¿Qué es un SOC de ciberseguridad?
Un SOC, centro de operaciones de seguridad, es el equipo que recibe las alertas de las herramientas de una empresa, decide cuáles son un ataque y actúa para contenerlo. Son personas en turnos con herramientas, no un programa. Puede estar en plantilla o contratado fuera, y el NIST recoge las dos formas.
En la guía de respuesta a incidentes del NIST (SP 800-61r3, abril de 2025), las alertas se entregan a las herramientas y a las personas que responden, por ejemplo el SOC, y quien gestiona los incidentes puede estar en plantilla, contratado fuera (el ejemplo que pone es externalizar el SOC en un proveedor de servicios de seguridad gestionados) o disponible cuando haga falta. Muchas organizaciones combinan las tres formas (NIST SP 800-61r3).
| Pieza | Qué es | Qué aporta a una pyme |
|---|---|---|
| SOC (centro de operaciones de seguridad) | Personas en turnos que vigilan alertas, investigan y responden | Alguien que mira cuando tú no puedes |
| SIEM (gestión de eventos e información de seguridad) | Un programa que junta y relaciona los registros de muchos sistemas | Poco por sí solo: necesita a alguien que lo configure y lo lea |
| MDR (detección y respuesta gestionadas) | Un SOC contratado como servicio, centrado en detectar y responder | Tener un SOC sin montarlo |
| Antivirus gestionado (EDR) | La herramienta de cada equipo que guarda el historial y permite aislarlo | Las alertas de los equipos, que el SOC investiga |
122.223
incidentes de ciberseguridad gestionó INCIBE-CERT en 2025, un 26 % más que en 2024. Además detectó y notificó 237.028 sistemas vulnerables que un atacante podía aprovechar.
¿Qué es un SIEM y qué relación tiene con un SOC?
Un SIEM, sistema de gestión de eventos e información de seguridad, es un programa que recoge los registros de actividad de muchos sistemas, los relaciona y señala lo sospechoso. Es una herramienta del SOC, no un sustituto: el SIEM avisa, y las personas del SOC deciden si es un ataque y qué hacer.
INCIBE lo define como una solución centralizada que «recoge los registros de actividad (logs) de los distintos sistemas, los relaciona y detecta eventos de seguridad», descartando los falsos positivos (INCIBE, ¿Qué son y para qué sirven los SIEM, IDS e IPS?). El NIST lo resume en una línea: un programa que ofrece registro centralizado de muchos tipos de registros (glosario del NIST).
En su guía de respuesta a incidentes, el NIST pone el SIEM entre las herramientas para vigilar los registros de forma continua y relacionar datos de varias fuentes, y pide filtrar el volumen de eventos hasta dejar lo que una persona puede analizar. Ese filtrado lo hace la herramienta; el análisis y la decisión, el SOC.
¿Qué es MDR en ciberseguridad?
MDR, detección y respuesta gestionadas, es un SOC contratado como servicio y centrado en encontrar ataques entre las alertas y responder. Microsoft describe el suyo con analistas que gestionan la cola de incidentes las 24 horas, los investigan y toman medidas o guían al cliente. Para una pyme, es la forma práctica de tener SOC.
La diferencia con una herramienta es quién trabaja. En la descripción de Microsoft, sus analistas «trian e investigan los incidentes en tu nombre, y toman medidas o guían a tu equipo en la respuesta» (Microsoft Defender Experts MDR). Qué vigilan esas herramientas, y en qué se diferencian antivirus, EDR y XDR, está en la comparativa de antivirus, EDR, XDR y MDR.
El NIST añade una ventaja y un riesgo. La ventaja: un proveedor puede detectar actividad maliciosa antes que una empresa sola porque relaciona lo que ve en todos sus clientes. El riesgo: suele tener acceso privilegiado a tus sistemas y a datos sensibles, así que conviene cubrirlo con acuerdos de confidencialidad y cláusulas en el contrato.
¿Qué hace un SOC cuando salta una alerta de noche?
Revisa la alerta, decide si es un ataque y, si lo es, lo contiene: bloquea la cuenta, cierra la sesión o aísla el equipo, según lo que tenga autorizado. Después avisa a la persona de contacto de la empresa y entrega un informe con qué pasó, qué se hizo y qué conviene cambiar.
03:12
Alerta
Inicio de sesión en el correo de administración desde un país donde la empresa no trabaja.
03:14
Contención
Se bloquea la cuenta y se cierran todas sus sesiones abiertas.
03:20
Aviso
A la persona de contacto de la empresa, por el canal pactado.
08:30
Informe
Qué pasó, qué se hizo y qué conviene cambiar: por ejemplo, activar el doble factor en esa cuenta.
Es el caso de una cuenta de correo robada. Qué hacer si te pasa está en recuperar una cuenta de correo robada, y cómo evitarlo, en el doble factor de autenticación.
¿Necesita una pyme un SOC propio?
No. Un SOC propio son varias personas en turnos todo el año, con herramientas que hay que comprar, integrar y mantener. Para una empresa de 10 a 250 personas lo razonable es contratarlo como servicio y tener dentro a una persona que reciba los avisos y decida lo que afecta al negocio.
| Qué cambia | SOC propio | SOC como servicio |
|---|---|---|
| Personas | Varias, en turnos, todo el año | Las del proveedor |
| Noches, fines de semana y vacaciones | A tu cargo | Los que cubra el contrato |
| Herramientas | Las compras, integras y mantienes tú | Las pone u opera el proveedor |
| Coste | Alto y fijo | Cuota periódica |
| Control de la información | Total | El que fije el contrato |
| Tiene sentido para | Empresas grandes | Pymes y medianas |
Que el servicio sea de fuera no quita trabajo de dentro. El NIST recuerda que las acciones de alto impacto, como parar o reconstruir un servicio crítico, pueden ser decisión de la dirección. Alguien de tu empresa tiene que poder contestar esa pregunta a deshoras, aunque pase una vez al año. Qué hace la ciberseguridad gestionada y qué queda de tu lado lo cuenta la guía de ciberseguridad gestionada.
¿Necesita una pyme un SIEM?
Casi nunca uno propio. INCIBE señala que mantener un SIEM con personal propio supone costes de implantación altos, una curva de aprendizaje larga y poca integración con el resto de sistemas. Si se externaliza, avisa de la pérdida de control sobre la información y del exceso de notificaciones, que se pactan por contrato.
| Qué dice INCIBE | Si lo mantiene tu empresa | Si lo externalizas |
|---|---|---|
| Ventaja | Centraliza información y eventos, automatiza tareas y guarda el historial | La misma, con el proveedor a cargo |
| Inconvenientes | Costes de implantación altos, curva de aprendizaje larga y poca integración con el resto del sistema | Pérdida de control de la información, acceso limitado a parte de ella y fatiga por la cantidad de notificaciones |
| Cómo se gestiona | Formando a personal propio | Con acuerdos de nivel de servicio (ANS) con el proveedor |
Para una pyme, lo práctico es que el SIEM, si lo hay, sea del proveedor del servicio, y que tú pactes qué ves. Los ANS, acuerdos de nivel de servicio, fijan tiempos de respuesta, informes y acceso a la información. Cómo revisar a un proveedor que tendrá acceso a tus sistemas está en la seguridad de tus proveedores.
¿Qué hay que preguntar a quien vende un SOC como servicio?
Primero, si actúan o solo avisan. Después, qué horario cubren, en cuánto tiempo responden, qué informe recibes y cada cuánto, y quién es tu persona de contacto. Y una que se olvida: qué pueden hacer en tus sistemas sin consultarte, como bloquear una cuenta o aislar un equipo, por escrito en el contrato.
Qué hacen
- Si actúan (bloquean, aíslan) o solo avisan
- Qué pueden hacer sin consultarte, por escrito
- Qué vigilan: equipos, correo, cuentas, servidores
Cuándo
- Qué horario cubren las alertas
- Si a esas horas hay también un teléfono atendido o solo vigilancia
- En cuánto tiempo responden, por contrato
Qué te dan
- Qué informe recibes y cada cuánto
- Quién es tu persona de contacto
- Cómo recuperas los registros si cambias de proveedor
| Situación | Si está incluido | Si no está incluido |
|---|---|---|
| Ordenadores y portátiles | Pide el número de equipos cubiertos | Es lo mínimo: sin esto el servicio ve muy poco |
| Correo y cuentas en la nube | Pregunta qué alertas de inicio de sesión revisan | Nadie mira si alguien entra en una cuenta desde fuera |
| Servidores y copias | Pregunta si vigilan que la copia se hace | Un fallo de copia se descubre al intentar restaurar |
| Móviles | Pregunta qué pueden hacer si se pierde uno | Cúbrelo con la gestión de los móviles de empresa |
Vigilar alertas las 24 horas no es lo mismo que tener un teléfono atendido las 24 horas: pregunta por las dos cosas por separado. El NIST pide que el contrato deje claro el reparto de responsabilidades y la autoridad del proveedor para actuar en tu nombre. Las diez preguntas para cualquier proveedor, en cómo elegir proveedor de ciberseguridad.
¿Qué informe debe dar un SOC a una pyme?
Uno que entienda quien dirige: qué alertas hubo, cuáles eran ataques, qué se hizo en cada caso, qué conviene cambiar y qué queda pendiente, con fecha y al menos cada mes. Ese informe es también la prueba que puedes enseñar a un cliente o a una aseguradora cuando preguntan quién vigila tus sistemas.
| Apartado | Qué cuenta | Para quién |
|---|---|---|
| Resumen | Alertas del periodo, cuántas eran incidentes y en qué estado están | Dirección |
| Incidentes | Qué pasó, qué se hizo, cuándo y quién lo decidió | Dirección y tu informático |
| Causa | Por dónde entró y por qué funcionó | Tu informático |
| Recomendaciones | Qué cambiar, por orden de prioridad | Dirección |
| Pendiente | Lo que sigue abierto y quién lo cierra | Los dos |
24 h
es el plazo para dar la alerta temprana de un incidente significativo desde que se tiene constancia de él, según el artículo 23.4 de la NIS2. Después vienen la notificación a las 72 horas y un informe final al mes.
Si te aplica la NIS2, la gestión de incidentes es una de las medidas mínimas de su artículo 21.2, letra b, y para cumplir esos plazos alguien tiene que enterarse a tiempo. En España, a 18 de octubre de 2026, la ley que la transpone no está en el BOE (estado de la NIS2 en España). El informe va al dossier de evidencias, y las primeras horas, al plan de respuesta a incidentes.
En Talvit, la cuota de 29 € por puesto y mes (IVA no incluido) incluye el antivirus gestionado en cada equipo; lo que haga falta fuera de la cuota te lo presupuestamos antes. Haznos las mismas preguntas de la lista antes de firmar: empieza por contarnos tu caso.
Lo que esta guía no cubre
- Cómo montar un SOC propio: herramientas, turnos y perfiles, que no tiene sentido para una pyme.
- Una comparativa de proveedores o de marcas de SIEM.
- Qué hacer si ya te han atacado: para eso están la guía de a quién llamar tras un ciberataque y el 017 de INCIBE.
Preguntas frecuentes
¿Un antivirus no hace lo mismo que un SOC?
No. El antivirus bloquea en cada equipo lo que reconoce como malicioso. El SOC investiga lo que no está claro, mira varias fuentes a la vez y decide qué hacer. El antivirus es una de las herramientas que el SOC vigila.
¿Me entero de todo lo que pasa?
De lo importante, en el momento y por el canal que pactéis. Del resto, en el informe periódico. Si quieres más detalle, ponlo en el contrato: qué se te avisa siempre y qué va solo al informe.
¿Qué es un SOC 24x7?
Uno que vigila las alertas las 24 horas, los siete días de la semana. Comprueba qué incluye: si alguien actúa a esas horas o solo registra la alerta para el día siguiente, y si hay un teléfono atendido o solo vigilancia.
¿Qué diferencia hay entre un SOC y un CSIRT?
El SOC vigila tus sistemas a diario. Un CSIRT es un equipo de respuesta a incidentes; en España, INCIBE-CERT es el de referencia para ciudadanos y empresas, y según la NIS2 los incidentes significativos se notifican al CSIRT o a la autoridad competente.
Fuentes
- INCIBE, «¿Qué son y para qué sirven los SIEM, IDS e IPS?» (3 de septiembre de 2020), consultado el
- NIST CSRC, glosario, «Security Information and Event Management» (definición de NIST SP 800-92), consultado el
- NIST SP 800-61r3, recomendaciones de respuesta a incidentes (abril de 2025), apartado 2.2 y tabla 3, consultado el
- Microsoft Learn, «¿Qué es Microsoft Defender Experts MDR?», consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 21.2 y 23.4, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: qué es un SIEM y qué es MDR, con INCIBE, el NIST y la documentación de Microsoft; la noche de ejemplo, rotulada como ejemplo, y las preguntas antes de contratar, con lo que vigila el servicio.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
