- Solo el 51,6% de las organizaciones consultadas en este estudio cuenta con un plan de respuesta ante incidentes, y el 48,4% carece de un procedimiento formal para organizar la actuación cuando se detecta una amenaza.
España, 03 agosto de 2026 – En los últimos años, las empresas españolas han optado por reforzar sus herramientas de ciberseguridad, pero la capacidad para supervisarlas, interpretar sus alertas y responder ante posibles incidentes no avanza al mismo ritmo.
El 40,4% de las organizaciones consultadas en este informe no dispone de un Centro de Operaciones de Seguridad (SOC), según el estudio “Estado de la Ciberseguridad en España 2025”, elaborado por Secure&IT, compañía española especializada en seguridad de la información. El 17,4% de estas organizaciones asegura no contar con ningún SOC, y un 23% declara que todavía no dispone de este servicio, pero prevé implantarlo en los próximos meses.
Entre las organizaciones que sí cuentan con un Centro de Operaciones de Seguridad, el 21,4% opera con un SOC parcial, sin cobertura permanente o con una supervisión incompleta; el 15,2% cuenta con un centro propio; y solo el 23% dispone de un SOC 24×7 que cubre todas sus tecnologías de seguridad.
“Las empresas han avanzado en la implantación de tecnologías de protección, pero todavía existe una brecha importante entre disponer de herramientas y convertirlas en una capacidad real de detección y respuesta. Una alerta que no se analiza y contextualiza a tiempo, pierde gran parte de su valor”, explica Francisco Valencia, director general de Secure&IT.
Los resultados de este estudio ponen de manifiesto una brecha entre la inversión tecnológica y la capacidad operativa para gestionar la seguridad. El 89,2% de las organizaciones analizadas dispone de protección endpoint; el 77,2% utiliza autenticación robusta; un 74,6% ha implantado seguridad avanzada para el correo electrónico; y el 73,6% cuenta con medidas de segmentación o protección de red. Además, la utilización de soluciones EDR alcanza ya al 60,8% de las organizaciones.
El tiempo de detección determina el alcance del ataque
Un análisis temprano de un ciberataque puede permitir bloquear una cuenta comprometida, aislar un dispositivo, interrumpir una comunicación maliciosa o detener una transferencia de información antes de que el incidente alcance los sistemas.
Por el contrario, cuando las alertas se revisan de forma parcial o solo durante determinadas franjas horarias, aumenta el riesgo de que una actividad maliciosa permanezca activa durante más tiempo.
“La principal aportación de un SOC apoyado en un SIEM no evita que una organización reciba intentos de ataque, sino que reduce el periodo durante el cual una amenaza puede avanzar sin ser descubierta. En ciberseguridad, cada minuto cuenta. Cuanto antes se detecta una actividad anómala, mayores son las posibilidades de contenerla antes de que afecte a los datos del negocio”, asegura Francisco Valencia.
Casi la mitad de las organizaciones carece de un plan de respuesta
El estudio de Secure&IT revela que solo el 51,6% de las organizaciones consultadas cuenta con un plan de respuesta ante incidentes, por lo que el 48,4% restante carece de un procedimiento formal para organizar la actuación cuando se detecta una amenaza.
Asimismo, únicamente el 44,2% dispone de un comité de seguridad encargado de coordinar decisiones, asignar responsabilidades y priorizar las medidas que deben adoptarse durante un incidente.
Un SOC y un SIEM pueden advertir de un ataque cuando la organización ha definido cómo actuar: quién puede ordenar el aislamiento de un sistema, cuándo debe suspenderse un servicio, qué responsables deben ser informados y cómo se comunica el incidente a clientes, proveedores o autoridades.
“El reto para las empresas no consiste únicamente en incorporar más herramientas, sino en lograr que sus tecnologías trabajen de forma coordinada. La verdadera madurez no se mide por el número de soluciones instaladas, sino por la capacidad para convertir todos esos datos en detecciones útiles y actuar antes de que una alerta se convierta en una crisis” indica el director general de Secure&IT.
La IA amplía la capacidad de detección del SOC
Las herramientas de seguridad generan miles de alertas y registros. Estos ataques deben ser centralizados a través de una plataforma para que no queden dispersos. El SIEM se encarga de reunir esa información, relacionando eventos que podrían parecer irrelevantes por separado, pero juntos pueden significar un ataque.
Una de las claves es la incorporación de herramientas de inteligencia artificial, así lo explica Francisco Valencia: “La IA permite ir más allá de las reglas estáticas analizando grandes volúmenes de datos, identificando comportamientos anómalos, correlacionando señales de distintas fuentes y priorizando las alertas con mayor riesgo”.
Tecnologías como la IA pueden detectar accesos inusuales, descargas masivas, cambios de privilegios o patrones de actividad que no coinciden con el comportamiento habitual de usuarios y equipos. Estas herramientas también ayudan a reducir falsos positivos y facilitar que los analistas del SOC se concentren en los incidentes más relevantes.
“Definitivamente, la IA permite detectar relaciones y comportamientos que podrían pasar inadvertidos. Por ello, en Secure&IT hemos incorporado IA propia a BigSIEM, con el objetivo de ayudar a los analistas del SOC a correlacionar grandes volúmenes de información, contextualizar y priorizar alertas, y reducir el tiempo de investigación. Esta capacidad resulta especialmente útil ante ataques que emplean credenciales legítimas o herramientas habituales y que, por tanto, pasan inadvertidos para algunos sistemas”, concluye Valencia.