Un centro de operaciones de seguridad (SOC, por su sigla en inglés) no es una infraestructura reservada para bancos y grandes corporaciones. En el caso de Colombia, el país lo asumió como política de Estado: bajo la Estrategia Nacional de Seguridad Digital 2025-2027, pues creó un SOC nacional y, según el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC), el grupo de respuesta ColCERT amplió su vigilancia de 31 a cerca de 1.300 entidades en los 32 departamentos durante 2025. El resultado que reporta el Gobierno es una reducción del 48,84 % en los incidentes cibernéticos, que pasaron de 1.427 en 2024 a 697 en 2025. En la hoja de ruta de cualquier entidad, crear un SOC es una parada obligatoria, el tema es cómo montarlo sin cometer errores costosos.
En el informe ‘Hacerlo bien desde el primer intento: implementación de un SOC sin arrepentimientos’ de la firma de ciberseguridad Kaspersky, elaborado con base en la consultoría de su área especializada, sistematiza las decisiones que marcan la diferencia entre un SOC que aporta valor y uno que se convierte en un gasto sin retorno. Su tesis central es contraintuitiva para quienes creen que la seguridad se resuelve comprando herramientas: por encima de la tecnología, lo que sostiene a un SOC es el personal. Y ahí está el mayor obstáculo.
¿Cuándo es el momento de crear un SOC?
No existe un momento único que sirva para todas las organizaciones. Cada empresa madura a su ritmo y enfrenta riesgos propios, marcados por su nivel de transformación digital y por las exigencias normativas de su sector. Aun así, hay detonantes comunes. Los deseables son proactivos: cumplir requisitos regulatorios, sobre todo en infraestructuras críticas, tomar conciencia de que un ciberataque puede interrumpir la operación del negocio, o constatar que las amenazas son cada vez más frecuentes y sofisticadas.
El detonante indeseable es el reactivo: crear el SOC después de haber sufrido un ataque, cuando el daño reputacional y financiero ya está hecho.
«La razón más lamentable para crear un SOC es que la empresa haya sufrido un incidente y se haya visto afectada por sus consecuencias. Lo correcto es darse cuenta de que puede ser atacada y prepararse antes de que ocurra», señaló Roman Nazarov, responsable de consultoría SOC de Kaspersky.
El argumento económico refuerza la recomendación de anticiparse. Una filtración de datos suele costar millones de dólares, un impacto que tiende a ser menor en las organizaciones que integran Inteligencia Artificial y automatización en sus defensas. Prevenir resulta más viable que descubrir, en plena crisis, que los controles de seguridad eran insuficientes.
¿Por qué el talento humano es el mayor cuello de botella?
Todo SOC se sostiene sobre tres funciones básicas, y ninguna herramienta las reemplaza. La primera corresponde al equipo de análisis de seguridad, encargado de clasificar alertas, distinguir los falsos positivos de las amenazas reales y dar la respuesta inicial. La segunda es la ingeniería, responsable de implementar y mantener las plataformas, como los sistemas de gestión de información y eventos de seguridad (SIEM), las plataformas de inteligencia sobre amenazas (TIP) y los sistemas de orquestación, automatización y respuesta (SOAR). La tercera es la investigación de amenazas, que identifica riesgos emergentes y desarrolla las reglas de detección para anticiparse a tácticas en constante cambio.
Conseguir ese personal es lo difícil. El mundo enfrenta un déficit cercano a cuatro millones de profesionales de ciberseguridad, según el Foro Económico Mundial, una brecha que sigue creciendo. Y el propio organismo advierte, en su Global Cybersecurity Outlook 2025, que solo el 14 % de las organizaciones cree contar con el personal y las competencias que necesita; dos de cada tres reportan brechas de habilidades de moderadas a críticas.
Colombia no es ajena a esa tensión y ha empezado a responderla desde la formación. El programa Talento Tech del MinTIC abrió 10.000 becas en ciberseguridad, Inteligencia Artificial y analítica de datos, y reporta 1.200 personas especialistas certificadas en gestión de incidentes durante 2025. La cifra ilustra tanto el esfuerzo como la magnitud del reto: formar equipos capaces de operar un SOC exige tiempo y presupuesto que conviene prever desde el inicio.
«Las tres competencias fundamentales para cualquier SOC son los analistas de seguridad, los ingenieros y los investigadores de amenazas. Todos ellos deben ser conscientes de las amenazas actuales y estar preparados para hacerles frente», explicó Nazarov.
¿Qué tamaño mínimo necesita un SOC para funcionar?
La cobertura de seguridad debe ser ininterrumpida, y eso fija un piso de personal. El documento estima el tamaño mínimo viable entre 10 y 12 personas: un rol de dirección, cinco de análisis, dos de ingeniería y dos de investigación. La razón es operativa. Los equipos demasiado pequeños caen en cargas de trabajo insostenibles y en la fatiga por alertas, un fenómeno en el que el volumen de avisos, muchos de ellos falsos positivos, agota al personal y eleva la probabilidad de que se pase por alto una amenaza real.
Ese agotamiento no es un detalle menor: los errores humanos asociados a la sobrecarga están detrás de numerosas filtraciones. Por eso, cuando una organización no dispone de recursos para dotar adecuadamente a su SOC, la recomendación es apoyarse en un proveedor externo antes que sostener un equipo insuficiente. Y si decide construirlo, debe garantizar desde el diseño que sus tecnologías, canales de telemetría, motores de correlación y sistemas centrales, puedan escalar horizontalmente para crecer sin rehacer la arquitectura.
¿Qué atajos funcionan al montar un SOC y cuál no?
Acelerar la puesta en marcha es posible, pero con criterio. El atajo válido consiste en aprovechar marcos de trabajo de terceros: procesos ya definidos que la organización adapta a su infraestructura para no partir de cero. El que no funciona es confiar en que el contenido predeterminado de las herramientas basta por sí solo.
«No basta con implementar herramientas de seguridad para la supervisión, como SIEM, configurarlas adecuadamente y pensar que eso lo ayudará a combatir las amenazas. Hay que ajustar todo y adaptarlo a su infraestructura», advirtió Nazarov.
Depender en exceso de las reglas que vienen de fábrica genera una avalancha de falsos positivos. Ese ruido no solo desgasta al equipo: puede ocultar los indicios de un ataque real. La resiliencia a largo plazo exige una ingeniería de ajuste y detección continuos, con procesos claros y un perfeccionamiento constante de la lógica de detección validada frente a incidentes reales.
¿Qué procesos garantizan que un SOC aporte valor?
Un SOC eficaz no solo articula personas y tecnología: también ordena sus procesos en una secuencia, y ese orden importa. El punto de partida es el inventario de la infraestructura. Puede parecer una tarea rutinaria de TI, pero es la base de todo: no se puede proteger lo que no se sabe que existe.
«Lo primero que debe hacer es un inventario. Muchos SOC se dan cuenta años más tarde de que solo están supervisando una parte de su infraestructura«, afirmó Nazarov.
Con el inventario resuelto, la supervisión de amenazas pasa al centro: definir cómo se recopilarán los datos de telemetría, cómo se detectarán los indicios de riesgo y cómo se gestionarán. Solo entonces tiene sentido avanzar hacia operaciones maduras, con capacidades como la búsqueda proactiva de amenazas, la investigación y la ingeniería de detección continua. La secuencia se resume en tres etapas encadenadas, donde cada paso se apoya en el anterior:
- Inventario de la infraestructura: conocer con exactitud qué activos hay que proteger y cómo podrían ser blanco de un ataque.
- Supervisión de amenazas: establecer la recolección de telemetría, la detección de indicios y la gestión de las alertas.
- Operaciones maduras: incorporar búsqueda de amenazas, métricas, resiliencia de la infraestructura y mejora continua.
¿Cuándo conviene recurrir a un MSSP o a consultores externos?
No todas las organizaciones deberían construir su propio SOC. Quienes no dispongan del tiempo, el interés o los recursos pueden recurrir a un Proveedor de Servicios Administrados de Seguridad (MSSP), capaz de ofrecer supervisión y respuesta ajustadas al sector, las capacidades y el presupuesto de cada quien. En el caso de las grandes empresas, un MSSP puede aportar contenidos de detección mientras se construye el SOC interno, un proceso que suele tomar más de nueve meses, cubrir la falta de personal calificado y operar bajo un modelo de traspaso por fases, en el que las operaciones se administran de forma conjunta durante seis a doce meses antes de pasar a una gestión totalmente interna.
Los consultores externos, por su parte, conviene incorporarlos desde el inicio. Aportan métodos y diseños probados en entornos similares y ayudan a evitar errores que después resultan costosos, además de compartir lo que funciona y lo que no.
¿Cómo se mide el éxito de un SOC?
Un SOC debe aportar valor desde el primer día, y eso se demuestra con pruebas rigurosas. El método consiste en simular todas las fases de un ataque, a menudo con ejercicios de «equipo rojo«, para confirmar que la cobertura de detección es total y subsanar las deficiencias antes de que se produzca un incidente real.
Dos indicadores concentran la medición: el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR). Reducir el primero permite identificar las amenazas más rápido; reducir el segundo, contenerlas y corregirlas antes. El impacto de acortar esos tiempos no es teórico. El propio MinTIC reporta que, en 2025, Colombia pasó de ciclos anuales de análisis a una gestión operativa de apenas 4 días en la detección de incidentes, un salto que ilustra por qué estas métricas se volvieron el termómetro de cualquier operación de seguridad.
¿Cuáles son los errores más comunes al crear un SOC?
Dos equivocaciones se repiten en los SOC recién creados. La primera es depender en exceso de la tecnología y del contenido predeterminado, dando por sentado que las herramientas funcionarán bien sin ajustes ni personal calificado. Esperar resultados instantáneos de soluciones preconfiguradas lleva a pasar por alto amenazas y a generar una falsa sensación de seguridad.
«El error más común es considerar las tecnologías de detección del SOC como soluciones de ‘caja negra’ que no requieren ajustes ni adaptaciones«, advirtió Nazarov.
La segunda es descuidar la mejora continua: tratar el SOC como algo estático en lugar de una capacidad que evoluciona con las nuevas técnicas de ataque. En un país donde el MinTIC advierte sobre el aumento del fraude digital, que concentró el 79,83 % de los incidentes de los últimos dos años, y de los ataques potenciados por Inteligencia Artificial contra sectores estratégicos como salud, energía, defensa y telecomunicaciones, esa evolución permanente deja de ser una recomendación para convertirse en una condición de supervivencia.
¿Qué debería tener en cuenta una organización colombiana antes de empezar?
Leídas en conjunto, las claves del documento y el contexto nacional apuntan en una misma dirección: un SOC exitoso se basa en un equipo central de análisis, ingeniería e investigación; los marcos de trabajo aceleran la configuración, pero el ajuste y la personalización son insustituibles; y la escalabilidad debe planificarse desde el primer día, con la tecnología y el presupuesto en cuenta. Por encima de todo, el factor humano es el que decide.
Para las organizaciones colombianas, el momento tiene un matiz propio. El país avanza en institucionalidad, con un SOC nacional, la ampliación de ColCERT y programas de formación como Talento Tech, mientras las amenazas se sofistican y el déficit global de talento presiona la contratación. La conclusión no es solo tecnológica: montar un SOC bien, y hacerlo antes de un incidente, depende menos de las herramientas que se compren y más de las personas que las operen.
Para más información o solicitud de contacto haga clic aquí.
Este artículo fue desarrollado a partir de un contenido corporativo proporcionado por Kaspersky, adaptado por el equipo editorial de Impacto TIC.
