Madurez SOC en grupos económicos LATAM: vista consolidada

El hallazgo es consistente en los conglomerados que evaluamos: el problema no es la falta de capacidad técnica, es la falta de una vara de medir común. En Perú, Credicorp agrupa BCP, Pacífico Seguros y Prima AFP bajo supervisión de la SBS. Intercorp engloba banca, seguros, retail y educación. Breca y Grupo Romero combinan minería, industria y finanzas. En México, Banorte opera banca, seguros y afore bajo la mirada de la CNBV. Grupo Aval en Colombia reporta a la SFC con cuatro bancos y un fondo de pensiones. El consejo del holding hace una sola pregunta: qué tan maduro es el SOC del grupo. Y cada filial responde con un informe distinto, en un formato distinto, contra un marco distinto.

Esa fragmentación tiene tres causas estructurales. Primera, la regulación es heterogénea por país: la SBS en Perú, la CNBV en México, el BCRA en Argentina y la SFC en Colombia exigen gestión de riesgo de ciberseguridad con énfasis, plazos y formatos de reporte propios. Segunda, la operación está mezclada: algunas filiales consumen un SOC compartido del grupo, otras mantienen el suyo, otras lo subcontratan a un MSSP local. Tercera, la gobernanza corporativa exige una vista consolidada que ninguno de esos informes individuales puede producir por agregación simple.

Cada supervisor financiero de la región ha endurecido sus expectativas de ciberseguridad en los últimos años, pero ninguno coordina con los demás. La SBS peruana espera evidencia de gestión de riesgo operacional y ciberseguridad por entidad supervisada. La CNBV mexicana pone el foco en la resiliencia tecnológica de las instituciones de crédito. El BCRA argentino exige lineamientos de respuesta y reporte de incidentes a las entidades financieras. La SFC colombiana pide gestión del riesgo de ciberseguridad integrada en el sistema de administración de riesgo operativo. El detalle normativo cambia; la pregunta de fondo es la misma: demuestre que su capacidad de detección y respuesta está gobernada, medida y mejorando.

Para el CISO de grupo, esto crea un multiplicador de coste: la misma capacidad operativa debe traducirse a cuatro o cinco formatos de evidencia. La salida no es escribir cinco informes desde cero. Es medir una vez contra un modelo neutral al regulador, el SOC-CMM, y mapear el resultado al formato de cada supervisor. La evidencia subyacente (documentos, entrevistas, muestras de operación) se reutiliza; cambia solo la capa de mapeo regulatorio.

El modelo no cambia entre países. El SOC-CMM mide cinco dominios y 27 aspectos con una escala continua de 0 a 5, con independencia del supervisor. Una filial peruana y una colombiana evaluadas con la misma metodología producen puntuaciones directamente comparables. Esa comparabilidad es justo lo que ningún marco regulatorio local le da.

El SOC compartido como servicio de grupo es la norma en los conglomerados de la región, y es una decisión razonable: concentra talento escaso y amortiza tecnología cara. El error es evaluarlo como si fuera un solo SOC. La responsabilidad ante el regulador sigue siendo de cada entidad supervisada, y la madurez de la filial no es la madurez del centro de servicios.

La evaluación debe separar dos capas. La capa de servicio (dominios de Tecnología y Servicios del SOC-CMM) se evalúa una vez, en el SOC compartido: cobertura de monitorización, casos de uso, hunting, respuesta. La capa de gobernanza (Negocio, Personas y la parte de Proceso que es propia de cada entidad) se evalúa por filial: mandato, alineamiento con el riesgo del negocio, acuerdos de servicio con el SOC de grupo, integración con la gestión de crisis local. Una filial puede consumir un servicio excelente con una gobernanza débil, y esa brecha es invisible si se evalúa todo junto.

Un assessment independiente con SOC-CMM resuelve el problema central del grupo: la comparabilidad. Cada filial recibe una puntuación por dominio y por aspecto sobre la misma escala, validada por un assessor de tercera parte sin interés en el resultado. El consejo deja de comparar informes heterogéneos y pasa a leer una matriz: filiales en filas, dominios en columnas, brechas visibles de un vistazo. Las decisiones de inversión se ordenan por dato, no por la filial que mejor presenta.

Los promedios sectoriales de 2026 dan contexto a esa matriz: Negocio 2,5; Personas 2,3; Proceso 2,3; Tecnología 2,7; Servicios 2,2. El patrón se repite en los grupos de la región: la tecnología puntúa por encima de la gobernanza y de las personas. Trate esos promedios como referencia descriptiva, no como meta. Una filial bancaria con exposición sistémica puede necesitar objetivos por encima de 3 en gestión de incidentes; una filial de retail del mismo grupo puede justificar metas menores. El objetivo se deriva del riesgo de cada entidad, dominio a dominio, y se documenta para poder defenderlo ante el supervisor que lo pregunte.

Evaluar seis filiales en paralelo desde el primer día es la forma más cara de fracasar. El despliegue que funciona es incremental:

1. 1.Piloto en una filial. Elija la entidad con la supervisión más exigente o el SOC más crítico. El piloto calibra la metodología, el esfuerzo por entidad y el formato de informe que el consejo va a consumir.
2. 2.Matriz de línea base. Extienda el assessment al resto de filiales reutilizando la evidencia transversal del SOC compartido. El resultado es la primera matriz consolidada: puntuación por filial y dominio, sobre la misma escala.
3. 3.Roadmap de grupo. Un plan doble: ítems transversales (los resuelve el grupo una vez, benefician a todas las filiales) e ítems por entidad (gobernanza local, mapeo a su regulador). Cada ítem con responsable, fecha y entidad afectada.
4. 4.Re-evaluación anual. La matriz se actualiza cada año con el mismo método. El valor para el consejo y para los supervisores está en la tendencia: qué filiales convergen, qué dominios avanzan, qué brechas persisten.

El multi-entidad también reduce coste: la evidencia del SOC compartido se levanta una vez y se reutiliza en cada filial, lo que recorta entre un 30 y un 45% el coste por entidad frente a assessments separados. Pero el ahorro es el efecto secundario. El producto principal es un lenguaje único de madurez que el consejo, el CISO de grupo y cuatro supervisores distintos pueden leer sin traducción.