Qué debe entregarte un SOC de verdad — y qué te venden como SOC y no lo es

Cada vez más empresas en México contratan “un SOC”. Lo que llega después varía enormemente: desde un equipo que vigila tu red las 24 horas y contiene un ataque en minutos, hasta un panel bonito que te manda correos con alertas que nadie atiende hasta el lunes. Las dos cosas se venden con la misma palabra y a veces con precios parecidos — pero solo una te protege. Este artículo es para que, como dueño o directivo, sepas distinguirlas y exigir lo correcto.

Qué es (y qué no es) un SOC

SOC son las siglas de Security Operations Center — centro de operaciones de seguridad. La definición operativa que más se repite en la industria lo describe como un equipo de especialistas, propio o subcontratado, dedicado a vigilar toda la infraestructura de TI de una organización 24×7, unificando y coordinando tecnologías y operaciones para detectar, analizar y responder a amenazas (IBM).

Tres ideas importan aquí, y conviene subrayarlas porque son justo las que un mal proveedor omite:

• Personas + procesos + tecnología. El SANS Institute lo resume así: todo SOC exitoso combina gente capacitada, procesos efectivos y tecnología eficiente. La herramienta sola no es un SOC.
• Es una función, no una caja. El NIST (la agencia de estándares de EE. UU.) trata al SOC como una capacidad operativa que una organización puede tener en nómina o subcontratar a un proveedor de servicios administrados de seguridad (MSSP). El SOC es la función; alguien la opera.
• Depende de gente calificada. El propio NIST, al hablar de cómo montar operaciones de seguridad, advierte que la disponibilidad de personal calificado condiciona el diseño. Sin analistas, no hay operación.

Lo que te venden como “SOC” y no lo es

El error más caro no es no tener seguridad: es creer que la tienes. Estas son las confusiones más frecuentes que vemos en el mercado mexicano.

El malentendido de fondo suele ser el antivirus/EDR. Un EDR es valioso — pero es una herramienta de endpoint, no un centro de operaciones. La propia definición de gobierno (el memorándum OMB M-22-01 de EE. UU., de 2021, bajo la Orden Ejecutiva 14028) describe al EDR como la combinación de monitoreo continuo en tiempo real y recolección de datos de los endpoints con respuesta y análisis automatizados basados en reglas, y lo ordena adoptar como una solución dentro de un cambio de postura defensiva — es decir, una capa, no el programa completo. El EDR alimenta al SOC; no lo reemplaza. Sin personas, procesos, operación continua y respuesta multi-fuente, es antivirus glorificado.

Las métricas que debes exigir: MTTD y MTTR

No necesitas ser técnico para pedir las dos cifras que realmente miden si un SOC sirve: cuánto tarda en detectar y cuánto tarda en responder.

MTTD (Mean Time to Detect). El glosario oficial del NIST la define como “la métrica que mide el tiempo promedio que existe un problema antes de ser encontrado”. En cristiano: cuánto vive un ataque dentro de tu red sin que nadie lo note.

MTTR. Aquí hay una trampa que conviene conocer: el acrónimo no es único. El NIST solo define formalmente “Mean Time to Recovery” (tiempo promedio para recuperarse de una falla); no publica una definición de “Mean Time to Respond”. Como señala el glosario del proveedor Corelight, MTTR puede significar Respond, Recover o Resolve según quién lo use, y su alcance cambia en cada caso. La lección práctica: exige que tu proveedor te diga qué acepción mide y qué intervalo exacto cuenta (por ejemplo, de la detección al fin de la contención). Un “MTTR de X minutos” sin definir qué mide no significa nada.

¿Por qué importa la velocidad? Porque el tiempo que un atacante pasa dentro de tu red antes de ser detectado —el dwell time— es exactamente lo que un SOC existe para reducir. Y los datos de Mandiant son contundentes:

// Fuente: Mandiant, M-Trends 2025 (Google Cloud), con datos de incidentes investigados en 2024.

Esa diferencia —10 días detectando tú mismo contra 26 esperando a que alguien de afuera te avise— es, literalmente, el valor de tener un SOC que vigila. Y la tendencia general no ayuda: según Mandiant (M-Trends 2026), la mediana global de dwell time subió a 14 días en 2025, desde 11 el año anterior y 10 en 2023. El reporte vincula ese aumento a una mayor sofisticación de los atacantes para evadir defensas. Cada día que tu detección se tarda es un día que el atacante usa para moverse, escalar y robar.

Por qué el “24/7” cuesta más de lo que crees

“Monitoreo 24/7” suena a una línea en una cotización. En realidad es un problema de aritmética y de talento. Una semana tiene 168 horas y un analista de tiempo completo cubre unas 40; mantener una sola silla ocupada todo el tiempo requiere, por pura matemática, cerca de 4.2 personas de tiempo completo — antes de que alguien tome vacaciones o renuncie. Si quieres un segundo par de ojos en el turno nocturno, esa cifra se duplica. El SANS 2025 SOC Survey ubica alrededor de 10 personas de tiempo completo como línea base de un SOC que funciona.

Ahora pon costo a esas plazas. Según los benchmarks salariales que manejamos internamente en Haak, un analista de SOC en México ronda entre $18,000 y $50,000 MXN al mes según su nivel (L1 a L3) —estimación interna, no una cifra pública—. Monta la cuenta con ~10 plazas repartidas por niveles y una coordinación, y la nómina de un SOC propio 24/7 se va a varios cientos de miles de pesos al mes, antes de herramientas (el SIEM), infraestructura, reclutamiento y la rotación. Para la mayoría de las PyME y medianas, armarlo en casa no es viable — y ahí entra el modelo administrado.

A esto se suma un problema estructural: no hay suficiente gente. El Estudio de Fuerza Laboral en Ciberseguridad 2024 de ISC2 calculó una brecha global de 4.8 millones de profesionales necesarios (un alza interanual de 19%), con una fuerza laboral activa de 5.5 millones que apenas creció 0.1%. En su edición 2025 (publicada en diciembre de 2025), ISC2 dejó de publicar esa cifra de headcount y pivoteó a la brecha de habilidades: 95% de los profesionales reportó al menos una carencia y 59% la calificó como crítica o significativa. Traducción para ti: aunque tuvieras el presupuesto, contratar y retener a 10 analistas buenos es difícil incluso para empresas grandes.

Si mueves dinero, el SOC no es opcional

Para bancos, fintechs, casas de bolsa y cualquier negocio que maneje fondos de terceros, esta conversación deja de ser una buena práctica y se vuelve regulatoria y existencial. México regula a las instituciones de tecnología financiera desde la Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera), publicada en el Diario Oficial de la Federación el 9 de marzo de 2018. Esa ley faculta a la CNBV —y, para las instituciones de fondos de pago electrónico, al Banco de México— a emitir disposiciones de carácter general en materia de seguridad de la información, confidencialidad y continuidad operativa. Dicho de otro modo: la detección y la respuesta no son un extra, son parte del piso regulatorio.

Y hay una razón de negocio todavía más directa: cuando mueves dinero, cada hora de dwell time es dinero que se puede estar yendo en tiempo real. En este segmento, el servicio que quieres suele describirse como MDR (Managed Detection and Response). Gartner define al MDR como funciones modernas de SOC entregadas de forma remota, lideradas por humanos y llave en mano, que culminan en la disrupción y contención de la amenaza (Market Guide for MDR, 2023, citado por Rapid7). Es distinto de un MSSP clásico, que Gartner describe como el monitoreo o gestión remota de funciones de seguridad desde centros de operaciones remotos —históricamente firewalls e IDS/IPS gestionados— (recogido por OneSource). La diferencia que te importa: el MSSP típicamente gestiona dispositivos y te pasa alertas; el MDR detecta, investiga y responde. Para un negocio financiero, quieres lo segundo.

Qué exigirle a tu proveedor de SOC

Lleva esta lista a tu próxima reunión. Si el proveedor titubea en alguna, tienes tu respuesta.

• Cobertura real 24/7/365, con nombres y turnos — no “horario extendido”. Pregunta cuántos analistas cubren la guardia.
• MTTD y MTTR comprometidos por escrito, con la definición exacta de qué mide cada métrica y desde qué evento se cuenta.
• Visibilidad multi-fuente: endpoints, red, nube e identidad — no solo el antivirus.
• Respuesta, no solo alerta: qué contiene el SOC por su cuenta y qué te escala, y en cuánto tiempo.
• Threat hunting proactivo y uso de inteligencia de amenazas, no únicamente reglas de fábrica.
• Reportes con contexto y acción, no un volcado de eventos que nadie interpreta.
• Aislamiento entre clientes (multi-tenant) y manejo responsable de tus datos.
• Encaje regulatorio si estás supervisado (CNBV/Banxico): seguridad de la información, continuidad operativa y soporte ante requerimientos.