El threat operator del SOC: cómo la IA redefine la defensa y las carreras en ciberseguridad

Durante años, el día a día de un analista consistió en investigar alertas, reunir evidencias y cruzar lo que dicen unas herramientas con lo que dicen otras. The Hacker News propone ahora el rol de threat operator en el SOC precisamente porque esas tareas empiezan a quedar en manos de sistemas de IA que las hacen por su cuenta [1].

Esa paradoja obliga a cambiar de pregunta: lo útil ya no es saber si la IA sustituye al analista, sino qué queda por decidir y quién responde por ello. El valor del profesional se desplaza hacia dirigir la defensa y supervisar a los agentes, y ese desplazamiento no ocurre solo: hay que diseñarlo.

La IA asume el trabajo operativo que definía al analista de SOC

Según The Hacker News, la investigación de alertas, la recogida de evidencias, la correlación de actividad entre herramientas y la ejecución de acciones de respuesta se están convirtiendo en tareas que la IA puede realizar sin intervención directa [1]. El medio anticipa que, a medida que estas capacidades maduren, los centros de operaciones de seguridad (SOC) cambiarán la forma de organizar el trabajo, de tomar decisiones y lo que se espera de su personal.

El argumento se apoya en una descripción del SOC tradicional que cualquiera que haya trabajado en uno reconocerá. Inteligencia de amenazas estudia a los adversarios, ingeniería de detección escribe reglas, los equipos de threat hunting buscan lo que los controles no han visto, los analistas investigan alertas y respuesta a incidentes contiene las amenazas confirmadas. Son funciones muy relacionadas, pero el trabajo suele saltar de un equipo a otro mediante sistemas separados, tickets y traspasos manuales [1].

Lo que The Hacker News describe es que los agentes de IA empiezan a coser esas piezas: una información sobre una amenaza nueva puede dar pie a una hipótesis de búsqueda, que revela un hueco de detección, que produce una regla nueva, que a su vez detecta actividad sospechosa que hay que investigar y contener; y el agente arrastra el contexto de una fase a la siguiente [1].

Conviene leerlo como lo que es: una propuesta sobre la evolución del SOC publicada en The Hacker News como colaboración de uno de sus socios, no como una descripción de todos los SOC actuales. El propio texto admite que el cambio llegará a ritmos distintos según la organización [1].

El threat operator dirige la defensa en lugar de perseguir alertas

Si la IA absorbe la carga operativa, The Hacker News plantea que el analista puede dejar de trabajar alerta por alerta y pasar a dirigir la defensa a lo largo de todo el ciclo de seguridad. A ese perfil lo llama threat operator: un profesional nativo en IA que convierte el riesgo de negocio en prioridades defensivas, dirige las operaciones que ejecutan los sistemas de IA y ejerce su criterio sobre lo que esos sistemas deciden y hacen [1].

En la práctica, según el medio, esa persona decide qué riesgos merecen atención, qué debe conseguir la defensa, cuánta autonomía se concede a la IA y en qué momento una decisión necesita intervención humana. También le corresponde juzgar si la operación mejora de verdad la seguridad [1].

The Hacker News ilustra la idea con un escenario hipotético: una entidad financiera ante una amenaza nueva dirigida a su infraestructura de identidad. Los agentes evaluarían la exposición, buscarían actividad relacionada, localizarían huecos de detección y recomendarían acciones; el threat operator aportaría el contexto que la máquina no tiene, como qué sistemas sostienen procesos críticos, qué nivel de riesgo es inaceptable y qué acciones requieren autorización [1].

El medio resume el cambio como un paso gradual de tener a la persona dentro del bucle a tenerla supervisándolo desde fuera. El grado de autonomía dependería de la madurez de la tecnología, de las consecuencias de cada acción y de la tolerancia al riesgo de la organización, pero siempre con una persona que rinde cuentas [1]. Para ese papel, el texto combina conocimiento del riesgo de negocio, comprensión de las amenazas y los adversarios, dominio de las operaciones defensivas y capacidad para orquestar la IA y evaluar sus conclusiones.

Dirigir la defensa implica responder del criterio sobre las decisiones de la IA

Aquí la propuesta deja de ser solo una cuestión de organigrama. The Hacker News pone un ejemplo revelador: un sistema de IA que investiga un servidor comprometido recomienda aislarlo de inmediato, algo técnicamente razonable, pero ese servidor puede sostener un proceso de negocio crítico cuya interrupción tendría consecuencias serias [1]. Quien dirige la defensa tiene que conocer esas dependencias y decidir cómo seguir, equilibrando contención y riesgo operativo.

El mismo artículo vincula esta necesidad de supervisión y rendición de cuentas definidas con el AI Risk Management Framework del NIST [1]. Según el propio NIST, se trata de un marco de uso voluntario para gestionar mejor los riesgos de la IA para las personas, las organizaciones y la sociedad, publicado el 26 de enero de 2023 [2]. El organismo indica además que el 7 de abril de 2026 publicó una nota conceptual para un perfil sobre IA fiable en infraestructuras críticas, y que la versión AI RMF 1.0 se está revisando dentro del Plan de Acción de IA de la Casa Blanca [2].

El NIST lo presenta como un marco voluntario para gestionar los riesgos de la IA. Su utilidad es servir de referencia para plantear qué se automatiza, con qué límites y cómo se evalúa. Si tu organización empieza a trazar esas fronteras, la gobernanza de la seguridad con IA es el terreno donde se concretan.

Los datos disponibles hablan de puestos que se transforman, no de un reemplazo masivo

Antes de seguir conviene contrastar la propuesta con los datos de empleo, porque el titular de la sustitución suele ir más rápido que las cifras. TechTarget recoge que, según la consultora Challenger, Gray and Christmas, la IA se ha citado solo en el 3 % de los planes de despidos anunciados desde 2023, cuando la firma empezó a registrar ese motivo [3]. El mismo medio documenta que varias empresas han recortado plantilla mientras aceleraban su apuesta por la IA, lo que muestra que ambas cosas conviven sin que una pruebe por sí sola la otra [3].

BCG apunta en la misma dirección desde otro ángulo: su análisis sostiene que en EE. UU. la IA reconfigurará más empleos de los que sustituya, de modo que muchas personas conservarán un rol igual o parecido, pero con expectativas radicalmente nuevas sobre cómo trabajan y qué producen [4]. La fuente alojada en mtu.edu lo formula para las carreras en computación: no desaparecen, evolucionan, y la supervisión humana sigue siendo crítica incluso donde la IA automatiza tareas [5]. Entre los perfiles que considera difíciles de reemplazar menciona a los especialistas en ciberseguridad que entienden cómo evolucionan las amenazas humanas [5].

BCG sitúa expresamente su estimación de transformación de empleos en EE. UU.; no debe trasladarse sin más a un SOC español. El artículo de The Hacker News ofrece un análisis cualitativo de cómo podrían cambiar los roles del SOC, no una estimación cuantitativa de empleo de analistas de seguridad.

Lo que sí permiten es descartar la lectura simplista. El patrón que describen es el de un puesto que se transforma, que es justo lo que propone el threat operator.

El perfil junior pierde el peldaño de la cola de alertas y necesita otra ruta de aprendizaje

El punto más delicado no afecta a los analistas veteranos, sino a quienes empiezan. The Hacker News recuerda que el SOC ha sido durante décadas la puerta de entrada a la ciberseguridad: triaje de alertas, recogida de evidencias, investigaciones, documentación y escalado. Era trabajo repetitivo, pero funcionaba como aprendizaje, porque con el tiempo enseñaba cómo se comportan los sistemas, cómo actúan los atacantes y cómo distinguir una amenaza real de actividad benigna [1].

Si la IA absorbe justo esas tareas, el medio advierte de que, sin un enfoque deliberado de formación, los equipos pueden tener dificultades para desarrollar a los profesionales experimentados que necesitarán después [1]. Lo que sigue debe leerse como una inferencia sobre formación, no como una estimación de empleo: si la máquina hace el triaje, hay que diseñar otra vía para que alguien aprenda a juzgar.

La alternativa que propone The Hacker News es una exposición supervisada a un abanico más amplio de actividades: revisar las evidencias que hay detrás de los hallazgos de la IA, cuestionar sus supuestos, detectar el contexto que falta y aprender de las decisiones de colegas con más experiencia [1]. El propio texto pone una condición: solo funciona si se invierte en fundamentos técnicos (redes, sistemas operativos, técnicas de ataque) y en mentoría estructurada.

Las otras fuentes refuerzan la idea desde fuera del SOC. BCG pide a las empresas un enfoque estratégico y a escala de formación y recualificación, junto con una reestructuración de las escalas profesionales [4]. La MTU insiste en aprender a usar la IA como herramienta mientras se refuerzan las capacidades humanas que la tecnología no sustituye, y señala que los puestos de entrada cambian en lugar de desaparecer [5].

La consecuencia es que la formación pasa a ser una pieza de la operación, no un complemento. Simulaciones, revisión sistemática de decisiones automatizadas y programas de formación y concienciación en ciberseguridad pueden plantearse como vías alternativas de aprendizaje si la IA absorbe las tareas tradicionales de entrada. The Hacker News dibuja también una progresión: quien empieza valida evidencias y revisa conclusiones; quien acumula experiencia define los límites de autonomía y responde por las acciones de mayor impacto [1].

Un SOC gestionado se evalúa por quién responde de lo que decide la IA

Todo lo anterior tiene una lectura directa para quien no tiene SOC propio y lo contrata. Si el proveedor incorpora agentes de IA, la conversación ya no puede limitarse al volumen de alertas procesadas. The Hacker News sugiere que medidas como la calidad de las decisiones defensivas, el cierre de huecos de detección y la mejora de la cobertura frente a amenazas ganarán peso junto a las métricas operativas tradicionales [1].

Preguntas que conviene plantear al proveedor

• Qué acciones de respuesta ejecuta la IA sin intervención humana y cuáles requieren aprobación expresa.
• Cómo queda registrado el razonamiento de cada decisión automatizada y si puedes auditarlo después.
• Quién escala, con qué criterio y con qué conocimiento de tus procesos críticos.
• Cómo se amplía la autonomía de los agentes y qué evidencia de fiabilidad se exige antes de hacerlo.
• Cómo se forman y se relevan los analistas que supervisan a la IA, y qué marco de gestión de riesgos aplican, por ejemplo el del NIST [2].

Ninguna de estas preguntas tiene una única respuesta correcta, pero un proveedor maduro debería poder contestarlas con claridad.

La automatización avanza, pero la responsabilidad sobre la defensa sigue siendo humana

La propuesta del threat operator tiene un mérito: cambia el foco de la conversación. En lugar de contar puestos que desaparecen, obliga a preguntarse qué decisiones siguen siendo humanas y cómo se prepara a las personas para tomarlas. Lo que se desprende de las fuentes es que el trabajo operativo se automatiza, pero la rendición de cuentas no.

Para quien construye una carrera en ciberseguridad e IA, eso significa cultivar criterio sobre decisiones automatizadas además de destreza con las herramientas. Para las organizaciones, significa que formar ese criterio ya es una tarea propia, con límites de autonomía claros y supervisión deliberada. Si estás valorando externalizar esa función, pregunta al proveedor cómo combina la monitorización continua con la revisión humana de las decisiones tecnológicas.