Qué es un SOC como servicio
Un SOC (Security Operations Center) es el equipo y la tecnología que vigilan de forma continua los sistemas de una organización para detectar ataques y responder antes de que causen daño. Un SOC como servicio, o SOC gestionado, le da esa capacidad sin tener que contratar, formar y retener a un equipo propio con turnos 24/7.
En OCS el servicio lo prestan analistas en España, con datos tratados en la Unión Europea y un responsable identificado para su cuenta.
Qué incluye nuestro SOC 24/7
- Monitorización 24/7/365 de endpoints, servidores, identidades, cloud, correo y red.
- Triage humano de cada alerta relevante: usted recibe incidentes confirmados, no ruido.
- Ingeniería de detección propia mapeada a MITRE ATT&CK, además de las reglas del fabricante.
- Contención y respuesta con playbooks acordados y escalado a la respuesta ante incidentes.
- Threat hunting periódico e inteligencia de amenazas de su sector.
- Informes mensuales y comité de seguridad con indicadores de detección y respuesta.
Tecnología: Wazuh, Microsoft Sentinel, Splunk o Elastic
Operamos sobre la plataforma que mejor encaje con su entorno. Para muchas pymes y medianas empresas desplegamos Wazuh, un SIEM/XDR de código abierto sin coste de licencia por volumen; en entornos Microsoft 365 y Azure trabajamos con Microsoft Sentinel y Defender; y si ya tiene Splunk, Elastic u otro SIEM, lo operamos y afinamos en lugar de sustituirlo.
Qué ocurre cuando salta una alerta
- Detección: la plataforma correlaciona eventos y genera una alerta según reglas mapeadas a MITRE ATT&CK.
- Triage: un analista la revisa, descarta el falso positivo o confirma el incidente y su gravedad.
- Contención: si es grave, aplica las acciones pactadas en los playbooks, como aislar un equipo o bloquear una cuenta.
- Aviso: le informamos por el canal acordado con qué ha pasado, qué hemos hecho y qué necesitamos de usted.
- Cierre: investigación, recomendaciones y, si hace falta, activación de la respuesta a incidentes y apoyo en las notificaciones.
SOC interno o SOC externalizado
Cubrir 24 horas los 365 días exige, como mínimo, cinco o seis analistas para rotar turnos, además de ingeniería de detección, herramientas y formación continua. Para la mayoría de empresas medianas eso no es sostenible. Externalizar le da cobertura completa desde el primer mes y convierte un coste fijo difícil de dimensionar en una cuota previsible.
Tener un SOC interno tiene sentido cuando hay volumen y madurez suficientes; incluso entonces es habitual un modelo híbrido, con su equipo en horario laboral y el nuestro por la noche y en festivos.
SOC, MDR y SIEM: diferencias
- SIEM: la herramienta que centraliza y correlaciona registros. Sin personas que la operen, solo genera alertas.
- MDR (Managed Detection and Response): detección y respuesta gestionadas, normalmente centradas en el endpoint (EDR).
- SOC como servicio: el concepto más amplio. Integra SIEM, EDR, identidades, cloud y red, con analistas, hunting, respuesta y gobierno del servicio.
SOC para pymes
Las pymes son hoy el objetivo más frecuente del ransomware y el fraude del CEO, y rara vez tienen a alguien vigilando por la noche. Adaptamos el alcance: se empieza por lo que más riesgo concentra (correo, identidades, endpoints y copias de seguridad) y se amplía después. Además, un SOC le ayuda a cumplir las obligaciones de detección y notificación de NIS2 y el ENS.
¿Cuánto cuesta un SOC como servicio?
El precio depende sobre todo de estos factores:
- Número de endpoints, servidores y usuarios monitorizados.
- Volumen de eventos y tiempo de retención de los registros.
- Plataforma: Wazuh, Sentinel u otro SIEM, y si ya dispone de licencias.
- Alcance de la respuesta: solo notificación o contención activa.
- Servicios añadidos: hunting, inteligencia de amenazas, gestión de vulnerabilidades.
Tras una reunión de alcance le enviamos una propuesta con cuota mensual cerrada. Pida su presupuesto en contacto.
Cómo es la puesta en marcha
- Alcance: activos críticos, fuentes de telemetría y contactos de escalado.
- Despliegue: agentes, integraciones y conectores cloud.
- Afinado: ajuste de reglas a su entorno para eliminar falsos positivos.
- Operación: vigilancia 24/7, informes y mejora continua.