Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Automatización y Orquestación (SOAR)Automation and Orchestration (SOAR)

Playbooks automatizados que ejecutan la respuesta sin esperar a un analista.Automated playbooks that execute the response without waiting for an analyst.

SOARSOAR 3.3 · Servicios Gestionados de Plataformas3.3 · Managed Platform Services

¿Qué es este servicio?What is this service?

Es la construcción y operación de playbooks que ejecutan por sí solos los pasos repetitivos de la respuesta: enriquecer una alerta con contexto, consultar la reputación de una dirección, abrir el ticket, bloquear un remitente, aislar un equipo y notificar a quien corresponde.

Building and running playbooks that execute the repetitive steps of response on their own: enriching an alert with context, checking an address reputation, opening the ticket, blocking a sender, isolating a machine and notifying whoever needs to know.

¿Para qué se usa?What is it used for?

Sirve para el trabajo mecánico que consume la mitad del turno de un analista. Ahora, lo incómodo: automatizar un proceso roto no lo arregla, lo rompe más rápido y a mayor escala. Si el triaje no está definido, si nadie sabe quién autoriza aislar un servidor o si los criterios de severidad cambian según quién esté de guardia, el SOAR va a multiplicar ese desorden. Primero el proceso escrito y medido; después la automatización.

It handles the mechanical work that eats half an analyst shift. Now the uncomfortable part: automating a broken process does not fix it, it breaks it faster and at greater scale. If triage is undefined, if nobody knows who authorises isolating a server, or if severity criteria shift depending on who is on call, SOAR will multiply that mess. First the written, measured process; then the automation.

Qué beneficios traeBenefits it delivers

  • Elimina los minutos de enriquecimiento manual que se repiten en cada alerta, que sumados son la mayor parte del tiempo del analista.
  • Da consistencia: el mismo tipo de incidente se atiende igual a las diez de la mañana que a las tres de la madrugada.
  • Cada acción automática queda registrada con marca de tiempo, lo que da una trazabilidad que el trabajo manual rara vez deja.
  • Permite contener en minutos los casos claros y previamente autorizados, sin esperar a que alguien conteste el teléfono.
  • Removes the manual enrichment minutes repeated on every alert, which added up are most of an analyst day.
  • Delivers consistency: the same incident type is handled the same at ten in the morning as at three in the morning.
  • Every automated action is logged with a timestamp, giving traceability manual work rarely leaves behind.
  • Allows containing clear, pre-authorised cases in minutes, without waiting for somebody to answer the phone.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica ni lo menciona ningún regulador local.
  • Ayuda a sostener la trazabilidad de incidentes que alimenta el reporte histórico de seguridad exigido en el perfil tecnológico de las entidades supervisadas.
  • It is not mandatory in Costa Rica and no local regulator mentions it.
  • It helps sustain the incident traceability that feeds the security historical report required in the technology profile of supervised entities.

InternacionalInternational

  • Ningún marco exige SOAR por nombre.
  • DORA y NIS2 imponen plazos cortos de notificación de incidentes, y la automatización es una de las formas prácticas de cumplirlos sin depender de que alguien esté despierto.
  • ISO 27001 exige procedimientos de respuesta documentados, que son justamente el insumo sin el cual no se puede automatizar nada.
  • No framework requires SOAR by name.
  • DORA and NIS2 impose short incident notification deadlines, and automation is one practical way of meeting them without depending on somebody being awake.
  • ISO 27001 requires documented response procedures, which are exactly the input without which nothing can be automated.

Requisitos mínimosMinimum requirements

  • Procesos de respuesta escritos y probados a mano antes de automatizarlos. Este es el requisito de verdad, no la herramienta.
  • Integraciones con permisos de escritura sobre firewall, directorio, EDR y correo, que es un nivel de acceso que hay que gobernar con cuidado.
  • Autorización por escrito de qué acciones se ejecutan solas, con una lista explícita de sistemas que nunca se tocan de forma automática.
  • Alguien que mantenga los playbooks: cada actualización de una herramienta puede romper una integración en silencio.
  • Response processes written and tested manually before automating them. This is the real requirement, not the tool.
  • Integrations with write permissions over firewall, directory, EDR and email, a level of access that must be governed carefully.
  • Written authorisation of which actions run unattended, with an explicit list of systems never touched automatically.
  • Somebody to maintain the playbooks: every tool update can silently break an integration.

Plazo típico de entregaTypical delivery time

6 a 12 semanas 6 to 12 weeks rango habitual del mercado usual market range

Un conjunto inicial de playbooks lleva de seis a doce semanas. El extremo bajo aplica si los procedimientos ya están escritos y las herramientas tienen interfaces decentes; el alto, si hay que definir el proceso antes, que es el caso más común. Después es una disciplina continua: cada herramienta nueva y cada cambio de proceso obliga a revisar lo automatizado.

An initial playbook set takes six to twelve weeks. The low end applies when procedures are already written and the tools have decent interfaces; the high end when the process has to be defined first, which is the common case. After that it is a continuous discipline: every new tool and every process change forces a review of what was automated.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

SOARSOAR
Orquestación, automatización y respuesta: la plataforma que conecta las herramientas de seguridad y ejecuta secuencias de acciones sola. Orchestration, automation and response: the platform connecting the security tools and running action sequences on its own.
PlaybookPlaybook
La secuencia definida de pasos que se ejecuta ante un tipo de incidente, con sus condiciones y sus puntos de decisión. The defined sequence of steps run for an incident type, with its conditions and decision points.
EnriquecimientoEnrichment
Agregar contexto automático a la alerta: de quién es el equipo, qué reputación tiene esa dirección, si el usuario está de vacaciones. Automatically adding context to an alert: whose machine it is, what reputation that address has, whether the user is on leave.
IntegraciónIntegration
La conexión con cada herramienta para consultarla o darle órdenes. Es la parte que más se rompe con las actualizaciones. The connection to each tool to query it or command it. The part that breaks most often with updates.
Punto de aprobaciónApproval gate
El paso donde el playbook se detiene y espera que una persona autorice antes de ejecutar algo con impacto. The step where the playbook pauses and waits for a person to authorise before executing something with impact.