Los centros de operaciones de seguridad llevan años intentando hacer frente a un volumen creciente de alertas con herramientas de automatización que han permitido descargar parte del trabajo de los analistas, pero que siguen dependiendo en gran medida de procesos y decisiones definidos previamente por personas. La llegada de la IA generativa y, sobre todo, de los agentes de IA abre ahora una nueva etapa: sistemas capaces no solo de automatizar tareas, sino también de investigar, razonar sobre la información disponible y ejecutar determinadas acciones. Sobre este cambio se está construyendo el concepto de AI SOC, un mercado en el que empiezan a competir tanto los grandes proveedores de plataformas de seguridad como compañías especializadas como Torq.
Sobre esta evolución, el grado de autonomía que puede asumir ya la IA dentro de un SOC, el futuro del trabajo de los analistas y la estrategia de Torq para crecer en España y desarrollar su canal de distribución hablamos con Javier Sanz-Blasco, Country Lead de Torq en España.
De la automatización al AI SOC
Torq nació con una premisa clara: “los equipos de seguridad dedicaban demasiado tiempo a tareas repetitivas y manuales que podían automatizarse”, asegura el directivo, recordando que la llegada de los agentes de IA ha permitido llevar esa idea mucho más allá y cubrir todo el ciclo de vida de una amenaza, desde la ingesta y el triaje de las alertas hasta la investigación y las acciones de contención o remediación.
También recuerda Javier Sanz-Blasco que “el problema que resolvemos sigue siendo el mismo —los equipos SOC están desbordados”, pero que “la respuesta es ahora mucho más completa”. Uno de los últimos pasos en esa evolución ha sido Torq SOC Brain, una capa de su plataforma AI SOC que aprende de investigaciones anteriores y de las decisiones de los analistas para adaptarse a la forma en que cada organización evalúa el riesgo y mejorar su precisión con el tiempo.
El analista no desaparecerá, sino que se centrará en funciones que exigen mayor criterio, inteligencia de amenazas y supervisión del propio sistema
Para Sanz-Blasco, esa capacidad de actuar es una de las principales diferencias frente a los SOAR tradicionales y los copilotos de seguridad. Los primeros automatizan procesos definidos previamente por personas, que deben crear y mantener los playbooks; los segundos ayudan al analista, pero todavía necesitan que una persona dirija el proceso. Deja claro que “nuestros agentes de IA no sólo asisten; actúan”, que pueden investigar casos y ejecutar respuestas de forma autónoma, siempre bajo políticas definidas por humanos. La diferencia entre un SOC tradicional y un AI SOC no estaría, por tanto, simplemente en utilizar IA, sino en el grado de autonomía que puede asumir el sistema.
Todo ello ocurre en un mercado que avanza hacia la consolidación de las operaciones de seguridad en grandes plataformas. “Los CISOs están agotados de gestionar decenas de soluciones puntuales”, reconoce Javier Sanz-Blasco, explicando que, frente a fabricantes que incluyen la automatización del SOC como una capacidad más, Torq la sitúa en el centro de su propuesta y mantiene un enfoque agnóstico respecto al stack tecnológico.
Así, la plataforma puede trabajar con los SIEM, EDR y sistemas de ticketing que ya utiliza la empresa, sin obligarla a sustituirlos. “El valor que añadimos está en orquestar y razonar sobre todo ese ecosistema, no en reconstruirlo”, asegura.
España: un modelo ‘channel-first’
Torq ya trabaja en España con clientes como Inditex y Telefónica y quiere crecer en el mercado a través de “un modelo channel-first”. Su estrategia pasa por colaborar con un número reducido de partners especializados, con capacidad para implantar y dar soporte a la plataforma y con buenas relaciones con los equipos de seguridad de grandes empresas, además de apoyarse en los principales integradores Tier 1.
La compañía busca partners que conozcan bien las operaciones de ciberseguridad, tengan credibilidad ante CISOs y responsables de SOC y sean capaces de mantener “una conversación consultiva sobre eficiencia operativa, no sólo sobre funcionalidades de producto”.
El cliente al que se dirige Torq es, principalmente, una empresa mediana o grande que ya dispone de un SOC y de un stack de seguridad consolidado, pero empieza a alcanzar el límite de lo que su equipo puede gestionar. “No compran Torq porque les falten herramientas de seguridad; lo compran porque las herramientas que tienen generan más trabajo del que su equipo puede absorber”, aclara el directivo, mencionando que los servicios financieros, telecomunicaciones, retail e infraestructuras críticas son algunos de los sectores que mejor encajan en este perfil.
Los MSSP también tienen un peso importante. Estos proveedores se enfrentan al mismo problema de volumen, pero multiplicado por el número de clientes que gestionan. La automatización les permite asumir tareas repetitivas en diferentes entornos sin tener que aumentar los recursos al mismo ritmo.
“El valor está en orquestar y razonar sobre el ecosistema, no en reconstruirlo”
“La IA gestiona el volumen, los humanos toman las decisiones de criterio”
¿Hasta dónde puede llegar esa autonomía? Para Sanz-Blasco, buena parte de las tareas de Nivel 1 ya pueden delegarse en la IA: triaje y enriquecimiento de alertas, filtrado de falsos positivos, investigaciones rutinarias o acciones básicas de contención. Son procesos bien definidos y de gran volumen en los que prima la consistencia.
La intervención humana sigue siendo imprescindible cuando hay implicaciones importantes para el negocio, como en la respuesta a incidentes graves, las actuaciones que pueden afectar a sistemas productivos o aquellas situaciones en las que es necesario un contexto que los datos no proporcionan. Aunque esa frontera irá moviéndose, hoy el reparto está claro: “la IA gestiona el volumen, los humanos toman las decisiones de criterio”.
Y el principal obstáculo para avanzar en esa dirección no parece ser tecnológico. Asegurando que “la tecnología suele ser la parte más sencilla”, señala Sanz-Blasco la inercia de las organizaciones y a la cautela que todavía existe a la hora de delegar decisiones en sistemas en los que no se confía plenamente. De ahí la importancia de que las decisiones de los agentes queden registradas y puedan explicarse.
El responsable de Torq imagina así un SOC “menos parecido a una sala llena de analistas mirando dashboards” y más próximo a un pequeño equipo de profesionales senior que supervise sistemas capaces de resolver las tareas rutinarias y escalar aquello que realmente requiere intervención humana. El analista no desaparecerá, sino que se centrará en funciones que exigen mayor criterio, inteligencia de amenazas y supervisión del propio sistema. “Las organizaciones que lleguen antes tendrán una ventaja significativa”.
