Un domingo a las 3:24 de la madrugada, en una empresa de treinta empleados, una cuenta de administrador inicia sesión desde una dirección IP que nadie reconoce. El antivirus no salta, porque no hay malware: hay unas credenciales válidas. El firewall tampoco, porque el tráfico es legítimo. El aviso queda registrado en un log que nadie va a mirar hasta el lunes. Para entonces, el atacante lleva treinta horas dentro.
Ese hueco, el que va desde que algo raro ocurre hasta que alguien se da cuenta, es exactamente lo que un SOC existe para cerrar. Y es el motivo por el que la pregunta «qué es un SOC» tiene una segunda parte más incómoda: cuánto cuesta tenerlo de verdad y si tu empresa lo necesita ya.
Qué es un SOC y qué no es
Un SOC (Security Operations Center, centro de operaciones de seguridad) es el equipo y los medios dedicados a vigilar lo que pasa en tus sistemas, detectar actividad sospechosa y reaccionar. ENISA lo describe en su guía How to set up CSIRT and SOC como el servicio que detecta incidentes observando los eventos técnicos de redes y sistemas, y que según la organización puede encargarse también de responder y gestionar esos incidentes.
Conviene separarlo de dos cosas con las que se confunde:
- Un NOC vigila que los sistemas funcionen: disponibilidad, rendimiento, capacidad. Le preocupa que algo se caiga, no que alguien entre.
- Un CSIRT o CERT es el equipo de respuesta a incidentes. En organizaciones grandes el SOC detecta y el CSIRT gestiona la crisis. En una pyme, en la práctica, son la misma gente.
Y sobre todo: un SOC no es un producto. Hay proveedores que llaman SOC a un panel de control con alertas. Un panel sin nadie mirándolo a las tres de la mañana es exactamente el problema que decías querer resolver, solo que ahora pagas una cuota por él.
Por qué el 24/7 no es un argumento de venta
Los datos del último año dicen dos cosas a la vez, y las dos importan.
La primera: el tiempo que un atacante pasa dentro sin ser detectado ha vuelto a subir. Según M-Trends 2026 de Mandiant, la mediana global de permanencia pasó de 11 días en 2024 a 14 días en 2025. Dos semanas moviendo credenciales, leyendo correo y localizando las copias de seguridad antes de hacer nada visible. Ese mismo informe señala que los exploits siguen siendo el vector de entrada inicial más común, con el 32 % de las intrusiones, por sexto año consecutivo.
La segunda: detectar pronto es, literalmente, dinero. El informe Cost of a Data Breach 2026 de IBM sitúa en 247 días la media para identificar y contener una brecha, y calcula que las brechas contenidas en menos de 200 días costaron 4,32 millones de dólares de media frente a 5,65 millones las que se alargaron más. La diferencia entre esas dos cifras es el valor de la detección, expresado en euros.
Hay una tercera cosa, más prosaica: los ataques de cifrado se lanzan de madrugada, en fin de semana y en agosto. No por casualidad, sino porque el atacante ha comprobado que a esa hora no hay nadie. Si tu vigilancia es de nueve a seis de lunes a viernes, has publicado tu horario de apertura.
Cómo está organizado por dentro: los niveles
Aunque el proveedor no te lo explique, todo SOC serio trabaja por niveles. Merece la pena saberlo porque es lo que te permite preguntar quién va a mirar tu alerta.
- Nivel 1, triaje. Recibe las alertas, descarta el ruido y escala lo que tiene pinta de ser real. Es el nivel donde se pierde la mayor parte del tiempo y donde más ayuda la automatización.
- Nivel 2, investigación y respuesta. Coge lo escalado, reconstruye qué ha pasado, decide si hay que aislar un equipo, bloquear una cuenta o cortar una conexión.
- Nivel 3, caza de amenazas e ingeniería de detección. No espera alertas: busca activamente lo que no ha saltado y escribe las reglas para que la próxima vez salte. Es el nivel que separa un SOC que mejora con el tiempo de uno que se limita a reenviarte correos.
Cuando compares presupuestos, pregunta cuántas personas hay realmente en cada nivel y en qué franja horaria. La respuesta se nota en el precio y explica casi toda la diferencia entre dos ofertas que sobre el papel dicen lo mismo.
La sopa de siglas, en cristiano
- SIEM. El sistema que recoge los registros de todo (servidores, firewall, Microsoft 365, antivirus), los normaliza y lanza alertas cuando algo encaja con una regla. Es la memoria del SOC.
- EDR. El agente instalado en cada equipo que ve lo que ocurre dentro: procesos, comandos, conexiones. Detecta comportamiento, no solo ficheros conocidos.
- XDR. El EDR ampliado a más fuentes (correo, identidad, nube) para correlacionar entre ellas.
- NDR. Lo mismo, pero mirando el tráfico de red.
- SOAR. La automatización: los playbooks que ejecutan solos las acciones repetitivas para que el analista no pierda la noche en ellas.
- MDR. Un servicio gestionado centrado en detectar y responder sobre esas herramientas, normalmente con capacidad de actuar en tu infraestructura.
La diferencia práctica entre un MDR y un «SOC gestionado» suele estar en una sola cosa: quién aprieta el botón. Hay servicios que detectan y te avisan para que actúe tu informático, y servicios que contienen ellos mismos (aislar el equipo, matar el proceso, deshabilitar la cuenta) sin esperar tu llamada. A las tres de la mañana de un domingo, esa distinción es todo el servicio. Páctalo por escrito.
El SLA: qué exigir antes de firmar
Casi todos los proveedores anuncian «respuesta en 15 minutos». La pregunta correcta es: respuesta ¿a qué? Acusar recibo de una alerta y contener un ataque no son lo mismo, y muchos SLA solo comprometen lo primero.
| Qué pedir | Por qué importa |
|---|---|
| Cobertura horaria real | Que diga 24x7x365 con personas de guardia, no «monitorización continua» con revisión en horario de oficina. |
| Tiempo hasta el primer análisis humano | Diferenciado por criticidad, y contando desde que se genera la alerta, no desde que la abre un analista. |
| Quién contiene y con qué permiso | Acciones preautorizadas por escrito: aislar equipo, bloquear cuenta, cortar sesión. Sin esto, el SOC solo avisa. |
| Canal y escalado fuera de horario | Un teléfono que responde a las 4:00 y a quién llaman si tu responsable no coge. |
| Apoyo en la notificación regulatoria | Si te aplica NIS2 o el RGPD, el reloj de las 24 y las 72 horas corre desde el incidente, no desde que tú te enteras. |
| Informe mensual con métricas | Alertas recibidas, cuántas eran reales, tiempos medios de detección y de respuesta, y qué reglas nuevas se han escrito. |
| Salida ordenada | Que los registros y las reglas de detección sean tuyos y te los lleves si cambias de proveedor. |
Los dos indicadores que resumen el servicio son el MTTD (tiempo medio hasta detectar) y el MTTR (tiempo medio hasta responder o contener). Exige que aparezcan en el informe mensual con su definición escrita al lado. Un número sin definición se puede maquillar.
Montarlo dentro o contratarlo: haz la cuenta
Esta es la parte que casi nadie pone por escrito, y es aritmética simple. Un año tiene 8.760 horas. Una persona a jornada completa en España, descontando vacaciones, festivos, formación y bajas, cubre en torno a 1.600-1.700 horas efectivas. Para tener a una sola persona de guardia en todo momento hacen falta, por tanto, algo más de cinco personas a tiempo completo. Y una sola persona de nivel 1 no basta: necesitas alguien de nivel 2 al que escalar cuando la alerta es real.
A eso súmale las licencias del SIEM y del EDR, la ingeniería de detección para que las reglas no se queden obsoletas, y la rotación de personal, que en este perfil es alta. Multiplica por el coste laboral de un analista de seguridad en tu zona y compara el resultado con el presupuesto anual de un servicio gestionado. En una empresa de menos de doscientos empleados, esa cuenta sale casi siempre igual: montar un SOC 24/7 interno no es caro, es inviable. Contratarlo, en cambio, sí cabe en un presupuesto de pyme.
Qué te exige la norma sobre esto
- Esquema Nacional de Seguridad. Si trabajas para la Administración, el RD 311/2022 incluye en su Anexo II el grupo op.mon (monitorización del sistema), con las medidas op.mon.1 detección de intrusión, op.mon.2 sistema de métricas y op.mon.3 vigilancia, además de op.exp.7 gestión de incidentes, op.exp.8 registro de la actividad y op.exp.9 registro de la gestión de incidentes. Aplican desde la categoría básica y se refuerzan en media y alta.
- NIS2. El artículo 21 exige gestión de incidentes entre sus medidas mínimas, y el artículo 23 fija los plazos de notificación: 24 horas para la alerta temprana, 72 horas para la notificación del incidente y un informe final a más tardar un mes después. Cumplir 24 horas exige detectar en menos de 24 horas: sin vigilancia continua, el plazo es imposible por definición. La ley española que traspone NIS2 sigue pendiente, pero las exigencias ya te llegan por contrato desde clientes que sí están sujetos.
- ISO 27001:2022. Controles A.8.15 (registro) y A.8.16 (actividades de seguimiento).
- RGPD. Si en el incidente hay datos personales, tienes 72 horas para valorar la notificación a la AEPD.
Señales de que ya te hace falta
- Tienes servicios publicados en internet: VPN, escritorio remoto, un ERP accesible desde fuera.
- Trabajas con datos de terceros: clientes, pacientes, expedientes, nóminas.
- Un cliente grande o un contrato público te ha preguntado por escrito cómo detectas y notificas incidentes. La lógica es la misma que contamos en el artículo sobre riesgo de proveedores.
- Una parada de dos días te dejaría sin facturar.
- Nadie mira un registro de seguridad salvo cuando ya ha pasado algo.
Si no cumples ninguna, probablemente lo tuyo todavía no es un SOC: es cerrar lo básico primero, con el checklist de 25 controles y una prueba de intrusión que te diga por dónde entrarían. Vigilar bien una casa con las ventanas abiertas es caro y frustrante.
Preguntas frecuentes sobre el SOC
¿Qué diferencia hay entre un SOC y un antivirus o un EDR?
El EDR es una herramienta; el SOC es quien la mira y decide. Un EDR bien configurado genera alertas todo el día, y la mayoría son ruido. Sin alguien que separe el ruido de lo real y actúe, lo que tienes es un detector de humo sonando en una casa vacía.
¿Una empresa de veinte personas necesita un SOC 24/7?
Depende de qué pasa si te paran dos días y de qué datos manejas, no del número de empleados. Una asesoría de quince personas con datos fiscales de trescientos clientes tiene más que perder que una empresa de sesenta que trabaja en local y sin datos de terceros.
¿Cuánto cuesta un SOC gestionado para una pyme?
Varía mucho según el número de equipos, las fuentes de datos que se integran y si el proveedor contiene o solo avisa. Lo útil no es pedir precio, es pedir el mismo alcance a dos o tres proveedores: mismo número de puestos, mismas fuentes, misma capacidad de contención. Ahí las ofertas se vuelven comparables y las diferencias se explican solas.
¿Me sirve para cumplir con NIS2?
Es una pieza necesaria, no el cumplimiento entero. NIS2 pide gobernanza, gestión de riesgos, continuidad, cadena de suministro y formación del órgano de dirección, además de detección y notificación. El SOC cubre la parte de detectar y notificar a tiempo, que sin él es directamente inalcanzable.
¿Qué pasa con nuestros datos y nuestros registros?
Pregúntalo antes de firmar: dónde se almacenan los registros, cuánto tiempo se conservan, quién del proveedor puede acceder a ellos y qué te llevas si te vas. Un SOC ve prácticamente todo lo que ocurre en tu empresa, así que el proveedor pasa a ser uno de tus terceros más críticos y debe tratarse como tal.
¿Cuánto se tarda en poner uno en marcha?
Desplegar agentes e integrar las primeras fuentes puede llevar de dos a seis semanas según el tamaño. Lo que no es inmediato es el ajuste: las primeras semanas generan muchos falsos positivos y hace falta afinar las reglas con la realidad de tu empresa. Un proveedor que no te avisa de esa fase de ajuste no ha montado muchos.
La vigilancia continua no evita que te ataquen. Lo que cambia es el tiempo que el atacante tiene para trabajar tranquilo: la diferencia entre una cuenta bloqueada a las 3:30 de la madrugada y una empresa cifrada el lunes por la mañana.
En CiberPYME ofrecemos monitorización persistente 24/7 dimensionada para pymes, junto con la auditoría y el pentesting que la preceden y la consultoría GRC para la parte normativa. Cuéntanos tu caso y te decimos con franqueza si te hace falta ya o si hay cosas que cerrar antes.
