La transformación silenciosa del SOC

Para comprender el estado actual de SOC (Security Operations Center), es necesario retroceder a sus orígenes. Aunque no existe un punto exacto de partida, su evolución está estrechamente ligada a los Network Operations Centers (NOC) de los años 90.

De ellos hemos heredado no solo su estructura, sino también una forma de operar que, con el paso del tiempo, ha evidenciado ciertas limitaciones que, a día de hoy, condicionan su efectividad.

En la actualidad, las organizaciones se enfrentan a un escenario marcado por la sofisticación de los adversarios y una presión constante sobre los analistas. Aunque la misión del SOC permanece intacta, el modelo sobre el que se sustenta ha quedado desalineado con la realidad.

“La cuestión, por tanto, no es si el SOC debe evolucionar, sino cómo hacerlo”

Hablar de un “SOC moderno” no implica referirse a un estándar cerrado o a una arquitectura única. Más bien apunta a una dirección: la necesidad de adaptar capacidades, procesos y estructuras a un entorno dinámico, donde la eficiencia operativa y la capacidad de respuesta marcan la diferencia.

El agotamiento del modelo por niveles

Durante años, los SOC han adoptado estructuras organizativas inspiradas en los servicedesk tradicionales, basadas en niveles jerárquicos (L1, L2, L3) y en un modelo de escalado progresivo. Este enfoque, empieza a mostrar signos claros de ineficiencia.

El volumen de alertas y la complejidad de los incidentes han transformado este esquema en un cuello de botella. En muchos casos, los analistas de primer nivel, asumen tareas críticas, filtrando grandes volúmenes de eventos y tomando decisiones con información incompleta. Esto deriva en análisis superficiales, fatiga operativa y un aumento del riesgo de incidentes no detectados.

Ante esta realidad, numerosas organizaciones están intentando, no siempre con éxito, migrar hacia operaciones de gestión de la ciberseguridad mucho más autónomas.

Hacia operaciones de seguridad más autónomas

El concepto de operaciones de seguridad autónomas no debe interpretarse como una eliminación del factor humano. Por el contrario, implica un rediseño de los procesos para hacerlos más ágiles, adaptativos y eficientes, maximizando el valor del talento disponible.

Es aquí donde emerge el enfoque de Detection & Response Development Lifecycle (DR-DLC), que introduce principios propios de la ingeniería de software. Este modelo promueve la adopción de conceptos como “detection as code” (DaS), donde las reglas de detección se gestionan bajo criterios de control de versiones, integración continua, automatización y aseguramiento de la calidad.

Este enfoque permite a los equipos desarrollar, validar y desplegar nuevas capacidades de detección de forma ágil y controlada, reduciendo errores y mejorando la eficiencia operativa. En última instancia, supone un paso hacia la profesionalización de la ingeniería de detección dentro del SOC, abandonando esa jerarquía de los años 90 donde teníamos un SOC dividido en niveles.

Más allá de la tecnología

La transformación del SOC no es un problema tecnológico. Es común ver como siempre nos centramos en incorporar nuevas herramientas, pero este no es el camino, antes conviene detenerse. Revisar cómo trabajamos. Definir procedimientos. Establecer protocolos claros. Estandarizar operaciones. Construir, en definitiva, una base sólida sobre la que poder evolucionar.

Es precisamente cuando esa base existe, cuando enfoques como Detection as Code o el Detection & Response Development Lifecycle (DR-DLC) aportan un valor diferencial.

Con la inteligencia artificial ocurre algo similar. Incorporar agentes, modelos de lenguaje o capacidades avanzadas de automatización no garantiza, por sí mismo, una mejora operativa. Sin gobierno, sin procesos bien definidos, sin criterios claros… el impacto es limitado.

Ahora bien, cuando esos elementos están en su sitio, el efecto es evidente. La tecnología empieza a trabajar a favor del SOC: acelera la detección, mejora la respuesta y permite optimizar indicadores clave como el MTTD o el MTTR.

La verdadera revolución, por tanto, no está en la herramienta. Está en la forma de trabajar. Primero rediseñar el SOC. Después, adaptar la tecnología. Ese es el orden. Y también la diferencia entre evolucionar… o simplemente parecer que se evoluciona.