Mantenerse al día de siglas y novedades en un ámbito tan cambiante y en constante desarrollo como el de la ciberseguridad puede resultar algo abrumador. Además, en ocasiones las siglas son conocidas desde hace tiempo, pero el modo de trabajo va evolucionando para adaptarse a los avances tecnológicos. Es el caso de los SOC o Security Operation Center (Centro de Operaciones de Seguridad), básicos desde hace mucho para proteger a las empresas y que en los últimos años están sufriendo profundos cambios gracias a la tecnología. En concreto, se ha pasado de una gestión manual de los incidentes a la automatización.
Se trata de una transición fundamental que está logrando resolver muchos de los problemas clásicos que afectaban a los SOC: facilita el escalado entre equipos, mitiga la fatiga de los operadores y hace que no sea necesario contar con más personal en momentos en los que aumentan las alertas por encima de lo esperado. Se trata de un proceso más adaptado y ajustado a lo que necesita cada empresa en cada momento, algo que desde T-Systems afrontamos a través de cuatro fases.
En la primera, se hace un assessment o valoración preliminar, consistente en un análisis centrado en la seguridad del entorno del cliente; la revisión de las fuentes de contención con las que se cuenta, mejorando así la optimización de la detección de incidentes y el sistema de alertas; y la definición de un procedimiento de escalado y un modelo de reacción. Para lograrlo, involucramos a nuestro equipo de seguridad ofensiva, lo que nos permite detectar brechas de seguridad y comprobar distintos procedimientos.
La segunda fase se ocupa del diseño de una respuesta automatizada. A través de una base de datos con más de 300 casos de uso, anticipamos las fases que puede tener un ataque y cómo podemos responder a ellas. En este proceso la IA refuerza las herramientas de detección, reconociendo patrones anómalos y amenazas. Además, a través de la automatización, se produce un enriquecimiento de la información a la que tenemos acceso, se priorizan las alertas, se contienen los incidentes, se gestionan los tickets de incidencias y se generan informes y estadísticas. Con la generación de un playbook para cada incidente, se estandariza la respuesta con rapidez, coordinación y eficiencia.
En la tercera fase se validan esos playbooks de seguridad comprobando que los casos de uso que se han seleccionado detectan los eventos correctos y no generan ni falsos positivos ni falsos negativos. Y, por último, la fase 4 es la del despliegue: se lleva a cabo una revisión final del caso de uso, se activa en SIEM y SOAR y se abre un periodo de prueba en producción que mide su rendimiento.
El resultado de todo esto es un respaldo de seguridad mucho más fiable, rápido y estable. Gracias a la hiperautomatización, se pasa de tener unos simples estándares a reducir el tiempo de mitigación de incidentes en un 80 %. Un SOC automatizado con las últimas herramientas de IA, en definitiva, significa clientes más tranquilos, personal menos sobrecargado y una respuesta mucho más rápida y eficiente a los distintas amenazas y alertas de seguridad.
Deja tu comentario sobre "Qué es un SOC (y cómo funciona)"