ES
La inteligencia artificial está cambiando la forma en que trabajan los Centros de Operaciones de Seguridad: ya no solo asiste a los analistas, sino que también puede ejecutar determinadas tareas de investigación con mayor autonomía. Este modelo se conoce como Agentic SOC y es la evolución de un SOC de ciberseguridad que ya combina monitorización 24×7, inteligencia de amenazas y automatización. En esta guía te explicamos qué es, en qué se diferencia de un SOC tradicional y de SOAR, qué aporta Google SecOps y cómo se relaciona con DORA, NIS2 y el Esquema Nacional de Seguridad.
¿Qué es Agentic SOC?
Un Agentic SOC, o SOC agéntico, es un modelo de Centro de Operaciones de Seguridad que incorpora agentes de inteligencia artificial capaces de analizar información, planificar tareas y ejecutar investigaciones con distintos niveles de autonomía y supervisión.
A diferencia de la automatización basada principalmente en reglas predefinidas, estos agentes pueden adaptar determinadas tareas en función de la información obtenida durante una investigación.
Entre sus principales aplicaciones destacan:
- Análisis de alertas: recopilar información y evidencias para evaluar posibles amenazas.
- Investigación automatizada: relacionar eventos, indicadores de compromiso y comportamientos sospechosos.
- Priorización de incidentes: aportar contexto para identificar las alertas que requieren mayor atención.
- Optimización operativa: reducir tareas repetitivas y generar recomendaciones para los analistas.
El objetivo no es sustituir a los especialistas, sino reforzar su capacidad para investigar amenazas y tomar decisiones con información más completa.
SOC tradicional, SOC con SOAR y Agentic SOC: en qué se diferencian
SOC tradicional: el SIEM genera una alerta y un analista la investiga, la descarta o la escala según el nivel de riesgo.
SOC con SOAR: los playbooks ejecutan procedimientos definidos de antemano, como la primera respuesta de contención.
Agentic SOC: los agentes de IA pueden realizar el análisis inicial de determinadas alertas y ofrecer una evaluación que los analistas revisan antes de tomar decisiones.
Los tres modelos no se excluyen: un Agentic SOC sigue apoyándose en la monitorización continua, el SIEM y el SOAR.
De asistentes inteligentes a agentes de IA: ¿qué cambia?
Los asistentes de inteligencia artificial pueden responder consultas, resumir casos y ayudar a interpretar información de seguridad.
La IA agéntica va un paso más allá. Por ejemplo, ante una alerta, un agente puede recopilar evidencias, consultar fuentes de inteligencia de amenazas, reconstruir actividades sospechosas y elaborar una evaluación preliminar.
Los analistas revisan los resultados, validan las conclusiones y determinan las acciones necesarias.
La diferencia consiste en pasar de herramientas que responden consultas a agentes capaces de ejecutar varias fases de una investigación, manteniendo mecanismos de control y supervisión humana sobre las decisiones críticas.
Tres capacidades que refuerzan un Agentic SOC
Visibilidad y detección mediante SIEM
Una detección eficaz comienza por disponer de visibilidad sobre los sistemas, aplicaciones, redes y servicios de una organización. Las plataformas SIEM (Security Information and Event Management) permiten centralizar, normalizar y correlacionar eventos de seguridad procedentes de distintas fuentes. En un Agentic SOC, estos datos constituyen la base para que los agentes investiguen alertas y relacionen actividades sospechosas. La calidad de la telemetría resulta fundamental: si la información es incompleta o está mal normalizada, la fiabilidad de los resultados puede verse afectada.
Inteligencia de amenazas para comprender el contexto
Detectar una actividad sospechosa es solo el primer paso. También es necesario comprender su origen, relevancia y posible impacto. La inteligencia de amenazas proporciona información sobre actores maliciosos, técnicas de ataque e indicadores de compromiso. En un Agentic SOC, los agentes pueden utilizar esta información durante las investigaciones para relacionar eventos internos con inteligencia de amenazas externa, enriquecer las alertas y facilitar la priorización de incidentes.
Automatización para acelerar la respuesta
Cuando se identifica una posible amenaza, actuar con rapidez resulta fundamental para reducir su impacto. Las tecnologías SOAR (Security Orchestration, Automation and Response) permiten automatizar tareas y coordinar procedimientos de seguridad previamente definidos. La IA agéntica complementa estos procesos mediante agentes capaces de analizar el contexto, adaptar investigaciones y proponer los siguientes pasos. Las acciones de alto impacto, como aislar equipos o deshabilitar cuentas críticas, deben gestionarse mediante controles y procedimientos de autorización adecuados.
Google SecOps: inteligencia artificial aplicada a la ciberdefensa
La evolución hacia el Agentic SOC está impulsada por plataformas que integran inteligencia artificial, automatización e inteligencia de amenazas en un mismo entorno. Google Security Operations (Google SecOps) combina distintas capacidades:
- Gemini: ayuda a los analistas mediante búsquedas en lenguaje natural, resúmenes de casos y apoyo a las investigaciones.
- Agentes de IA: automatizan fases de la clasificación y la investigación de alertas.
- SIEM y SOAR: la detección y la automatización que vimos más arriba, integradas en la misma plataforma.
- Google Threat Intelligence: la inteligencia de amenazas de Google, aplicada a las investigaciones.
Agentes de IA aplicados a la investigación y detección
El Triage and Investigation Agent de Google SecOps es un ejemplo de este modelo: puede investigar alertas habilitadas para ese flujo y facilitar una evaluación a los analistas, en función de la configuración y disponibilidad del servicio.
Según google cloud, su agente de investigación ha procesado más de 5 millones de alertas y ha permitido reducir un análisis manual típico de aproximadamente 30 minutos a 60 segundos. Estas cifras corresponden a resultados comunicados por Google, no a mediciones del servicio de Insside.
Google también ha presentado agentes orientados a la búsqueda proactiva de amenazas (threat hunting) y a la ingeniería de detección, capaces de apoyar la identificación de brechas de cobertura. Su disponibilidad depende de las características y habilitaciones de cada implementación.
Agentic SOC y la normativa en España: DORA, NIS2 y ENS
En España, la normativa aplicable depende del sector, la actividad y los sistemas afectados. Conviene distinguir los tres marcos, sin tratarlos como obligaciones intercambiables:
- DORA: el Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025, establece requisitos de resiliencia operativa digital para las entidades financieras comprendidas en su ámbito, incluidas determinadas aseguradoras. Abarca la gestión del riesgo TIC, la gestión y notificación de incidentes, las pruebas de resiliencia y los riesgos asociados a terceros.
- ENS: el Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica a las entidades del sector público y, en las condiciones previstas en su artículo 2, a los sistemas de información de proveedores privados que prestan servicios o soluciones al sector público. Sus medidas se aplican según la categoría y las características del sistema.
- NIS2: la Directiva (UE) 2022/2555 establece un marco europeo de gestión de riesgos de ciberseguridad y notificación de incidentes para las entidades de su ámbito. En España, a octubre de 2026, todavía no se ha aprobado una ley de transposición completa. Por tanto, no debe presentarse NIS2 como una exigencia ya transpuesta ni confundirse con el ENS. Hasta su transposición siguen siendo relevantes las obligaciones nacionales vigentes que correspondan a cada entidad.
Un Agentic SOC puede reforzar las capacidades de detección, investigación y respuesta, pero su adopción no garantiza por sí sola el cumplimiento de DORA, el ENS ni de las obligaciones nacionales aplicables.
Agentic SOC: cuatro preguntas que toda empresa debería hacerse
Antes de incorporar agentes de inteligencia artificial a tus operaciones de seguridad, revisa estos cuatro aspectos:
- Visibilidad: ¿dispones de telemetría suficiente, integrada y fiable sobre tus sistemas y activos críticos?
- Detección: ¿tus controles permiten identificar, contextualizar y priorizar las amenazas relevantes?
- Automatización: ¿qué tareas pueden ejecutar los agentes de IA y cuáles requieren aprobación humana?
- Respuesta: ¿cuentas con procedimientos y especialistas preparados para gestionar los incidentes detectados?
Errores frecuentes al adoptar un Agentic SOC
- Incorporar agentes de IA sobre una telemetría incompleta o mal normalizada, que reduce la fiabilidad de los resultados.
- No definir controles de acceso ni mecanismos de aprobación humana para los agentes.
- Automatizar acciones de alto impacto, como aislar equipos o deshabilitar cuentas críticas, sin procedimientos de autorización.
- Medir el SOC solo por el número de alertas que detecta, en lugar de por su capacidad para comprender las amenazas, priorizar los riesgos y coordinar una respuesta eficaz.
Cómo medir el impacto de la IA en tu SOC
Para evaluar el impacto de la inteligencia artificial, conviene analizar estos indicadores:
- Tiempo medio de detección (MTTD): cuánto pasa desde que empieza un ataque hasta que se detecta.
- Tiempo medio de respuesta (MTTR): cuánto tarda el equipo en contener un incidente una vez detectado.
- Calidad de las investigaciones.
- Proporción de alertas que requieren intervención manual.
Cómo te ayuda Insside
El CyberSOC de Insside está basado en Google SecOps y combina un equipo humano experto 24×7, automatización SOAR e integración con fuentes de inteligencia de amenazas, que puede contribuir a los controles de seguridad y resiliencia exigibles según el marco aplicable. Cuenta con más de 400 casos de uso, un tiempo medio de 5 minutos para remediar incidentes con automatización y una reducción del 85% en el tiempo de respuesta ante incidentes. Funciona tanto sobre la plataforma propia de Insside como sobre las herramientas que ya utilizas: firewalls, EDR, SIEM o nube. Las capacidades agénticas de la plataforma se valoran según las necesidades de cada organización.
Si buscas reforzar toda tu defensa, el servicio de Blue Team suma inteligencia de amenazas y la gestión de firewalls, EDR y seguridad cloud. Y si todavía estás definiendo tu modelo, te explicamos qué es un SOC 24/7 y las diferencias entre un SOC interno y un SOC como servicio.
