La mentoría en el SOC permite a los nuevos analistas de ciberseguridad asumir casos con autonomía en un periodo de 90 días. Ante el alto estrés y la rotación que golpea a los equipos técnicos, este modelo de incorporación estructurado en tres fases.
La mentoría en el SOC (centro de operaciones de seguridad) y un plan de incorporación de 90 días ayudan a que el nuevo talento gestione incidentes por su cuenta más rápido. Así lo plantea Renat Gimadiev, de Kaspersky en el estudio ‘Incorporación y mentorías efectivas en equipos SOC’.
“En un centro de operaciones de seguridad (SOC), las personas son el activo más importante”, señaló Renat Gimadiev, experto en soluciones SOC del Departamento de Soluciones de Seguridad Avanzadas de Kaspersky.
En este artículo:
¿Qué es el onboarding en un SOC y por qué importa?
El onboarding, o incorporación, es el proceso con el que una organización recibe a una persona nueva y la prepara para trabajar con autonomía. En un SOC pesa más que en otras áreas, porque un error de criterio puede dejar pasar un ataque.
El momento de mayor riesgo son las primeras semanas. “Sin un proceso de incorporación claro y sin la empatía y el apoyo de sus compañeros, corren el riesgo de sentirse abrumados, rendir por debajo de sus capacidades o abandonar la empresa antes de tiempo”, advirtió Gimadiev. Kaspersky cita el ‘Estudio sobre el personal de ciberseguridad 2023’ de ISC2. Según ese estudio, más del 20 % del personal analista de SOC dijo tener altos niveles de estrés y agotamiento.
¿Por dónde se empieza a diseñar la incorporación?
Antes de armar el calendario, conviene definir quién hace qué. El modelo propone cuatro roles:
- Supervisión: la persona responsable del SOC o del área de seguridad de la información (CISO). Ajusta el programa a los objetivos de la organización.
- Mentoría: una persona analista sénior que guía a quien llega y le da retroalimentación.
- Compañía de turno: alguien del equipo que resuelve las dudas del día a día.
- Aprendiz: la persona que llega. Pregunta, documenta y asume tareas poco a poco.
Un consejo práctico del documento es asignar máximo 2 aprendices por persona mentora. Así se evita uno de los errores más comunes: cargar de más a quienes acompañan.
¿Cómo se organizan los primeros 90 días?
La lógica se parece a la de una residencia médica. Primero se observa a alguien con experiencia, luego se practica con supervisión y al final se trabaja con criterio propio. Kaspersky lo divide en tres etapas:
- Días 1 a 30, observar: conocer la misión del SOC, los procedimientos de escalado y las herramientas básicas. Los simulacros gamificados permiten practicar sin la presión de un incidente real.
- Días 31 a 60, practicar con guía: atender alertas de baja gravedad bajo supervisión y redactar tickets.
- Días 61 a 90, liderar: hacer la clasificación inicial de casos y conducir investigaciones con apoyo de la persona mentora.
El calendario sirve de guía, pero no es obligatorio. Algunas personas estarán listas en 60 días y otras necesitarán hasta 120. Lo que el documento sí considera indispensable es una conversación semanal entre la persona aprendiz, la persona mentora y quien dirige el SOC, para detectar a tiempo lo que no funciona.
¿Cómo saber si el programa está dando resultados?
Sin métricas, una incorporación no pasa de ser una buena intención. Kaspersky propone varios indicadores clave de rendimiento (KPI). Estos tres son un buen punto de partida:
- Tiempo hasta la autonomía: entre 60 y 90 días.
- Errores en control de calidad: menos del 5 % de los tickets después de los 90 días.
- Retención: más del 85 % del personal sigue en su puesto entre 6 y 12 meses después de llegar.
Según el autor, estos avances se notan en tiempos de detección y respuesta más cortos. También protegen el conocimiento del equipo, que de otra forma se va con la persona, “como en el caso de ese analista que se sabe de memoria todos los detalles y trucos del SIEM”. El SIEM es la plataforma que reúne los eventos de seguridad.
¿Qué hace falta para sostenerlo en el tiempo?
El mayor reto es entender la incorporación como un proceso continuo y no como un trámite de bienvenida. Eso exige reservar tiempo real para la mentoría y revisar el programa con frecuencia.
“Al fin y al cabo, ni siquiera las mejores herramientas sirven de nada si las personas no están lo suficientemente preparadas”, concluyó Gimadiev.
Para más información o solicitud de contacto haga clic aquí.
Este artículo fue desarrollado a partir de un contenido corporativo proporcionado por Kaspersky, adaptado por el equipo editorial de Impacto TIC.
