Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Gestión de Alertas y EventosAlert and Event Management

Correlación, tuning, reducción de falsos positivos.Correlation, tuning and false positive reduction.

Casos de usoUse cases 3.1 · SOC como Servicio (SOCaaS)3.1 · SOC as a Service (SOCaaS)

¿Qué es este servicio?What is this service?

Es el proceso de recibir el volumen bruto de alertas, filtrarlas, investigarlas, descartar el ruido y escalar solo lo que de verdad es un incidente, con clasificación y prioridad.

The process of receiving the raw alert volume, filtering, investigating, discarding noise and escalating only what is genuinely an incident, with classification and priority.

¿Para qué se usa?What is it used for?

Sirve para resolver el problema real de todo SIEM: genera miles de alertas por día y la enorme mayoría no son nada. Un equipo sin proceso de triaje termina ignorándolas todas, que es peor que no tener el SIEM, porque hay una falsa sensación de control. El valor está en la disciplina del filtrado.

It solves every SIEM's real problem: it generates thousands of alerts a day and the vast majority are nothing. A team without a triage process ends up ignoring all of them, which is worse than having no SIEM, because it creates a false sense of control. The value is in the discipline of filtering.

Qué beneficios traeBenefits it delivers

  • Convierte miles de alertas diarias en unas pocas que merecen atención humana.
  • Reduce la fatiga de alertas, que es la causa por la que se ignoran las que sí importaban.
  • La clasificación por severidad permite responder primero a lo urgente y no a lo que llegó primero.
  • El afinado continuo baja el ruido mes a mes, que es donde se ve la madurez del servicio.
  • Turns thousands of daily alerts into a handful deserving human attention.
  • Reduces alert fatigue, the reason the ones that mattered get ignored.
  • Severity classification means responding to the urgent first rather than to whatever arrived first.
  • Continuous tuning lowers noise month over month, which is where the service's maturity shows.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal directa en Costa Rica.
  • Es la base sobre la que se construye el histórico de incidentes que ahora pide la clase de datos 56 del perfil tecnológico.
  • There is no direct legal obligation in Costa Rica.
  • It is the basis on which the incident history now required by data class 56 of the technology profile is built.

InternacionalInternational

  • PCI-DSS exige revisar registros y responder a las anomalías detectadas.
  • ISO 27001 exige un proceso de gestión de eventos de seguridad de la información con evaluación y decisión documentada.
  • DORA y NIS2 exigen clasificar los incidentes, y clasificar exige antes haber triado.
  • PCI-DSS requires reviewing logs and responding to detected anomalies.
  • ISO 27001 requires an information security event management process with documented assessment and decision.
  • DORA and NIS2 require classifying incidents, and classification requires triage first.

Requisitos mínimosMinimum requirements

  • Una plataforma que centralice las alertas, sea SIEM propio o del proveedor.
  • Criterios de severidad acordados con el negocio, no definidos solo por criterio técnico.
  • Procedimientos de respuesta escritos para los casos de uso más frecuentes.
  • Un canal de comunicación con el cliente que funcione a cualquier hora.
  • A platform centralising alerts, whether an in-house SIEM or one operated by the provider.
  • Severity criteria agreed with the business, not defined on technical grounds alone.
  • Written response procedures for the most frequent use cases.
  • A communication channel with the client that works at any hour.

Plazo típico de entregaTypical delivery time

Servicio continuo Ongoing service rango habitual del mercado usual market range

Es un servicio continuo. La puesta a punto inicial toma de tres a seis semanas y consiste sobre todo en bajar el ruido: al arrancar es normal recibir un volumen de alertas inmanejable, y el trabajo de las primeras semanas es afinar hasta dejarlo en un nivel operable.

This is a continuous service. Initial tuning takes three to six weeks and consists mainly of reducing noise: at the start an unmanageable alert volume is normal, and the first weeks' work is tuning it down to an operable level.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

TriajeTriage
Clasificar y priorizar alertas para decidir cuáles se investigan y en qué orden. Classifying and prioritising alerts to decide which get investigated and in what order.
Falso positivoFalse positive
Alerta que no corresponde a un problema real. Son la mayoría del volumen bruto. An alert that does not correspond to a real problem. They are most of the raw volume.
Fatiga de alertasAlert fatigue
Desensibilización del analista por exceso de avisos irrelevantes. Es la causa de que se escapen los buenos. Analyst desensitisation from an excess of irrelevant alerts. It is why the real ones slip through.
MTTDMTTD
Tiempo medio de detección: cuánto se tarda en darse cuenta de que algo pasó. Mean time to detect: how long it takes to realise something happened.