Descripción de los roles de SecOps

A medida que desarrolla una disciplina de Security Operations (SecOps), este artículo explica las funciones, las responsabilidades y las colaboraciones internas necesarias para operar un modelo de SecOps eficaz y moderno alineado con los principios de Confianza cero.

SecOps es una materia especializada centrada en detectar, investigar y responder a amenazas activas casi en tiempo real. Opera en conflicto continuo con adversarios que adaptan activamente sus técnicas.

Esta guía está pensada para cualquier persona que planee o participe en la modernización de SecOps, incluidos líderes de seguridad, profesionales de SecOps, arquitectos, ingenieros y equipos asociados.

¿Por qué importan los roles y los modelos operativos?

Los resultados de SecOps dependen tanto de las personas como de la colaboración con respecto a la tecnología. Incluso las herramientas de detección y respuesta más avanzadas no son eficaces sin:

• Responsabilidad clara durante los incidentes
• Rutas de escalación estructuradas
• Asociaciones sólidas con equipos que diseñan, ejecutan y comprenden el entorno.

Aunque SecOps es una función de seguridad dedicada, se basa en gran medida en la experiencia de los equipos de ingeniería, operaciones y negocios que administran sistemas y procesos en toda la organización.

Un modelo operativo claro garantiza:

• Los incidentes se controlan mediante los roles correctos en el momento adecuado.
• Las escalaciones son predecibles y eficaces.
• Los aprendizajes de los incidentes se traducen en una posición de seguridad mejorada,

Roles y modelo operativo de SecOps

Estas definiciones de roles de SecOps se basan directamente en el estándar Security Roles and Glossary Standard de The Open Group, lo que proporciona un vocabulario común y una estructura que se adapta tanto a equipos pequeños como a grandes centros de operaciones de seguridad (SOC) distribuidos.

En organizaciones más pequeñas, estas responsabilidades pueden combinarse en algunos roles. En organizaciones más grandes, normalmente se separan en equipos especializados. Independientemente del tamaño, las funciones y los resultados siguen siendo coherentes.

Los roles y responsabilidades de SecOps se muestran en este diagrama:

En equipos de SecOps más grandes, los roles especializados pueden dividirse en equipos dedicados. En este diagrama se muestra cómo funcionan juntos estos roles:

Roles principales de SecOps

• Administrador de operaciones de seguridad (SecOps): proporciona liderazgo y supervisión de la función SecOps. Apoya a los equipos de SecOps, alinea el trabajo con las prioridades empresariales y mejora continuamente la eficacia.
• Analista de evaluación de prioridades (nivel 1): actúa como primer respondedor para alertas e incidentes. Este rol controla rápidamente patrones de ataque bien comprendidos y escala casos complejos para una investigación más profunda.
• Analista de investigación (nivel 2): lidera la respuesta a incidentes complejos o de alto impacto. Esta función investiga ataques multietapa, coordina las acciones de contención y refina la lógica de detección a partir de incidentes reales.
• Cazador de amenazas (nivel 3): busca de forma proactiva a los atacantes que evadieron las detecciones. Los cazadores de amenazas reducen el tiempo de permanencia del atacante y aportan profundos conocimientos especializados durante incidentes graves.
• Ingeniero de detección: diseña, prueba y mejora las detecciones para reducir las áreas sin visibilidad completa. Este rol limita la capacidad de un atacante de operar sin detectar y mejora los procedimientos de detección e investigación para los analistas.
• SecOps Platform y Ingeniero de datos: garantiza que las herramientas y canalizaciones de datos de SecOps sean confiables, escalables y evolucionan continuamente. Este rol apoya la eficacia de todas las demás funciones de SecOps.
• Analista de inteligencia sobre amenazas: recopila y analiza información sobre amenazas de orígenes internos y externos y los convierte en información procesable para SecOps, liderazgo en seguridad y equipos asociados.
• Coordinación y administración de incidentes: coordina la respuesta técnica y empresarial durante incidentes importantes. Este rol administra las comunicaciones, la toma de decisiones y la ejecución entre funciones durante las crisis.
• Simulación de ataque: prueba la preparación de la organización mediante simulaciones realistas. Expone brechas entre personas, procesos y tecnología. Estas simulaciones pueden adoptar muchas formas y formatos, entre los que se incluyen:
  • Pruebas de penetración : simulación de una sola operación para intentar poner en peligro un recurso o la organización (a menudo proporcionado por una organización externa).
  • Red teaming: simulación de un actor de amenazas persistente que realiza múltiples operaciones de larga duración.
  • Formación de equipos púrpura : operaciones de ataque simuladas conjuntas en las que los defensores (azul) y los atacantes simulados (rojo) trabajan estrechamente para acelerar el aprendizaje de ambos roles.
  • Simulación basada en discusión (ejercicio de tableta): ejercicio de simulación estructurada para varios roles para hablar a través de un escenario de ataque realista (a veces complementado por simulaciones técnicas).
• Ingeniería inversa/Análisis forense digital (roles especializados): roles altamente especializados que analizan malware, artefactos y evidencias. Los especialistas forenses digitales apoyan los requisitos legales y normativos mediante el tratamiento de pruebas con procedimientos aprobados y el mantenimiento de la cadena de custodia.

Cómo funcionan juntos los roles de SecOps

Estos roles funcionan como un modelo en capas, donde:

• El triaje gestiona el volumen y la velocidad
• La investigación y el rastreo abordan la complejidad y la profundidad
• Los ingenieros mejoran el sistema continuamente
• El liderazgo y la coordinación garantizan la alineación y la resistencia

Esta estructura garantiza la escala sin sacrificar la calidad.

Asociados internos clave de SecOps

SecOps no puede funcionar de forma eficaz de forma aislada. Las operaciones de seguridad correctas dependen de la integración profunda con los equipos que diseñan, compilan y operan el entorno.

Los datos y la información de SecOps, especialmente la inteligencia sobre amenazas, son más valiosos cuando informan a las decisiones de priorización en toda la organización.

Ingeniería técnica y operaciones

Estos equipos ayudan con la investigación, la contención y la recuperación durante incidentes y usan la información de SecOps para priorizar los controles preventivos. Entre los asociados comunes se incluyen:

• identidad
• Red
• Endpoints
• Infraestructura y plataformas (nube, local, CI/CD)
• Datos e IA
• Tecnología operativa (OT)

Roles de arquitectura

Los arquitectos diseñan los sistemas que SecOps supervisa y defiende, e incorporan lecciones aprendidas de incidentes en diseños futuros.

Entre los roles clave se incluyen:

• Arquitectos empresariales
• Arquitectos de seguridad
• Arquitectos de infraestructura
• Arquitectos de datos e inteligencia artificial
• Arquitectos de acceso (identidad, redes, etc.)
• Arquitectos de soluciones
• Arquitectos de software y aplicaciones

Roles de desarrollo de aplicaciones y productos

Estos equipos diseñan y mantienen las aplicaciones que SecOps deben detectar y proteger.

Apoyan a SecOps de la siguiente manera:

• Asistencia en la investigación y subsanación durante los incidentes
• Asegurarse de que las aplicaciones generan la telemetría adecuada
• Uso de la inteligencia de SecOps para priorizar las mejoras de seguridad

Pasos siguientes

Obtenga más información sobre los roles de seguridad en el estándar Open Group.