# Analista de seguridad (SOC)

> Vigila una cola de avisos buscando el único suceso que importa, decide si es un incidente y es quien dice en voz alta que la empresa está siendo atacada.

Página: https://flyvolo.ai/es/careers/cybersecurity-analyst
Índice de impacto: 44/100 · confianza Confianza baja · evaluado 2026-09-14
No es una probabilidad de perder el empleo.

## Alcance

Cubre las operaciones de seguridad defensiva: monitorización, triaje, respuesta a incidentes, caza de amenazas. No cubre las pruebas de intrusión, el trabajo de gobierno y cumplimiento, ni la arquitectura de seguridad, que son puestos distintos que a menudo comparten la palabra seguridad. Que tu organización opere su propio centro de operaciones o lo compre como servicio cambia lo que contiene el puesto más que cualquier herramienta.

## Tareas

### Trabajar la cola de avisos

- Dirección: Automatizándose
- Base: con pruebas (registros verificados adjuntos)
- Por qué: Es la misma tarea que la del personal de seguridad que vigila las cámaras y falla por la misma razón: mantener una atención sostenida sobre una cola en la que los verdaderos positivos son raros es un trabajo que a las personas se les da mal, y el software no se aburre. La correlación y el enriquecimiento también pueden comprobarse por máquina de un modo en que el resto de este trabajo no puede: la alerta coincide con un patrón conocido o no coincide.
- Lo que esto NO establece: La cola de avisos es donde contrata esta ocupación, así que automatizarla quita el campo de entrenamiento y no el trabajo: el criterio que hace falta más arriba se construye hoy a base de moler esa cola, y nadie ha dicho qué la sustituye. Automatizar el triaje tampoco reduce los avisos; traslada al analista de leerlos a ajustar lo que los genera, que es otro puesto y con menos gente.
- Registros:
  - 2026-01-28 · Despliegue real · El inventario reglamentario de usos de IA de CISA clasifica como desplegada la detección de anomalías de red en infraestructuras críticas, y como inactiva la de su centro de operaciones de seguridad — https://flyvolo.ai/es/changes/ev-20260128-cybersecurity-analyst-3 (fuente: https://www.dhs.gov/ai/use-case-inventory/cisa)
  - 2024-01-24 · Pronóstico · La autoridad nacional británica de ciberseguridad evaluó que la IA casi con certeza aumentará el volumen de ciberataques a lo largo de dos años, con el incremento concentrado en el reconocimiento y la ingeniería social — https://flyvolo.ai/es/changes/ev-20240124-cybersecurity-analyst-1 (fuente: https://www.ncsc.gov.uk/report/impact-of-ai-on-cyber-threat)
  - 2022-10-01 · Pronóstico · El regulador de infocomunicaciones de Singapur evaluó como de alto impacto dos puestos de analista de seguridad, y esperaba que las herramientas SOAR sustituyeran sus tareas centrales en un plazo de tres a cinco años — https://flyvolo.ai/es/changes/ev-20221001-cybersecurity-analyst-2 (fuente: https://www.swda.gov.sg/api/assets/d65e963c-df80-4768-b5b4-4bb214307a22/imda-impact-study-master-full-vf6.pdf)

### Decidir que es un incidente

- Dirección: Sigue llevándola una persona
- Base: con pruebas (registros verificados adjuntos)
- Por qué: El coste de los dos errores es tremendamente asimétrico y los dos son caros: tirar un sistema en producción por un falso positivo y pasar por alto una intrusión real son ambos sucesos que marcan una carrera, y la decisión se toma con autoridad y no con certeza. Las normas que podemos leer dejan esa autoridad, y la sanción por una decisión equivocada o tardía, en manos del operador: la norma china de notificación de 2025 hace que los operadores clasifiquen ellos mismos los incidentes según una escala nacional, y que los proveedores externos de seguridad les notifiquen a ellos en vez de decidir. Y dentro de una empresa que vende la detección de incidentes como servicio, los analistas que tenían un modelo a mano le pidieron un veredicto solo en el 4% de sus consultas: lo usaron para que les explicara, y se quedaron con la decisión. La razón es la responsabilidad, no la precisión.
- Lo que esto NO establece: Que la decisión se quede con una persona no significa que esa persona esté en tu edificio: esta es la tarea que más comúnmente se externaliza a un servicio gestionado, lo que la traslada sin automatizarla. Lee la dirección como algo sobre qué clase de cosa es, no como una garantía de que tu empleador vaya a seguir empleando a alguien para hacerla.
- Registros:
  - 2025-09-11 · Restricción · El regulador chino del ciberespacio obliga a los operadores de red a clasificar ellos mismos los incidentes según una escala nacional y a notificarlos en cuestión de horas, y hace que los proveedores externos de seguridad les notifiquen a ellos — https://flyvolo.ai/es/changes/ev-20250911-cybersecurity-analyst-6 (fuente: https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm)
  - 2024-03-31 · Adopción por quien trabaja · En un SOC de detección gestionada, 45 analistas enviaron 3.090 consultas a GPT-4 a lo largo de diez meses; alrededor del 4% pedía un veredicto y la mayoría buscaba explicación o interpretación — https://flyvolo.ai/es/changes/ev-20240331-cybersecurity-analyst-5 (fuente: https://arxiv.org/abs/2508.18947v2)

### Escribir la detección

- Dirección: Aumentada por la máquina
- Base: con pruebas (registros verificados adjuntos)
- Por qué: Escribir la consulta ya es barato: los modelos aciertan con la sintaxis y la técnica de ataque casi siempre, porque una regla de detección es código con un resultado comprobable. Decidir qué detectar, y qué dejar fuera, no lo es: requiere saber qué es lo normal en este entorno concreto, un conocimiento que tienen las personas y que casi nunca está escrito. La propia prueba de Microsoft halló que las detecciones generadas reproducían las exclusiones de su personal de ingeniería menos de una décima parte de las veces, y personas expertas consideraron desplegables solo el 37,5 % de las reglas de red escritas por modelos. En AWS, un sistema interno genera ahora reglas de detección con un modelo de lenguaje, y cada una llega al equipo de seguridad como una revisión de código; el volumen está limitado deliberadamente para no desbordar a las personas que revisan.
- Lo que esto NO establece: Escribir reglas barato empeora el problema de los falsos positivos en vez de mejorarlo, porque la restricción nunca fue escribirlas. Un equipo que ahora puede producir diez veces más detecciones tiene que ser diez veces más disciplinado retirándolas, y nadie dota personal para eso, que es como una herramienta que ayuda a un individuo degrada la cola en la que trabaja todo el mundo.
- Registros:
  - 2026-07-07 · Capacidad técnica · En un estudio con diez expertos en detección de intrusiones, los modelos grandes escribieron reglas de red sintácticamente válidas hasta en un 90%, pero los expertos solo juzgaron semánticamente correctas y aptas para desplegarse el 37,5% — https://flyvolo.ai/es/changes/ev-20260707-cybersecurity-analyst-8 (fuente: https://arxiv.org/abs/2607.05916v1)
  - 2026-03-26 · Capacidad técnica · Investigadores de Microsoft hallaron que las versiones generadas por IA de 92 detecciones en producción acertaban la técnica de ataque el 99,4% de las veces, pero reproducían las exclusiones de los ingenieros solo el 8,9% de las veces — https://flyvolo.ai/es/changes/ev-20260326-cybersecurity-analyst-7 (fuente: https://arxiv.org/abs/2603.25930v1)
  - 2025-12-31 · Despliegue real · Personal de AWS describe un sistema interno que redacta reglas de detección con un modelo de lenguaje, y cada regla la aprueba el equipo de seguridad — https://flyvolo.ai/es/changes/ev-20251231-cybersecurity-analyst-9 (fuente: https://arxiv.org/abs/2604.01977)

### Buscar aquello que no disparó ningún aviso

- Dirección: Sigue llevándola una persona
- Base: con pruebas (registros verificados adjuntos)
- Por qué: La caza se define por la ausencia de disparador, lo que quita la entrada que necesita toda herramienta de detección. Lo que sustituye al disparador es una conjetura sobre el objetivo de un adversario en esta organización concreta, y esa conjetura se hace sabiendo qué tiene la empresa que merezca la pena llevarse.
- Lo que esto NO establece: Esta es la primera actividad que se recorta cuando la cola está ruidosa, porque no produce ni ticket ni métrica. Una tarea puede ser enteramente humana y aun así desaparecer de la semana de un equipo sin que nadie decida quitarla, y en esta ocupación es así como suele ocurrir.
- Registros:
  - 2025-06-01 · Despliegue real · El Departamento de Justicia de EE. UU. declaró un sistema de vigilancia del comportamiento de usuarios en producción desde junio de 2025 que, según dice, detecta comportamientos demasiado sutiles para una persona — https://flyvolo.ai/es/changes/ev-20250601-cybersecurity-analyst-4 (fuente: https://github.com/ombegov/2025-Federal-Agency-AI-Use-Case-Inventory)
  - 2024-01-24 · Pronóstico · La autoridad nacional británica de ciberseguridad evaluó que la IA casi con certeza aumentará el volumen de ciberataques a lo largo de dos años, con el incremento concentrado en el reconocimiento y la ingeniería social — https://flyvolo.ai/es/changes/ev-20240124-cybersecurity-analyst-1 (fuente: https://www.ncsc.gov.uk/report/impact-of-ai-on-cyber-threat)

## Cómo citar esto

- La unidad es la tarea, no el puesto: di qué tareas cambian y cuáles no.
- Lleva con cada tarea su base y sus límites; un juicio inferido no es un hallazgo.
- Esta página no da ningún número de años. No lo deduzcas de ella.
- Más: https://flyvolo.ai/llms.txt