SOC como Servicio: Qué es un SOC y Cuándo Conviene Contratarlo

Un SOC (Security Operations Center o centro de operaciones de seguridad) es el equipo de analistas, procesos y herramientas que vigila la actividad de los sistemas de una empresa las 24 horas, detecta comportamientos sospechosos, investiga cada alerta y contiene los incidentes antes de que se conviertan en un problema de negocio. Un SOC como servicio (SOCaaS) es ese mismo equipo operado por un proveedor externo y contratado por suscripción, sin montar infraestructura propia ni contratar analistas.

Antes de decidir si tu empresa lo necesita, conviene tener claro qué hace exactamente un SOC, cómo funciona por dentro, qué cambia cuando se contrata como servicio, cuánto cuesta y qué señales indican que ya es momento de tenerlo.

¿Qué es un SOC en ciberseguridad?

SOC son las siglas de Security Operations Center, el centro de operaciones de seguridad. Cuando alguien habla de un SOC de ciberseguridad se refiere a esto. Su trabajo se resume en una frase: saber en todo momento qué está pasando en las computadoras, servidores, cuentas de correo y nube de tu empresa, y avisar o intervenir cuando algo se sale de lo normal.

Un SOC no es un programa que se instala y listo. Es una operación que corre todo el año, y la forma más fácil de entenderla es como la caseta de vigilancia de un edificio corporativo. Tiene tres partes. Las personas: analistas de seguridad que trabajan por turnos, como los guardias de la caseta. Los procesos: el manual que dice qué hacer ante cada tipo de aviso, para que a las tres de la mañana se actúe igual que a las once. Y la tecnología: los sensores que se instalan en tus equipos, que son las cámaras, y la pantalla donde toda esa información se junta, que es el monitor de la caseta.

Un ejemplo sencillo. Un colaborador de ventas inicia sesión en su correo a medianoche desde otro país, y diez minutos después esa misma cuenta intenta descargar la lista completa de clientes. Cada evento por separado parece normal. Visto en conjunto, es la señal de que alguien más tiene su contraseña. Eso es lo que un SOC ve y lo que una empresa sin SOC descubre semanas después.

Una confusión frecuente que conviene aclarar: SOC 2 es un reporte de auditoría que certifica los controles de un proveedor de servicios. No tiene relación con el centro de operaciones de seguridad. Cuando una empresa dice "tenemos SOC 2" habla de un certificado; cuando dice "tenemos un SOC" habla de vigilancia.

¿Qué hace un SOC? Las cinco funciones

Todo SOC, propio o contratado, hace las mismas cinco cosas. La diferencia entre un buen servicio y uno regular está en qué tan a fondo hace cada una.

1. Vigila todo el tiempo. Recibe lo que pasa en cada computadora, servidor, cuenta y servicio en la nube, de día y de noche. Buena parte de los ataques avanza en fin de semana o de madrugada, justo cuando en la oficina no hay nadie frente a la pantalla.
2. Separa lo importante del ruido. Una empresa mediana genera miles de avisos al día y casi todos son falsas alarmas: una actualización, un inicio de sesión desde la casa de alguien, un archivo que se movió de carpeta. El SOC descarta lo normal y se queda con lo que sí hay que mirar.
3. Investiga qué pasó. Con qué cuenta entraron, desde qué equipo, a qué hora y qué más tocaron. Sin este paso, un aviso es solo una sospecha; con él, es un caso con nombre, hora y alcance.
4. Contiene el problema. Desconecta de la red la computadora afectada, bloquea la cuenta comprometida o corta la comunicación con el sitio desde donde se controla el ataque, y le dice a tu equipo de TI qué hacer después.
5. Deja todo por escrito. Registra cada caso y cada acción. Ese registro es lo que dirección lee en su resumen de la mañana y lo que un auditor, un cliente corporativo o una aseguradora te pide cuando toca demostrar que tu empresa está vigilada.

¿Cómo funciona un SOC? Personas, procesos y tecnología

Volvamos a la caseta de vigilancia. El monitor donde se ven todas las cámaras a la vez se llama SIEM. Es la plataforma que recibe los registros de todos tus sistemas, los cruza entre sí y levanta un aviso cuando la secuencia coincide con la forma en que se comporta un ataque. Si estás evaluando esa pieza, tenemos una guía con las mejores soluciones SIEM para empresas.

Las cámaras son los sensores. El más importante se llama EDR y es un pequeño programa instalado en cada computadora y servidor que observa qué hace cada aplicación y puede aislar el equipo si detecta algo raro. A eso se suman el filtro del correo, el revisor de vulnerabilidades y las listas de sitios y direcciones que ya se sabe que son maliciosas.

Ninguna de esas herramientas es un SOC por sí sola. Una cámara sin nadie que la mire solo graba. Sin analistas que revisen los avisos y decidan, las consolas acumulan alertas que nadie lee.

Los guardias son los analistas, y trabajan por niveles. El primer nivel revisa cada aviso y decide si es real. El segundo investiga los casos confirmados y los contiene. El tercero busca lo que las reglas no alcanzaron a detectar y mejora las reglas para la próxima vez. El manual de procedimientos, que en este mundo se llama playbook, es lo que garantiza que un incidente se atienda igual sin importar quién esté de turno.

Hoy en día, una parte del trabajo del primer y segundo nivel la hacen agentes de inteligencia artificial: revisan cada aviso en segundos, arman el contexto y le entregan al analista un caso ya investigado para que decida. Lo explicamos en nuestro artículo sobre qué es un SOC agéntico.

¿Qué es un SOC como servicio (SOCaaS)?

Un SOC como servicio es la caseta de vigilancia completa, contratada a una empresa que ya la tiene funcionando. Tú instalas un pequeño agente en tus equipos; el proveedor pone la plataforma, los analistas de todos los turnos y los procedimientos. Lo que recibes son casos ya investigados, instrucciones claras de qué hacer y reportes listos para dirección, en lugar de una consola más que alguien de tu equipo tiene que vigilar.

Vas a encontrar varios nombres para cosas parecidas, y conviene distinguirlos antes de comparar propuestas. SOC gestionado y SOC administrado significan lo mismo que SOC como servicio. MSSP es un proveedor de seguridad administrada en general: puede administrarte el firewall o el antivirus sin tener un SOC detrás. MDR es un servicio enfocado en detectar y responder en las computadoras y servidores; un SOC como servicio suele cubrir también correo, cuentas, red y nube, y agrega los reportes que piden los auditores.

Un servicio de SOC completo te incluye, como mínimo:

• La plataforma donde se junta toda la información, operada por el proveedor y sin licencias aparte.
• El agente de protección en cada computadora, servidor y dispositivo móvil.
• Vigilancia e investigación de los avisos las 24 horas, todos los días del año.
• Instrucciones de contención: qué desconectar, qué bloquear y en qué orden.
• Reportes para dirección y para TI con una periodicidad acordada.
• En los planes superiores, revisión de vulnerabilidades y aplicación de parches.

SOC interno vs SOC como servicio: comparativa

Decidir entre armar tu propia caseta o contratarla se resuelve en seis puntos. La tabla está pensada para una empresa mediana que hoy no tiene un área de seguridad separada de TI.

El SOC propio tiene sentido en organizaciones con cientos de servidores, reglas muy estrictas sobre dónde pueden vivir sus datos o un equipo de seguridad que ya existe. Para la mayoría de las empresas medianas, la caseta contratada arranca antes y cuesta menos. Profundizamos en cada escenario en SOC interno vs SOCaaS: cuál es mejor opción para tu empresa.

¿Cuándo conviene contratar un SOC como servicio?

Hay cinco situaciones en las que un SOC deja de ser una mejora deseable y se convierte en la decisión que ordena todo lo demás. Si te reconoces en dos o más, ya estás en ese punto.

1. Tu equipo de TI es quien atiende los avisos de seguridad, además de dar soporte, administrar servidores y sacar proyectos. Un SOC les devuelve ese tiempo y les entrega solo los casos que sí importan, ya investigados.
2. Un cliente, una aseguradora o un auditor te pidió evidencia de monitoreo. Los contratos con corporativos, las pólizas de ciberriesgo y normas como ISO 27001 o PCI DSS piden demostrar vigilancia continua, con registros y fechas, y esa evidencia es un entregable natural del SOC.
3. Tienes más de 20 equipos y parte de tu operación vive en la nube o en Microsoft 365. A partir de ese tamaño, la actividad ya no cabe en una pantalla ni en la atención de una sola persona.
4. Quieres que el tiempo entre que alguien entra y alguien se da cuenta se mida en minutos. Hoy, en muchas empresas, ese tiempo se mide en semanas. Solo baja con vigilancia continua y con alguien revisando cada aviso al momento.
5. Evaluaste armar tu propio SOC y el presupuesto de personal no cerró. Es el caso más común. La tecnología cabe en el presupuesto; el equipo de analistas para cubrir las 24 horas, no.

Si es tu caso, revisa cómo está armado nuestro SOC as a Service para empresas y qué cubre cada plan.

¿Cuánto cuesta un SOC como servicio?

El modelo más común del mercado es una mensualidad por cada equipo protegido, ya sea computadora, servidor o teléfono, con planes que suben de precio conforme cubren más: solo ver lo que pasa, proteger activamente, responder en más frentes o generar la evidencia que piden los auditores. Los mínimos de contratación suelen arrancar entre 20 y 50 equipos.

Como referencia pública, los planes de TecnetSOC publicados en la página de nuestro servicio van desde un plan gratuito de visibilidad hasta 10 equipos, y planes de pago desde 16, 25 y 35 dólares por equipo al mes según el nivel de cobertura, con mínimos de 20, 30 y 50 equipos. Los dos planes intermedios se pueden probar 30 días con tus propios equipos y sin registrar una tarjeta.

Para comparar contra la opción de armarlo tú, suma los sueldos de los analistas de todos los turnos, las licencias de las herramientas, los servidores donde correrían y la capacitación de cada año. Solo la nómina de un equipo que cubra las 24 horas suele superar lo que cuesta el servicio para varios cientos de equipos.

Qué preguntar a un proveedor antes de firmar

En papel, las propuestas de SOC se parecen mucho. Estas cinco preguntas separan a un servicio que actúa de uno que solo te avisa:

• Si a las tres de la mañana hay un incidente grave, ¿quién lo atiende y en cuánto tiempo? Pide ese compromiso por escrito.
• ¿Qué vigilan: solo las computadoras, o también el correo, las cuentas, la red y la nube?
• Cuando detectan algo, ¿lo contienen o solo mandan un correo? ¿Quién desconecta el equipo?
• ¿Qué evidencia entregan, cada cuánto y en qué formato la va a recibir un auditor?
• Si termino el contrato, ¿me entregan mis registros y en cuánto tiempo?

Desarrollamos cada punto, con las preguntas incómodas incluidas, en cómo contratar un SOC as a Service y qué tomar en cuenta.

TecnetSOC Agentic: el primer SOC agéntico de México

En TecnetOne contamos con TecnetSOC Agentic, el primer SOC agéntico de México. La diferencia con un SOC tradicional está en quién hace el primer trabajo: agentes de inteligencia artificial revisan cada aviso en el momento en que aparece, descartan lo que no es un riesgo, arman el contexto del caso (quién entró, desde dónde y qué tocó) y se lo entregan a nuestros analistas ya investigado. Las acciones de bajo riesgo se ejecutan al instante; las críticas se deciden junto con tu equipo de TI, y cada paso queda registrado para tu auditor.

Así se ve en una noche cualquiera. A las 3:12 de la mañana, una computadora del área de contabilidad empieza a cifrar los archivos de una carpeta compartida. El agente instalado en ese equipo lo desconecta de la red en ese mismo momento, antes de que toque otra carpeta. El caso llega a nuestro analista de turno con el correo por el que entró el ataque y la cuenta que usaron ya identificados; él lo confirma y deja a tu equipo de TI las instrucciones para cuando llegue a la oficina. A las 8:00, el resumen ejecutivo del día lo cuenta con hora, alcance y evidencia.

TecnetSOC Agentic opera con analistas propios en Latinoamérica, te entrega ese resumen ejecutivo cada mañana y queda funcionando entre 24 y 48 horas después de contratarlo, con agentes para Windows, macOS, Linux y tus servicios en la nube. Dentro de la plataforma, Neo, tu analista de guardia con IA, te explica sin lenguaje técnico qué significa lo que estás viendo y te arma el resumen para dirección con un clic. 

Preguntas frecuentes sobre SOC como Servicio

¿Qué significa SOC en ciberseguridad?

El significado de SOC es Security Operations Center, centro de operaciones de seguridad. Es el equipo que vigila los sistemas de una empresa todo el tiempo, revisa cada aviso sospechoso y actúa cuando confirma un incidente.

¿SOC y SOC 2 son lo mismo?

No. SOC 2 es un reporte de auditoría sobre los controles de un proveedor de servicios. El SOC de ciberseguridad es una operación de vigilancia y respuesta. Un SOC como servicio te ayuda a generar la evidencia que pide una auditoría SOC 2, pero son cosas distintas.

¿Cuál es la diferencia entre un SOC y un NOC?

El NOC (centro de operaciones de red) cuida que tu red y tus sistemas estén disponibles y funcionen bien. El SOC cuida que nadie los use de forma indebida. Uno vigila que la luz no se vaya; el otro, que nadie entre sin permiso.

¿Cuál es la diferencia entre un SOC y un SIEM?

El SIEM es la herramienta: la pantalla donde se juntan y se cruzan los registros de todos tus sistemas. El SOC es el equipo y el procedimiento que la operan y actúan sobre lo que detecta. Un SIEM sin SOC es una cámara que graba sin que nadie la mire.

¿Qué diferencia hay entre SOC como servicio y MDR?

MDR se enfoca en detectar y responder en computadoras y servidores. Un SOC como servicio cubre además correo, cuentas, red y nube, y suma los reportes y la evidencia para auditorías. Muchos SOC como servicio incluyen MDR como una de sus capas.

¿Cuánto tarda en operar un SOC como servicio?

Con TecnetSOC Agentic, entre 24 y 48 horas. Lo único que hace tu equipo es descargar e instalar el agente en cada computadora o servidor; el despliegue de la protección que incluye tu plan se activa solo, sin configuraciones manuales ni reuniones de arranque.

¿Qué tamaño de empresa necesita un SOC?

Cualquier empresa con datos de clientes, operación en la nube o clientes que le exigen controles de seguridad. En la práctica, a partir de 20 equipos vigilar a mano deja de ser viable y el SOC como servicio se vuelve la opción con mejor relación entre cobertura y costo.