¿Qué es un analista de SOC? Funciones, habilidades y trayectoria profesional

El centro de operaciones de seguridad es el lugar donde se detectan los ciberataques —o donde no se detectan—. En su interior, los analistas del SOC constituyen la primera línea de defensa: supervisan las redes, investigan las alertas y responden a las amenazas antes de que se conviertan en brechas de seguridad. Dado que la Oficina de Estadísticas Laborales de EE. UU. prevé un crecimiento del empleo del 29 % para los analistas de seguridad de la información hasta 2034 y que el Estudio sobre la mano de obra en ciberseguridad de ISC2 para 2025 señala un déficit global de 4,8 millones de trabajadores, el puesto de analista de SOC representa una de las vías de acceso más accesibles y demandadas al sector de la ciberseguridad. Esta guía abarca las funciones de los analistas de SOC en los tres niveles, las habilidades y certificaciones necesarias, las expectativas salariales realistas y cómo la IA está transformando —no sustituyendo— el puesto en 2026.

¿Qué es un analista SOC?

Un analista de SOC es un profesional de la ciberseguridad que supervisa las redes, los sistemas y los datos de una organización en busca de indicios de ciberataques, investiga las alertas de seguridad y coordina la respuesta ante incidentes para proteger los activos digitales. Al trabajar en un centro de operaciones de seguridad —el núcleo de la ciberdefensa de una organización—, los analistas de SOC distinguen las amenazas reales del ruido en los terminales, cloud y los sistemas de identidad.

Este puesto existe porque el volumen de amenazas ha superado la capacidad de gestión de cualquier herramienta por sí sola. Un centro de operaciones de seguridad (SOC) recibe de media más de 4.400 alertas al día, y alguien debe determinar cuáles de ellas representan ataques reales. Según Palo Alto Unit 42, entre mayo de 2024 y mayo de 2025, el 36 % de todos los incidentes se iniciaron con una táctica de ingeniería social, lo que pone de relieve lo diversas y persistentes que se han vuelto estas amenazas.

Los analistas de SOC trabajan en equipos de operaciones de SOC de empresas, proveedores de servicios de seguridad gestionados (MSSP) y organismos gubernamentales. Independientemente del entorno, la misión principal sigue siendo la misma: detectar las amenazas de forma temprana, investigarlas con rapidez y contener los daños antes de que se propaguen.

Por qué los analistas de SOC serán fundamentales en 2026

La demanda de analistas de SOC nunca ha sido tan alta. La Oficina de Estadísticas Laborales (BLS) prevé aproximadamente 16 000 vacantes anuales para analistas de seguridad de la información, y los puestos de analista de SOC han aumentado un 31 % interanual según el análisis de StationX, lo que los convierte en los puestos de ciberseguridad más demandados. Por su parte, el estudio ISC2 2025 reveló que el 59 % de las organizaciones señalan carencias críticas de competencias en sus equipos de seguridad, una cifra que se disparó desde el 44 % del año anterior.

Para cualquiera que esté pensando en dedicarse profesionalmente a la ciberseguridad, el puesto de analista de SOC es el principal punto de partida. Permite adquirir habilidades básicas en materia de detección de amenazas, análisis de registros y respuesta a incidentes, que resultan útiles en todas las especialidades de seguridad.

Funciones y responsabilidades de los analistas de SOC

Los analistas del SOC operan en tres niveles de responsabilidad creciente, desde la clasificación de alertas (Nivel 1) hasta la investigación en profundidad (Nivel 2) y la búsqueda proactiva de amenazas y la ingeniería de detección (Nivel 3).

Los analistas de nivel 1 constituyen la primera línea de defensa. Supervisan los paneles de control, revisan las alertas recibidas y determinan en un primer momento si una alerta es un «verdadero positivo» o un «falso positivo». En este nivel, el trabajo se centra en indicadores conocidos: direcciones IP maliciosas, phishing y patrones de bloqueo de cuentas.

Los analistas de nivel 2 se hacen cargo cuando una alerta requiere una investigación más exhaustiva. Establecen correlaciones entre eventos procedentes de múltiples fuentes de datos, realizan análisis de las causas fundamentales y llevan a cabo medidas de contención, como aislar los terminales afectados o desactivar las cuentas comprometidas.

Los analistas de nivel 3 trabajan de forma proactiva. En lugar de esperar a que se activen las alertas, buscan amenazas que eluden los sistemas de detección existentes, crean nuevas reglas de detección y realizan ingeniería inversa malware para comprender el comportamiento de los atacantes.

Un día en la vida de un analista del SOC

Un turno típico comienza con la revisión de las alertas recibidas durante la noche y la comprobación de las fuentes de inteligencia sobre amenazas en busca de nuevos indicadores de compromiso. Tras una sesión informativa de traspaso de turno sobre las investigaciones en curso, comienza el trabajo principal, y las recientes violaciones de seguridad ilustran a la perfección en qué consiste ese trabajo.

Pensemos en la filtración de datos de Snowflake de 2024. El actor malicioso UNC5537 utilizó credenciales robadas mediante malware de robo de información malware acceder a cuentas de clientes que carecían de autenticación multifactorial (MFA). La investigación de un analista del centro de operaciones de seguridad (SOC) comenzaría en el Nivel 1 con una alerta sobre un comportamiento de inicio de sesión anómalo, pasaría al Nivel 2 para verificar si las credenciales se habían visto comprometidas en las plataformas SaaS, y se involucraría al Nivel 3 para localizar cuentas comprometidas adicionales.

La filtración de datos de M&S de 2025 siguió un patrón diferente. El Scattered Spider consiguió el acceso inicial mediante ingeniería social dirigida a contratistas externos y el robo de credenciales de Active Directory. Para un analista del SOC, esta investigación gira en torno a la detección de comportamientos anómalos en Active Directory por parte de las cuentas de los proveedores de servicios —exactamente el tipo de patrón de movimiento lateral que requiere una correlación entre la telemetría de identidades y la de red—.

Estos casos ponen de manifiesto una realidad preocupante: cada día se reciben más de 4.400 alertas, y hasta un 67 % de ellas no se investigan. La labor del analista del SOC consiste en garantizar que se preste atención a las alertas pertinentes.

MITRE ATT&CK por niveles

La correspondencia entre las responsabilidades de los analistas de SOC y el MITRE ATT&CK permite aclarar qué tácticas y técnicas se abordan en cada nivel.

Este esquema ayuda a los futuros analistas a comprender la progresión: el Nivel 1 se centra en detectar los intentos iniciales de intrusión, el Nivel 2 investiga cómo se mueven los atacantes por los entornos, y el Nivel 3 se dedica a detectar las técnicas sofisticadas diseñadas para eludir por completo la detección.

Cómo convertirse en analista de SOC

Puedes convertirte en analista SOC mediante certificaciones y experiencia práctica, incluso sin tener un título universitario, empezando por CompTIA Security+ y avanzando hacia certificaciones específicas para SOC a medida que vas adquiriendo experiencia. El sector está evolucionando hacia una contratación basada en las competencias, y el estudio de ISC² para 2025 hace hincapié en «las competencias por encima del número de empleados».

Itinerario para principiantes sin experiencia:

1. Aprende los fundamentos de las redes (CompTIA Network+)
2. Obtén la certificación CompTIA Security+
3. Crea un laboratorio doméstico con Security Onion, Wazuh o Splunk Free
4. Realiza cursos prácticos completos en LetsDefend, TryHackMe o CyberDefenders
5. Solicita puestos de analista SOC de nivel 1 o junior
6. Avanza por los niveles 2 y 3 a medida que adquieres experiencia y te especializas

Ambas vías son válidas. Algunos empleadores —especialmente el sector público y los contratistas de defensa— siguen prefiriendo un título en Informática o en Tecnologías de la Información, pero las certificaciones, combinadas con habilidades demostrables, gozan de una aceptación cada vez mayor en todo el sector.

¿Es necesario que los analistas de SOC sepan programar? Cada vez es más habitual que se exija el dominio de Python, aunque no siempre es un requisito imprescindible en el nivel 1. En los niveles 2 y 3, el dominio de Python, PowerShell y Bash se vuelve esencial para la automatización, la ingeniería de detección y el desarrollo de herramientas personalizadas. El 64 % de las ofertas de empleo en ciberseguridad para 2026 ya exigen conocimientos de IA, aprendizaje automático o automatización, lo que hace que el dominio técnico sea más importante que nunca.

Certificaciones de analista de SOC y retorno de la inversión

Comparación de certificaciones de analista SOC y análisis del retorno de la inversión

Para la mayoría de los aspirantes a analistas, la certificación CompTIA Security+ ofrece el mejor retorno de la inversión. Goza de un amplio reconocimiento, cumple los requisitos de la norma DoD 8570 y cuesta menos de 400 dólares. La certificación ISACA CCOA, lanzada en 2025, cubre el vacío existente entre Security+ y las certificaciones avanzadas, con un enfoque específico en los SOC. La certificación SANS GSOC es excelente, pero tiene un coste considerable, por lo que es recomendable obtenerla una vez que la empresa esté dispuesta a financiar la formación.

Habilidades y herramientas esenciales para los analistas de SOC

Los analistas de SOC deben contar con una combinación de conocimientos en análisis de redes, operaciones SIEM, programación de scripts y cloud , con el apoyo de herramientas que abarquen plataformas SIEM, EDR, SOAR, NDR y de inteligencia sobre amenazas.

Competencias técnicas:

• Fundamentos de redes: TCP/IP, DNS, HTTP/S, análisis de paquetes
• Análisis de registros y operaciones SIEM: redacción de consultas, creación de paneles de control y ajuste de alertas
• Investigación de endpoints: registros de eventos de Windows, syslog de Linux, telemetría de EDR
• Programación de scripts: Python, PowerShell y Bash para la automatización y el análisis
• Conceptos básicosCloud : AWS CloudTrail, registros de actividad de Azure y registros de auditoría de GCP
• Inteligencia sobre amenazas: análisis de indicadores de compromiso (IOC), correlación de fuentes de amenazas, OSINT

Habilidades interpersonales: pensamiento analítico, comunicación escrita clara (los informes de incidentes son fundamentales), capacidad para trabajar en equipo entre turnos, gestión del estrés y atención al detalle.

Categorías principales de herramientas:

La clave está en comprender cómo interactúan estas herramientas. Un SIEM recopila registros y genera alertas. Un EDR proporciona visibilidad de los terminales. Un NDR supervisa el tráfico de red en busca de anomalías de comportamiento. Y un SOAR los integra mediante guiones automatizados que reducen el trabajo manual, un factor fundamental para gestionar la fatiga por alertas.

Salario y perspectivas profesionales de los analistas de sistemas de control de seguridad (SOC)

Los analistas de seguridad de sistemas (SOC) ganan entre 75 000 y 137 000 dólares, dependiendo de su experiencia y ubicación, con una previsión de crecimiento del empleo del 29 % hasta 2034 y un aumento de las oportunidades de teletrabajo.

Rangos salariales de los analistas de SOC según el nivel de experiencia. Rango P25-P75: 75 220-136 997 dólares para todos los niveles de experiencia. Fuentes: Glassdoor, Salary.com, febrero de 2026.

Las cifras salariales varían según la metodología utilizada: Glassdoor indica una media de aproximadamente 100 000 dólares, mientras que Salary.com la sitúa más cerca de los 102 000 dólares. El rango P25-P75 ofrece el punto de referencia más útil para la planificación profesional. Los salarios en el sector de la ciberseguridad han registrado un crecimiento interanual de entre el 8 % y el 15 %.

¿Es la profesión de analista de SOC una buena opción profesional? Sin duda alguna. Combina una remuneración atractiva, una seguridad laboral excepcional (un crecimiento del 29 % frente al 4 % de media en el conjunto de las profesiones) y unas perspectivas de promoción claras. Más allá del nivel 3, los analistas de SOC suelen ascender a puestos como responsable de SOC, jefe de ingeniería de detección, responsable de inteligencia sobre amenazas o director de seguridad de la información (CISO).

El teletrabajo es cada vez más habitual entre los analistas de SOC, aunque depende del sector y de los requisitos de habilitación de seguridad. Los puestos en el ámbito gubernamental y de defensa suelen exigir la presencia física en las instalaciones, mientras que los puestos en empresas y proveedores de servicios de seguridad gestionados (MSSP) ofrecen mayor flexibilidad.

El agotamiento de los analistas de SOC y la fatiga por alertas

El agotamiento de los analistas de SOC afecta al 71 % de los profesionales, debido a la sobrecarga de alertas y a la proliferación de herramientas; sin embargo, las organizaciones pueden mitigarlo mediante la clasificación asistida por IA, la consolidación de herramientas y prácticas operativas sostenibles.

¿Es estresante el trabajo de analista de SOC? Los datos indican que sí. Según el informe «Voice of the SOC Analyst» de Tines 2025, el 71 % de los analistas de SOC afirma sufrir agotamiento, y el 64 % está pensando en dejar el puesto en el plazo de un año. El estudio de ISC² de 2025 reveló que el 48 % se siente agotado al intentar mantenerse al día y el 47 % se siente abrumado por la carga de trabajo.

Estadísticas sobre el agotamiento de los analistas de SOC (2025-2026)

Las causas fundamentales van más allá del volumen de alertas. Una organización media utiliza 28 herramientas de seguridad diferentes, lo que genera un «efecto silla giratoria» en el que los analistas tienen que cambiar constantemente de consola. Si a esto le sumamos los turnos de trabajo las 24 horas del día, los 7 días de la semana, las tareas repetitivas de nivel 1 y la brecha cada vez mayor entre la complejidad de las amenazas entrantes y la formación de que disponen los analistas, el resultado es una crisis de retención del personal: algunos SOC informan de ciclos de rotación inferiores a 18 meses.

Estrategias de mitigación basadas en la evidencia:

• La clasificación asistida por IA reduce la carga de trabajo del nivel 1 en aproximadamente un 20 % y disminuye las escaladas innecesarias en un 30 %.
• La consolidación de herramientas mediante plataformas de automatización SOC elimina el problema de la «silla giratoria»
• Turnos estructurados con un tiempo de traspaso adecuado y ratios de alertas por analista razonables (entre cinco y treinta al día por analista de primer nivel)
• Rotación de funciones entre triaje, búsqueda y ingeniería para evitar la monotonía
• Guías de SOAR para automatizar flujos de trabajo repetitivos, como la clasificación phishing y el enriquecimiento de indicadores de compromiso (IOC)

Cómo la IA está transformando la función del analista del SOC

La IA complementa, en lugar de sustituir, a los analistas del SOC, automatizando las tareas rutinarias de clasificación para que los analistas puedan convertirse en cazadores de amenazas e ingenieros de detección que supervisan los flujos de trabajo impulsados por la IA.

¿Sustituirá la IA a los analistas de SOC? No, pero transformará su trabajo. El consenso en los estudios del sector es claro: la IA automatiza el 90 % o más de la clasificación rutinaria de alertas de nivel 1, encargándose del enriquecimiento, la categorización y la contención inicial a la velocidad de una máquina. Según The Hacker News, los motores de investigación basados en IA pueden ahora ejecutar 265 consultas en seis fuentes de datos en cuestión de minutos, un trabajo que antes requería analistas experimentados y horas de esfuerzo.

Sin embargo, el criterio humano sigue siendo esencial. Las nuevas amenazas, el contexto empresarial, la toma de decisiones estratégicas y la comunicación con las partes interesadas son ámbitos en los que la IA no puede sustituir a los analistas experimentados. La función de nivel 1 está pasando de ser un «procesador de alertas» a convertirse en un «supervisor de IA y cazador de amenazas».

El SOC basado en agentes en 2026. Todos los principales proveedores están lanzando al mercado agentes de IA para operaciones de seguridad: Cortex Agentix de Palo Alto, Cisco y Splunk, Google Cloud, Microsoft, CrowdStrike y Elastic están realizando importantes inversiones. Las implementaciones en producción muestran que las investigaciones se reducen de horas a minutos. Además, el 64 % de las ofertas de empleo de 2026 ya exigen conocimientos de IA, aprendizaje automático o automatización.

Estrategias de adaptación profesional:

• Aprende los fundamentos de la IA y el aprendizaje automático, incluida la ingeniería de prompts para herramientas de seguridad
• Desarrolla habilidades en ingeniería de detección: la redacción y el ajuste de reglas de detección son cada vez más valiosos
• Enfoque en la búsqueda de amenazas y la investigación basada en hipótesis
• Desarrolla habilidades que la IA no puede imitar: interpretación del contexto empresarial, comunicación con las partes interesadas y pensamiento estratégico
• Invierte en soluciones especializadas en la detección de amenazas que abarquen las superficies cloud de la red, las identidades y cloud

Cómo Vectra AI la capacitación de los analistas de SOC

Attack Signal Intelligence Vectra AI Attack Signal Intelligence en el problema fundamental que provoca el agotamiento de los analistas del SOC: demasiado ruido y muy poca información relevante. En lugar de limitarse a automatizar el procesamiento de alertas, Vectra AI el volumen de falsos positivos al detectar comportamientos reales de los atacantes en las superficies cloud de la red, las identidades y cloud . El resultado son menos alertas, pero de mayor fiabilidad, lo que permite a los analistas centrarse en las amenazas reales. Gracias a la clasificación basada en IA, la detección de comportamientos y las «búsquedas de 5 minutos», los analistas del SOC dedican menos tiempo a perseguir falsos positivos y más tiempo al trabajo que realmente importa.

Analista de SOC frente a otros puestos relacionados con la ciberseguridad

Los analistas de SOC se centran en la supervisión y la respuesta a amenazas en tiempo real, lo que los distingue de los analistas de seguridad (enfoque más amplio), los cazadores de amenazas (detección proactiva), los ingenieros de seguridad (infraestructura) y los responsables de la gestión de incidentes (recuperación tras una violación de seguridad).

Analista de SOC frente a otros puestos relacionados con la ciberseguridad

El puesto de analista de SOC es la vía de acceso más habitual al sector de la ciberseguridad. Muchos profesionales comienzan como analistas de nivel 1 y, tras dos o cinco años de experiencia, pasan a ocupar uno de los puestos especializados mencionados anteriormente. Las fronteras entre estos puestos se difuminan cada vez más a medida que la inteligencia artificial allana las estructuras jerárquicas tradicionales de los SOC, una tendencia que beneficia a los analistas que desarrollan un amplio abanico de competencias desde el principio.

Tendencias futuras y consideraciones emergentes

La función del analista de SOC está evolucionando más rápido que nunca. En los próximos 12 a 24 meses, varios avances clave transformarán lo que significa trabajar en un centro de operaciones de seguridad.

Los flujos de trabajo del SOC basados en IA se convertirán en la norma. El paso de operaciones asistidas por IA a operaciones basadas en IA significa que los analistas del SOC gestionarán cada vez más agentes de investigación autónomos, en lugar de procesar manualmente las alertas. A las organizaciones que no adopten estas capacidades les resultará más difícil retener el talento, ya que los analistas se inclinarán por entornos en los que puedan realizar un trabajo analítico significativo en lugar de tareas repetitivas de clasificación.

La brecha de competencias se ampliará antes de reducirse. Dado que el 59 % de las organizaciones ya señalan una escasez crítica de competencias y que hay 4,8 millones de puestos vacantes en ciberseguridad a nivel mundial, la demanda de analistas de SOC seguirá siendo elevada. Sin embargo, el perfil de analista más solicitado está cambiando. Las organizaciones darán prioridad a los candidatos con dominio de la inteligencia artificial, capacidades de ingeniería de detección y conocimientos multidisciplinares que abarquen la seguridad cloud, la seguridad de identidades y la seguridad de redes.

La presión normativa aumentará la responsabilidad de los SOC. La Directiva NIS2 de la UE y las normas de divulgación en materia de ciberseguridad de la SEC están ampliando el alcance de lo que los equipos de los SOC deben detectar, documentar y comunicar. Los analistas de los SOC —especialmente los de nivel 2 y superiores— deberán tener una mayor conciencia sobre el cumplimiento normativo y la capacidad de generar registros de pruebas listos para auditorías.

Recomendaciones para la preparación. Tanto los aspirantes a analistas de SOC como los que ya ejercen la profesión deberían invertir ahora mismo en adquirir competencias en inteligencia artificial y automatización. Deben familiarizarse con las herramientas de IA autónoma, profundizar en su conocimiento de las herramientas de seguridad cloud al menos una cloud y desarrollar las habilidades de comunicación necesarias para traducir los hallazgos técnicos a un lenguaje relevante para el negocio. Los analistas que triunfen en 2027 y en los años venideros serán aquellos que combinen una gran capacidad técnica con un pensamiento estratégico.

Conclusión

La figura del analista de SOC se sitúa en la encrucijada entre el mayor reto de la ciberseguridad —demasiadas amenazas y muy poco personal— y su mayor oportunidad. Con un crecimiento previsto del empleo del 29 %, salarios que alcanzan los 137 000 dólares en los puestos de mayor responsabilidad y una inteligencia artificial que está transformando esta función, pasando de una clasificación repetitiva a una búsqueda estratégica de amenazas, esta carrera profesional nunca ha sido tan atractiva.

Tanto si te estás iniciando en el mundo de la ciberseguridad como si estás evaluando el talento para tu centro de operaciones de seguridad (SOC), los aspectos fundamentales siguen siendo los mismos: unas sólidas habilidades analíticas, un dominio práctico de las herramientas y la capacidad de distinguir lo relevante de lo irrelevante son las cualidades que definen a un buen analista de SOC.

Los analistas que tendrán éxito serán aquellos que adopten la inteligencia artificial como un multiplicador de capacidades, inviertan en ingeniería de detección y en habilidades de búsqueda de amenazas, y se centren en el criterio humano que ningún algoritmo puede replicar. El SOC necesita más profesionales así, y el sector está dispuesto a invertir en quienes den un paso al frente.

Descubre cómo Vectra AI los analistas de los centros de operaciones de seguridad (SOC) con Attack Signal Intelligence

‍