Tres proveedores, tres propuestas, tres palabras distintas: uno vende "un SIEM", otro "un SOC", el tercero "monitoreo 24x7". Los tres prometen que vas a estar vigilado. Solo uno de los tres incluye lo que de verdad te protege, y no se nota en la primera página de la cotización.
El SIEM: la herramienta
SIEM son las siglas en inglés de gestión de información y eventos de seguridad. En cristiano: un sistema que recoge los registros de tus servidores, tu firewall, tu correo y tus equipos, los junta y busca patrones. Un inicio de sesión a las 3 a.m. desde otro país. Un usuario que de pronto copia diez mil archivos. Un equipo que empieza a hablar con un servidor desconocido.
Es una herramienta poderosa. Y como toda herramienta, sola no hace nada. Un SIEM sin alguien que lo mire genera alertas que nadie lee. Es el detector de humo instalado en una casa vacía.
Eso es lo que compras cuando compras "un SIEM": la licencia y la instalación. La pregunta que sigue es quién lo mira.
El SOC: la gente
SOC es un centro de operaciones de seguridad: un equipo de analistas, en turnos, que revisa cada alerta, descarta las falsas, escala las reales y actúa. El SIEM es su instrumento; el SOC es la tripulación.
Tener un SOC propio significa contratar analistas para tres turnos, siete días, con vacaciones y rotación. Para una empresa mediana no sale. Por eso existe el SOC como servicio: un proveedor que ya tiene la tripulación y la comparte entre varios clientes.
Aquí está la primera pregunta que conviene hacerle a quien te cotiza: ¿quién está despierto a las tres de la mañana un domingo, y qué hace cuando salta una alerta?
Monitoreo 24x7: la promesa completa
Cuando yo digo monitoreo 24x7 me refiero a las tres capas juntas: la herramienta (SIEM), la gente que la opera a toda hora (SOC) y la respuesta: cuando algo se confirma, se contiene desde el centro de operaciones y a ti se te avisa con lo que hay que decidir, no con la alerta cruda.
Y una cuarta capa que casi nunca aparece en la cotización pero es la que la dirección ve: el reporte mensual. Qué se detectó, qué se contuvo, qué conviene cambiar. En lenguaje de negocio, no en una exportación del SIEM.
Cinco preguntas antes de firmar
- ¿Quién revisa las alertas, a qué horas y en cuánto tiempo responde a una confirmada?
- ¿Qué pasa cuando se confirma un incidente: me avisan, o además lo contienen?
- ¿Qué fuentes van a conectar: solo el firewall, o también el correo, la nube y los equipos de la gente?
- ¿Qué recibo cada mes, y lo puede leer alguien que no es de TI?
- ¿Puedo empezar con una parte de la empresa y ampliar después?
Si la respuesta a la primera es vaga, lo que te están vendiendo es la herramienta. Y la herramienta sola es el detector de humo en la casa vacía.
Preguntas frecuentes
¿Qué diferencia hay entre SIEM y SOC?
El SIEM es el sistema que junta y correlaciona los registros; el SOC es el equipo de personas que lo opera en turnos y responde a las alertas.
¿Necesito un SOC propio?
Casi ninguna empresa mediana puede sostener tres turnos de analistas. El SOC como servicio comparte ese equipo entre varios clientes.
¿Qué recibe la dirección?
Un reporte mensual con lo detectado, lo contenido y lo que conviene cambiar, escrito para quien decide, no para quien administra el SIEM.