Cómo evaluar un SOC como servicio en Centroamérica: cobertura y responsabilidades

Un centro de operaciones de seguridad (SOC) como servicio traslada a un proveedor externo la vigilancia de los registros de seguridad, el análisis de alertas y, según el contrato, parte de la respuesta a incidentes. Su valor depende de cuatro definiciones contractuales: qué fuentes de registros recibe el proveedor, en qué tiempos atiende las alertas, a quién notifica y qué autoridad tiene para contener un incidente.

Para un gerente de seguridad o de sistemas en Centroamérica, evaluar un SOC como servicio consiste en convertir la promesa de monitoreo continuo en responsabilidades escritas, medibles y ensayadas. Las secciones siguientes recorren las decisiones que conviene cerrar antes de firmar.

El alcance del SOC depende de las fuentes que recibe

Un SOC investiga lo que puede ver. Los registros de identidades, servidores, aplicaciones críticas, firewall, correo y herramientas de detección en equipos (EDR) determinan qué comportamientos podrán identificarse. La propuesta debe enumerar las fuentes incluidas, el método de integración, el volumen estimado de eventos, el periodo de retención y quién es dueño de los datos.

La publicación del NIST sobre monitoreo continuo (SP 800-137, 2011) plantea esa vigilancia como insumo para las decisiones de riesgo y propone definir la estrategia de monitoreo antes que las herramientas. Fue elaborada para sistemas federales de Estados Unidos; su lógica sirve para estructurar el alcance de un servicio privado en la región.

Un método práctico consiste en entregar a todos los candidatos el mismo inventario inicial de fuentes y pedir que cada uno indique cuáles integra dentro del precio, cuáles requieren conectores o licencias adicionales y cuáles quedan fuera de su capacidad.

Monitorear, investigar y responder son niveles de servicio distintos

Los servicios de SOC cubren grados diferentes de intervención. En el más básico, el proveedor observa eventos y notifica. En un nivel intermedio, investiga, descarta falsos positivos y entrega una alerta con contexto: activo afectado, evidencia, prioridad y siguiente paso recomendado. En el más amplio, ejecuta acciones de contención previamente autorizadas, como aislar un equipo o suspender un acceso.

El Marco de Ciberseguridad 2.0 del NIST (2024) separa detectar, responder y recuperar como funciones con resultados propios. Esa distinción es útil para redactar el contrato: la detección genera la señal, y cada decisión posterior (autorizar la contención, informar a la dirección, restaurar el servicio) necesita un responsable con nombre y un sustituto.

Ante una alerta crítica fuera de horario, como un inicio de sesión administrativo desde una ubicación inusual, el contrato debería responder cuánto tarda un analista en revisar la alerta, a quién llama, qué hace si esa persona no contesta y si tiene autorización para suspender el acceso mientras espera respuesta.

Ejemplos de oferta en la región

Información de servicios vigente al 26 de octubre de 2026. Los dos proveedores siguientes ilustran modelos de servicio distintos dentro de una oferta regional más amplia.

ES Consulting presta un SOC como servicio que reúne monitoreo, detección, análisis y respuesta a incidentes a cargo de un equipo externo, con recolección y correlación de datos de seguridad 24/7/365. El servicio forma parte de su línea de servicios gestionados, que incluye SIEM como servicio, detección y respuesta gestionadas (XDR/MDR), gestión continua de vulnerabilidades y alerta temprana de compromiso. La empresa tiene direcciones en Guatemala, El Salvador, Honduras, Costa Rica, Panamá, República Dominicana y Estados Unidos; al contratar, conviene precisar desde dónde se realizará el análisis y qué tareas requieren presencia en sitio.

Ovnicom integra un centro de operaciones de red (NOC) y un SOC. Ese modelo resulta pertinente para organizaciones que quieren coordinar la disponibilidad de la infraestructura y los eventos de seguridad con un mismo proveedor. La evaluación debe aclarar cómo se reparten las alertas entre ambos equipos y quién decide cuando una falla de red resulta ser un incidente de seguridad.

La cobertura 24/7 y regional se define componente por componente

La expresión 24/7 puede referirse a la recolección automática de registros, a la disponibilidad de la plataforma, al análisis humano o a la capacidad de respuesta. Cada componente debe describirse por separado, con horarios, tiempos de escalamiento, exclusiones y condiciones de activación. Dos propuestas que prometen lo mismo en el resumen comercial pueden diferir en las horas en que un analista realmente revisa una alerta.

En operaciones con sedes en varios países, la cobertura se evalúa servicio por servicio: idioma de atención, husos horarios, normativa de datos aplicable, ubicación del análisis y condiciones para enviar a un especialista. Una oficina comercial facilita la relación; el contrato establece dónde y cómo se presta el servicio.

El contrato debe prever la prueba y la salida

Antes de firmar, conviene pedir a cada candidato que responda por escrito:

• Qué fuentes integra, con qué retención y quién conserva los datos.
• Qué hace un analista ante una alerta crítica y en cuánto tiempo.
• Qué acciones de contención puede ejecutar y con qué autorización.
• Qué informes recibirá la empresa, con qué contenido y frecuencia.
• Cómo se ensaya el circuito de respuesta durante la implantación.
• Cómo se devuelven registros, casos abiertos y accesos al terminar el contrato.

La salida merece la misma atención que la entrada. Acordar desde el inicio la devolución de datos y la revocación de accesos evita dependencias difíciles de deshacer. Un ensayo de alerta durante la implantación, por su parte, permite medir demoras y detectar autorizaciones confusas antes de depender del servicio.

Un SOC aporta valor cuando cada señal relevante conduce a una decisión y a una persona identificable. Para el gerente que lo contrata, el ensayo del circuito de respuesta ofrece la evidencia más directa de que el servicio funcionará cuando haga falta.