La mejor conversación que tuve este año sobre montar un SOC propio duró once minutos y no habló de dinero en ningún momento.
El director de TI tenía la partida aprobada, el visto bueno del comité, el espacio y hasta la plataforma elegida. Lo que no tenía era a quién contratar.
Esa conversación se repite en México más de lo que se admite en público, y cambia la naturaleza de la decisión. Durante años esto fue un problema de presupuesto. Ahora es uno de mercado laboral.
¿Cuántos especialistas faltan realmente en México?
El número que circula en las presentaciones es 300.000. Conviene desarmarlo antes de apoyarse en él, porque mezcla dos cosas distintas.
La cifra grande es regional. El estudio de fuerza laboral de ISC2 viene midiendo una brecha del orden de 328.000 profesionales para toda América Latina, de México a Chile. Es contexto, no planeación.
La cifra de México es más chica y bastante más incómoda. En julio se publicó un déficit de más de 77.000 especialistas frente a una demanda cercana a 85.000 puestos. Haga la resta: el país tiene alrededor de 6.000 personas formadas para llenar ochenta y cinco mil sillas. En la misma nota, el 68% de los empleadores industriales dice que no consigue perfiles de seguridad, inteligencia artificial y analítica.
Setenta y siete mil suena a menos que trescientos mil. Es peor. Trescientos mil repartidos entre veinte países es una estadística de la región. Seis mil personas para ochenta y cinco mil puestos es su vacante, en su ciudad, este trimestre.
El presupuesto aprobado no contrata a nadie
Hace unas semanas escribí la aritmética de cubrir las 8.760 horas del año, y el resultado fueron siete personas: seis analistas por turnos y un responsable con experiencia. Esa cuenta no cambió.
Lo que cambió es que la cuenta dejó de ser el cuello de botella.
Cuando hay oferta de talento, el presupuesto manda: si lo aprueban, usted contrata. Cuando no hay oferta, el presupuesto es una condición necesaria que no alcanza para nada. Puede tener el dinero completo y no tener el equipo, y entonces lo que compró no fue un centro de operaciones de seguridad. Fue una vacante abierta con una consola encendida al lado.
¿Qué pasa en cada fase cuando no hay a quién contratar?
La comparación entre construir y contratar suele hacerse como una foto: dos columnas de costos, una decisión. Sirve más verla como una película, porque el problema de personal aparece en la segunda fase y contamina todo lo que viene después.
| Fase | SOC propio | SOC gestionado |
|---|---|---|
| Aprobar (mes 0 a 6) | Inversión de capital: comité, ciclo presupuestario, competencia con otros proyectos | Gasto corriente: partida existente, firma del área |
| Contratar (mes 6 a 12) | Siete posiciones en un mercado con 6.000 candidatos para 85.000 puestos. Los turnos de noche son los últimos en llenarse y los primeros en vaciarse | Ya está contratado. Es la fase que usted no vive |
| Afinar (mes 12 a 24) | De 12 a 18 meses hasta que la detección distingue lo raro de lo normal en su red | Semanas de puesta a punto sobre procesos ya probados |
| Sostener (año 2 en adelante) | La cobertura real es la gente que tenga ese día, no la del organigrama | La cobertura está definida por contrato y no depende de su nómina |
| Perder a alguien | Se descubre un turno y el reloj de la fase anterior vuelve a cero para ese puesto | Es problema del proveedor y usted no se entera |
Fíjese en la segunda fila. Es la única de la tabla que no se arregla con dinero, y es la que decide si las otras cuatro llegan a existir.
¿Qué pasa el día que renuncia el único que sabe?
Esta es la pregunta que casi nunca entra al comité, y tiene número. En el mismo estudio de ISC2, el 75% de los profesionales de seguridad se ve en su empresa dentro de doce meses. A dos años la cifra baja al 66%.
Traducido a un equipo de siete: uno se va antes del año, dos o tres antes de los dos años. En promedio y con suerte.
Si el que se va es el que conocía la red, usted no perdió un puesto. Perdió el criterio. La consola sigue encendida y las alertas llegan igual que ayer, pero se fue quien sabía cuáles de esas alertas importaban en esta empresa y no en cualquier otra. Ese conocimiento tardó un año en construirse y no estaba escrito en ningún lado.
Lo primero que desaparece cuando se va esa persona es el trabajo que no es reactivo. El threat hunting, que consiste en salir a buscar lo que ninguna alerta marcó, solo lo puede hacer alguien que sabe cómo se comporta esta red cuando todo va bien. Con el equipo a medias eso es lo primero que se deja de hacer, y nadie lo nota, porque no deja hueco en ningún tablero.
El mismo estudio midió la consecuencia, y este es el dato más serio de todos: el 88% de las organizaciones tuvo al menos un incidente significativo atribuido directamente a la falta de habilidades en el equipo, y el 69% tuvo más de uno. La falta de gente dejó de ser una queja de recursos humanos. Es una causa de incidente documentada.
Las certificaciones se pagan, y después se vuelven a pagar
Falta un renglón que casi nunca aparece en la tabla del proyecto. Las certificaciones de seguridad no se compran una vez: caducan cada tres años y se renuevan con créditos de educación continua y una cuota anual. Multiplique por siete personas y sume los días de trabajo que se van en cursos y exámenes.
Y viene con un efecto secundario difícil de digerir: un analista certificado es, por definición, más fácil de reclutar por otro. Usted paga la certificación. Otro le paga el aumento.
¿Sigue habiendo casos en los que el SOC propio es la respuesta?
Sí. Hay empresas donde sigue siendo la decisión correcta, y la diferencia no está en el tamaño.
El modelo propio funciona cuando la empresa puede competir por ese talento y no solamente pagarlo. Marca que la gente reconoce, carrera dentro del área, trabajo técnico que se defiende en una entrevista, presupuesto de formación que no se recorta en agosto. Las 6.000 personas que existen tienen dónde elegir, y eligen. Si su oferta compite de igual a igual con la de un banco, adelante. Si compite solo por salario, va a contratar a quien no eligieron los otros, y para el turno de la madrugada.
El desglose de lo que cuesta cada modelo, concepto por concepto, está en la guía de precios del SOC gestionado en México, y esa parte sigue vigente.
El camino de en medio, que es el que mejor envejece
Hay una tercera opción que rara vez se plantea en la primera reunión: empezar gestionado y formar al equipo interno en paralelo, con el proveedor operando.
Se cubre el turno de la madrugada desde el primer mes, que es lo urgente, y la gente propia aprende sobre una operación que ya funciona en lugar de aprender a costa del primer incidente real. Si dentro de tres años el mercado mejora y la empresa quiere internalizar, lo hace con procesos probados. Y si no mejora, la vigilancia nunca dependió de una vacante. Así operamos el SOC 24/7 con varios de nuestros clientes en México.
El presupuesto se aprueba en una reunión. El equipo se consigue en un mercado donde hay seis mil personas y ochenta y cinco mil sillas. De esas dos cosas, solo una depende de usted.
