Una licitación puede pedir capacidades de vigilancia de seguridad y un incidente puede llevarte a revisar cómo detectas amenazas. Antes de elegir un SOC interno, externalizado o híbrido, conviene concretar el riesgo, las obligaciones aplicables y la cobertura que necesitas. NIS2 no impone a toda pyme contratar un SOC.
Explicamos qué es un SOC, cómo se relaciona con MDR, MSSP y SIEM y qué revisar para decidir si encaja en tu empresa.
Qué es un SOC en ciberseguridad
Un SOC (Security Operations Center o Centro de Operaciones de Seguridad) es una unidad —física, virtual o mixta— que combina personas, procesos y tecnología para vigilar, detectar y responder a amenazas de ciberseguridad de forma continua. Normalmente 24/7.
La analogía útil es la torre de control de un aeropuerto: no pilota los aviones, pero vigila que ninguno colisione, coordina a quien toca cuando hay emergencia y mantiene el orden. Un SOC tampoco gestiona tu infraestructura. Vigila lo que pasa en ella y activa protocolos cuando algo huele mal.
En España también se utiliza la denominación COS, Centro de Operaciones de Seguridad. La guía CCN-STIC 896 trata el perfil de cumplimiento para servicios de seguridad gestionados y los niveles de madurez de los SOC; no convierte cualquier servicio que use esas siglas en un servicio certificado.
"UN SOC NO ES UNA TECNOLOGÍA.
ES UN EQUIPO QUE SOSTIENE UN PROCESO."
Qué hace realmente un SOC, paso a paso
Cuando un proveedor te vende un SOC, te está vendiendo un proceso continuo con cinco fases. No un software.
Prevención continua
El SOC utiliza el inventario de activos y la información de vulnerabilidades para orientar la vigilancia. La aplicación de parches, los cambios de configuración y la actualización de políticas deben asignarse al equipo responsable según el alcance acordado; no están incluidos automáticamente en cualquier servicio SOC.
Detección y monitorización
SIEM y EDR/XDR aportan registros y señales para detectar actividad sospechosa. Las alertas dependen de las fuentes conectadas, las reglas y su ajuste. Una hora de acceso inusual o una transferencia grande requiere contexto; no toda anomalía se detecta ni implica un ataque.
Investigación y triaje
No todas las alertas son ataques. El analista L1 filtra ruido. Si pinta mal, escala a un L2 que investiga contexto. Si el incidente es complejo, lo recoge un L3 que hace threat hunting proactivo y forense.
Respuesta y contención
Ante un incidente confirmado, el equipo aplica el procedimiento acordado: puede aislar equipos, bloquear conexiones, revocar credenciales y preservar evidencias. Actuar pronto puede limitar el impacto; no permite fijar una proporción universal entre minutos de respuesta y coste del incidente.
Recuperación y aprendizaje
Tras contener, toca restaurar sistemas, verificar que no quede persistencia del atacante y documentar. La parte menos visible pero más valiosa: cada incidente actualiza los playbooks, las reglas de detección y los controles. Para que no vuelva a pasar igual.
Los tres pilares: personas,
procesos, tecnología
Un SOC que no tenga los tres equilibrados no es un SOC. Es un dashboard caro.
Personas
Analistas L1 (triaje, 24/7), L2 (investigación profunda), L3 (respuesta a incidentes y threat hunting), más un SOC manager y a menudo ingenieros de detección que afinan las reglas. En pymes con SOC externalizado, este equipo está en el proveedor, no en tu nómina.
Procesos
Playbooks, compromisos de respuesta, escalado y canales de comunicación con los destinatarios competentes según el incidente. Para incidentes significativos, el artículo 23 de NIS2 prevé, como regla general, alerta temprana en 24 horas y notificación en 72 horas desde que se tiene conocimiento, con excepciones y un informe final posterior. Debe comprobarse el marco nacional aplicable. Fuente: Directiva NIS2.
Tecnología
SIEM como núcleo (Splunk, Microsoft Sentinel, Elastic, Wazuh), SOAR para automatizar respuestas repetitivas, EDR/XDR en endpoints (SentinelOne, Microsoft Defender for Business, Sophos), feeds de inteligencia de amenazas y ticketing para trazabilidad. Sin tecnología no hay SOC. Con solo tecnología tampoco.
SOC vs MDR vs MSSP vs SIEM: no son lo mismo
Estos términos describen funciones, servicios y herramientas que pueden solaparse. Comparar el alcance del contrato evita confundir una plataforma con el equipo y los procedimientos que la utilizan.
| Concepto | Qué es | Qué incluye | Quién lo compra |
|---|---|---|---|
| SOC | Función / unidad organizativa | Personas + procesos + tecnología (todo) | Empresas que quieren capacidad completa de ciberseguridad operativa |
| MDR Managed Detection & Response |
Servicio comercial externalizado | Detección + respuesta activa, foco en endpoint y red | Pymes y medianas que necesitan 24/7 sin montar SOC propio |
| MSSP Managed Security Service Provider |
Proveedor de servicios de seguridad gestionados | Puede ofrecer SOC, MDR, firewall gestionado, pentesting, auditoría… | Empresas que externalizan capas de seguridad por contrato |
| SIEM Security Information & Event Management |
Plataforma tecnológica (software) | Recolección y correlación de logs + alertas | SOCs internos o proveedores que montan detección sobre ella |
Un SIEM es una herramienta; un SOC es una capacidad operativa de seguridad; MDR es un servicio de detección y respuesta gestionadas, y MSSP designa a un proveedor de seguridad gestionada. Las denominaciones comerciales no delimitan por sí solas el alcance. Pregunta qué fuentes se monitorizan, quién responde, con qué horario y qué acciones puede ejecutar.
Modelos de SOC: interno, externalizado
o híbrido
SOC interno (dedicado)
Equipo, infraestructura y herramientas propios. La viabilidad depende del riesgo, el volumen de trabajo, los turnos, las ausencias, la especialización y el presupuesto. No existe un umbral universal de empleados ni una cifra de analistas que garantice por sí sola un SOC 24/7.
SOC externalizado (SOCaaS)
Contratas a un proveedor los servicios y la cobertura definidos. La cuota puede depender de los dispositivos, los datos procesados o el alcance. Es una alternativa para acceder a un equipo compartido sin construir toda la capacidad internamente; conviene comparar costes, responsabilidades y dependencias.
SOC híbrido (co-gestionado)
Tu IT interno lleva el día a día. El proveedor aporta vigilancia 24/7, threat hunting y respuesta fuera de horario. Suele ser el modelo más eficiente para empresas con IT interno competente pero sin capacidad de turnos. En IslaNet es el modelo que recomendamos más a menudo para pymes de 50-250 empleados en Baleares.
¿Necesita tu pyme un SOC? Cuatro escenarios claros
Estos cuatro escenarios justifican evaluar la capacidad de detección y respuesta. La solución adecuada puede ser interna, gestionada o combinada y debe responder al riesgo y a los requisitos concretos.
Tu sector está cubierto por NIS2
Si la actividad encaja en los tipos de entidad de NIS2, revisa tamaño, excepciones y normativa nacional aplicable. El artículo 21 exige medidas proporcionadas al riesgo, no la compra universal de un SOC. Este puede apoyar la detección y respuesta, pero no acredita por sí solo el cumplimiento ni sustituye la responsabilidad de la entidad.
Tus clientes o proveedores te lo piden
Un contrato o una licitación puede exigir vigilancia, respuesta y evidencias concretas. Comprueba el alcance y los criterios de adjudicación: contratar un SOC puede ayudar a cumplir un requisito, pero no garantiza obtener el contrato.
Has sufrido un incidente y no quieres otro
Tras un incidente conviene revisar qué señales faltaron y cómo se atendieron las alertas. Un SOC puede mejorar la detección y la respuesta, pero no garantiza descubrir todo ataque antes de que cause daños.
Estás en un sector de alto riesgo
Hoteles, organizaciones sanitarias, logística, finanzas y despachos manejan sistemas o información cuya indisponibilidad o exposición puede tener consecuencias importantes. Evalúa el impacto y la probabilidad en tu caso; no todo ataque es inevitable.
Cómo elegir proveedor de SOC: checklist práctico
Si ya has decidido externalizar, estos son los siete criterios que separan a un SOC real de uno que solo vende el sello.
SLAs de respuesta escritos en contrato
Tiempo máximo para acusar recibo, analizar y contener, por nivel de criticidad. Si el SLA no está por escrito, no existe.
Cobertura real 24/7 demostrable
Pregunta cuántos analistas por turno, desde qué ubicación trabajan y cómo demuestran cobertura nocturna. Un SOC "24/7" con dos analistas en total no es 24/7.
Certificaciones del proveedor y del equipo
Comprueba el alcance y la vigencia de certificaciones pertinentes, como ISO 27001 o ENS, y de los informes de aseguramiento SOC 2 cuando procedan. SOC 2 es un informe de auditoría, no una certificación ISO. Valora también la experiencia y las credenciales del equipo en función del servicio contratado.
Transparencia en la pila tecnológica
Pide información sobre SIEM, EDR, fuentes de inteligencia y dependencias de terceros. El proveedor debe explicar la arquitectura y las responsabilidades con suficiente detalle para evaluar el servicio, respetando los límites de confidencialidad necesarios.
Integración con tu stack actual
Microsoft 365, Google Workspace, ERP, CRM, firewalls y servicios cloud pueden aportar registros útiles. Identifica qué fuentes se integran y qué queda fuera: la falta de visibilidad dificulta la investigación, aunque no demuestra por dónde ocurrirá un ataque.
Reporting ejecutivo, no solo técnico
Informes mensuales legibles por dirección: incidentes detectados, tiempo medio de contención, madurez. Si el reporting es una sábana de alertas, dirección pierde contexto y el SOC pierde patrocinio interno.
Ejercicios reales de respuesta
Tabletop exercises periódicos con dirección y purple team al menos anual. Un SOC que nunca te pone a prueba no sabrás si funciona hasta que pase lo peor.
Fuentes primarias: CISA StopRansomware · NIST SP 800-61r3 · NIS2, arts. 2, 21, 23.
FAQs
sobre SOCs
"Somos pequeños, a nosotros no nos van a atacar"
El tamaño no elimina el riesgo. Una pyme puede sufrir robo de credenciales, fraude o interrupciones de servicio. Conviene evaluar activos, exposición y controles, sin usar un porcentaje general de ataques como diagnóstico de tu empresa.
"Ya tengo un informático, ¿para qué quiero un SOC?"
Son cosas distintas. Tu informático gestiona sistemas: que funcionen, estén al día y la gente pueda trabajar. Un SOC vigila la seguridad 24/7 con herramientas y procesos específicos. No se sustituyen, se complementan. Un SOC normalmente trabaja sobre la infraestructura que tu IT ya mantiene.
¿Cuál es la diferencia entre SOC y NOC?
Un NOC se centra en disponibilidad y funcionamiento de redes y servicios; un SOC se centra en detectar, investigar y responder a amenazas de seguridad. Pueden compartir fuentes de datos y coordinarse. Revisa qué tareas de seguridad incluye realmente tu proveedor de IT.
¿Puedo montar un SOC interno con 2-3 personas?
Dos o tres personas, por sí solas, difícilmente pueden sostener todos los turnos, descansos, vacaciones y especialidades de una operación atendida 24/7. Dimensiona la cobertura y las sustituciones con un plan real. Un modelo externalizado o híbrido puede aportar capacidad adicional, según su contrato.
¿Qué es un analista SOC L1, L2 y L3?
L1 hace triaje inicial de alertas y filtra falsos positivos. L2 investiga lo que pinta mal, correla eventos y escala si es incidente real. L3 lleva respuesta a incidentes complejos, forense digital y threat hunting proactivo. La ruta profesional empieza en L1 y evoluciona con experiencia y certificaciones.
¿Un SOC sustituye al antivirus o al firewall?
No. Un SOC utiliza señales de distintas fuentes, como endpoints, firewall, identidad, correo y cloud. Estas herramientas y los procesos de revisión se complementan. También puede existir revisión de alertas fuera de un SOC formal; lo importante es asignar responsables, cobertura y acciones.
¿Subcontratáis el SOC a otro país?
En IslaNet, no. El SOC lo gestionamos desde Palma con técnicos propios. Cuando salta una alerta crítica a las 3 de la madrugada, descuelga un técnico nuestro en Mallorca, no un operador en otro huso horario ni un call center genérico.
¿NIS2 obliga a todas las pymes a tener un SOC?
No existe una obligación universal de que todas las pymes contraten un SOC. El alcance de NIS2 depende de actividad, tamaño, relaciones empresariales y excepciones; ser proveedor no transmite automáticamente la condición de entidad obligada. Hay que comprobar la normativa nacional aplicable. Un SOC puede apoyar medidas de detección y respuesta, pero no acredita por sí solo el cumplimiento. Una auditoría de ciberseguridad puede ayudar a revisar el caso.
SI NECESITAS UN SOC, HABLEMOS
Si tu empresa está valorando contratar un SOC —propio, externalizado o híbrido— podemos ayudarte a decidir. Sin venta a presión. Una llamada corta nos basta para entender tu caso, ver qué modelo encaja con tu tamaño y sector, y darte rango de inversión realista.
Equipo en Palma, sin subcontratación.
