Tiempo de lectura: 4 minutos.
Por qué existe un SOC
Ningún control preventivo es perfecto. Los parches llegan tarde, las contraseñas se filtran y los usuarios hacen clic. Por eso hace falta alguien que mire: el centro de operaciones de seguridad (SOC) es la capacidad de detección y respuesta de la organización. Su valor se mide en tiempo, porque cuanto antes se detecta un intruso, menos daño alcanza a hacer.
NIST define el riesgo a partir de la probabilidad de que una amenaza aproveche una vulnerabilidad y del impacto que causaría. Los controles preventivos bajan la probabilidad; el SOC, al detectar pronto, baja el impacto.
Qué hace, en concreto
- Monitorea registros, tráfico y equipos sin pausa. Es donde se va la mayor parte del día.
- Hace triaje: decide si una alerta es real o un falso positivo, y qué tan grave es.
- Responde: contiene, erradica y recupera, coordinando con TI, legal y dirección.
- Investiga cómo entró el atacante y preserva la evidencia.
- Caza amenazas: busca intrusos que ya burlaron los controles, sin esperar una alerta.
El trabajo se organiza en niveles. El nivel 1 filtra, el nivel 2 investiga y el nivel 3 resuelve lo complejo. Escalar no es fracasar: es pasar el caso a quien tiene más contexto, con buena información.
SOC no es lo mismo que CSIRT
Muchas organizaciones usan los nombres como sinónimos. La diferencia útil es de énfasis: el SOC pregunta «¿está pasando algo malo ahora?»; el CSIRT, «¿cómo contenemos, coordinamos y aprendemos de este incidente?». La nueva ley crea el CSIRT Nacional bajo la entidad rectora de ciberseguridad y transformación digital, hoy el Ministerio de Infraestructura y Tecnología, que en junio de 2026 absorbió las telecomunicaciones, y reconoce además CSIRT sectoriales especializados, por sector. Los SOC de las instituciones deben coordinar con el CSIRT que corresponda a su ámbito, mediante un punto de contacto disponible 24/7 (art. 20-J). La ley todavía no fija qué pasa cuando ningún CSIRT sectorial cubre un ámbito; esa delimitación de competencias queda para una normativa técnica que aún no se publica, aunque lo esperable es que el CSIRT Nacional actúe como respaldo.
Lo que cambió en Ecuador
La ley de 2026 añadió a la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de Ecuador, un capítulo de ciberseguridad. Tres puntos tocan directamente el trabajo de un SOC:
- Gestión de incidentes en el sector público: prevención, monitoreo, detección, evaluación de impacto, notificación temprana, contención y recuperación.
- Notificación en 72 horas desde la detección de los incidentes relevantes. En sectores con órgano de control especializado, como el financiero o el de telecomunicaciones, la notificación va por ese órgano.
- Monitoreo, detección y respuesta obligatorios para servicios esenciales e infraestructura crítica.
Un detalle práctico: el reloj corre desde la detección. Detectar tarde no compra tiempo, y registrar la hora exacta de detección pasa a ser parte del trabajo del analista. Si el incidente compromete datos personales, además corre la obligación de notificar la vulneración ante la autoridad de protección de datos.
Preguntas frecuentes
¿Una organización pequeña necesita su propio SOC? No necesariamente. Puede contratar un servicio externo [MSSP o MDR) o un modelo híbrido. Lo indispensable es que alguien vigile de forma continua y que esté claro quién decide cada acción.
MSSP (Managed Security Service Provider): un proveedor externo que opera servicios de seguridad por contrato, típicamente monitoreo de firewalls, gestión de parches, administración de dispositivos de seguridad y alertas básicas. Suele trabajar con reglas y umbrales más o menos fijos, con poca investigación activa por iniciativa propia: avisa lo que configuraron las reglas, pero no suele cazar amenazas que no dispararon ninguna.
MDR (Managed Detection and Response): un servicio más reciente y más activo. No solo monitorea: investiga cada alerta, correlaciona eventos entre distintas fuentes, hace triaje y, en muchos casos, puede contener un incidente en el equipo del cliente (aislar una máquina, bloquear un proceso) sin esperar que el cliente actúe. Combina herramientas (EDR en los equipos, analítica) con analistas humanos que cazan amenazas de forma proactiva.
La diferencia práctica: un MSSP te dice “esto encendió una alerta”; un MDR te dice “esto es un incidente real, ya lo contuvimos, y esto es lo que pasó”
¿Desde cuándo corren las 72 horas? Según el art. 20-G de la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de Ecuador, desde la detección del incidente, no desde su inicio ni desde su contención.
¿Qué diferencia hay entre un pentest y un SOC? El pentest es una prueba puntual, autorizada y con alcance definido, que intenta explotar vulnerabilidades para demostrar qué tan lejos llegaría un atacante. El SOC es una operación continua que detecta y responde a ataques reales, los haya anticipado un pentest o no.
¿Por dónde empieza una carrera en un SOC? Casi siempre como analista de nivel 1: vigilancia de consolas, triaje y escalamiento.
Fuentes
- Asamblea Nacional del Ecuador. (2026, 22 de mayo). Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Registro Oficial, Quinto Suplemento N.º 290.
- Joint Task Force Transformation Initiative. (2012). Guide for conducting risk assessments (NIST SP 800-30 Rev. 1).
- Knerler, K., Parker, I. y Zimmerman, C. (2022). 11 strategies of a world-class cybersecurity operations center. MITRE.
- FIRST. (2019). CSIRT Services Framework (versión 2.1).
Licencia y nota
Texto publicado bajo licencia CC BY-SA 4.0. Contenido educativo.
Opiniones personales del autor.