ES
En Argentina, las empresas que dependen de servicios digitales necesitan detectar amenazas, investigar incidentes y sostener su operación ante ataques cada vez más complejos. En sectores regulados, como el financiero, también deben responder a exigencias de gestión de riesgos y notificación de ciberincidentes.
La inteligencia artificial está cambiando el trabajo de los Centros de Operaciones de Seguridad (SOC): además de asistir a los analistas, puede ejecutar determinadas tareas de investigación con mayor autonomía. Ese enfoque se conoce como Agentic SOC. En esta guía explicamos cómo funciona, en qué se diferencia de SOAR, qué aporta Google SecOps y qué deberían evaluar las organizaciones argentinas antes de incorporarlo.
¿Qué es Agentic SOC?
Un Agentic SOC, o SOC agéntico, es un modelo de Centro de Operaciones de Seguridad que incorpora agentes de inteligencia artificial capaces de analizar información, planificar tareas y ejecutar investigaciones con distintos niveles de autonomía y supervisión humana.
A diferencia de la automatización basada en reglas predefinidas, estos agentes pueden adaptar determinadas tareas según la información que obtienen durante una investigación.
Sus principales aplicaciones son:
- Análisis de alertas: recopilar información y evidencias para evaluar posibles amenazas.
- Investigación automatizada: relacionar eventos, indicadores de compromiso y comportamientos sospechosos.
- Priorización de incidentes: aportar contexto para identificar las alertas que requieren mayor atención.
- Optimización operativa: reducir tareas repetitivas y generar recomendaciones para los analistas.
El objetivo no es reemplazar a los especialistas, sino potenciar sus capacidades para investigar amenazas y tomar decisiones con más información.
SOC tradicional, SOC con SOAR y Agentic SOC: en qué se diferencian
SOC tradicional: los analistas revisan las alertas una por una, con apoyo de un SIEM y procedimientos manuales.
SOC con SOAR: los procedimientos repetitivos se automatizan con playbooks, pero solo para los casos que alguien programó de antemano.
Agentic SOC: los agentes de IA pueden realizar determinadas etapas del análisis y la investigación de alertas, según las capacidades y permisos habilitados; los analistas supervisan los resultados y las decisiones críticas.
Los tres modelos no se excluyen: un Agentic SOC sigue usando SIEM y SOAR.
De asistentes inteligentes a agentes de IA: ¿qué cambia?
Los asistentes de inteligencia artificial pueden responder consultas, resumir casos y ayudar a interpretar información de seguridad.
La IA agéntica va un paso más allá. Por ejemplo, ante una alerta, un agente puede recopilar evidencias, consultar inteligencia de amenazas, reconstruir actividades sospechosas y elaborar una evaluación preliminar.
Los analistas revisan los resultados, validan las conclusiones y determinan las acciones necesarias.
La principal diferencia está en pasar de herramientas que responden consultas a agentes capaces de ejecutar varias etapas de una investigación, manteniendo controles y supervisión humana sobre las decisiones críticas.
Tres capacidades que fortalecen un Agentic SOC
Visibilidad y detección mediante SIEM
Las plataformas SIEM (Security Information and Event Management) centralizan, normalizan y correlacionan los eventos de seguridad de sistemas, aplicaciones, redes y servicios. En un Agentic SOC, estos datos son la base para que los agentes investiguen alertas y relacionen actividades sospechosas. La calidad de la telemetría es clave: si la información es incompleta o está mal normalizada, los resultados de las investigaciones se ven afectados.
Inteligencia de amenazas para comprender el contexto
Detectar una actividad sospechosa es solo el primer paso: también hay que entender su origen, su relevancia y su posible impacto. La inteligencia de amenazas aporta información sobre actores maliciosos, técnicas de ataque e indicadores de compromiso, y los agentes la usan durante las investigaciones para relacionar los eventos internos con amenazas externas.
Automatización para agilizar la respuesta
Las tecnologías SOAR (Security Orchestration, Automation and Response) automatizan tareas y coordinan procedimientos de seguridad definidos de antemano. La IA agéntica los complementa con agentes que analizan el contexto, adaptan las investigaciones y proponen los próximos pasos. Las acciones de alto impacto, como aislar equipos o deshabilitar cuentas críticas, tienen que gestionarse con controles, permisos y supervisión humana.
Google SecOps: inteligencia artificial aplicada a la ciberdefensa
La evolución hacia el Agentic SOC está impulsada por plataformas que integran inteligencia artificial, automatización e inteligencia de amenazas en un mismo entorno. Google Security Operations (Google SecOps) combina estas capacidades:
- Gemini: asiste a los analistas con búsquedas en lenguaje natural, resúmenes de casos y apoyo en las investigaciones.
- Agentes de IA: automatizan etapas de la clasificación y la investigación de alertas.
- SIEM y SOAR: la detección y la automatización que vimos más arriba, integradas en la misma plataforma.
- Google Threat Intelligence: la inteligencia de amenazas de Google, aplicada a las investigaciones.
Agentes de IA aplicados a la investigación y detección
El agente de triaje e investigación de Google SecOps (Triage and Investigation agent) es un ejemplo concreto de este modelo: investiga cada alerta y entrega su evaluación a los analistas para que decidan.
Según Google Cloud, su agente de triaje e investigación procesó más de 5 millones de alertas en un año y redujo un análisis manual típico de alrededor de 30 minutos a 60 segundos. Son cifras publicadas por Google, no resultados medidos por INSSIDE; el desempeño puede variar según cada entorno.
Google también presentó, en versión preliminar, agentes orientados a la búsqueda proactiva de amenazas (threat hunting) y a la ingeniería de detección, capaces de asistir en la búsqueda de ataques que no generaron alertas y en la identificación de brechas de cobertura. Su disponibilidad depende de las funciones habilitadas en cada implementación.
Agentic SOC: cuatro preguntas que toda empresa debería hacerse
Antes de incorporar agentes de inteligencia artificial a tus operaciones de seguridad, revisá estos cuatro aspectos:
- Visibilidad: ¿tenés telemetría suficiente, integrada y confiable sobre tus sistemas y activos críticos?
- Detección: ¿tus controles permiten identificar, contextualizar y priorizar las amenazas relevantes?
- Automatización: ¿qué tareas pueden ejecutar los agentes de IA y cuáles requieren aprobación humana?
- Respuesta: ¿tenés procedimientos y especialistas preparados para gestionar los incidentes detectados?
Agentic SOC y normativa argentina: gestión de riesgos y ciberincidentes
Para las entidades financieras de Argentina, la Comunicación “A” 7724 del BCRA establece requisitos mínimos para gestionar y controlar los riesgos de tecnología y seguridad de la información, con foco en gobierno, controles y resiliencia operacional.
La Comunicación “A” 8280 incorpora lineamientos de notificación de ciberincidentes para los sujetos alcanzados, incluidos incidentes críticos e importantes. Para esas categorías, contempla una notificación inicial dentro de la primera hora de ocurrido o detectado el incidente y un reporte final dentro de los cinco días corridos posteriores a su resolución.
Estas obligaciones hacen relevante contar con detección, investigación, escalamiento y respuesta coordinada. Sin embargo, implementar un Agentic SOC no asegura por sí solo el cumplimiento normativo. Para profundizar en continuidad y preparación, consultá el artículo de INSSIDE sobre resiliencia cibernética.
Errores frecuentes al adoptar un Agentic SOC
- Sumar agentes de IA sobre una telemetría incompleta: el agente investiga con lo que tiene, y si faltan fuentes, llega a conclusiones parciales.
- Darles a los agentes más permisos de los necesarios: un agente con acceso amplio es un objetivo valioso para un atacante. Te contamos cómo la IA también amplía la superficie de ataque en IA en ciberseguridad.
- Automatizar acciones de alto impacto sin aprobación humana.
- Medir el éxito por la cantidad de alertas procesadas, en lugar de por la calidad de la detección y la velocidad de respuesta.
Cómo medir el impacto de la IA en tu SOC
Para evaluar si un Agentic SOC está funcionando, conviene seguir estos indicadores:
- Tiempo medio de detección (MTTD): cuánto pasa desde que empieza un ataque hasta que se detecta.
- Tiempo medio de respuesta (MTTR): cuánto tarda el equipo en contener un incidente una vez detectado.
- Calidad de las investigaciones: qué proporción de las evaluaciones de los agentes confirman los analistas.
- Intervención manual: qué porcentaje de las alertas todavía requiere análisis humano desde cero.
Cómo puede acompañarte INSSIDE
El CyberSOC de INSSIDE opera sobre Google SecOps, con monitoreo 24x7x365 a cargo de analistas N1, N2 y N3. Integra inteligencia de amenazas de Mandiant y fuentes propias, junto con automatización SOAR para apoyar la contención y la respuesta ante incidentes. La operación cuenta con más de 400 casos de uso y registra un tiempo promedio de remediación de 5 minutos en los incidentes resueltos mediante automatización. Además, entrega informes mensuales que incluyen indicadores como MTTD y MTTR para dar seguimiento a la evolución de las operaciones de seguridad. Conocé el servicio CyberSOC de INSSIDE.
Estas capacidades operativas de INSSIDE son distintas de los agentes de IA de Google SecOps: la incorporación de funcionalidades agénticas se evalúa según el entorno, los permisos y las funciones habilitadas en cada implementación.
Además, el servicio de Blue Team puede complementar la operación mediante medidas defensivas y arquitectura de seguridad. Si querés evaluar la preparación de tu organización, hablá con los especialistas de INSSIDE.
