Equipo de analistas SOC en la India: funciones, niveles y clasificación de incidencias

¿Cómo es realmente un equipo de analistas de SOC en la India una vez que los agentes de IA se encargan de la primera revisión de sus alertas?

Esta guía está dirigida a los CISO, responsables de seguridad y responsables de SecOps de empresas de fintech, SaaS y del sector regulado de EE. UU. y el Reino Unido que buscan una estructura de funciones, y no solo un argumento de venta. La mayoría de los artículos se limitan a recomendar «contratar a un analista de SOC». Describimos los puestos de nivel 1 y nivel 2, qué casos clasifican los agentes, cuáles se quedan en manos de su personal y cómo dotar de personal al equipo cuando disminuye el volumen de alertas generadas por los agentes.

Cada semana contratamos y incorporamos a analistas de seguridad en la India, por lo que se trata de un modelo operativo, no de una teoría.

Estos son los temas que vamos a tratar: en qué consisten las funciones de los analistas de SOC, la diferencia entre el nivel 1 y el nivel 2, la distinción entre agentes y personal humano, la estructura de los equipos, las competencias, los salarios orientativos y el proceso de contratación. ¡Empecemos!

¿En qué consiste el trabajo de un equipo de analistas de SOC en la India?

Un equipo de analistas de SOC con sede en la India supervisa sus alertas de seguridad las 24 horas del día, valida lo que señalan los agentes de IA, investiga las amenazas reales y remite los incidentes a los responsables de la respuesta. Los analistas constituyen el nivel de juicio humano: son ellos quienes deciden qué es ruido, qué es real y qué requiere una intervención.

Piense en el equipo como la sala de máquinas de su centro de operaciones de seguridad. El trabajo se divide en unas cuantas tareas repetitivas:

• Validación de alertas: confirmar o descartar lo que detectan los agentes SIEM, XDR e IA.
• Investigación: Recopilar información contextual, revisar los registros y determinar si una alerta corresponde a un incidente real.
• Escalado: remitir los incidentes validados manualmente a un analista de nivel 2 o a un responsable de respuesta ante incidentes.
• Documentación: Anote lo ocurrido para que el siguiente turno y el auditor puedan seguir el hilo.

En un sistema asistido por agentes, el trabajo de gran volumen (las interminables alertas de escaso valor) recae en los agentes. Sus analistas de la India dedican su tiempo a las alertas que superan ese primer filtro, que es precisamente el objetivo de la modelo SOC offshore asistido por agentes.

Entonces, ¿quién se encarga de qué? La respuesta empieza por la división en niveles.

¿Cuál es la diferencia entre los analistas SOC de nivel 1 y los de nivel 2?

Un analista de SOC de nivel 1 se encarga de la clasificación inicial: supervisa la cola de alertas, las valida o las descarta, y remite a un nivel superior aquellas que sean reales. Un analista de nivel 2 realiza el trabajo más exhaustivo: determina el alcance de los incidentes, lleva a cabo análisis forenses, busca la causa raíz y se hace cargo de la respuesta hasta que el incidente quede controlado o se transfiera a un nivel superior.

A continuación se explica la división en términos sencillos.

Por encima del nivel 2 se encuentran sus responsables de la respuesta ante incidentes y su ingenieros de detección, cada uno de los cuales cuenta con su propio perfil de contratación. El equipo de analistas es el que les proporciona información clara y contrastada.

Esto plantea una pregunta obvia: si los agentes se encargan de la clasificación de urgencias, ¿qué les queda a los humanos?

¿Qué tareas automatizan los agentes de IA y cuáles siguen realizando los analistas del SOC?

Los agentes de IA automatizan la parte repetitiva y de gran volumen del proceso de clasificación: la recopilación de registros, la correlación de alertas y la eliminación inmediata de los falsos positivos evidentes. Los analistas del SOC conservan la capacidad de juicio, la investigación, la autoridad para responder y la responsabilidad. Los agentes agilizan el trabajo; no sustituyen a la persona que debe tomar las decisiones y dar el visto bueno.

¿Por qué es esto tan importante? Porque la cola de alertas ya estaba agotando a las personas antes de que llegaran los agentes.

Los equipos de los SOC reciben una media de 4.484 alertas al día, y el 67 % de ellas quedan sin atender debido a que los analistas carecen de la capacidad necesaria para gestionarlas. Fuente: Vectra AI, Informe sobre el estado de la detección de amenazas de 2023 (encuesta realizada a 2.000 analistas de SOC).

Son los agentes quienes, en última instancia, se encargan de resolver ese atraso. A continuación se presenta una clara división del trabajo:

• Los agentes recopilan y correlacionan: Analizan los registros de su SIEM y XDR y relacionan las señales pertinentes.
• Los agentes filtran el ruido: Descartan los falsos positivos evidentes y enriquecen el resto, de modo que el analista parte de una base sólida.
• Los seres humanos son quienes emiten el veredicto: Un analista se encarga de resolver las alertas ambiguas que un agente ha clasificado erróneamente.
• Los seres humanos conservan la autoridad: La investigación, la evaluación del alcance de los incidentes y la aprobación de cualquier medida que modifique su entorno deben recaer en las personas.

El patrón es el mismo que se aplica a todas las funciones en las que interviene un agente: delegar el volumen de trabajo, revisar el resultado y asumir la responsabilidad de la decisión. Analizamos ese límite en nuestra guía sobre ¿Qué es lo que mantiene la humanidad en el trabajo en alta mar?.

Si los agentes asumen ese volumen de trabajo, la estructura de su equipo deberá modificarse. A continuación le explicamos cómo.

¿Cómo debería estructurarse un equipo de analistas de SOC con el apoyo de agentes?

Organice el equipo en función de la cobertura y la escalación, y no del número de efectivos. En un SOC asistido por agentes, se contrata a un número menor de analistas de nivel 1, ya que los agentes gestionan la mayor parte del volumen, y se da mayor peso en el equipo a los analistas de nivel 2, que validan las decisiones de los agentes y se encargan de la respuesta. Un jefe de turno coordina todas las ventanas.

Antes de la llegada de los agentes, un centro de operaciones de seguridad (SOC) que funcionaba las 24 horas del día, los 7 días de la semana, dependía de una amplia plantilla de analistas de primer nivel solo para poder hacer frente al volumen de trabajo. Los agentes dan un giro a esa ecuación.

Cuando los agentes reducen el volumen de alertas, su personal de primer nivel se centra en las excepciones, no en el volumen: suficientes analistas para cubrir cada turno y detectar lo que el agente remite a un humano, pero sin recurrir al antiguo «muro» de personas dedicadas exclusivamente a vigilar las pantallas. Una estructura viable:

• Analistas de primer nivel: una cobertura reducida por turno, centrada en la validación de las escalaciones de los agentes.
• Analistas de nivel 2: el centro de gravedad, analizando y gestionando los casos que se derivan del nivel 1.
• Jefe de turno: se encarga de los traspasos, la calidad y la escalación al responsable de respuesta a incidentes.

Para poder trabajar las 24 horas del día, los 7 días de la semana, sin turnos de noche en su país de origen, la zona horaria de la India se encarga de lo más complicado; nuestra guía sobre Cobertura del centro de operaciones de seguridad (SOC) con horario continuo en la India aborda el tema de la planificación de turnos. Para saber cuántas personas y qué nivel de antigüedad necesita un equipo asistido por agentes, consulte tamaño del equipo de Agentic, antigüedad y combinación de competencias.

El equipo de analistas del SOC forma parte de un equipo de seguridad más amplio. Cada una de las funciones especializadas relacionadas cuenta con su propio manual de procedimientos:

• Analistas de inteligencia sobre amenazas: convierta las señales externas en alertas sobre las que sus analistas puedan actuar.
• Responsables de GRC y de la gestión de identidades y accesos: mantenga en orden los derechos de acceso y las pruebas de auditoría.
• Analistas de gestión de vulnerabilidades: detectar y priorizar los puntos débiles antes de que lo haga un atacante.

Si va a poner en marcha toda la función desde cero, nuestra guía sobre cómo crear un equipo en la India explica paso a paso el proceso de secuenciación.

La estructura solo funciona si contrata a las personas adecuadas. Entonces, ¿qué aspectos debe tener en cuenta a la hora de seleccionar al personal?

¿Qué competencias deben tener los analistas de SOC en la India?

Priorice el criterio por encima del volumen de incidencias. La competencia más escasa en 2026 será la de un analista capaz de examinar el razonamiento de un agente de IA y detectar los errores de clasificación que cometa. Además, busque candidatos con dominio de SIEM y XDR, conocimientos básicos de ingeniería de detección y certificaciones que se ajusten a su entorno tecnológico.

Una lista práctica de selección:

• Investigación principal: Análisis de SIEM y XDR, lectura de registros y clasificación de incidentes.
• Supervisión de la IA agentiva: validar el razonamiento de un agente y detectar alucinaciones, una competencia que apareció en las descripciones de los puestos de trabajo a finales de 2025.
• Conceptos básicos sobre la detección: la lectura y el ajuste de las reglas Sigma, SPL o KQL.
• Certificaciones: Las especialidades SC-200, GCDA y de seguridad en la nube tienen más peso que la certificación Security+ de nivel básico por sí sola.

La India cuenta con los recursos necesarios para cubrir este puesto. Según nuestro Informe sobre los servicios de tecnologías de la información en la India, la plantilla del sector tecnológico y de servicios del país ronda los 5,95 millones de personas, y cada año se incorporan a ella más de 2,5 millones de titulados en disciplinas STEM.

Ese mercado también está preparado para los agentes: el 74 % de los nuevos contratos de TI del ejercicio fiscal 26 incluyen un componente de inteligencia artificial o automatización, lo que supone un aumento con respecto al 31 % del ejercicio fiscal 24, lo cual es exactamente el cambio hacia la deslocalización de servicios de agencia que se desarrolla en el terreno de juego.

Una vez definidas las competencias, la siguiente pregunta que se plantea cualquier equipo financiero es cuánto cuesta todo esto.

¿Cuánto cobran los analistas de SOC en la India?

El salario base de los analistas de SOC en la India se sitúa muy por debajo de los niveles de EE. UU., situándose el nivel 1 en la parte inferior del rango y los jefes de turno en la parte superior. Las cifras que figuran a continuación son salarios base orientativos a fecha de julio de 2026; el coste total incluye las cotizaciones obligatorias y la comisión del EOR. Para el cálculo completo del equipo, disponemos de un desglose específico.

Salario base orientativo procedente de agregadores públicos (Glassdoor, AmbitionBox, PayScale, 6figr), contrastado con varias fuentes; los rangos varían según la ciudad, el stack y la habilitación de seguridad. Se trata de salarios base, no del coste total, al que hay que añadir el EPF al 12 %, la gratificación de aproximadamente el 4,81 % y la comisión del EOR. Para conocer la cifra total, utilice nuestra calculadora de costes de personal o lea el artículo completo coste de un equipo de operaciones de seguridad con asistencia de agentes en la India.

Una advertencia: el ahorro que se destaca en el titular es real, pero hay que tener en cuenta de forma honesta los costes de las licencias de los agentes y la gestión, tal y como hacemos en nuestro desglose de los El coste real de un equipo en el extranjero potenciado por la inteligencia artificial.

El coste solo representa la mitad de la decisión. La otra mitad consiste en encontrar a las personas adecuadas, y ahí es donde el mercado se vuelve más competitivo.

¿Cómo se contrata a un equipo de analistas de SOC en la India?

Para contratar a un equipo de analistas de SOC en la India, debe definir primero la estructura por niveles y, a continuación, realizar la selección de personal en función de dicha estructura: evalúe las habilidades de supervisión proactiva y de SIEM, realice comprobaciones de antecedentes y contrate a los analistas de conformidad con la normativa a través de un proveedor de servicios de empleo (EOR), de modo que se evite la necesidad de constituir una entidad. Esta es información de carácter general y no constituye asesoramiento jurídico ni en materia de seguridad.

¿Por qué externalizar, en primer lugar? Porque el talento, sencillamente, no se queda de brazos cruzados en casa.

El déficit mundial de personal especializado en ciberseguridad alcanzó la cifra récord de 4,8 millones de puestos sin cubrir, lo que supone un aumento del 19 % en un solo año, y el presupuesto ha superado a la falta de talento como principal obstáculo para formar un equipo. Fuente: ISC2, Estudio sobre la mano de obra en ciberseguridad de 2024 (su estudio de seguimiento de 2025 centró su atención en la escasez de competencias).

Esa brecha es el argumento a favor de desarrollar el equipo allí donde existe una gran oferta de talento. Un proceso de contratación que funciona:

• En primer lugar, defina los niveles y la cobertura: Decida la distribución entre los niveles 1 y 2, así como el modelo de turnos, antes de publicar una oferta de empleo.
• Contrate personal con un perfil poco común: Supervisión basada en agentes, además de investigación mediante SIEM y XDR. A responsable de selección de personal especializado Quien conozca el mercado de valores acortará la búsqueda.
• Realice una selección minuciosa: Los asientos de seguridad requieren una rigurosa verificación de antecedentes, y nuestra nota sobre selección de personal en la India explica qué hay que comprobar.
• Contrate respetando la normativa: un Employer of Record contrata a los analistas a través de su filial en la India, por lo que podrá contar con el equipo sin exponerse a los riesgos derivados de una entidad local o de un Establecimiento permanente.

Si se está planteando la cuestión de la confianza, la abordamos de forma directa en ¿Es seguro externalizar trabajos confidenciales a la India? y en cómo La seguridad de los datos se gestiona en el marco de un contrato EOR.

Para ver un ejemplo práctico, consulte cómo Las empresas emergentes crean equipos de ciberseguridad en la India, y si tiene previsto ampliar su negocio hasta crear una aseguradora cautiva, nuestra descripción general de centros de competencia globales asigna esa ruta.

Para obtener una visión más amplia del funcionamiento, consulte nuestras guías sobre Externalización en la India y deslocalización a la India Pongamos en contexto la situación. A continuación le explicamos cómo le ayudamos a formar el equipo.

¿Cómo le ayuda Wisemonk a crear un equipo de analistas del SOC en la India?

Wisemonk es originario de la India Employer of Record (EOR) que ayuda a las empresas internacionales a contratar, remunerar y gestionar el talento en la India sin necesidad de constituir una entidad local.

Para un equipo de analistas de SOC, esto significa que nos encargamos de seleccionar y contratar a los analistas de nivel 1 y nivel 2, así como a los jefes de turno que usted elija; gestionamos sus nóminas y prestaciones legales, y nos ocupamos de las comprobaciones de antecedentes, mientras que usted mantiene el control operativo y la autoridad para dar el visto bueno. Cuando la opción de EOR ya no se adapte a sus necesidades, le ayudamos a poner en marcha un centro propio.

Así es como le ayudamos:

• Employer of Record: contratamos a sus analistas de la India mediante contratos que cumplen con la normativa y que incluyen el fondo de previsión (PF), el seguro social (ESI), la retención en origen (TDS), la indemnización por fin de contrato y la cesión de la propiedad intelectual.
• Selección y contratación: seleccionamos profesionales del ámbito de la seguridad previamente evaluados, que se ajustan exactamente al nivel y al perfil de competencias que usted establezca.
• Responsable de selección de personal: un especialista que conoce a la perfección el mercado de la seguridad en la India se encarga de gestionar su búsqueda de principio a fin.
• Configuración de GCC: le ayudamos a desarrollar su centro de seguridad propio cuando supere la fase de EOR.
• Gestión de nóminas: gestión precisa de las nóminas mensuales, presentación de los documentos reglamentarios y el formulario 16 para los equipos que ya cuentan con una entidad en la India.
• Verificación de antecedentes: verificación exhaustiva previa a la contratación para cada puesto de seguridad.
• Configuración de la entidad: nos encargamos de registrar su sociedad en la India cuando esté listo para gestionar la empresa de forma directa.

Cuenta con la confianza de más de 300 clientes de todo el mundo, gestiona a más de 2.000 empleados y procesa una nómina de más de 20 millones de dólares, con una valoración de 4,8/5 en G2. Wisemonk EOR cuenta con las certificaciones SOC 2 Tipo II e ISO 27001, da cobertura a los 28 estados y los 8 territorios de la Unión, y ofrece tarifas a partir de 99 dólares al mes por empleado.