Las empresas españolas han reforzado en los últimos años sus inversiones en soluciones de ciberseguridad, pero la capacidad para supervisarlas y responder a los incidentes sigue siendo una de las grandes asignaturas pendientes. Así lo refleja el informe ‘Estado de la Ciberseguridad en España 2025’, elaborado por Secure&IT, que dice que el 40% de las organizaciones todavía no dispone de un Centro de Operaciones de Seguridad (SOC).
En concreto, el 17,4% reconoce no contar con ningún SOC, mientras que otro 23% asegura tener previsto implantar este servicio en los próximos meses. Entre las organizaciones que sí disponen de este tipo de centro, el grado de madurez también es desigual. El 21,4% opera con un SOC parcial, sin supervisión permanente o con cobertura limitada; el 15,2% gestiona un SOC propio; y únicamente el 23% dispone de un servicio 24×7 capaz de monitorizar de forma continua todas sus tecnologías de seguridad.
“Las empresas han avanzado en la implantación de tecnologías de protección, pero todavía existe una brecha importante entre disponer de herramientas y convertirlas en una capacidad real de detección y respuesta. Una alerta que no se analiza y contextualiza a tiempo, pierde gran parte de su valor”, explica Francisco Valencia, director general de Secure&IT.
Índice de temas
La inversión en seguridad no siempre se traduce en capacidad de respuesta
El estudio muestra que las empresas españolas cuentan con un nivel elevado de implantación de tecnologías de protección. El 89,2% dispone de soluciones de protección para endpoints; el 77% utiliza sistemas de autenticación robusta; el 74% ha desplegado herramientas avanzadas para proteger el correo electrónico; y el 73% aplica medidas de segmentación o protección de red. Además, el uso de soluciones EDR (endpoint detection and response) ya alcanza al 60,8% de las organizaciones.
Sin embargo, Secure&IT considera que estas inversiones pierden eficacia si no existe una supervisión continua que permita detectar y analizar las alertas en tiempo real.
Según la compañía, un análisis temprano puede marcar la diferencia entre contener un incidente o permitir que un atacante permanezca durante horas o días dentro de la infraestructura. Acciones como bloquear una cuenta comprometida, aislar un equipo o detener una comunicación maliciosa dependen, en buena medida, de la rapidez con la que se identifique la amenaza.
“La principal aportación de un SOC apoyado en un SIEM no evita que una organización reciba intentos de ataque, sino que reduce el periodo durante el cual una amenaza puede avanzar sin ser descubierta. En ciberseguridad, cada minuto cuenta», afirma Valencia.
Casi la mitad de las empresas no tiene un plan de respuesta
La falta de capacidad operativa también se refleja en la gestión de los incidentes. El informe indica que solo el 51,6% de las organizaciones dispone de un plan formal de respuesta ante incidentes, mientras que el 48,4% carece de procedimientos definidos para actuar cuando se produce un ciberataque.
Asimismo, únicamente el 44,2% cuenta con un comité de seguridad encargado de coordinar las decisiones durante una crisis, asignar responsabilidades y definir las acciones que deben adoptarse.
Para Secure&IT, disponer de un SOC o de una plataforma SIEM resulta insuficiente si previamente la organización no ha establecido protocolos claros sobre quién debe tomar decisiones, cuándo aislar un sistema, qué responsables deben ser informados o cómo comunicar el incidente a clientes, proveedores o autoridades.
La inteligencia artificial gana protagonismo en los SOC
El informe también destaca el creciente papel de la inteligencia artificial en los centros de operaciones de seguridad. Frente al enorme volumen de eventos que generan las herramientas de protección, las capacidades de IA permiten correlacionar información procedente de múltiples fuentes, identificar patrones de comportamiento anómalos y priorizar las alertas con mayor riesgo.
Según Secure&IT, estas tecnologías son capaces de detectar accesos inusuales, cambios de privilegios, descargas masivas de información o comportamientos que se apartan del patrón habitual de usuarios y dispositivos, además de reducir el número de falsos positivos que llegan a los analistas.
