Hitachi Vantara potencia el almacenamiento híbrido en Azure
La compañía integra capacidades de SIEM, XDR, inteligencia de amenazas, automatización e IA en Microsoft Defender para cambiar la forma en que las empresas operan su seguridad.
El SOC tradicional empieza a quedarse pequeño para una ciberseguridad que ya funciona a velocidad de máquina. Microsoft acaba de dar un paso en esa dirección con Integrated Security Operations Center (ISOC), una nueva capacidad de Microsoft Defender que integra funciones de SIEM con las herramientas de XDR, inteligencia de amenazas, automatización e inteligencia artificial de la plataforma.
La propuesta, disponible inicialmente en versión preview, está dirigida a organizaciones con Microsoft 365 E5 o E7 y busca resolver uno de los problemas habituales de las operaciones de seguridad: tener que saltar entre diferentes herramientas para reunir señales, reconstruir el contexto de un incidente y ejecutar una respuesta.
Microsoft une las piezas del SOC
Un Security Operations Center (SOC) es el centro desde el que una organización supervisa su entorno tecnológico, detecta amenazas, investiga incidentes y coordina las acciones de respuesta. En su arquitectura tradicional conviven distintas tecnologías: el SIEM recopila y analiza eventos; las plataformas EDR y XDR vigilan dispositivos, identidades y otras superficies; la inteligencia de amenazas aporta contexto, mientras las herramientas de automatización ayudan a ejecutar determinadas respuestas.
El problema aparece cuando esas capacidades funcionan como piezas separadas. Un analista puede recibir una alerta en una plataforma, buscar información adicional en otra, reconstruir el contexto en una tercera y ejecutar finalmente la respuesta desde una cuarta. Cada integración, transferencia de información o cambio de herramienta introduce fricción.
Microsoft sostiene que esa fragmentación resulta especialmente problemática cuando los atacantes empiezan a utilizar agentes de IA capaces de automatizar operaciones a una escala y velocidad mayores. La compañía plantea que la defensa tampoco puede seguir dependiendo de procesos lineales y sistemas que no comparten contexto.
ISOC propone cambiar esa lógica. Hasta ahora, Microsoft 365 E5 y E7 incluían Defender XDR, mientras que las capacidades SIEM se ofrecían mediante Microsoft Sentinel como producto separado. Con ISOC, Microsoft lleva capacidades de SIEM al entorno de Defender y las combina con XDR, inteligencia de amenazas, automatización e IA.
La diferencia, por tanto, no está simplemente en reunir más herramientas bajo un mismo portal. Microsoft propone que señales, contexto y controles funcionen como un sistema integrado, de manera que humanos y agentes puedan percibir lo que ocurre, interpretarlo y actuar sobre el entorno utilizando una misma base de información.
Del SOC tradicional al SOC agéntico
Aquí aparece el verdadero alcance del anuncio. Microsoft no está planteando únicamente una consolidación de productos, sino un cambio en el modelo operativo del SOC.
En su arquitectura, los sensores y señales proporcionan visibilidad; el contexto convierte esos datos en comprensión; y los actuadores permiten transformar las decisiones en acciones de protección. Sobre esta base pueden operar agentes capaces de ejecutar tareas de forma continua, mientras los profesionales mantienen la definición de prioridades, el criterio y las decisiones que requieren intervención humana.
El objetivo es romper el flujo lineal de detectar → investigar → decidir → responder y convertirlo en un ciclo continuo de protección. Microsoft denomina a este enfoque integrated protection loop: lo que el sistema aprende durante una investigación puede utilizarse para reforzar la protección frente a nuevas amenazas.
Es una diferencia importante. El SOC tradicional necesita que los analistas conecten las piezas. El SOC agéntico que plantea Microsoft busca que la propia arquitectura proporcione ese contexto y permita que agentes y profesionales trabajen sobre él.
La consolidación también cambia los costos
La integración tiene además una dimensión económica. Para los clientes E5 y E7 elegibles, los registros procedentes de las propias herramientas de seguridad de Microsoft se incorporan sin cargos adicionales de ingestión. A partir del 1 de octubre, los datos procedentes de herramientas de terceros y otras fuentes externas tendrán un costo de US$2,40 por GB bajo modalidad pay-as-you-go.
Microsoft también señala que ISOC incorpora capacidades como gestión de casos, workbooks y generación de playbooks mediante lenguaje natural. Durante la preview, la retención de datos será de 30 días y está previsto ampliarla a 90 días el 15 de noviembre.
Para una organización cuyo ecosistema de seguridad ya está construido principalmente sobre Microsoft, la propuesta puede simplificar la arquitectura y modificar el cálculo del costo de operar un SIEM. Para empresas con entornos multicloud y una elevada diversidad de proveedores, el análisis será necesariamente diferente.
El SOC se prepara para una nueva velocidad
La apuesta de Microsoft llega en un momento en que la inteligencia artificial está modificando tanto las capacidades defensivas como las ofensivas. Si los atacantes pueden automatizar tareas que antes requerían intervención humana, los equipos de seguridad necesitan reducir también el tiempo que pierden conectando herramientas, buscando contexto y ejecutando acciones repetitivas.
Ahí está el verdadero significado de ISOC.
El próximo SOC no se definirá solamente por la cantidad de herramientas de IA que incorpore, sino por su capacidad para hacer que personas y agentes compartan señales, contexto y controles y puedan actuar sobre el entorno como un mismo sistema.
Para los CISOs y líderes de TI, la decisión deja de ser únicamente tecnológica. También implica determinar cuánto de la operación de seguridad quieren integrar bajo una misma arquitectura y qué nivel de autonomía están dispuestos a conceder a los agentes que participen en ella.
