierto sobre el coste del SOC
Queda una pregunta incómoda. Si el coste real incluye rotación, ingesta y oportunidad, ¿por qué seguimos discutiendo precios de licencia en la primera reunión?
En mi experiencia, porque es la cifra más fácil de comparar y la menos relevante para decidir. El resto exige trabajo analítico y conversaciones que nadie quiere tener en un comité de dirección.
Por eso te dejo la pregunta que suelo lanzar en las sesiones con partners: ¿tu organización sabe cuánto cuesta hoy una alerta investigada de principio a fin? Si la respuesta tarda más de un minuto, el TCO del SOC sigue siendo una estimación.
Y si todavía no lo sabes, empieza por ahí. El resto del modelo encaja cuando esa cifra existe y se comparte una vez al trimestre con quien firma el presupuesto.
¿Qué compone el TCO de un SOC?
El TCO del SOC suma licencias de plataforma, ingesta diaria, retención en caliente y en frío, personal con turnos, rotación, horas de integración y coste de oportunidad. La mayoría de modelos solo contempla las dos primeras partidas, por eso la estimación se queda corta al segundo año.
My IT Channel
Suscríbete al Ciberblog
Recibe análisis técnicos, tendencias y recomendaciones de ciberseguridad directamente en tu correo.
