Los centros de operaciones de seguridad (SOC) están recopilando grandes cantidades de información, pero buena parte de esos datos no participa de forma activa en la detección de amenazas. Esta es una de las principales conclusiones del informe global de Kaspersky Anatomy of a Cyber World, que identifica un punto ciego en la forma en que las organizaciones están midiendo la eficacia de sus operaciones de seguridad. De media, solo el 43 % de las fuentes de datos recopiladas se utiliza activamente en la lógica de detección en tiempo real. El resto se conserva para investigaciones posteriores, tareas de threat hunting o para cumplir requisitos normativos, pero no interviene directamente en la identificación de amenazas.
El informe pone de manifiesto que las organizaciones siguen centrando buena parte de la evaluación de sus SOC en métricas como el tiempo medio de detección y el tiempo medio de respuesta. Otros indicadores como los falsos positivos y negativos o el coste por incidente, tienen un peso menor. En España el 52 % de las organizaciones prevé utilizar el tiempo medio de respuesta como uno de los principales indicadores para evaluar la eficacia de su SOC una vez puesto en marcha, mientras que el 20 % tendrá en cuenta el número de falsos positivos o negativos.
El problema no se limita a la cantidad de información disponible, sino a la capacidad para convertirla en detección efectiva. Entre las razones por las que determinadas fuentes quedan fuera de la lógica de detección se encuentran la incorporación de datos antes de desarrollar las reglas correspondientes, la recopilación exigida por cuestiones de cumplimiento sin correlación activa, la ausencia de responsables claros sobre la lógica de detección y la falta de recursos para desarrollar la ingeniería necesaria. La situación se acentúa en los SOC que manejan mayores volúmenes de información. Según el informe, estos centros apenas cubren con lógica activa de detección alrededor del 30 % de sus fuentes. La capacidad de ingeniería de detección no crece al mismo ritmo que la infraestructura y algunas de las fuentes que con mayor frecuencia quedan fuera de cobertura son la telemetría de red, las bases de datos y los servidores web.
Otro de los elementos que condiciona la capacidad de detección es el desarrollo de las reglas. Aproximadamente la mitad de los SOC analizados depende principalmente de reglas proporcionadas por fabricantes, mientras que alrededor del 40 % desarrolla sus propias reglas desde cero. Los primeros pueden encontrarse con mayores tasas de falsos positivos y problemas de cobertura cuando las reglas no se adaptan suficientemente a su entorno. En los equipos que concentran su visibilidad en EDR, el riesgo está en generar puntos ciegos por la falta de correlación entre distintas fuentes.
La dificultad para determinar si un SOC está detectando realmente las amenazas también es reconocida por las propias organizaciones. El 31 % de las empresas españolas consultadas en un estudio global de Kaspersky reconoce tener problemas para medir la eficacia real de su SOC.
La inteligencia artificial aparece como una de las tecnologías que las organizaciones están incorporando para reforzar estas capacidades. En España, el 97,5 % prevé utilizar IA en sus procesos de seguridad. Sin embargo, la incorporación de nuevas tecnologías no elimina el problema de fondo: el alcance de la detección debe revisarse de forma continua para evitar que los puntos ciegos aumenten a medida que evoluciona la infraestructura.
Roman Nazarov, head of SOC Consulting en Kaspersky, señala que incluso cuando existen KPI definidos resulta complicado evaluar internamente la eficacia de un SOC debido al sesgo de visión interna. Por ello, apunta al uso de servicios externos para analizar la lógica de detección, revisar los flujos de eventos y simular ataques que permitan comprobar qué amenazas se están detectando realmente.
La compañía defiende, en este contexto, una ingeniería de detección estructurada y continua que permita desarrollar, validar y revisar periódicamente las reglas. Esta necesidad también se refleja en la actividad de consultoría de Kaspersky: durante 2025, los proyectos más demandados fueron SOC Technical Assessment, con un 23,4 %; SOC Framework Development, con un 20 %; y SOC Maturity Assessment y SIEM Quality Assurance, ambos con un 11,7 %.
