
Las amenazas informáticas ya no siguen necesariamente horarios de oficina. Un intento de acceso anómalo, una cuenta comprometida o una actividad sospechosa en un servidor pueden aparecer de madrugada, durante un fin de semana o justo cuando el equipo interno de TI está atendiendo otras prioridades.
Este escenario está llevando a muchas organizaciones a revisar la manera en que gestionan la seguridad. Para aquellas que necesitan vigilancia continua sin desarrollar toda la infraestructura internamente, un SOC como servicio para empresas puede convertirse en una alternativa para centralizar monitoreo, análisis y respuesta ante incidentes.
El modelo tradicional, basado en acumular alertas para que posteriormente un analista las revise una por una, comienza a convivir con una nueva generación de centros de operaciones de seguridad capaces de utilizar agentes de inteligencia artificial para investigar, priorizar y contextualizar incidentes.
Es lo que se conoce como SOC agéntico: una evolución del Security Operations Center en la que la automatización deja de limitarse a ejecutar reglas previamente escritas y comienza a apoyarse en agentes de IA capaces de realizar tareas dentro de flujos de investigación, siempre bajo los controles y la supervisión definidos por la organización.
Del SOC tradicional a un modelo apoyado por agentes de IA
Un SOC concentra las actividades destinadas a supervisar eventos de seguridad, detectar posibles amenazas e investigar incidentes. El reto aparece cuando la infraestructura crece y, con ella, también lo hace el número de señales que deben analizarse.
En ese contexto, contar con especialistas en ciberseguridad permite complementar las capacidades internas de una organización con experiencia técnica orientada a la detección, análisis y atención de incidentes.
Servidores, computadoras, identidades, correo electrónico, aplicaciones en la nube y dispositivos conectados pueden generar grandes cantidades de información. No todas las alertas representan un incidente real, pero diferenciarlas requiere tiempo y contexto.
Los agentes de IA buscan reducir parte de ese trabajo manual.
Google Cloud describe el SOC agéntico como un modelo en el que diferentes agentes pueden automatizar tareas como clasificación de alertas, investigación de amenazas y desarrollo de reglas de detección.
A diferencia de una automatización convencional, basada normalmente en procedimientos rígidos, estos sistemas pueden analizar contexto y determinar los siguientes pasos de una investigación dentro de los permisos establecidos.
Microsoft plantea una evolución similar: los agentes pueden recopilar evidencias de distintos dominios, como identidad, endpoints, correo y nube, para presentar al analista una investigación ya contextualizada, dejando las decisiones de mayor impacto bajo supervisión humana.
¿Qué puede hacer un SOC agéntico durante un incidente?
La principal diferencia aparece en los primeros minutos después de detectar una actividad sospechosa.
En un esquema muy dependiente de procesos manuales, una alerta puede pasar por diferentes herramientas y especialistas antes de determinar si existe realmente un riesgo. Un entorno agéntico puede encargarse de recopilar buena parte de esa información de forma automática.
Investigar y enriquecer las alertas
Un agente puede revisar información relacionada con el evento, consultar datos del activo afectado, buscar actividad asociada y correlacionar señales procedentes de diferentes sistemas.
Por ejemplo, una alerta de inicio de sesión inusual puede adquirir un significado diferente si al mismo tiempo existe actividad sospechosa en el endpoint del usuario o intentos de acceso a información sensible.
El objetivo es que el equipo de seguridad reciba contexto y no únicamente una notificación aislada.
Priorizar según el riesgo
Uno de los problemas habituales en operaciones de ciberseguridad es la cantidad de alertas que terminan siendo falsos positivos o eventos de baja prioridad.
Los agentes permiten filtrar y organizar parte de esas señales antes de que lleguen al analista. Así, los especialistas pueden concentrar su atención en situaciones que requieren una decisión, una investigación avanzada o una intervención directa.
Ejecutar respuestas controladas
Dependiendo del nivel de automatización autorizado, determinados procedimientos también pueden ejecutarse automáticamente.
Esto puede incluir acciones como aislar un dispositivo comprometido, recopilar evidencia adicional o escalar un incidente según su criticidad. El punto importante es que la autonomía debe tener límites claramente establecidos, especialmente cuando una acción puede afectar sistemas productivos o usuarios.
El factor humano sigue siendo parte del modelo
Hablar de agentes autónomos no significa eliminar a los analistas del centro de operaciones.
De hecho, los modelos de SOC agéntico desarrollados actualmente mantienen el concepto de human in the loop: los agentes se ocupan especialmente de tareas repetitivas, recopilación de información y análisis inicial, mientras que las personas conservan la supervisión sobre decisiones críticas.
Esta división puede ser especialmente relevante en situaciones complejas. Un sistema puede identificar indicadores técnicos de una amenaza, pero las decisiones relacionadas con continuidad de negocio, obligaciones regulatorias o impacto operativo necesitan contexto que va más allá de una alerta.
Por eso, para las empresas la pregunta no debería ser si la inteligencia artificial reemplazará completamente al equipo de seguridad, sino qué tareas puede asumir para que los especialistas dediquen más tiempo a los incidentes que realmente necesitan criterio humano.
Por qué este modelo resulta relevante para las empresas mexicanas
La adopción de servicios en la nube, el trabajo remoto y el uso creciente de plataformas digitales han ampliado la superficie tecnológica que una organización necesita vigilar.
Para muchas empresas mexicanas, construir desde cero un SOC interno operativo las 24 horas implica contratar personal especializado, desplegar diferentes herramientas y garantizar cobertura en múltiples turnos.
En este punto, para quien quiera ampliar el contexto técnico, aquí se explica qué es un SOC agéntico y en qué se diferencia de los modelos tradicionales de automatización aplicados a un centro de operaciones de seguridad.
La decisión de adoptar un servicio gestionado, sin embargo, no debería limitarse a disponer de un panel con alertas. Las empresas necesitan conocer quién investiga los eventos, qué acciones forman parte del servicio, cuáles son los tiempos de respuesta y cómo se documentan los incidentes.
TecnetSOC y la incorporación de un modelo agéntico
Dentro de este escenario se encuentra TecnetSOC, la plataforma de operaciones de seguridad de TecnetOne y una de las primeras en México en operar bajo un modelo de SOC agéntico.
La compañía presenta su enfoque como un SOC agéntico en el que los agentes de IA participan en la investigación de incidentes mientras especialistas humanos intervienen en las decisiones que requieren valoración adicional. Su propuesta combina monitoreo continuo, investigación y gestión de eventos de seguridad.
Más allá de las capacidades de IA, resulta importante evaluar también el respaldo operativo del proveedor.
TecnetOne cuenta con certificación ISO 27001 y presencia en México, Estados Unidos y diferentes mercados de Latinoamérica. Esta cobertura puede resultar especialmente relevante para organizaciones que administran infraestructura, equipos o usuarios distribuidos en más de un país.
La vigilancia 24/7 cambia cuando también cambia la velocidad de análisis
Mantener un servicio de monitoreo continuo no significa únicamente observar eventos durante las 24 horas. El verdadero desafío consiste en conseguir que una amenaza relevante pueda ser identificada, investigada y escalada sin perder tiempo entre miles de señales.
La IA agéntica intenta intervenir precisamente en ese punto.
Cuando un agente recopila datos, conecta eventos relacionados y prepara una investigación antes de que intervenga un especialista, el trabajo humano puede comenzar desde un nivel más avanzado. En lugar de emplear los primeros minutos en reunir información dispersa, el analista recibe un contexto inicial sobre el cual tomar decisiones.
En determinados escenarios, este enfoque puede reducir de manera considerable el tiempo dedicado a tareas iniciales de investigación. Eso no significa que todos los incidentes puedan resolverse automáticamente, sino que parte del trabajo repetitivo puede ejecutarse con mayor rapidez.
Qué debería evaluar una empresa antes de adoptar este modelo
La presencia de inteligencia artificial por sí sola no garantiza una mejor estrategia de ciberseguridad. Antes de contratar un servicio, conviene analizar cómo se integra la tecnología dentro de la operación.
Entre los puntos más importantes están la supervisión humana, la trazabilidad de las decisiones, los tiempos de atención, la protección de los datos utilizados por los agentes y la definición clara de qué respuestas pueden automatizarse.
También resulta necesario revisar la capacidad del proveedor para mantener evidencia de los incidentes y adaptar sus procesos a las necesidades regulatorias o de auditoría de cada organización.
La certificación ISO 27001, por ejemplo, proporciona un marco para gestionar sistemáticamente los riesgos relacionados con la seguridad de la información, aunque no sustituye la revisión específica de las condiciones y alcance de cada servicio.
De reaccionar ante alertas a trabajar con investigaciones
La transición hacia un SOC agéntico refleja un cambio más amplio en la manera de entender las operaciones de seguridad.
La meta ya no es simplemente generar más alertas. Una empresa puede tener decenas de herramientas y, aun así, enfrentar dificultades si nadie logra convertir sus señales en decisiones a tiempo.
Los agentes de inteligencia artificial ofrecen una vía para investigar automáticamente parte de ese volumen, conectar información procedente de distintos sistemas y entregar a los especialistas un contexto más útil.
Al mismo tiempo, el criterio humano continúa siendo indispensable para supervisar las acciones de mayor impacto y comprender las consecuencias para el negocio.
Para las organizaciones mexicanas que necesitan protección permanente pero no desean construir toda esa capacidad internamente, la combinación de un SOC gestionado, automatización y agentes de IA abre una alternativa que merece ser evaluada con criterios operativos claros. El valor no estará simplemente en utilizar inteligencia artificial, sino en lograr que tecnología y especialistas trabajen juntos para detectar y responder antes de que un evento técnico se convierta en un problema para la empresa.