Automatización del SOC con IA: lo que dice la encuesta SANS

La automatización del SOC con IA se vende como la solución al agotamiento de los analistas y a la avalancha de alertas. Pero la encuesta anual más citada del sector, la SANS SOC Survey 2025 (profesionales de SOC de 57 países, publicada en julio de 2025), dice otra cosa: de las tres tecnologías de IA/ML que mide, dos quedaron en el último lugar de satisfacción — la IA generativa sacó un 2 sobre 4, por debajo de cualquier otra tecnología del SOC. El EDR/XDR, maduro y bien integrado, es la única que supera el 3 sobre 4. La IA no es mala tecnología: es la que peor se está desplegando.

Qué dice realmente la encuesta SANS 2025

SANS lleva nueve años preguntando a equipos de SOC reales (analistas, administradores de seguridad, directores) qué tecnologías usan y cuánto confían en ellas. La edición 2025, escrita por Christopher Crowley (instructor senior de SANS, 25 años en el sector) y patrocinada por Elastic, deja tres datos que no suelen salir en la demo de un proveedor:

• De las tres tecnologías de IA/ML medidas, dos quedaron en el último lugar de la tabla de satisfacción, incluida la IA generativa, con 2 sobre 4. El EDR/XDR, por comparación, es la única tecnología del SOC que supera el 3 sobre 4 — y lleva años en el primer puesto.
• El 42% de los equipos despliega sus herramientas de IA/ML «tal cual sale de la caja», sin ninguna personalización para su entorno.
• El 40% de los SOC usa IA/ML de forma activa pero sin que forme parte del flujo de trabajo aprobado — ni rechazada, ni gobernada: simplemente ahí, usándose por libre.

Como resume Seth Misner, SANS Faculty Fellow y autor de varios cursos de SANS sobre defensa con IA, en el propio informe: «Los SOC luchan por contratar y retener analistas cualificados, mientras que la IA/ML y la automatización son las expansiones más planificadas, pese a ser las que menos valor entregan según la propia encuesta. La IA debería aumentar a los analistas, no sustituirlos. Me preocupa que el liderazgo vea la IA como un atajo para cubrir huecos de plantilla, en vez de invertir en el talento y la integración cuidadosa que de verdad mejora un SOC.»

El problema no es la IA: es cómo se instala

La propia SANS lo deja claro con una frase que debería ir en cualquier propuesta de automatización: «Si el liderazgo de la empresa no está dispuesto a comprometer del todo los recursos para que una herramienta funcione, mejor no desplegarla.» Lo firma Joshua Wright, otro Faculty Fellow de SANS y autor del curso de hacking ético más veterano de la casa.

La IA generativa y de machine learning no puntúa bajo porque sea inmadura técnicamente: puntúa bajo porque llega al SOC sin tres cosas que el EDR sí tiene desde hace años — presupuesto de integración, formación del equipo que la usa, y un dueño claro dentro de la organización. El informe lo dice sin rodeos: el 42% que la instala «de fábrica» y el 40% que la usa fuera del flujo aprobado son, en realidad, el mismo problema visto desde dos ángulos: comprar la herramienta no es desplegarla.

Esto no es un caso aislado de IA mal gobernada. Es la misma dinámica que ya vimos al hablar de la IA en la sombra dentro de la empresa — solo que aquí ocurre dentro del equipo que se supone debe detectarla en el resto de la organización. Un SOC que no puede gobernar su propia IA generativa difícilmente va a poder auditar la que usan Marketing o Finanzas.

Las alertas, el problema que la IA promete resolver

El motivo de fondo por el que los SOC compran IA es casi siempre el mismo: demasiadas alertas, muy pocas manos. Según el estudio State of the SOC 2026 de Microsoft y Omdia, el 46% de todas las alertas que recibe un SOC resultan ser falsos positivos y el 42% nunca llega a investigarse, en gran parte por la fragmentación de herramientas (la media del sector ronda las 11 consolas distintas por equipo). La propia SANS 2025 confirma el síntoma desde otro ángulo: el 85% de los SOC dispara su respuesta a incidentes a partir de alertas de endpoint, lo que confirma que la mayoría sigue operando en modo reactivo, no proactivo.

Es la presión real, y es legítimo querer resolverla con automatización. El matiz que falta en casi todos los argumentos de venta: los mismos proveedores que prometen reducir el tiempo medio de respuesta (MTTR) hasta en un 80% son estimaciones de la propia industria del software de SOC, no de una encuesta independiente a quienes usan la herramienta cada día. La única encuesta independiente que existe — la de SANS — dice que, de momento, la satisfacción real con esa misma tecnología es la más baja del SOC.

Lo que sí funciona, y por qué

El EDR/XDR es la tecnología mejor valorada del SOC, por encima de 3 sobre 4, por una razón que no tiene nada de mágico: lleva años desplegado, el equipo sabe usarlo, y está integrado en el flujo de trabajo real de incidentes — no es una capa añadida encima. La encuesta SANS lo resume así: «Las herramientas establecidas siguen ganando las mejores notas. El EDR sigue siendo la tecnología mejor valorada porque está completamente desplegada, es de confianza y está respaldada por formación y soporte adecuados.»

Esa es la plantilla que falta aplicar a la IA: no es un problema del modelo, es un problema de integración, propiedad y formación — exactamente lo que ya le pasó al «asset discovery» en 2017, última tecnología del ranking SANS de aquel año y hoy a mitad de la tabla. La IA puede seguir el mismo camino, pero no desplegándola «de fábrica» ni dejándola fuera del flujo aprobado.

Checklist antes de automatizar tu SOC con IA

1. Asigna un dueño claro de la herramienta de IA dentro del SOC, no solo del contrato con el proveedor. Alguien tiene que responder de cómo se usa, no solo de que se compró. 2. Presupuesta formación e integración, no solo la licencia. El 42% que la instala «de fábrica» es la causa más citada de bajo rendimiento, según la propia SANS. 3. Métela dentro del flujo de trabajo aprobado desde el primer día, no la dejes circular por libre como hace el 40% de los equipos — eso es exactamente lo que crea el mismo punto ciego que una IA en la sombra. 4. Empieza por tareas repetitivas y de bajo riesgo — triage de falsos positivos, correlación de eventos — antes de dejarle decisiones de contención o respuesta automática. 5. Mide satisfacción real del equipo cada trimestre, no solo al firmar el contrato. Si tu gente no confía en la herramienta, no la va a usar bien, la va a rodear.

Un ejemplo de cómo falla esto en el día a día

Un ejemplo ilustrativo, no un caso real: un SOC de tamaño medio contrata una plataforma de triage con IA generativa para reducir el volumen de alertas que llegan a los analistas. Se activa con la configuración por defecto del proveedor, sin ajustar los umbrales a las reglas de detección propias de la empresa. Dos analistas empiezan a usarla por su cuenta para redactar resúmenes de incidentes porque les ahorra tiempo, pero nadie la ha incorporado al procedimiento oficial de respuesta — no aparece en el playbook, no se audita. Seis meses después, la dirección pregunta por el retorno de la inversión: no hay forma de medirlo, porque nunca se definió qué debía mejorar ni quién era responsable de comprobarlo. El fallo no es del modelo de IA: es que se compró sin dueño, sin integración y sin medir.

En Optima Quantum no vendemos IA para el SOC sin antes revisar si hay quien la gobierne: propiedad, integración en el flujo de incidentes y formación del equipo que la va a usar cada día. Si tu empresa ya evalúa automatizar el SOC, o si ya tienes herramientas de IA «instaladas de fábrica» que nadie termina de confiar en usar, es justo lo que repasamos en una auditoría de ciberseguridad. Contáctanos antes de añadir una herramienta más a la pila.

Preguntas frecuentes

¿Qué es la automatización del SOC con IA? Es el uso de inteligencia artificial y machine learning para apoyar tareas del centro de operaciones de seguridad — triage de alertas, correlación de eventos, resúmenes de incidentes — con el objetivo de reducir el volumen que llega a los analistas humanos. No sustituye la investigación ni la decisión de contención, que siguen requiriendo criterio humano.

¿La IA reduce de verdad el tiempo de respuesta ante incidentes (MTTR)? Los proveedores del sector estiman reducciones de entre el 40% y el 80% según el caso, pero son cifras de la propia industria del software de SOC. La única encuesta independiente a profesionales de SOC que existe hoy, la de SANS 2025, encuentra que la satisfacción real con la IA/ML sigue siendo la más baja de todas las tecnologías del SOC — la diferencia suele estar en si la herramienta se integró bien o se instaló «de fábrica».

¿Cuántas personas hacen falta para operar un SOC? Según SANS 2025, la respuesta más común es 10 personas a tiempo completo (o su equivalente), para cubrir monitorización, respuesta a incidentes, inteligencia de amenazas e ingeniería. En empresas multinacionales grandes, los equipos pueden escalar a cientos; para la mayoría, 10 es la cifra de referencia para empezar a planificar.

¿Por qué el 40% de los SOC usa IA sin que esté en el flujo de trabajo aprobado? Porque la herramienta se adopta más rápido de lo que se gobierna: un analista la prueba, le ahorra tiempo, y se queda usándola sin que nadie la incorpore al procedimiento oficial. Es el mismo patrón que la IA en la sombra en el resto de la empresa, solo que aquí ocurre dentro del equipo responsable de detectarla.

¿Esto significa que no merece la pena automatizar el SOC con IA? No. Significa que la automatización funciona cuando se trata como una herramienta más que necesita dueño, presupuesto de integración y formación — igual que el EDR, que hoy es la tecnología mejor valorada del SOC precisamente porque pasó por ese proceso hace años. Desplegarla «de fábrica» y esperar que funcione sola es la causa más citada de que no funcione.

---

Fuentes consultadas: SANS SOC Survey 2025 (Christopher Crowley, SANS Institute, julio de 2025, patrocinada por Elastic); State of the SOC 2026, Microsoft y Omdia.