Un SOC puede tener más tecnología que nunca y, aun así, seguir perdiendo tiempo en alertas que no representan una amenaza real. Ese desgaste no es un problema menor: cuando los analistas dedican buena parte de su jornada a revisar falsos positivos, la organización paga dos veces, primero por la infraestructura de seguridad y después por la atención humana consumida en ruido operativo. La inteligencia artificial está cambiando esa ecuación, pero su verdadero valor no consiste en sustituir al especialista ni en convertir la ciberseguridad en una operación automática. Consiste en mejorar la capacidad de decidir qué merece atención, qué puede descartarse y qué exige una respuesta inmediata. Para un empresario, esta diferencia es estratégica: un Centro de Operaciones de Seguridad eficiente no se mide por cuántas alertas genera, sino por cuántas amenazas relevantes identifica y gestiona con oportunidad, contexto y criterio. Esa conversación es necesaria. 👉 LEE NUESTRO BLOG...
Durante años hemos asociado una mejor ciberseguridad con incorporar más herramientas, más controles, más registros, más sensores y más capacidad de monitoreo.
La lógica parecía impecable: cuanto más podamos observar, mayor será nuestra capacidad de detectar una amenaza.
El problema aparece cuando esa capacidad de observación crece mucho más rápido que la capacidad humana para interpretar lo observado.
Cada endpoint, aplicación, servicio en la nube, identidad, conexión, dispositivo y sistema puede generar eventos. Los sistemas de seguridad transforman parte de esos eventos en alertas. Y cuando la operación no está correctamente diseñada, el resultado termina siendo una avalancha de señales que alguien debe revisar.
Aquí comienza uno de los problemas menos visibles de la ciberseguridad empresarial: tener más información no significa necesariamente comprender mejor el riesgo.
Un Centro de Operaciones de Seguridad, conocido como SOC por sus siglas en inglés, puede contar con personal preparado y tecnología avanzada y, aun así, terminar utilizando una parte considerable de su capacidad en determinar que algo que parecía peligroso realmente no lo era.
Ese es el costo silencioso del falso positivo.
Cuando la seguridad comienza a producir ruido
Una alerta falsa no es simplemente una notificación molesta.
Consume tiempo.
Interrumpe prioridades.
Obliga a investigar.
Puede requerir consultar distintas fuentes, revisar comportamientos, validar usuarios, analizar activos y descartar hipótesis antes de concluir que la actividad era legítima.
Una alerta aislada puede parecer irrelevante. Miles de alertas acumuladas convierten el problema en una cuestión de productividad, costos y riesgo empresarial.
Kaspersky ha señalado precisamente esta presión operativa al analizar la incorporación de inteligencia artificial dentro de los SOC. Según información publicada en 2026, las organizaciones ven entre los principales beneficios esperados de la IA una mayor efectividad en la detección, la automatización de tareas rutinarias y una mayor precisión mediante la reducción de falsos positivos.
El dato importante, sin embargo, no está únicamente en la tecnología.
Está en lo que revela sobre el diseño actual de muchas operaciones de seguridad.
Cuando profesionales altamente especializados pasan demasiadas horas clasificando señales de bajo valor, el problema deja de ser exclusivamente técnico. Se convierte en un problema de arquitectura empresarial.
Una organización está utilizando un recurso humano costoso y escaso para realizar actividades que, al menos parcialmente, pueden ser clasificadas, correlacionadas, enriquecidas y priorizadas mediante sistemas inteligentes.
Eso merece una decisión gerencial.
El propósito de la IA no debería ser generar todavía más alertas
Existe una tentación frecuente cuando aparece una nueva tecnología: incorporarla sobre la estructura existente sin revisar primero si esa estructura funciona correctamente.
Con inteligencia artificial puede suceder exactamente lo mismo.
Una empresa puede añadir IA a un SOC desorganizado y terminar automatizando la desorganización.
Puede incorporar modelos avanzados sin mejorar la calidad de los datos.
Puede adquirir soluciones capaces de correlacionar información mientras mantiene procesos deficientes de escalamiento.
Puede generar puntuaciones de riesgo sofisticadas sin haber definido claramente qué debe ocurrir cuando determinado nivel de riesgo aparece.
Entonces tendremos más inteligencia tecnológica, pero no necesariamente mayor inteligencia organizacional.
Esta distinción es fundamental.
En TODO EN UNO.NET hemos sostenido durante décadas una filosofía muy sencilla:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
Aplicada a un SOC significa que la pregunta inicial no debería ser:
“¿Cómo incorporamos inteligencia artificial?”
La pregunta correcta sería:
“¿Qué parte de nuestra operación de seguridad necesita mejorar y qué función concreta puede cumplir allí la inteligencia artificial?”
Ese cambio de pregunta evita muchas inversiones innecesarias.
Si su organización está evaluando IA, automatización o una modernización de su infraestructura de seguridad, conviene comenzar por el diagnóstico y no por la herramienta. Podemos conversar sobre ese punto desde una perspectiva empresarial y tecnológica funcional:
https://t.mtrbio.com/todo-en-unonet
Del volumen de alertas a la calidad de las decisiones
Un SOC maduro no debería competir por producir más señales.
Debería mejorar continuamente su capacidad para separar lo relevante de lo irrelevante.
Ahí la inteligencia artificial comienza a mostrar una utilidad concreta.
Puede ayudar a correlacionar eventos procedentes de distintas fuentes.
Puede enriquecer una alerta con contexto adicional.
Puede identificar comportamientos anómalos.
Puede establecer prioridades.
Puede aprender de decisiones anteriores.
Puede apoyar la clasificación inicial.
Y puede automatizar acciones previamente definidas cuando existen suficientes condiciones y controles para hacerlo de manera segura.
Kaspersky documentó, por ejemplo, un sistema denominado “Auto-Analyst” utilizado para apoyar el filtrado inicial de alertas mediante aprendizaje automático entrenado con alertas de SIEM y decisiones anteriores de especialistas del SOC. La compañía ha indicado que este enfoque puede reducir una parte importante de la carga asociada con falsos positivos.
Eso ilustra un principio que considero mucho más importante que cualquier producto específico:
la IA aporta verdadero valor cuando permite que las personas concentren su capacidad intelectual donde realmente se necesita criterio humano.
Un analista especializado no debería convertirse en operador de una interminable bandeja de notificaciones.
Debería investigar comportamientos complejos.
Construir hipótesis.
Relacionar evidencias.
Comprender técnicas de ataque.
Evaluar impacto.
Tomar decisiones frente a situaciones ambiguas.
Coordinar respuestas.
Y aprender de cada incidente para fortalecer nuevamente el sistema.
La IA puede reducir trabajo mecánico. El conocimiento humano debe aumentar la calidad de la decisión.
Automatizar no significa entregar el control
Aquí aparece otra conversación imprescindible.
Una cosa es utilizar inteligencia artificial para recomendar prioridades.
Otra muy diferente es permitirle ejecutar decisiones críticas sin supervisión.
El entusiasmo alrededor de los SOC autónomos ha crecido, pero incluso los análisis recientes de Kaspersky advierten dificultades importantes: calidad y cobertura de datos, integración entre herramientas, confianza de los analistas, situaciones ambiguas, trazabilidad, cumplimiento y necesidad de mantener mecanismos humanos de control.
Esto confirma algo que muchas organizaciones están aprendiendo en diferentes áreas de la empresa: la automatización inteligente necesita límites.
Imagine que un sistema detecta un comportamiento sospechoso.
Puede recopilar automáticamente información adicional.
Puede consultar inteligencia de amenazas.
Puede relacionar el evento con otros indicadores.
Puede establecer un nivel de criticidad.
Incluso puede recomendar aislar un equipo.
Pero decidir automáticamente bloquear una identidad, desconectar un activo crítico o interrumpir determinado servicio empresarial implica otra categoría de riesgo.
La velocidad es importante.
La continuidad del negocio también.
Por eso la IA dentro del SOC necesita políticas de decisión.
Necesita distinguir entre acciones reversibles y acciones de alto impacto.
Necesita niveles de autorización.
Necesita registros.
Necesita trazabilidad.
Necesita responsables.
Y necesita procedimientos para los casos que no encajan limpiamente en una clasificación de “seguro” o “malicioso”.
La mejor automatización no es la que elimina al ser humano del proceso.
Es la que sabe cuándo puede actuar y cuándo debe escalar la decisión a una persona.
El falso positivo también es un problema económico
Hay una dimensión adicional que los directivos deberían observar.
Cada alerta genera algún tipo de costo operativo.
Quizás sean pocos minutos.
Quizás requiera participación de varios especialistas.
Quizás implique comunicarse con otra área.
Quizás provoque la interrupción temporal de una actividad legítima.
Multiplique ese esfuerzo por cientos o miles de eventos y comenzará a aparecer una variable que muchas compañías todavía no relacionan con la rentabilidad de su estrategia de ciberseguridad.
Por eso indicadores como el tiempo medio de análisis, el tiempo medio de detección y el tiempo medio de respuesta adquieren tanta importancia.
No sirven únicamente para llenar un tablero.
Permiten comprender si el sistema está ayudando realmente a proteger el negocio.
Kaspersky señala que la IA puede facilitar el seguimiento del desempeño operativo del SOC y contribuir a indicadores como MTTA y MTTR, mientras sus soluciones actuales orientadas a SIEM utilizan componentes de IA para mejorar precisión, reducir falsos positivos y acelerar detección y respuesta.
Pero aquí introduciría otra métrica empresarial:
¿cuánto talento especializado estamos utilizando para investigar actividades que finalmente resultan irrelevantes?
Cuando esa cifra es elevada, existe una oportunidad clara de rediseño.
No necesariamente de comprar más.
De rediseñar.
Antes de incorporar IA, revise la arquitectura del SOC
Una implementación funcional debería comenzar mucho antes de seleccionar modelos, proveedores o licencias.
Primero necesitamos comprender qué activos realmente importan para la organización.
Qué información generan.
Qué amenazas tienen mayor impacto potencial.
Qué controles existen.
Qué fuentes llegan realmente al sistema de monitoreo.
Qué alertas aparecen con mayor frecuencia.
Qué porcentaje termina descartándose.
Dónde se concentra el trabajo manual.
Qué decisiones pueden estandarizarse.
Cuáles requieren criterio.
Y qué debería ocurrir después de cada tipo de incidente.
Esta revisión puede revelar algo incómodo pero valioso: a veces la organización no necesita inicialmente una IA más poderosa; necesita mejores datos, mejores reglas, mejores procesos o una integración más coherente.
Incluso Kaspersky ha advertido en 2026 que una debilidad de los SOC puede encontrarse en la cobertura real de telemetría: recopilar información no garantiza que toda ella esté incorporada eficazmente en los mecanismos de detección.
Este punto es fundamental.
Un modelo inteligente que trabaja con información incompleta puede entregar respuestas muy convincentes sobre una realidad que está viendo parcialmente.
Por eso debemos dejar de hablar de IA como una capa mágica colocada encima de la ciberseguridad.
Necesitamos hablar de arquitectura.
Si su empresa está acumulando herramientas de seguridad pero no consigue convertirlas en una operación coherente, una revisión independiente puede ayudar a identificar qué debe integrarse, automatizarse, eliminarse o rediseñarse antes de realizar nuevas inversiones:
https://t.mtrbio.com/todo-en-unonet
La Arquitectura Tecnológica Funcional comienza por el negocio
Desde el criterio de TODO EN UNO.NET, este problema conduce naturalmente hacia una Arquitectura Tecnológica Funcional (ATF).
No porque toda empresa deba construir un SOC propio.
De hecho, para muchas organizaciones puede resultar más conveniente contratar capacidades especializadas mediante servicios administrados.
La arquitectura comienza precisamente por evitar soluciones idénticas para problemas diferentes.
Una empresa pequeña, una organización financiera, una industria, una institución de salud y una compañía con operaciones internacionales no tienen el mismo perfil de riesgo, infraestructura ni capacidad humana.
Por tanto, tampoco deberían adoptar el mismo modelo de seguridad.
La arquitectura permite conectar cinco elementos que frecuentemente se evalúan por separado:
el riesgo empresarial;
la tecnología disponible;
los datos que alimentan las decisiones;
los procesos de respuesta;
y las personas responsables.
Cuando esos elementos están alineados, la IA tiene un lugar preciso.
Cuando no lo están, la IA puede convertirse simplemente en otra herramienta dentro de una colección tecnológica difícil de administrar.
La reducción de falsos positivos es apenas el comienzo
Sería un error limitar la conversación al ahorro de tiempo.
La verdadera oportunidad es construir una operación de seguridad que aprenda.
Cada alerta investigada deja información.
Cada incidente confirmado aporta experiencia.
Cada falso positivo muestra una oportunidad de ajustar criterios.
Cada decisión del analista puede convertirse en retroalimentación para mejorar futuras clasificaciones.
Cada nueva amenaza permite revisar reglas, procedimientos y prioridades.
Así, el SOC puede evolucionar desde una estructura que simplemente reacciona ante señales hacia un sistema que mejora progresivamente su capacidad para reconocer patrones relevantes.
Pero este aprendizaje necesita gobierno.
¿Quién valida las decisiones del modelo?
¿Cada cuánto se revisan?
¿Cómo sabemos que un comportamiento antes legítimo continúa siéndolo?
¿Cómo detectamos degradación?
¿Qué ocurre cuando cambia la infraestructura?
¿Quién autoriza modificaciones?
¿Cómo se documentan?
Estas preguntas parecen operativas, pero son preguntas de dirección.
Porque cuando una organización permite que un sistema inteligente participe en decisiones relacionadas con su seguridad, también está definiendo nuevas responsabilidades corporativas.
La ciberseguridad necesita menos fascinación tecnológica y más criterio
La inteligencia artificial representa una oportunidad extraordinaria para los Centros de Operaciones de Seguridad.
Puede reducir trabajo repetitivo.
Ayudar a contener el ruido.
Aumentar la capacidad de correlación.
Priorizar investigaciones.
Acelerar determinados análisis.
Mejorar consistencia.
Y permitir que profesionales especializados dediquen más tiempo a amenazas que realmente requieren experiencia.
Pero ninguna de esas ventajas elimina la necesidad de diseñar correctamente la operación.
La IA no corrige automáticamente procesos débiles.
No convierte información incompleta en una visión completa.
No sustituye gobierno.
No elimina responsabilidades.
Y no transforma por sí sola una inversión tecnológica en un resultado empresarial.
Ese es precisamente el punto que los directivos deberían conservar después de analizar el debate planteado por Kaspersky.
El futuro del SOC probablemente tendrá cada vez más inteligencia artificial.
Pero el mejor SOC no será necesariamente el que tenga más IA.
Será el que consiga utilizarla con mayor criterio.
Un sistema donde la tecnología filtre el ruido, los procesos den orden, los datos aporten evidencia y las personas conserven la capacidad de juzgar aquello que realmente puede afectar al negocio.
La pregunta para la gerencia, entonces, no es cuánto podemos automatizar.
Es qué debemos automatizar, bajo qué condiciones, con qué controles y para producir qué resultado.
Esa diferencia separa una moda tecnológica de una transformación funcional.
Y cuando una empresa llega a ese nivel de reflexión, ya no está comprando herramientas de ciberseguridad.
Está construyendo capacidad empresarial para anticipar, decidir y responder mejor.
Si su organización quiere evaluar cómo incorporar inteligencia artificial, automatización y seguridad dentro de una arquitectura coherente con sus riesgos, procesos y objetivos, puede iniciar una conversación consultiva con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
Después de más de tres décadas acompañando procesos empresariales y tecnológicos, una convicción permanece: el valor no está en adoptar primero una tecnología, sino en comprender primero qué problema debe resolver.
Porque cuando la tecnología entiende su función, deja de ser un gasto sofisticado y comienza a convertirse en capacidad organizacional.