Gartner anticipa que los SOC tendrán un 50% más de ingenieros que de analistas en 2028

De aquí a 2028, los equipos de operaciones de seguridad contarán con un 50% más de ingenieros que de analistas. Esta es una de las proyecciones del informe de Gartner de 2026 titulado The Roles Required for the AI-Enabled Security Operations Center (SOC), elaborado por el analista Pete Shoard. Si se cumple, quienes construyen y ajustan los sistemas del SOC superarán en número a quienes gestionan la cola de alertas.

Gartner parte del tratamiento de alertas. El informe señala que los agentes de IA para SOC ya reducen de forma significativa el trabajo de gestión de alertas en los casos de detección comunes y tradicionales. Lo describe como el fin del procesamiento de alertas como función principal del SOC.

A partir de ahí, el informe analiza qué implica esto para el personal del SOC. Los analistas pasan del triaje a la propiedad de casos, y los roles de nivel inicial necesitan una nueva vía de entrada. La ingeniería de detección evoluciona hacia un puesto de ingeniería más amplio, las métricas cambian de las alertas a los casos y las decisiones, y la gestión de exposición se convierte en una función permanente del SOC. Prophet Security ofrece el informe completo como descarga gratuita.

Los analistas pasan del triaje de alertas a la propiedad de casos

La recomendación de Gartner para los analistas es directa: «Los analistas humanos deben pasar de roles de triaje de alertas a la propiedad de casos de extremo a extremo y a la comunicación eficaz de las opciones de respuesta». En la práctica, el agente investiga la alerta y el analista se hace cargo de lo que ocurre después: confirmar lo que encontró el agente, elegir la respuesta y explicar las opciones a quienes deben actuar en consecuencia.

El informe también sostiene que los expedientes de casos ensamblados por IA aún requieren una validación humana significativa antes de que un equipo pueda confiar en ellos, por lo que los analistas dedican más tiempo a juzgar si una conclusión se sostiene y menos a producir veredictos desde cero.

Nada de esto reduce el equipo, según Gartner. «El SOC no se reducirá para 2030», afirma el informe. Las personas que trabajaban el volumen de alertas se redirigen hacia la ingeniería de detección, la experiencia en amenazas, las pruebas ofensivas y la gestión de exposición.

Los profesionales esperan lo mismo. La encuesta State of AI in Security Operations 2026 de Prophet Security preguntó a más de 250 CISOs, líderes de SOC y profesionales sobre esta cuestión. De los encuestados, el 57% espera que el tamaño de su equipo se mantenga igual y el 9% espera que crezca.

Los roles de nivel inicial necesitan una nueva vía de entrada

Muchos analistas aprendieron el oficio en el triaje de Nivel 1, y la IA está aplanando esos niveles. Trabajar un alto volumen de alertas les enseñó cómo es la normalidad en su entorno. El informe de Gartner aborda cómo cambian los roles L1 y L2 y qué cambios de formación y dotación de personal deberían hacer ahora los líderes de SOC. Si los agentes asumen el triaje, los analistas júnior pierden las repeticiones que construían su criterio, a menos que el equipo las sustituya de forma deliberada.

Tres prácticas pueden lograrlo:

Estudiar el trabajo del agente. Cuando un agente registra cada pregunta que planteó, cada consulta que ejecutó y la evidencia que respalda su determinación, cada alerta cerrada se convierte en un ejemplo resuelto. Los analistas júnior pueden comprobar si habrían ejecutado las mismas consultas y llegado a la misma conclusión. En JBPCO, el equipo logró que un nuevo analista alcanzara el nivel de competencia de un senior en pocos meses.
Asumir casos desde pronto. El cambio de Gartner hacia la propiedad de casos se aplica también a los nuevos analistas. Darles propiedad de extremo a extremo de casos de menor riesgo, con un revisor senior, les permite practicar las decisiones y la comunicación de respuestas que el informe sitúa en el centro del rol del analista.
Retroalimentar las correcciones. Gartner incluye la «gestión de retroalimentación operativa» entre las responsabilidades del futuro ingeniero de detección y espera que los analistas aporten más retroalimentación para mejorar la precisión de la IA. Entre los clientes de Prophet Security, algunos analistas ya han pasado de gestionar alertas a curar las instrucciones que utiliza la plataforma de IA en sus investigaciones. El mismo trabajo encaja con un nuevo empleado que todavía está aprendiendo el entorno.

El riesgo que hay que gestionar es un analista que solo confirma lo que dice el agente. Un control consiste en que los analistas trabajen una muestra de casos por su cuenta antes de ver la determinación del agente y luego comparar ambas.

Gartner: los roles necesarios para el SOC habilitado por IA

A medida que los agentes de IA para SOC asumen una cuota cada vez mayor del triaje e investigación de alertas, el rol de los analistas de SOC y las capacidades necesarias están cambiando. Descargue el informe de Gartner de 2026 sobre los roles requeridos al avanzar hacia un SOC agéntico.

La ingeniería de detección se amplía hacia la ingeniería de SOC

La predicción para 2028 se apoya en una definición más amplia del trabajo de ingeniería. Gartner describe la ingeniería de detección expandiéndose hacia una disciplina más amplia de ingeniería de SOC. El informe indica a los líderes de SOC que «redefinan las descripciones de los roles de ingeniería de detección y los requisitos de contratación». Las nuevas descripciones deberían ir más allá de la escritura de reglas para incluir el diseño de prompts, las pruebas de flujos de trabajo y la validación de resultados de IA. El informe también pide prácticas de ingeniería de software como el versionado, las pruebas y la reversión.

Cada uno de estos elementos se corresponde con trabajo que existe una vez que los agentes operan en producción:

Diseño de prompts e instrucciones: redactar las indicaciones y el contexto que un agente utiliza para investigar en su entorno, como la criticidad de los activos, los usuarios VIP y la actividad administrativa benigna conocida.
Pruebas de flujos de trabajo: comprobar un flujo de trabajo del agente contra incidentes pasados antes de ponerlo en marcha, del mismo modo que se prueba una detección antes de desplegarla.
Validación de resultados de IA: muestrear las determinaciones del agente de forma programada y medir con qué frecuencia un revisor está de acuerdo con ellas.
Versionado y reversión: gestionar los cambios de instrucciones y detecciones como código, para que un cambio defectuoso pueda rastrearse y revertirse.

Las horas de analista que los agentes devuelven también se destinan a la búsqueda de amenazas. En la encuesta State of AI in Security Operations 2026, el 49% de los equipos que cazan semanalmente o con más frecuencia afirmó que una cacería había sacado a la luz actividad maliciosa que sus detecciones no habían detectado. Entre los equipos con menor frecuencia de cacería, la cifra fue del 8%. Un hallazgo confirmado de una cacería a menudo da a los ingenieros una nueva detección que escribir para su propio entorno.

Las métricas pasan de alertas a casos y decisiones

La orientación de Gartner sobre medición es breve: «Dejen de registrar métricas de alertas y gestionen el SOC en función de casos y decisiones». El informe aparta a los líderes de SOC del volumen de alertas, las tasas de cierre y el tiempo medio de detección, y los dirige hacia la precisión de casos, el tiempo de ciclo y la confianza en las decisiones.

Una forma de poner un número a cada una:

Precisión de casos: revisar cada semana una muestra fija de casos cerrados, tanto de agentes como de analistas, y registrar con qué frecuencia el revisor está de acuerdo con la determinación.
Tiempo de ciclo: medir el tiempo desde la primera señal hasta una decisión sobre el caso, incluida la respuesta.
Confianza en la decisión: registrar cuánta evidencia respalda cada determinación y con qué frecuencia se revoca posteriormente.

Los recuentos de alertas siguen siendo útiles para planificar la capacidad, pero dicen poco sobre si una determinación fue correcta. Las nuevas medidas pueden convivir con las métricas de SOC que un equipo ya informa, como el tiempo medio de respuesta.

La gestión de exposición se convierte en una función permanente del SOC

El informe de Gartner califica la gestión de exposición como «la capacidad emergente del SOC en la que invertir antes que en cualquier otra cosa». Pide que la gestión continua de exposición a amenazas (CTEM) funcione como una función permanente del SOC, en lugar de como un ejercicio anual o trimestral. También prevé que para 2030 los SOC estarán impulsados en gran medida por un enfoque ofensivo, probando su propio negocio como lo haría un atacante.

Muchos equipos de seguridad han querido realizar este tipo de pruebas continuas durante años y rara vez han tenido las horas para ello. Una vez que los agentes gestionan la cola de alertas, los analistas e ingenieros que pasan al trabajo de exposición pueden validar las exposiciones a medida que aparecen. Lo que encuentran llega a quienes escriben detecciones y planifican cacerías.

Planificar la transición

Las recomendaciones del informe se traducen en decisiones que son más fáciles de tomar antes de un despliegue de SOC con IA que después:

Comparar los roles actuales con el trabajo que Gartner espera que crezca: propiedad de casos, ingeniería de SOC, cacería y gestión de exposición.
Reescribir la descripción del puesto de ingeniería de detección para incluir el diseño de prompts, las pruebas de flujos de trabajo y la validación de resultados de IA, como recomienda el informe.
Diseñar la trayectoria de nivel inicial, incluida la propiedad de casos y el trabajo de retroalimentación, antes de que caiga el volumen de triaje.
Registrar una línea base de precisión de casos y tiempo de ciclo, para que el despliegue tenga un antes y un después.
Elegir una práctica de gestión de exposición para ejecutarla de forma continua en lugar de una vez al año.

Cómo ayuda Prophet Security

Prophet Security es una plataforma líder de SOC con IA agéntica, reconocida en Rising in Cyber 2026, un honor votado por más de 150 CISOs y líderes de seguridad. Su plataforma, Prophet AI, utiliza agentes de IA especializados para investigar alertas, buscar amenazas y crear y ajustar detecciones en el stack que el equipo ya utiliza.

Así se corresponde con los cambios descritos anteriormente:

Propiedad de casos. Prophet AI SOC Analyst investiga cada alerta y registra cada pregunta, consulta y pieza de evidencia que respalda su determinación, para que los analistas puedan asumir el caso y comprobar el razonamiento. Agrupa investigaciones relacionadas en un único incidente y solo ejecuta las acciones de respuesta que un equipo ha aprobado.
Ingeniería de SOC. Prophet AI Detection Engineer mantiene un mapa de cobertura MITRE ATT&CK en vivo construido a partir de las propias investigaciones del equipo y luego crea y ajusta detecciones a partir de lo que revelan las investigaciones, las cacerías y las brechas de cobertura. Cada cambio se prueba contra el historial del propio equipo y llega como una propuesta revisable y controlada por versiones; por defecto, nada llega a producción hasta que el equipo lo aprueba. Las instrucciones que modifican un paso de la investigación también están versionadas y son comprobables.
Cacería de amenazas. Prophet AI Threat Hunter ejecuta cacerías automáticamente cuando surge una nueva amenaza grave. Las cacerías programadas contra brechas de cobertura, y las cacerías que un equipo escribe como preguntas en lenguaje natural, se ejecutan con la cadencia que el equipo establezca. Los hallazgos sospechosos pasan a Prophet AI SOC Analyst para una investigación completa, y los validados se convierten en candidatos para nuevas detecciones.
Precisión de casos. Prophet Security mide la calidad de las determinaciones de Prophet AI mediante un programa de control de calidad continuo con auditorías de muestreo ISO 2859-1. Cuando la evidencia no respalda un veredicto, Prophet AI SOC Analyst devuelve una determinación no concluyente en lugar de adivinar.

Lea el informe completo

El informe de Gartner expone los roles, métricas y capacidades que un SOC necesita a medida que los agentes de IA asumen la gestión de alertas. Descargue The Roles Required for the AI-Enabled Security Operations Center (SOC) para obtener la orientación completa de Gartner sobre los roles L1 y L2, las métricas de SOC y las capacidades que necesitarán los futuros ingenieros de SOC.

Patrocinado y redactado por Prophet Security.