La próxima gran inversión en ciberseguridad de muchas empresas latinoamericanas puede fracasar antes de encender la primera pantalla. El problema no será la falta de tecnología, sino construir un Centro de Operaciones de Seguridad sin haber definido qué debe proteger, qué decisiones debe acelerar y qué riesgos debe reducir.
Un SOC no crea seguridad por existir. Puede convertirse en una costosa operación con especialistas agotados si la organización no conecta personas, procesos, datos, prioridades y gobierno. La pregunta no es cuánto cuesta implementar un SOC ni qué plataforma comprar primero. La pregunta es qué capacidad necesita la empresa para detectar, interpretar y responder a eventos que puedan afectar su operación, sus clientes y su reputación.
Cuando la ciberseguridad se diseña desde esa perspectiva, deja de ser un proyecto técnico y empieza a convertirse en una capacidad empresarial estratégica, medible y sostenible para dirigir el riesgo digital. 👉 LEE NUESTRO BLOG...
La urgencia ya está sobre la mesa.
Una investigación difundida por Kaspersky en septiembre de 2026 muestra hasta qué punto las organizaciones latinoamericanas están acelerando sus planes para establecer Centros de Operaciones de Seguridad, conocidos como SOC.
El estudio fue realizado entre profesionales sénior, gerentes y directores de seguridad de organizaciones con 500 o más empleados que todavía no disponen de un SOC, pero proyectan implementarlo. Participaron empresas de 16 países, entre ellos Brasil, México y Colombia.
Hay un detalle que merece atención: el comunicado original utiliza el 69% en su titular, mientras que en el desarrollo señala que el 66% de las organizaciones latinoamericanas consultadas que planean implementar un SOC espera tenerlo operativo entre seis y doce meses. Más allá de esa diferencia, la señal empresarial es evidente: la capacidad organizada de detectar y responder ante amenazas digitales está entrando rápidamente en las agendas de inversión.
Pero aquí aparece una pregunta mucho más importante.
¿Tener un SOC significa estar protegido?
No necesariamente.
Ese es precisamente el riesgo que debemos comprender antes de que la tendencia por crear Centros de Operaciones de Seguridad se convierta en otra carrera tecnológica donde muchas empresas terminan comprando primero y pensando después.
Un SOC no debería comenzar con una plataforma
Cuando una empresa decide modernizar su contabilidad, normalmente no empieza preguntando por el servidor donde funcionará el sistema.
Cuando quiere mejorar su logística, tampoco debería comenzar comprando sensores.
Y cuando pretende fortalecer su servicio al cliente, adquirir un CRM no resuelve por sí solo los problemas de atención.
Sin embargo, cuando hablamos de ciberseguridad, todavía existe una tendencia peligrosa a iniciar la conversación por las herramientas.
SIEM, EDR, XDR, SOAR, inteligencia de amenazas, automatización, analítica, inteligencia artificial y decenas de tecnologías comienzan a ocupar la discusión.
Todas pueden ser útiles.
Pero ninguna responde primero a la pregunta fundamental:
¿Qué necesita proteger realmente esta empresa y qué consecuencias tendría para el negocio perderlo?
Ese cambio de pregunta transforma completamente el proyecto.
Un SOC funcional no debería diseñarse alrededor de una colección de productos tecnológicos. Debería construirse alrededor de los riesgos que pueden interrumpir la operación, comprometer información, afectar clientes, generar incumplimientos, deteriorar la reputación o comprometer la continuidad empresarial.
Desde TODO EN UNO.NET hemos defendido durante años una idea sencilla: nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.
En ciberseguridad esta filosofía resulta especialmente importante.
Porque una empresa puede invertir millones en herramientas y continuar siendo vulnerable si nadie ha establecido prioridades, responsabilidades, procedimientos y capacidad real de respuesta.
El costo visible y el costo que casi nadie calcula
La investigación citada sitúa cerca de US$2 millones el presupuesto promedio global contemplado para establecer un SOC. El 55% de las organizaciones encuestadas planea invertir menos de US$1 millón, mientras que aproximadamente una cuarta parte contempla desembolsos superiores a US$2,5 millones.
Son cifras importantes.
Pero el costo de adquisición es apenas una parte del problema.
Existe otro presupuesto que con frecuencia no aparece suficientemente desarrollado cuando se aprueba el proyecto: el costo de mantener la capacidad funcionando.
Un SOC necesita personas capaces de interpretar información, procedimientos para escalar incidentes, integración entre herramientas, actualización permanente, conocimiento del negocio, coordinación con otras áreas y métricas que permitan determinar si realmente está reduciendo riesgos.
Por eso considero que antes de preguntar cuánto costará el SOC, la dirección debería preguntarse qué capacidad necesita construir y durante cuánto tiempo podrá sostenerla.
Si su organización está evaluando inversiones en infraestructura, ciberseguridad, continuidad o modernización tecnológica, una conversación independiente antes de comprar puede evitar decisiones costosas y desconectadas del negocio:
https://t.mtrbio.com/todo-en-unonet
Primero comprender. Después diseñar. Finalmente invertir.
Un SOC no es una sala llena de pantallas
Durante años, una determinada imagen de la ciberseguridad corporativa hizo carrera: grandes salas oscuras, enormes monitores, mapas digitales, gráficos en movimiento y especialistas observando permanentemente alertas.
La imagen resulta poderosa.
El problema aparece cuando confundimos la imagen con la capacidad.
Un verdadero SOC es mucho menos cinematográfico y bastante más organizacional.
Debe saber qué activos son críticos.
Debe conocer qué procesos no pueden detenerse.
Debe diferenciar una anomalía sin consecuencias de un evento capaz de paralizar la empresa.
Debe saber quién toma decisiones cuando aparece una amenaza.
Debe determinar cuándo interviene tecnología, cuándo interviene dirección, cuándo debe participar el área jurídica y cuándo debe activarse un mecanismo de continuidad.
Y, especialmente, debe tener claro qué sucede después de detectar algo.
Porque detectar un problema que nadie sabe gestionar solamente produce una alerta más.
Esta es una de las razones por las cuales muchas inversiones de seguridad producen frustración.
La herramienta funciona.
Genera datos.
Emite alertas.
Detecta comportamientos.
Pero la organización no había construido alrededor de ella una arquitectura operativa capaz de convertir esa información en decisiones.
La verdadera pregunta es cuánto tarda la empresa en reaccionar
La investigación de Kaspersky muestra otra situación reveladora: el 23% de las organizaciones latinoamericanas consultadas reconoce dificultades para evaluar la efectividad de un SOC.
No debería sorprendernos.
Medir ciberseguridad exclusivamente por la cantidad de ataques bloqueados puede resultar tan engañoso como medir la calidad de un hospital contando únicamente cuántas personas llegaron a urgencias.
Una operación de seguridad necesita indicadores conectados con resultados.
Entre ellos aparecen métricas técnicas como el tiempo medio de detección y el tiempo medio de respuesta, conocidas como MTTD y MTTR. Pero la conversación empresarial debe ir más allá.
¿Cuánto tiempo permaneció comprometido un activo?
¿Cuántos procesos críticos estuvieron expuestos?
¿Cuánto tardó la empresa en contener el incidente?
¿La operación se interrumpió?
¿Los responsables actuaron según procedimientos previamente definidos?
¿Funcionaron las copias de respaldo?
¿La dirección recibió información suficiente para decidir?
¿Se cumplieron las obligaciones contractuales, regulatorias y de protección de datos?
¿La empresa aprendió algo que disminuya la probabilidad o el impacto del próximo incidente?
Esas preguntas convierten la ciberseguridad en administración empresarial.
Y esa transición es fundamental.
El propio Cybersecurity Framework 2.0 del National Institute of Standards and Technology, NIST, elevó el gobierno de la ciberseguridad como una función central y plantea que la gestión de estos riesgos debe apoyar la misión y los objetivos de la organización.
Esto significa algo que los empresarios no deberían delegar completamente al departamento de sistemas:
el riesgo digital también es riesgo empresarial.
La tecnología puede operar el control.
La dirección debe gobernar el riesgo.
El problema del talento no se resuelve solamente contratando
Otra cifra merece especial atención.
El 24% de las organizaciones latinoamericanas participantes en la investigación identifica dificultades para encontrar conocimiento especializado en el mercado, mientras el 18% reconoce falta de experiencia dentro de sus propios equipos.
Aquí surge una de las decisiones más delicadas.
¿Debe la empresa construir completamente su capacidad interna?
¿Debe externalizarla?
¿Debe combinar ambas posibilidades?
No existe una respuesta universal.
Una gran institución financiera, una empresa industrial, un hospital, una cadena comercial y una organización mediana pueden compartir determinadas amenazas, pero sus necesidades operativas, regulatorias, presupuestarias y humanas serán diferentes.
Pretender copiar el SOC de otra empresa puede convertirse en el primer error del proyecto.
En muchos casos, la solución funcional será híbrida.
La organización conserva internamente el conocimiento de sus procesos, activos, decisiones y responsabilidades críticas, mientras determinadas capacidades especializadas de monitoreo, inteligencia, detección o respuesta se complementan con proveedores externos.
Lo importante no es demostrar que todo puede realizarse internamente.
Lo importante es asegurar que aquello que debe suceder suceda correctamente cuando sea necesario.
Esa diferencia parece pequeña, pero cambia completamente la lógica de inversión.
Antes de decidir entre construir, contratar o integrar capacidades de seguridad, conviene diagnosticar madurez, riesgos, infraestructura, talento disponible, obligaciones y prioridades del negocio. Ese análisis puede formar parte de una Arquitectura Tecnológica Funcional diseñada alrededor de la realidad de cada organización:
https://t.mtrbio.com/todo-en-unonet
La empresa mediana también necesita un SOC, aunque probablemente no como imagina
Existe además una interpretación que debemos evitar.
Como el estudio analizado se realizó con organizaciones de 500 o más empleados, sus presupuestos y modelos no deberían trasladarse automáticamente a empresas pequeñas o medianas.
Una pyme no necesita imitar la infraestructura de una multinacional.
Pero eso tampoco significa que pueda prescindir de capacidad de monitoreo y respuesta.
La pregunta debe formularse de otra manera:
¿cuál es el mínimo nivel de capacidad de seguridad que necesita esta organización para operar responsablemente?
Tal vez no necesite una sala especializada funcionando veinticuatro horas con decenas de profesionales.
Podría necesitar centralización de eventos, protección de endpoints, monitoreo de identidades, administración adecuada de respaldos, procedimientos de incidentes, controles de acceso, responsables claramente identificados y apoyo especializado cuando las circunstancias lo requieran.
Eso también puede formar parte de un modelo de operaciones de seguridad.
El error sería concluir que únicamente existen dos posibilidades: construir un SOC multimillonario o no tener nada.
Entre esos extremos existe una arquitectura escalable.
Y es precisamente allí donde la dirección debe ejercer criterio.
La inteligencia artificial aumentará capacidad, pero también ruido
La evolución actual de la inteligencia artificial está introduciendo además una nueva variable.
Los sistemas de seguridad disponen cada vez de mayores capacidades para correlacionar eventos, analizar comportamientos, priorizar amenazas, enriquecer incidentes y automatizar determinadas respuestas.
Esto puede mejorar considerablemente la productividad de los equipos.
Pero también aumenta la tentación de confiar excesivamente en la automatización.
Una IA puede ayudar a interpretar miles de señales.
No puede definir por sí sola qué riesgo está dispuesto a aceptar el directorio.
Puede identificar una anomalía.
No necesariamente conoce todas las implicaciones comerciales, jurídicas, humanas o reputacionales de una decisión.
Puede recomendar aislar un sistema.
Pero solamente el contexto empresarial permitirá determinar las consecuencias de detenerlo en plena operación.
Por eso el futuro del SOC no debería plantearse como humanos contra inteligencia artificial.
Debería construirse como una combinación de automatización, criterio humano, procedimientos y gobierno.
La IA debe ampliar capacidad.
No reemplazar responsabilidad.
De comprar seguridad a construir resiliencia
Aquí se encuentra, a mi juicio, la conversación que esta tendencia debería provocar en las juntas directivas latinoamericanas.
No se trata de decidir si la empresa necesita muchas o pocas herramientas.
Se trata de reconocer que la dependencia tecnológica de nuestras organizaciones ha cambiado.
Facturamos digitalmente.
Vendemos digitalmente.
Atendemos digitalmente.
Pagamos digitalmente.
Administramos información crítica digitalmente.
Nos conectamos con proveedores digitalmente.
Automatizamos procesos digitalmente.
Y cada nueva integración aumenta productividad, pero también amplía la superficie que debemos proteger.
Por eso la ciberseguridad ya no puede limitarse a instalar controles alrededor de una infraestructura.
Necesita integrarse a la arquitectura del negocio.
Una Arquitectura Tecnológica Funcional (ATF) debe permitir identificar qué tecnología soporta cada proceso crítico, cuáles son sus dependencias, qué información utiliza, quién responde por ella, cómo se monitorea, cómo se recupera y qué sucedería empresarialmente si deja de estar disponible.
Entonces el SOC deja de ser un proyecto aislado.
Se convierte en uno de los componentes encargados de observar y proteger esa arquitectura.
Esta diferencia es fundamental.
Primero está la empresa.
Después sus procesos.
Luego la información.
Después los riesgos.
Finalmente aparecen las capacidades tecnológicas apropiadas.
Cuando invertimos ese orden comenzamos comprando productos y terminamos intentando encontrarles una función.
Cuando respetamos ese orden, cada inversión tiene una razón empresarial.
La junta directiva también tiene responsabilidades
No espero que un gerente general aprenda a configurar un SIEM.
Tampoco debería necesitar hacerlo.
Pero sí considero indispensable que pueda formular preguntas estratégicas.
¿Qué estamos protegiendo?
¿Cuáles son nuestros cinco procesos digitales más críticos?
¿Qué evento tecnológico podría paralizarnos mañana?
¿Cuánto tardaríamos en descubrirlo?
¿Quién tendría autoridad para actuar?
¿Cuánto tiempo podemos permanecer fuera de operación?
¿Qué proveedores tienen acceso a información o infraestructura crítica?
¿Cómo sabremos si nuestra inversión en seguridad funciona?
¿Cuándo fue la última vez que probamos nuestra capacidad de recuperación?
Esas preguntas pertenecen a la dirección.
La tecnología responderá parte de ellas.
Los especialistas responderán otras.
Pero la responsabilidad de asegurar que exista una respuesta coherente corresponde al gobierno empresarial.
Ese es probablemente el cambio más importante que debemos hacer durante los próximos años.
Pasar de considerar la ciberseguridad como un asunto del área tecnológica a administrarla como una condición para la continuidad, la confianza y el crecimiento.
El mejor SOC puede ser el que nunca se construya como proyecto aislado
El crecimiento proyectado de los Centros de Operaciones de Seguridad en Latinoamérica es una buena señal.
Demuestra que las organizaciones están reconociendo que detectar y responder importa tanto como prevenir.
Pero también representa una advertencia.
Cuando una tendencia tecnológica recibe presupuesto rápidamente, aumenta el riesgo de que algunas empresas intenten implementarla antes de comprenderla.
Y un SOC construido para cumplir una tendencia puede terminar generando muchos datos, muchas alertas y muy poca seguridad adicional.
La empresa no necesita necesariamente más tecnología.
Necesita mejor capacidad.
Capacidad para conocer sus activos.
Capacidad para identificar riesgos.
Capacidad para reconocer anomalías.
Capacidad para responder.
Capacidad para recuperarse.
Capacidad para aprender.
Y capacidad para decidir.
Cuando esas capacidades están organizadas correctamente, entonces las herramientas, el talento especializado, la automatización y la inteligencia artificial encuentran su lugar natural.
Ese debería ser el verdadero objetivo.
No tener un SOC porque el mercado está construyendo SOC.
Sino construir una organización capaz de proteger aquello que hace posible su negocio.
La ciberseguridad empresarial del futuro no se ganará acumulando productos tecnológicos. Se fortalecerá entendiendo mejor la organización, conectando riesgos con procesos, asignando responsabilidades y utilizando la tecnología donde realmente produzca funcionalidad.
Antes de aprobar su próximo presupuesto de ciberseguridad, puede ser mucho más valioso revisar primero la arquitectura que ese presupuesto pretende proteger. Si desea conversar sobre cómo evaluar esa realidad desde una perspectiva empresarial y tecnológica funcional:
https://t.mtrbio.com/todo-en-unonet
Porque proteger una empresa no comienza frente a una pantalla.
Comienza comprendiendo qué no podemos permitirnos perder y diseñando, desde allí, la capacidad necesaria para conservarlo.