Cuando sales al mercado a contratar un SOC, te enfrentas a un mar de propuestas que prometen monitoreo 24/7, respuesta inmediata y seguridad total, pero pocas explican con claridad qué hacen realmente cuando ocurre un incidente.
Elegir mal no solo impacta en tu presupuesto; genera una falsa sensación de protección. Crees que alguien está vigilando tu infraestructura, pero en la práctica solo recibes alertas genéricas, correos automáticos o dashboards que nadie revisa cuando más importa.
En TecnetOne hemos preparado esta guía está diseñada para ayudarte a elegir el SOC adecuado para tu empresa: entender qué estás comprando realmente, cómo filtrar propuestas, qué diferencias existen entre SOC, SIEM y MDR, y qué exigir para que el servicio reduzca riesgos de verdad.
Tabla de contenidos
Este es el punto donde más empresas se confunden (y donde más dinero se pierde). Muchísimos proveedores venden una cosa al precio de otra.
SIEM (herramienta): es tecnología para centralizar logs, correlacionar eventos y generar alertas. Un SIEM no te protege por sí solo: necesita ingeniería, contenido de detección, mantenimiento y operación.
SOC (operación + proceso + personas): es el equipo (y la disciplina) que monitorea, detecta, investiga, contiene y coordina respuesta. Puede usar SIEM, EDR/XDR, SOAR y otras piezas, pero el valor está en la operación.
MDR (servicio enfocado, comúnmente endpoint): suele centrarse en detección y respuesta principalmente sobre EDR/XDR. Puede ser excelente, pero no siempre cubre todo tu entorno (nube, identidad, redes, SaaS, etc.) ni la gobernanza completa.
Regla práctica: si te prometen “SOC en 48 horas” sin onboarding, sin integración de fuentes y sin runbooks, probablemente estás comprando alertas, no capacidad de respuesta.
No te quedes solo con el precio o el logo del proveedor. Exige que la propuesta técnica cubra estos puntos:
Pide un listado explícito de fuentes de telemetría y prioridades:
Identidad (Microsoft Entra ID / AD)
Endpoints (EDR/XDR)
Red (FW, IDS/IPS, VPN)
Nube (Azure/AWS/GCP)
Email (M365 / Google Workspace)
SaaS crítico (CRM, ERP, etc.)
Si el proveedor no te dice qué integra y qué queda fuera, no puedes estimar el riesgo residual.
Un SOC no vive de “firmas genéricas”. Debe incluir:
Casos de uso por MITRE ATT&CK (o equivalente)
Tuning para bajar falsos positivos
Revisión periódica y mejora continua (nuevas técnicas, cambios en tu entorno)
Pide ejemplos de detecciones y cómo las actualizan.
No basta “24/7”. Pregunta por tiempos concretos:
MTTD (tiempo medio de detección)
MTTA (tiempo medio de reconocimiento/triage)
MTTR (tiempo medio de contención / resolución coordinada)
Y, lo más importante: ¿cuál es el SLA en severidad Alta?
Conoce más sobre: KPIs de Respuesta a Incidentes: MTTA, MTTD y MTTR
¿El SOC puede ejecutar acciones o solo “te avisa”?
Aislar endpoint
Bloquear IOC en firewall
Deshabilitar usuario comprometido
Revocar sesiones / tokens
Contener lateral movement
Si todo depende de que “tu equipo lo haga”, entonces estás pagando por un call center de alertas.
Exige runbooks para escenarios comunes:
Compromiso de correo (BEC)
Ransomware
Credenciales filtradas / takeover de cuentas
Exfiltración
Movimiento lateral
Y define: quién decide y qué aprobaciones se requieren para actuar.
Un buen SOC debe hablar dos idiomas:
Dirección/Board: tendencias, riesgo, exposición, impacto y decisiones (qué se redujo, qué falta).
TI/SecOps: evidencia, línea de tiempo, IOCs, recomendaciones accionables y backlog priorizado.
Huye de reportes “bonitos” que no generan acciones.
Pregunta cómo es el mes 1 y el mes 3:
Onboarding (inventario, activos críticos, crown jewels)
Baseline (qué es normal en tu entorno)
Ajuste de severidades y umbrales
Reuniones de servicio, QBR/MBR, roadmap de detección
Un SOC sin mejora continua se vuelve obsoleto rápido.
Antes de firmar, haz estas preguntas. Sus respuestas te dirán su madurez operativa:
“¿Quién opera mi cuenta realmente?”
¿Es su equipo interno o subcontratan? ¿Quién tiene acceso a tus datos y bajo qué controles?
“¿Qué pasa si hay un incidente a las 3 a.m.?”
¿Hay guardia real? ¿Escalamiento? ¿Canales directos (teléfono/war room) o solo ticket?
“¿Cómo manejan falsos positivos y fatiga de alertas?”
Un buen SOC tiene proceso de tuning. Si dicen “eso es normal”, mala señal.
“¿Qué NO cubre el servicio?”
Si evitan decirlo, es porque el alcance es más pequeño de lo que parece.
“¿Qué evidencia me entregan y cómo la preservan?”
Importante para forense, compliance y seguros.
No siempre necesitas el “SOC más grande”. Depende de tu contexto:
SOC interno (in-house): control máximo, pero alto costo y complejidad (24/7, rotación, tooling, ingeniería).
SOC tercerizado (MSSP/SOC como Servicio): aceleras cobertura y operación, ideal para PYMEs/scaleups o equipos pequeños.
SOC híbrido: el proveedor opera 24/7 y tu equipo mantiene gobierno, prioridades, y respuesta ampliada.
Regla práctica: si hoy tu equipo “apaga fuegos” y no llega a operar seguridad 24/7, un modelo tercerizado o híbrido suele dar mejor costo-beneficio.
Podría interesarte: ¿Qué es un SOC como Servicio?
Es frustrante no ver precios fijos, pero en seguridad “depende” suele ser la respuesta honesta. El costo normalmente varía por:
Alcance (activos y fuentes): endpoints, identidades, nubes, firewalls, etc.
Volumen de logs/telemetría: ingesta y retención (impacta tooling).
Modelo de servicio: solo monitoreo vs. respuesta activa vs. Incident Response incluido.
Horario y SLA: 8x5 vs. 24/7, tiempos de respuesta.
Complejidad del entorno: multi-nube, múltiples sedes, OT/IoT, etc.
En TecnetOne no creemos en el SOC como algo que solo envía alertas o correos automáticos cuando algo ya salió mal. Nuestro SOC opera como una extensión real de tu equipo, con analistas que entienden tanto de tecnología como de impacto en el negocio.
No solo detectamos incidentes: los investigamos, los contextualizamos y ayudamos a contenerlos. Cada alerta tiene un porqué, una prioridad clara y una recomendación accionable. Nuestro objetivo no es llenarte de ruido, sino reducir riesgo real.
Un SOC no debería verse como un gasto operativo más. El costo de una brecha, un ransomware o una cuenta comprometida suele superar ampliamente la inversión en un SOC 24/7 bien operado, especialmente cuando la detección llega tarde o la respuesta no está clara.
Por eso apostamos por transparencia, procesos definidos y comunicación directa. Sabes qué monitoreamos, cómo respondemos y quién está del otro lado cuando ocurre un incidente crítico.