ES
En Chile, la Ley Marco de Ciberseguridad (Ley 21.663) exige a las organizaciones alcanzadas fortalecer la gestión de incidentes y reportar oportunamente aquellos que puedan tener efectos significativos. Al mismo tiempo, el aumento de alertas y la complejidad de las amenazas desafían a los equipos de seguridad. El Agentic SOC incorpora agentes de inteligencia artificial que pueden apoyar investigaciones con distintos niveles de autonomía, junto con monitoreo, inteligencia de amenazas y supervisión humana. En esta guía explicamos cómo funciona este modelo, en qué se diferencia de un SOC tradicional y de SOAR, qué aporta Google SecOps y cómo sus capacidades pueden apoyar la preparación frente a las exigencias de la Ley 21.663, sin garantizar por sí mismas el cumplimiento.
¿Qué es Agentic SOC?
Un Agentic SOC, o SOC agéntico, es un modelo de Centro de Operaciones de Seguridad que incorpora agentes de inteligencia artificial capaces de analizar información, planificar tareas y ejecutar investigaciones con distintos niveles de autonomía y supervisión.
A diferencia de la automatización basada principalmente en reglas predefinidas, estos agentes pueden adaptar determinadas tareas según la información obtenida durante una investigación.
Sus principales aplicaciones incluyen:
- Análisis de alertas: recopilar información y evidencias para evaluar posibles amenazas.
- Investigación automatizada: relacionar eventos, indicadores de compromiso y comportamientos sospechosos.
- Priorización de incidentes: aportar contexto para identificar alertas relevantes.
- Optimización operativa: reducir tareas repetitivas y generar recomendaciones para los especialistas.
El objetivo no es reemplazar a los analistas, sino fortalecer sus capacidades para investigar amenazas y tomar decisiones con mayor información.
SOC tradicional, SOC con SOAR y Agentic SOC: en qué se diferencian
SOC tradicional: trabaja con firmas estáticas, alertas aisladas y triaje manual.
SOC con SOAR: ejecuta playbooks de respuesta definidos de antemano.
Agentic SOC: el primer análisis de cada alerta lo hace un agente de IA, y el analista valida su evaluación antes de decidir.
Los tres modelos no se excluyen: un Agentic SOC sigue apoyándose en el SIEM y el SOAR.
De asistentes inteligentes a agentes de IA: ¿qué cambia?
Los asistentes de inteligencia artificial pueden responder consultas, resumir casos y ayudar a interpretar información de seguridad.
La IA agéntica va un paso más allá. Frente a una alerta, un agente puede recopilar evidencias, consultar inteligencia de amenazas, reconstruir actividades sospechosas y elaborar una evaluación preliminar con sus fundamentos.
Los analistas revisan los resultados, validan las conclusiones y determinan las acciones necesarias.
La diferencia está en pasar de herramientas que responden consultas a agentes capaces de ejecutar varias etapas de una investigación, manteniendo mecanismos de control y supervisión humana sobre las decisiones críticas.
Tres capacidades que fortalecen un Agentic SOC
Visibilidad y detección mediante SIEM
Una detección efectiva comienza por contar con visibilidad sobre los sistemas, aplicaciones, redes y servicios de una organización. Las plataformas SIEM (Security Information and Event Management) permiten centralizar, normalizar y correlacionar eventos de seguridad provenientes de distintas fuentes. En un Agentic SOC, estos datos constituyen la base para que los agentes investiguen alertas y relacionen actividades sospechosas. La calidad de la telemetría es fundamental: si la información es incompleta o está mal normalizada, los resultados de las investigaciones pueden verse afectados.
Inteligencia de amenazas para comprender el contexto
Detectar una actividad sospechosa es solo el primer paso. También es necesario comprender su origen, relevancia y posible impacto. La inteligencia de amenazas proporciona información sobre actores maliciosos, técnicas de ataque e indicadores de compromiso. En un Agentic SOC, los agentes pueden utilizar esta información durante las investigaciones para relacionar eventos internos con inteligencia de amenazas externa, enriquecer las alertas y facilitar la priorización de incidentes.
Automatización para agilizar la respuesta
Cuando se identifica una posible amenaza, el tiempo de respuesta es fundamental para reducir su impacto y proteger la continuidad operacional. Las tecnologías SOAR (Security Orchestration, Automation and Response) permiten automatizar tareas y coordinar procedimientos de seguridad previamente definidos. La IA agéntica complementa estos procesos mediante agentes capaces de analizar el contexto, adaptar investigaciones y proponer los siguientes pasos. Las acciones de alto impacto, como aislar equipos o deshabilitar cuentas críticas, deben gestionarse mediante controles y procedimientos de autorización adecuados.
Google SecOps: inteligencia artificial aplicada a la ciberdefensa
La evolución hacia el Agentic SOC está impulsada por plataformas que integran inteligencia artificial, automatización e inteligencia de amenazas en un mismo entorno. Google Security Operations (Google SecOps) combina distintas capacidades:
Gemini: asiste a los analistas mediante búsquedas en lenguaje natural, resúmenes de casos y apoyo a las investigaciones.
Agentes de IA: automatizan etapas de la clasificación y la investigación de alertas.
SIEM y SOAR: la detección y la automatización que vimos más arriba, integradas en la misma plataforma.
Google Threat Intelligence: la inteligencia de amenazas de Google, aplicada a las investigaciones.
Si quieres ver cómo se aplica esta plataforma en un servicio gestionado, te lo contamos en SOC con Google SecOps en Chile.
Agentes de IA aplicados a la investigación y detección
El Triage and Investigation Agent de Google SecOps es un ejemplo concreto de este modelo: investiga cada alerta y entrega su evaluación a los analistas para que decidan.
Según Google Cloud, su agente de investigación ha procesado más de 5 millones de alertas y ha permitido reducir un análisis manual típico de aproximadamente 30 minutos a 60 segundos. Son resultados comunicados por Google, no mediciones del servicio de Insside.
Google también presentó agentes orientados a la búsqueda proactiva de amenazas (threat hunting) y a la ingeniería de detección, capaces de apoyar la identificación de brechas de cobertura. Su disponibilidad depende de las características y habilitaciones de cada implementación.
Agentic SOC y la Ley Marco de Ciberseguridad
La Ley Marco de Ciberseguridad (Ley 21.663) creó la Agencia Nacional de Ciberseguridad (ANCI), que opera desde 2025 para regular y fiscalizar a los prestadores de servicios esenciales y a los Operadores de Importancia Vital (OIV), en sectores como energía, finanzas, salud, telecomunicaciones, transporte, agua y administración pública.
Para las instituciones alcanzadas, la Ley 21.663 establece los siguientes plazos para reportar incidentes que puedan tener efectos significativos:
Alerta temprana: dentro de las 3 horas desde que se toma conocimiento del incidente reportable.
Segundo reporte: dentro de las 72 horas desde que se toma conocimiento del incidente. Si la institución es un Operador de Importancia Vital (OIV) y el incidente afecta la prestación de un servicio esencial, este segundo reporte debe enviarse dentro de las 24 horas.
Informe final: dentro de los 15 días corridos contados desde el envío de la alerta temprana. Si el incidente sigue en curso, se informa su situación y el informe final se entrega dentro de los 15 días corridos desde que se gestione el incidente.
Te explicamos el detalle en reporte de incidentes: los plazos de 3 y 72 horas, paso a paso. El incumplimiento puede significar multas de hasta 40.000 UTM para los OIV y de hasta 20.000 UTM para los prestadores de servicios esenciales en las infracciones más graves.
Cumplir esos plazos sin visibilidad centralizada ni un equipo dedicado es muy difícil, y ahí las capacidades de monitoreo, detección y gestión de incidentes de un Agentic SOC pueden contribuir a los esfuerzos de las organizaciones sujetas a la ley. Sin embargo, adoptar un Agentic SOC no garantiza por sí mismo el cumplimiento de las obligaciones regulatorias aplicables.
Agentic SOC: cuatro preguntas que toda organización debería hacerse
Antes de incorporar agentes de inteligencia artificial a tus operaciones de seguridad, evalúa estos cuatro aspectos:
- Visibilidad: ¿cuentas con telemetría suficiente, integrada y confiable sobre tus sistemas y activos críticos?
- Detección: ¿tus controles permiten identificar, contextualizar y priorizar amenazas relevantes?
- Automatización: ¿qué tareas pueden ejecutar los agentes de IA y cuáles requieren autorización humana?
- Respuesta: ¿cuentas con procedimientos y especialistas preparados para gestionar los incidentes detectados?
Errores frecuentes al adoptar un Agentic SOC
- Incorporar agentes de IA sobre una telemetría incompleta o mal normalizada, que afecta los resultados de las investigaciones.
- No establecer mecanismos de control ni de autorización humana para los agentes.
- Automatizar acciones de alto impacto, como aislar equipos o deshabilitar cuentas críticas, sin procedimientos de autorización.
- Medir el SOC solo por la cantidad de alertas que detecta, en lugar de por su capacidad para comprender las amenazas, priorizar los riesgos y coordinar una respuesta efectiva.
Cómo medir el impacto de la IA en tu SOC
Para evaluar el impacto de la IA, conviene analizar estos indicadores:
- Tiempo medio de detección (MTTD): cuánto pasa desde que empieza un ataque hasta que se detecta.
- Tiempo medio de respuesta (MTTR): cuánto tarda el equipo en contener un incidente una vez detectado.
- Calidad de las investigaciones.
- Proporción de alertas que requieren intervención manual.
Cómo te ayuda Insside
El CyberSOC de Insside opera 24x7x365 sobre Google Security Operations, integrando SIEM, SOAR, inteligencia de amenazas de Mandiant y Gemini en una sola plataforma. Cuenta con más de 30 analistas N1, N2 y N3 en turnos rotativos, distribuidos entre Argentina, Chile y España, y está respaldado por certificaciones ISO 27001, SOC 2 Tipo II y membresía FIRST.
En sus operaciones sobre Google SecOps durante los últimos doce meses, el MTTD observado fue de aproximadamente 3 minutos. Además, el servicio cuenta con más de 400 casos de uso, un tiempo promedio de 5 minutos para remediar incidentes con automatización y una reducción del 85% en el tiempo de respuesta ante incidentes. Se conecta tanto a la plataforma propia de Insside como a las herramientas que ya usas: firewalls, EDR, SIEM o nube. Las capacidades agénticas de Google pueden evaluarse como parte de la evolución de estas operaciones, según las necesidades de cada organización.
Si todavía no sabes si tu empresa está alcanzada por la ley, revisa cómo saber si tu empresa califica como OIV.
