A nivel global, un estudio de Kaspersky realizado entre líderes de IT de empresas con más de 500 empleados reveló que 50% de las organizaciones tiene la intención de establecer un SOC para fortalecer su postura de ciberseguridad. Asimismo, 45% de las empresas se encuentran motivadas por la necesidad de abordar amenazas de creciente sofisticación y peligrosidad.
La adopción de estos centros responde a la profesionalización del cibercrimen y a la urgencia de detectar y responder con rapidez a incidentes que comprometan la continuidad del negocio.
Para determinar la modalidad adecuada de implementación, McKinsey establece que las organizaciones deben aplicar un enfoque basado en el riesgo, la identificación de activos críticos y el impacto potencial de las amenazas.
El director general para México de Fortinet, Jorge Miranda, señaló en entrevista que “todo tiene ventajas y desventajas. Depende del nivel de personal o del número de personas que tengan para hacer la gestión de la ciberseguridad dentro de la organización”.
Si tienen un personal muy restringido, abundó, “lo mejor es tener un servicio administrado de ciberseguridad”, pero si es grande, “se puede hacer de una manera in-house”.
Miranda explicó que “hay clientes que incluso nos piden un ambiente híbrido para eso, que tienen el servicio administrado de ciberseguridad con un vendor y el SOC con otro partner para tratar de tener un balance entre la gestión de la tecnología y el proveedor de la tecnología”.
No existe una respuesta única; la decisión se encuentra sujeta al perfil de riesgo, los recursos disponibles y las necesidades específicas de cada empresa. Previo a la construcción de un SOC interno, deben evaluarse tres interrogantes: la criticidad de la continuidad operativa, la disponibilidad de talento especializado y la capacidad de sostener financieramente una operación ininterrumpida las 24 horas del día, los siete días de la semana (24/7).
Índice de temas
SOC interno: Desafíos estructurales y beneficios operativos
Actualmente, la construcción de un SOC interno requiere una inversión inicial de entre $1 y $2 millones de dólares (mdd) en infraestructura y software, a la que se suman costos operativos anuales que pueden alcanzar hasta 1.5 mdd. Además, involucra cuatro desafíos principales:
- Inversión inicial: Requiere la asignación de recursos destinados a infraestructura, licencias y personal especializado.
- Tiempo de implementación: Alcanzar una operación madura demanda un periodo de varios meses.
- Escasez de talento: Los analistas requieren capacitación continua para responder a amenazas en constante evolución.
- Operación 24/7: Mantener la cobertura permanente incrementa los costos y genera desgaste en el personal.
A pesar de estas limitaciones, el modelo in-house aporta beneficios específicos:
- Control total sobre políticas, herramientas y operaciones de seguridad.
- Conocimiento directo de los activos críticos, procesos y contexto del negocio por parte del personal, lo que facilita la priorización de riesgos.
- Adaptación inmediata de la respuesta a incidentes a los procedimientos internos.
- Resguardo de datos y registros dentro de la infraestructura corporativa, lo cual facilita el cumplimiento de normativas de privacidad y regulación.
SOC administrado: Respuesta a la falta de personal e inversión predictiva
La inclinación hacia un SOC gestionado externamente responde a factores de costo, disponibilidad de talento y la velocidad requerida para elevar las capacidades de defensa.
Al respecto, Miranda confirmó que sí es una tendencia muy grande debido a la falta de personal capacitado en ciberseguridad.
“Muchas organizaciones están optando por los servicios administrados de ciberseguridad. Nosotros tenemos varios MSSP (Managed Security Services), que son los partners que están acreditados para ofrecer esos servicios administrados de ciberseguridad, donde definitivamente tienen un SOC y tienen que cubrir ciertas acreditaciones para el manejo de los tickets, etcétera”.
Por su parte, Cybolt indica que un servicio administrado otorga acceso a especialización técnica según la necesidad y el presupuesto de la empresa, permitiendo realizar ajustes posteriores al servicio sin limitaciones.
Ventajas del SOC administrado
- Acceso inmediato a personal especializado, herramientas avanzadas y una estructura madura, sin requerir reclutamiento o capacitación inicial.
- Vigilancia y respuesta a incidentes 24/7 de forma continua.
- Esquema de costos predecible mediante modelos de suscripción que reducen la inversión inicial.
- Escalabilidad conforme a los cambios en la operación del negocio.
Desventajas del SOC administrado
- Dependencia del proveedor, quedando la capacidad de respuesta supeditada a sus procesos, personal y acuerdos de nivel de servicio (SLA).
- Menor conocimiento inicial del contexto del negocio por parte del equipo externo, afectando la priorización de incidentes.
- Visibilidad y control condicionados por las capacidades de integración ofrecidas por el proveedor.
- Incremento de costos frente a la solicitud de capacidades adicionales, mayor volumen de datos o servicios no contemplados en el contrato original.
Análisis financiero, variables de presupuesto y el esquema híbrido
En términos financieros, un SOC administrado requiere entre 60% y 70% menos inversión inicial que la edificación de uno propio. El costo mensual de este servicio oscila entre $2,500 y $25,000 dólares, variación sujeta al tamaño de la organización, el volumen de registros y la cantidad de endpoints.
Los factores que determinan el presupuesto final de un SOC corresponden a:
- La cantidad de gigabytes o eventos por segundo (EPS) analizados diariamente.
- La infraestructura tecnológica previa (firewalls, EDR o soluciones cloud), cuya existencia economiza la integración.
- El tipo de amenazas contempladas en la cobertura y el tiempo de respuesta garantizado (SLA).
La tendencia actual muestra una adopción creciente del SOC híbrido. Este esquema combina un equipo interno reducido enfocado en la toma de decisiones estratégicas con un proveedor externo encargado del monitoreo continuo 24/7, aportando herramientas y conocimiento actualizado sobre amenazas. Esta modalidad busca un equilibrio entre el control local, la flexibilidad operativa y la optimización de costos.
