La primera cotización de seguridad que recibe una empresa casi siempre trae el mismo número: el precio de la plataforma. Y casi siempre ese número está bien.
El problema es que responde a una pregunta que nadie hizo.
Porque la plataforma no vigila. La plataforma avisa. Alguien tiene que estar del otro lado cuando avisa, y ese alguien es el costo que nunca aparece en la primera hoja.
Hagamos la cuenta juntos
Un año tiene 8.760 horas. Eso no se negocia.
Una persona a tiempo completo trabaja alrededor de 1.800 horas efectivas al año. No 2.080. Hay que descontar vacaciones, feriados, capacitación, permisos y las ausencias que ocurren siempre.
Divida:
8.760 ÷ 1.800 = 4,9 personas
Casi cinco personas. Y fíjese bien en lo que compran esas cinco personas: una silla ocupada. Nada más. Un puesto cubierto de forma permanente, sin relevos por si alguien renuncia, sin margen para que dos coincidan de vacaciones, sin nadie con más experiencia para escalar el caso difícil.
Con eso resuelto, la cifra realista es seis analistas más un responsable. Siete personas para que la silla esté siempre ocupada por alguien despierto.
Y esas siete todavía no detectan bien
Aquí está la parte que casi nunca se presupuesta.
Entre el día que se contrata al equipo y el día que el equipo detecta con precisión pasan entre 12 y 18 meses. No porque la gente sea mala, sino porque afinar la detección exige conocer la red concreta: qué es normal aquí, qué comportamiento es raro en esta empresa y no en otra, cuáles de los cientos de avisos diarios importan.
Ese año y medio se paga completo. Y protege poco.
Súmele la rotación. El analista de seguridad es de los perfiles más disputados del mercado, y cuando uno se va no se lleva solo su puesto: se lleva el conocimiento de la red que tardó un año en construir. El reloj vuelve a cero para ese turno.
Y esto no es una impresión nuestra. El estudio anual de fuerza laboral de ISC2 lleva años documentando una brecha global de talento en ciberseguridad que se cuenta en millones de personas. Cuando la demanda supera así a la oferta, retener a un analista bueno deja de ser un asunto de recursos humanos y se convierte en un riesgo operativo: el turno de la madrugada es el primero que queda descubierto, y es justo el que menos se puede descubrir.
Los dos modelos, lado a lado
| Concepto | SOC propio | SOC administrado |
|---|---|---|
| Naturaleza del gasto | Inversión más gasto corriente | Solo gasto corriente |
| Personas necesarias | 7 en nómina | 0 en nómina |
| Tiempo hasta operar bien | 12 a 18 meses | Semanas |
| Composición del costo | 7 salarios, recargos nocturnos, licencias, formación, espacio, infraestructura y rotación | Una cuota mensual, con alcance definido por contrato |
| Si renuncia un analista | Se descubre un turno | Problema del proveedor |
| Control y personalización | Total | Definido por contrato |
Fíjese que la fila del costo no trae una cifra. Es a propósito. El salario de un analista de seguridad no es el mismo en Monterrey que en Caracas, y usted conoce el suyo mucho mejor que nosotros. Tome esos siete puestos, multiplique por lo que paga en su empresa, súmele licencias y formación, y tendrá su número. Le va a creer más que a cualquiera que le demos. El desglose de conceptos está en la guía completa.
La diferencia que decide, y no es el monto
Hay una distinción que pesa más que cualquier cifra, y es contable.
Un SOC propio es inversión más gasto corriente. La sala, las pantallas, la energía respaldada, los servidores y las licencias iniciales son inversión de capital. Los salarios, las suscripciones y el almacenamiento son gasto corriente. Van por dos vías distintas del presupuesto.
Un SOC administrado es solo gasto corriente. Una cuota mensual, una sola línea.
¿Y por qué importa tanto? Porque no se aprueban igual.
La inversión de capital casi siempre exige comité, ciclo presupuestario anual y una justificación que compite con la ampliación de la planta o la renovación de la flota. Si el ciclo del próximo año ya se cerró, el proyecto espera doce meses. No por falta de voluntad: por calendario.
El gasto corriente, en cambio, suele aprobarse dentro de una partida que ya existe y con la firma de quien dirige el área.
Ahí está la explicación de algo que confunde a mucha gente: los 12 a 18 meses del modelo propio no son solo formación del equipo. Buena parte de ese tiempo se va en conseguir la aprobación, ejecutar la compra y montar el espacio, antes de que el primer analista se siente a mirar una pantalla.
Los ocho conceptos que componen el costo propio
Cuando alguien dice “un SOC propio cuesta los salarios”, se está quedando en la mitad. La lista completa es esta, y conviene tenerla delante antes de decidir:
- Los siete salarios. Seis analistas por turnos más un responsable con experiencia que escale lo grave.
- Los recargos por horario. El trabajo nocturno y en días festivos tiene recargos legales en México y en Venezuela. No son negociables y encarecen justo los turnos que nadie quiere.
- Las licencias. Plataforma de correlación, agentes en los equipos, fuentes de inteligencia de amenazas. Se pagan por volumen o por equipo, así que crecen cuando crece la empresa.
- El almacenamiento de registros. Guardar los eventos el tiempo que exige una auditoría cuesta, y ese costo sube todos los meses porque los registros no dejan de acumularse.
- La formación continua. No es un curso al entrar. Las técnicas de ataque cambian cada trimestre y un analista sin actualizar detecta lo del año pasado.
- El espacio y la infraestructura. Una sala, pantallas, energía respaldada y más de un enlace a internet. Un centro de monitoreo que se queda sin luz o sin conexión deja de monitorear en el peor momento posible.
- Las suplencias. Vacaciones, incapacidades y renuncias. Alguien tiene que cubrir esas horas y ese alguien también se paga.
- La rotación. El costo de buscar y contratar al reemplazo, más los meses en que la persona nueva todavía no conoce la red.
Fíjese que los conceptos 2, 4, 6 y 7 casi nunca aparecen en una comparación. Y son justo los que no se pueden recortar, porque el primero es ley, el segundo lo exige la auditoría, el tercero es física y el cuarto es la vida.
Ahora hágala con sus números
No hace falta pedir una cotización para saber en qué punto está. Tome un papel y responda tres cosas:
- ¿Cuántas personas de su equipo pueden atender una alerta de seguridad de madrugada? No “recibir el correo”. Atenderla: entender qué pasa y decidir qué hacer.
- Multiplique por 1.800. Ese es el total de horas que su equipo puede cubrir al año.
- Compare con 8.760.
Si el primer número es 1, su cobertura real es del 20%. Si es 2, del 41%. Si es 3, del 61%. La mayoría de las empresas de la región que revisamos están en el primer caso, y muchas creen estar en el tercero.
La diferencia entre lo que uno cree cubrir y lo que cubre de verdad es exactamente el hueco por donde entra el problema. Y como el ransomware casi siempre arranca de noche o en fin de semana, ese hueco no es teórico.
¿Cuándo conviene el SOC propio de verdad?
Conviene, y decirlo importa porque si no este artículo sería un folleto.
El modelo propio tiene sentido cuando la seguridad es parte de lo que la empresa vende, cuando maneja información sujeta a restricciones que impiden delegarla, cuando pasa de mil empleados y cuando puede sostener un equipo especializado a largo plazo. Ahí el control total vale lo que cuesta.
Debajo de ese umbral la cuenta no cierra, y forzarla suele terminar en lo peor de los dos mundos: un equipo pequeño, agotado, cubriendo horario de oficina y presentando un informe mensual que nadie lee.
El punto medio, que suele ser la mejor decisión
Hay un tercer camino que casi nadie plantea en la primera reunión: empezar administrado mientras el equipo interno se forma.
Se obtiene cobertura completa desde el primer mes, y si más adelante la empresa decide internalizar, lo hace con procesos ya probados y con su gente entrenada. En lugar de aprender a costa de incidentes reales.
Es la misma lógica de avanzar por capas en vez de rehacer todo de golpe: se decide con lo que ya funciona operando, no con una presentación.
Si quiere saber en qué punto está hoy antes de presupuestar cualquiera de los tres caminos, eso se mide. Es lo primero que hacemos en el diagnóstico sin costo, y sale un número, no una opinión.
Las 8.760 horas del año existen aunque nadie las presupueste. La única decisión es quién las cubre.
