Delegar la operación de seguridad a un tercero es una decisión que muchas organizaciones toman con más cuidado del que parece a primera vista, pero con criterios equivocados. Se comparan propuestas por precio mensual, por número de alertas que promete procesar, o por cuántas horas al día hay "alguien viendo la pantalla". Son criterios fáciles de comparar en una tabla, pero dicen poco sobre lo que realmente determina si un SOC externo puede proteger a una organización cuando ocurre un incidente real: su capacidad técnica de ver, entender y actuar a tiempo.
La pregunta correcta no es cuánto cuesta un SOC externo, sino qué es exactamente lo que hace cuando un ataque ya está en curso. Esa pregunta rara vez se responde en una propuesta comercial, y es precisamente ahí donde conviene detenerse antes de firmar cualquier contrato.
Visibilidad: no se puede detener lo que no se puede ver
El primer criterio, y el más fundamental, es la visibilidad real que tiene el SOC sobre el entorno que está protegiendo. Un SOC externo puede prometer monitoreo continuo, pero si esa vigilancia solo cubre una parte de la infraestructura —por ejemplo, la red corporativa pero no los servicios en la nube, o los servidores pero no los dispositivos de los usuarios— existe una zona ciega que ningún proceso de respuesta puede compensar después.
Antes de contratar, vale la pena exigir claridad sobre qué exactamente puede ver el SOC en tiempo real: qué sistemas, qué tipo de tráfico, qué actividad de usuarios. Un proveedor que no puede describir esto con precisión probablemente no tiene tanta visibilidad como su propuesta comercial sugiere.
Velocidad de detección y respuesta, no solo de notificación
El segundo criterio es distinguir entre dos cosas que suelen confundirse: qué tan rápido el SOC detecta una anomalía, y qué tan rápido puede actuar sobre ella. Muchos proveedores son razonablemente buenos generando alertas rápido. Menos son capaces de contener una amenaza —aislar un dispositivo, bloquear una conexión, detener un proceso— sin depender de que un humano revise, decida y ejecute manualmente cada paso.
Esa diferencia es crítica porque, como se ha discutido antes en este espacio, el tiempo entre la intrusión y el impacto real de un ataque puede medirse en minutos. Un SOC que solo notifica rápido, pero necesita horas para actuar, no está resolviendo el problema que en realidad importa.
Gestión centralizada: una sola fuente de verdad, no fragmentos sueltos
El tercer criterio tiene que ver con cómo se gestiona la información de seguridad internamente dentro del SOC. Es común que un proveedor externo monitoree distintos sistemas de forma separada —una herramienta para la red, otra para los endpoints, otra para la nube— sin una vista unificada que conecte esas señales entre sí. El riesgo de esta fragmentación es que un ataque que se mueve entre esos entornos puede pasar desapercibido, porque cada sistema ve solo una parte del comportamiento y nadie conecta las señales completas a tiempo.
Un SOC maduro debería poder demostrar que gestiona la seguridad desde una vista centralizada, donde la información de distintos entornos se correlaciona de forma automática. Vale la pena pedir, en el proceso de evaluación, que el proveedor explique concretamente cómo conecta esas señales entre sí, y no solo que asegure hacerlo.
Transparencia operativa: entender qué pasa, no solo confiar en que pasa
El último criterio, y quizás el que menos se exige en la práctica, es la transparencia sobre lo que el SOC hace día a día. Muchas organizaciones firman un contrato y después reciben, en el mejor de los casos, un reporte mensual con cifras generales. Eso no es suficiente para confiar la operación de seguridad de una organización a un tercero de forma sostenida.
Un SOC externo confiable debería poder mostrar, de forma clara y con la frecuencia que la organización necesite, qué está monitoreando, qué ha detectado, y cómo respondió en cada caso. La confianza en una operación externa no se construye con una promesa inicial, sino con visibilidad continua sobre su desempeño real.
El criterio, no la marca, es lo que protege
Elegir un SOC externo no debería ser una decisión basada en la reputación del nombre o en el precio más competitivo, sino en una evaluación honesta de su capacidad técnica real: qué tanto puede ver, qué tan rápido puede actuar, qué tan conectada está su información, y qué tan transparente es sobre su propio desempeño. Exigir estos criterios antes de firmar no es desconfianza excesiva; es la diligencia mínima que merece una decisión que, en la práctica, define qué tan protegida está la organización el día que algo sale mal.
En la práctica
Un ejemplo concreto de cómo se traducen estos criterios en la práctica es la forma en que TBSEK opera CrowdStrike como parte de su capacidad de SOC externo. CrowdStrike funciona como referencia de las capacidades técnicas que este artículo describe: visibilidad unificada sobre endpoints, cargas de trabajo en la nube e identidades desde una sola vista, detección en tiempo real de comportamientos anómalos sin depender de que un analista correlacione manualmente distintas fuentes de información, y una gestión centralizada que permite actuar sobre una amenaza en el mismo entorno donde se detecta, sin fragmentar la respuesta entre sistemas separados. TBSEK integra esta tecnología dentro de su operación diaria como una de las capacidades técnicas que sostienen los criterios que un cliente debería exigir de cualquier SOC externo: no la promesa de que alguien está monitoreando, sino la evidencia técnica de que puede ver, detectar y responder a tiempo. Para un CISO o un CIO evaluando este tipo de servicio, esto significa poder pedir —y recibir— una respuesta concreta a cada uno de los criterios planteados en este artículo, en lugar de una descripción general de "monitoreo 24/7".
