Analista de seguridad (SOC)

Investigadores universitarios que generaron reglas de detección de intrusiones de red con modelos de lenguaje y las sometieron a diez expertos del ámbito. Informan de que los modelos grandes alcanzaron hasta un 90% de validez sintáctica, pero los expertos consideraron semánticamente correctas y aptas para desplegarse solo el 37,5% de las reglas generadas, sobre todo por falta de especificidad, una fuerte dependencia de la coincidencia de contenido y lógica alucinada; los profesionales veían los modelos como herramientas de apoyo para redactar y verificar, no como generadores independientes, y los modelos pequeños resultaron en gran medida ineficaces. Es una prepublicación con un panel de expertos pequeño, en un entorno de laboratorio.

Una demostración, una prueba de referencia o un artículo muestran que la tarea se puede hacer. Actualiza lo que la tecnología puede hacer, no lo que harán las empresas.

Investigadores de Microsoft que probaron la redacción asistida por IA de detecciones de seguridad frente a 92 de las detecciones en producción de la empresa, en cinco plataformas y tres lenguajes de consulta, generando 5.796 detecciones con once modelos. Las detecciones generadas coincidían con la técnica de ataque buscada el 99,4% de las veces y eran sintácticamente válidas el 95,9% de las veces, pero coincidían con la lógica de exclusión original solo el 8,9% de las veces; los autores escriben que la lógica de detección depende de un contexto del entorno que no está escrito, y que la IA puede acelerar la redacción del esqueleto y de la sintaxis mientras que los ingenieros humanos siguen siendo imprescindibles para el contexto propio de cada entorno y para las exclusiones. Es una prueba frente a detecciones existentes, no un despliegue, y Microsoft vende productos de detección de seguridad.

Una demostración, una prueba de referencia o un artículo muestran que la tarea se puede hacer. Actualiza lo que la tecnología puede hacer, no lo que harán las empresas.

Un solo organismo, y únicamente los usos no clasificados y no sensibles que está obligado a publicar en virtud de la Advancing American AI Act: el trabajo clasificado queda fuera del inventario por construcción, de modo que una ausencia en esta lista no es una ausencia en el organismo. Es CISA hablando de sus propias operaciones: opera un centro de operaciones de seguridad, no vende herramientas a terceros, y por eso queda registrado como despliegue de un empleador y no como material de un proveedor. Dos cosas figuran una al lado de la otra y ambas pertenecen a esta página: la detección de anomalías de red en infraestructuras críticas y la detección automatizada de datos personales dentro de datos de ciberseguridad están clasificadas en «Deployment», mientras que el uso denominado «Security Operation Center (SOC) Network Anomaly Detection» figura en «Inactive», junto a la puntuación de confianza de indicadores de amenaza. El inventario registra un estado, no razones: no dice por qué se detuvo ese uso, si algo lo sustituyó, a cuántos analistas alcanza, ni cuánto costó. Estados leídos en la actualización anual de 2025 publicada el 28 de enero de 2026.

Una empresa lo ha puesto en producción. Puede mover la línea de base, ponderado por la escala y por cuánto se parece ese entorno al tuyo.

Estados Unidos, un empleador. Un artículo del propio personal del empleador dice que RuleForge es un sistema interno de AWS que genera automáticamente reglas de detección que identifican solicitudes HTTP maliciosas que explotan vulnerabilidades concretas; que cada regla generada que supera la validación automática se envía como una revisión de código individual al equipo de seguridad interno; y que el volumen procesado se limitó intencionadamente para no desbordar a los revisores humanos. Su evaluación abarca los últimos cuatro meses de 2025. Es una prepublicación del personal del empleador; las reglas se dirigen a exploits web, no a la infraestructura propia de una organización, y su cifra de productividad es relativa.

Una empresa lo ha puesto en producción. Puede mover la línea de base, ponderado por la escala y por cuánto se parece ese entorno al tuyo.

Una norma nacional para todos los operadores de red en China. El artículo 4 exige que el operador que descubra un incidente o tenga conocimiento de él lo evalúe con la guía de clasificación adjunta y, si el incidente se clasifica como significativo o superior, lo notifique en el plazo de una hora cuando afecte a infraestructuras críticas de información, de dos horas en el caso de los organismos de la administración central y de cuatro horas en los demás casos. El artículo 5 exige que los operadores hagan que los proveedores de servicios de seguridad y de operaciones les notifiquen los incidentes que detecten y les ayuden a notificarlos. El artículo 10 prevé sanciones más severas para el operador y las personas responsables cuando una notificación tardía, omitida, falsa u ocultada cause daños graves. Deja la determinación y la responsabilidad en el operador; no dice si la clasificación la hace una persona o un sistema.

Un fallo, una marcha atrás, una regulación o un coste están frenando la adopción. Puede bajar una evaluación o ensanchar su incertidumbre.

Una oficina (EOUSA) dentro de un departamento, declarada por obligación legal y no elegida para publicarse. Entrada DOJ-0119 del CSV de declaración individual. El inventario da el mes, no el día, así que la fecha aquí es el primero de ese mes. Lo que importa es que el departamento describe el problema que resuelve como «identificación y prevención de comportamiento anómalo de usuarios demasiado sutil para la detección y el análisis humanos»: un empleador afirmando en una declaración que una máquina cubre terreno que su gente no cubre. Dos cosas están en esas mismas filas y le corresponden al lado. El departamento clasificó el sistema como de alto impacto, y todas las salvaguardas que esa clasificación exige figuran como en curso: pruebas, evaluación de impacto, revisión independiente, seguimiento continuo, formación, mecanismo de seguridad, procedimiento de recurso y consulta pública, con la autorización para operar respondida «no». El sistema contiene datos personales. Aparte, la entrada de la GSA «Elastic Machine Learning Threat Detection (Phase 2)» describe el otro lado de la misma frontera en otro organismo: sus modelos permiten «el aislamiento y la priorización de amenazas, facilitando una escalada más rápida y precisa a los equipos de caza de amenazas y de respuesta a incidentes»: la máquina ordena y el equipo de caza sigue recibiendo. Ninguna de las dos entradas informa de plantilla, de carga de casos ni de una tasa de detección medida, y la propia evaluación del departamento sobre si la afirmación se sostiene es uno de los puntos marcados como en curso.

Una empresa lo ha puesto en producción. Puede mover la línea de base, ponderado por la escala y por cuánto se parece ese entorno al tuyo.

Investigadores del organismo científico nacional de Australia, con coautores de la empresa de seguridad, que analizaron 3.090 consultas que 45 analistas de eSentire — una empresa que vende detección y respuesta gestionadas 24/7 — enviaron a GPT-4 durante investigaciones reales entre mayo de 2023 y marzo de 2024. Hallaron que el modelo se usaba sobre todo para interpretar telemetría de bajo nivel, como comandos, y para pulir la comunicación escrita, en intercambios breves; solo el 4% de las consultas buscaba recomendaciones explícitas como «¿esto es malicioso?», lo que los autores leen como una fuerte preferencia por conservar la autoridad de decisión. Es el SOC de una sola empresa, mide lo que preguntaron los analistas y no lo acertadas que eran las respuestas, y la empresa tiene un interés comercial.

Una herramienta se usa a gran escala en trabajo real y eso está medido, y quien decidió usarla fue la persona que trabaja, no quien emplea. Es más que un registro de capacidad —el trabajo es real, no una demostración— y menos que uno de despliegue, porque ningún empleador la puso en producción, ni la exigió, ni construyó un proceso alrededor. Ponderada como `cautious`: `automating` significa que la máquina puede hacer la tarea Y que hay indicios de adopción, y esto es un indicio de adopción; pero el uso puede ser una prueba, y buena parte de la medición viene de una parte con intereses, así que un registro nunca basta y dos independientes sí. Fíjate además en quién cuenta. La telemetría de un proveedor ve esto directamente y a la vez vende la herramienta, así que un registro de este tipo declara ese interés en su ámbito de aplicación; una agencia estadística que pregunta a las empresas si su personal usa IA en tareas ve el mismo canal sin ningún interés propio, y donde exista es la mejor fuente.

Una evaluación de estilo de inteligencia con lenguaje de probabilidad calibrada, no una medición: «casi con certeza» y «muy probablemente» son términos definidos en la propia escala del NCSC, que el informe publica junto a los juicios. Su relevancia para esta ocupación es indirecta pero concreta: más ataques y una ingeniería social más eficaz significan una cola de avisos más grande y más ruidosa, que es la tarea más expuesta de esta página, así que la previsión y la automatización apuntan al mismo sitio desde direcciones opuestas. La evaluación juzga además que el incremento a corto plazo viene de la evolución de técnicas existentes y no de técnicas nuevas, y que los usos sofisticados siguen restringidos a actores con datos de entrenamiento de calidad, pericia y recursos; las dos cosas van en contra de las lecturas más dramáticas de este documento.

Una persona con nombre y con posición reconocida predijo algo públicamente, en una fecha, en una declaración atribuible. Se registra para que quede comprobable quién dijo qué y cuándo, y nunca mueve la evaluación de una tarea, porque una predicción no es una observación. Su valor llega después: el registro queda en la misma página que la evidencia sobre esa ocupación, así que quien lee el pronóstico lee al lado el registro de lo que pasó luego. Esa es la rendición de cuentas; este sitio no publica ningún veredicto sobre si un pronóstico se cumplió.

Un estudio sectorial encargado, no una medición de algo que haya ocurrido, razón por la cual está en una etapa que no cambia nada. Lee el mecanismo con cuidado, porque no es el que la mayoría supondrá: la herramienta que nombra es SOAR (orquestación, automatización y respuesta de seguridad), que es automatización de flujos de trabajo, no un modelo de lenguaje. El informe está fechado en octubre de 2022 y el análisis que lo sustenta en diciembre de 2020, así que se escribió antes de que la IA generativa llegara al público; «IA y analítica» aparece en él como un encabezado de tendencia que cubre el aprendizaje automático para priorizar avisos, no modelos de conversación. Lo que afirma en concreto es que SOAR se hará cargo de la monitorización y los informes manuales de ciberseguridad y potencialmente sustituirá tareas centrales como gestionar los sistemas y las operaciones de ciberseguridad, reduciendo con ello la mano de obra necesaria para esas tareas, mientras que quienes ocupan el puesto conservan el análisis de los registros y de los informes. Cubre solo la fuerza laboral de infocomunicaciones de Singapur, agrega entrevistas a partes interesadas en vez de medir el empleo, y el propio informe dice que sus conclusiones se tomaron en un momento dado y que quien las lea después tiene que volver a contextualizarlas.

Una persona con nombre y con posición reconocida predijo algo públicamente, en una fecha, en una declaración atribuible. Se registra para que quede comprobable quién dijo qué y cuándo, y nunca mueve la evaluación de una tarea, porque una predicción no es una observación. Su valor llega después: el registro queda en la misma página que la evidencia sobre esa ocupación, así que quien lee el pronóstico lee al lado el registro de lo que pasó luego. Esa es la rendición de cuentas; este sitio no publica ningún veredicto sobre si un pronóstico se cumplió.

El escalón de entrada en este campo es la cola de avisos, y es el escalón que tiene apuntado el mecanismo de automatización más claro. Eso es un problema de verdad para la profesión y no solo para ti: el criterio que tienen los analistas veteranos se construyó moliendo esa cola, y nadie ha diseñado un sustituto. Llega pronto al trabajo de incidentes, y considera que un equipo que te deje estar dentro de un incidente real vale más que una subida de sueldo.

Dos cifras deciden el futuro de tu equipo y las dos las produces tú: la tasa de verdaderos positivos de tu cola, y cuántas detecciones retirasteis el trimestre pasado. Un equipo que no pueda responder a la segunda verá su presupuesto de herramientas gastado en generar más de lo que ya no puede leer.

Quedarte y reforzarte

Sube por la cola, no avances a lo largo de ella

Quienes sobreviven a la automatización del triaje son los que ajustan lo que genera los avisos, no los que los leen más rápido.

Rehacer el puesto

Sé quien conoce este parque

Toda herramienta necesita una línea base de lo normal y ningún proveedor puede suministrar la de tu empresa. Ese conocimiento es la entrada que no se puede comprar y es de lo que vive la caza de amenazas.

El triaje sí se está moviendo, y por una razón que merece entenderse: es la misma tarea que la de un vigilante mirando señales de cámara, y al software no se le hace aburrido. Lo que no se mueve es declarar un incidente, porque esa decisión se toma con autoridad y no con certeza y el coste de ambos errores es grave. El riesgo real para la profesión no es la sustitución: es que automatizar el triaje quita el escalón donde se construía el criterio de los analistas.

Ninguna fecha. La señal es la tasa de verdaderos positivos de tu propia cola y qué parte de tu turno se va en avisos que un sistema podría correlacionar sin ti. Las dos se pueden medir esta semana. La señal organizativa que hay que vigilar es otra y es más predictiva: si tu empleador está hablando de un servicio gestionado, porque la externalización traslada este trabajo sin automatizar nada de él y llega mucho antes que cualquier herramienta.

Los modelos redactan bien el esqueleto de la regla, pero los expertos juzgaron desplegables solo el 37,5% de las reglas de red generadas, y las detecciones escritas por IA reprodujeron las exclusiones de los ingenieros solo el 8,9% de las veces. Decidir qué detectar es la otra mitad y depende de saber qué aspecto tiene lo normal en tu parque concreto, un conocimiento que tienen personas y que casi nunca está escrito. La cautela es que escribir reglas barato empeora el problema de los falsos positivos, porque la restricción nunca fue escribirlas: un equipo que produce diez veces más detecciones tiene que ser diez veces más disciplinado retirándolas, y casi nadie dota personal para eso.

Protegida frente a la automatización, sí: la caza se define por la ausencia de disparador, lo que quita la entrada que necesita toda herramienta de detección. Pero es la primera actividad que se recorta cuando la cola está ruidosa, porque no produce ni ticket ni métrica. Ese es el patrón que merece interiorizarse: una tarea puede ser enteramente humana y aun así desvanecerse de la semana de un equipo sin que nadie decida quitarla, y en esta ocupación es así como suele ocurrir.