La inteligencia artificial no es, desde luego, una novedad en el mundo de la ciberseguridad. Desde hace más de una década, se utilizan técnicas de machine learning para detectar anomalías, identificar comportamientos sospechosos y apoyar la detección de amenazas.
Sin embargo, la evolución a la que hemos asistido en los últimos dos años no tiene precedentes: la llegada de la IA generativa y de los sistemas agénticos está ampliando radicalmente el alcance de las actividades que pueden automatizarse.
Los ataques sofisticados y la falta de competencias impulsan la automatización
La creciente sofisticación de los ataques, el aumento exponencial del volumen de alertas y la escasez crónica de competencias especializadas están llevando a las empresas y a los operadores del sector a replantear el funcionamiento de los Centros de Operaciones de Seguridad (SOC), con el fin de automatizar una proporción cada vez mayor de los procesos de detección, análisis y respuesta ante incidentes.
Aquí entra en juego el concepto de SOC autónomo: un modelo operativo que promete reducir la carga de trabajo manual, acelerar las investigaciones y mejorar la eficacia global de las operaciones de seguridad. Pero ¿cuánto hay de concreto detrás de esta visión? ¿Qué actividades pueden automatizarse realmente y cuáles requieren supervisión humana? Y, sobre todo, ¿existe ya un SOC completamente autónomo?
En este artículo responderemos a todas estas preguntas.
Puntos clave
- La IA está cambiando el equilibrio entre ataque y defensa. Los atacantes aprovechan la automatización y la IA para aumentar la velocidad y el volumen de las campañas. La defensa debe evolucionar en consecuencia.
- El SOC autónomo está surgiendo como respuesta a los retos operativos: fatiga por alertas, escasez de competencias, necesidad de escalar y necesidad de reducir los tiempos de respuesta.
- Los enfoques innovadores se centran en ecosistemas de agentes especializados que colaboran con los analistas para obtener una ventaja frente a los actores maliciosos.
- Todavía no existe un SOC completamente autónomo. La IA puede automatizar muchas actividades operativas, pero las decisiones críticas requieren experiencia humana y responsabilidad.
Por qué la automatización se está convirtiendo en una parte integral del SOC
La idea de automatizar las actividades del SOC está impulsada por varios factores que hacen que las herramientas tradicionales sean menos eficaces que antes y que las estrategias de defensa sean menos sostenibles.
Velocidad asimétrica
Uno de los principales factores es la velocidad asimétrica del ataque y la defensa. Las organizaciones criminales han industrializado muchas actividades ofensivas, como la recopilación de información, la generación de contenidos y el análisis de objetivos potenciales. Ante amenazas que evolucionan y se adaptan a una velocidad cada vez mayor, la defensa debe ser capaz de responder a la misma velocidad.
Fatiga por alertas (alert fatigue)
A esto se suma un problema creciente de sobrecarga operativa. Cada día, los Centros de Operaciones de Seguridad tienen que gestionar miles de alertas generadas por el conjunto de herramientas que conforman la infraestructura de defensa. Separar las amenazas reales del ruido de fondo se convierte en un reto importante, y la IA puede resultar extremadamente útil en este sentido.
Escalabilidad organizativa
Para un proveedor de seguridad, al igual que para las grandes empresas, el aumento del volumen de actividades monitorizadas no puede traducirse en un crecimiento lineal de la plantilla. Esto se debe también a que el mercado adolece de falta de competencias especializadas. Por tanto, la automatización se convierte en una condición necesaria para gestionar más clientes, más activos y más datos sin aumentar proporcionalmente los costes.
Procesos coherentes y repetibles
Los procesos automatizados también ofrecen la ventaja de aplicar criterios de análisis coherentes y repetibles. A diferencia de las personas, que pueden verse afectadas por la fatiga y la presión, un sistema automatizado realiza siempre las mismas comprobaciones con el mismo nivel de calidad.
Qué es un SOC autónomo: de la gestión de alertas a la autonomía total
Un SOC reúne diferentes procesos, herramientas y ámbitos de especialización. En función del nivel de madurez de la organización, un SOC puede incluir personal dedicado a la monitorización de alertas, analistas de primer y segundo nivel responsables de investigar incidentes, especialistas en inteligencia de amenazas, expertos en informática forense, responsables de respuesta ante incidentes y profesionales encargados de coordinar las actividades con el negocio y la dirección.
Cada uno de estos perfiles lleva a cabo actividades específicas; sin embargo, no todas ellas requieren el mismo nivel de experiencia, conocimientos especializados o comprensión del contexto empresarial.
De la automatización tradicional al SOC agéntico
Para lograr una automatización inteligente, el camino que se está siguiendo aprovecha la IA agéntica. En lugar de considerar el SOC como un único bloque, la idea es descomponer sus actividades en una serie de funciones más granulares y especializadas.
Este enfoque ofrece dos ventajas principales.
- Cada componente puede desarrollarse, entrenarse y mejorarse de forma independiente, incorporando nuevas capacidades sin tener que rediseñar flujos de trabajo completos del SOC;
- Es posible medir con precisión el rendimiento de cada agente, aumentar progresivamente su nivel de autonomía o sustituirlo cuando no ofrezca los resultados esperados.
Triaje y gestión de alertas
De todas las actividades realizadas por un SOC, el triaje de alertas es la que mejor se presta a la automatización. La razón es sencilla: los operadores tienen que gestionar cada día miles de alertas procedentes de distintas herramientas, muchas de las cuales resultan ser falsos positivos o eventos con un impacto sistémico muy bajo.
La automatización basada en reglas se utiliza en este ámbito desde hace muchos años, pero la IA agéntica va un paso más allá. Además de filtrar eventos y aplicar criterios predefinidos, puede recopilar información de distintas fuentes, enriquecer automáticamente las alertas con el contexto necesario para interpretarlas, asignar un nivel de riesgo y proponer una clasificación preliminar o scoring para que el analista la revise.
Muchas de estas actividades presentan características ideales para la automatización: son altamente repetitivas, requieren el análisis de grandes volúmenes de datos y se basan en procedimientos estandarizados. Al mismo tiempo, aprovechan algunos de los puntos fuertes de la IA moderna, como la capacidad de sintetizar información procedente de fuentes heterogéneas, identificar correlaciones y elaborar rápidamente una primera evaluación del contexto.
Investigación y correlación
Una vez identificado un evento sospechoso, el siguiente paso es determinar si las alertas forman parte de un incidente más amplio. Esta es una fase central que requiere el análisis de numerosas fuentes de información: registros, endpoints, plataformas cloud, herramientas de inteligencia de amenazas y mucho más.
Los agentes de IA están demostrando su eficacia precisamente por su capacidad para navegar por estas fuentes, recopilar datos, correlacionar eventos y construir hipótesis de investigación. No toman decisiones, al menos por ahora, pero sin duda pueden reducir el tiempo necesario para comprender lo que está ocurriendo.
Respuesta ante incidentes
La fase de respuesta es donde la cuestión de la confianza en los sistemas automatizados se hace más evidente. También aquí las respuestas no son uniformes: algunas acciones pueden llevarse a cabo de forma autónoma con un riesgo relativamente limitado, como aislar un endpoint potencialmente comprometido o abrir automáticamente un ticket.
Sin embargo, cuando las consecuencias pueden tener un impacto significativo en el negocio o en la continuidad operativa, la intervención humana sigue siendo esencial. El modelo es híbrido por definición y seguirá siéndolo durante mucho tiempo: la IA proporciona la información y puede proponer la acción que debe emprenderse, pero la decisión final corresponde al profesional.
Informes y documentación
La elaboración de informes, cronologías de eventos y documentación técnica consume una parte considerable del tiempo de los profesionales. La inteligencia artificial generativa puede intervenir de forma eficaz y autónoma en este ámbito, transformando datos técnicos complejos en resúmenes legibles, reconstruyendo la secuencia de los acontecimientos y generando una documentación coherente y estandarizada.
Cómo construir un camino hacia la automatización inteligente
Las organizaciones no parten con el objetivo de construir un SOC autónomo. La pregunta es mucho más pragmática: ¿cómo puede utilizarse la inteligencia artificial para hacer que los procesos de seguridad existentes sean más eficaces y sostenibles, a menudo respaldados por herramientas consolidadas como SIEM, EDR, plataformas de inteligencia de amenazas y sistemas de orquestación?
- El proceso comienza siempre por identificar los cuellos de botella. ¿Qué actividades consumen más tiempo? ¿Cuáles requieren competencias especializadas, pero generan poco valor añadido? ¿De qué competencias carece la organización?
- Las primeras iniciativas de automatización se centran siempre en actividades estandarizadas: clasificación de alertas, recopilación de evidencias, correlación preliminar de eventos, búsqueda de información contextual y elaboración de informes. Estas áreas pueden ofrecer resultados tangibles en poco tiempo, con un ROI muy elevado.
- Solo en este punto tiene sentido evaluar niveles de automatización más avanzados, ampliar el grado de autonomía de los sistemas y permitirles formular recomendaciones, proponer acciones correctivas y apoyar las actividades de investigación con un grado de iniciativa cada vez mayor.
- A lo largo de todo este proceso, la gobernanza debe seguir siendo un aspecto prioritario. A medida que la automatización adquiere un papel más relevante, resulta esencial garantizar la transparencia de las decisiones, la trazabilidad de las acciones, la supervisión humana y la capacidad de intervención en caso de comportamientos inesperados. Por este motivo, son fundamentales los mecanismos de validación, el scoring asociado a las recomendaciones generadas por la IA y los procedimientos que permitan a los operadores aprobar, modificar o cancelar las acciones sugeridas por el sistema.
Por tanto, más que una transformación abrupta, el camino hacia el SOC autónomo parece ser un proceso gradual de evolución tecnológica y organizativa, similar al que estamos observando en muchas otras áreas de la empresa, desde la productividad individual hasta el desarrollo de software, pasando por la gestión documental y la atención al cliente.
Kirey: preparar a las empresas para los retos de hoy y de mañana
La evolución de las amenazas no deja margen para la inacción. Para las organizaciones, es esencial adoptar una estrategia de defensa capaz de evolucionar con el tiempo.
Gracias a nuestra experiencia en ciberseguridad y gestión de riesgos, ayudamos a las organizaciones a definir itinerarios evolutivos alineados con el panorama de amenazas, ayudándolas a identificar las oportunidades que ofrece la IA y a convertirlas en ventajas tangibles.
Contáctanos para descubrir cómo podemos ayudarte en este camino.
