Por Ewald Hollstein — vSOC Lead, NIVEL4
Hay una escena que se repite cuando se habla de ciberseguridad: sala a oscuras, pantallas encendidas, analistas persiguiendo alertas en rojo. Se ve bien en una presentación. El problema es que reaccionar a algo que ya pasó no es defender, es administrar el daño.
Chile lleva más de diez años sumando incidentes graves: instituciones comprometidas, datos filtrados, ransomware que dejó operaciones detenidas. La respuesta casi siempre fue la misma, comprar más herramientas. Más SIEM, más EDR, más correlación. Y los incidentes siguieron. Porque lo que faltaba no eran alertas. Faltaba entender lo que esas alertas significaban.
Un SOC que solo procesa alertas es un sistema reactivo. Lo que lo convierte en una defensa real es el equipo que trabaja detrás. En más de veinte años operando ciberseguridad, en banca, en retail y también en aula, aprendí que ese equipo se arma por capas, y cada capa ve algo que la anterior no puede ver.
El nivel 1 filtra: separa el ruido del evento que importa, ahora con la IA quitando buena parte de los falsos positivos antes de que lleguen. El nivel 2 investiga: reconstruye qué pasó de verdad, revisa logs, analiza el código malicioso y arma la historia del ataque. El nivel 3 caza: busca amenazas que todavía no dispararon ninguna alarma, partiendo de una hipótesis y no de un incidente. Y el SOC Manager traduce todo eso a decisiones de negocio, porque un reporte al directorio no puede ser una lista de eventos con severidad; tiene que responder qué actores están activos en tu industria y qué deberías vigilar en los próximos noventa días.
Un aspecto que merece especial atención es que los feeds globales no siempre reflejan con precisión la realidad del contexto local. En particular, suelen tener limitaciones para identificar el perfil de los adversarios que operan o muestran interés en Chile, los vectores de ataque más utilizados, los grupos con actividad relevante en el mercado nacional y las campañas de phishing que emplean referencias, marcas o temáticas propias del país.
La retroalimentación continua entre los equipos ofensivos y defensivos permite complementar esta información, enriqueciendo la inteligencia con indicadores y tácticas observadas en el entorno local. Esto facilita una mejor comprensión del panorama de amenazas y fortalece la capacidad de detección, prevención y respuesta frente a ataques dirigidos al mercado chileno.
Por eso ese contexto lo investigamos en casa, en el #Hacklab, y no solo consumimos telemetría de afuera. Un dato de esa investigación: en Chile una vulnerabilidad crítica tarda en promedio más de 24 días en cerrarse. Ese número es exactamente la ventana en la que el equipo tiene que estar cazando.
Al final, la diferencia va mucho más allá de una plataforma específica. Se trata de la capacidad de integrar un stack tecnológico comprensible y de calidad, con la experiencia y la inteligencia para transformarlos en decisiones oportunas. Por eso, los servicios se deben sustentar en un ecosistema de herramientas en constante evolución, y permanentemente evaluación y fortalecimiento, capaces de detectar amenazas antes de que generen impacto, y de esa forma responder con rapidez y ofrecer una protección adaptada a la realidad de cada organización.
