Personas en el SOC: madurez y retención
Cómo evaluar el dominio People de SOC-CMM con evidencias de roles, retención, estrés, skills, formación y dependencia operativa según el reporte 2026.
El reto no es solo contratar
El reporte 2026 sitúa staffing, retention y workload management entre los retos operativos del SOC. La mayoría de organizaciones puede reclutar analistas en menos de seis meses, pero la retención se concentra en 2-3 años y existen diferencias regionales. La madurez People no se mide solo por número de analistas, sino por estructura, conocimiento, formación, dependencia y sostenibilidad.
Qué evidencia pedir en People
SOC-CMM revisa roles, jerarquía, people management, knowledge management y training and education. La evidencia debe mostrar que el SOC no depende de conocimiento informal ni de personas concretas para sostener servicio.
| Aspecto | Evidencia revisable | Señal de inmadurez |
|---|---|---|
| Roles y jerarquía | RACI, turnos, niveles, handovers y escalados. | Responsabilidades ambiguas o dependencia de héroes. |
| Gestión de personas | Plan de capacidad, sourcing, retención y cobertura. | Contratación reactiva y sin estrategia de retención. |
| Conocimiento | Base de conocimiento, post-mortems, guías y ownership. | Conocimiento tribal no documentado. |
| Formación | Skills matrix, plan de training y evolución de capacidades. | Cursos aislados sin relación con gaps operativos. |
Estrés operativo como indicador de madurez
El reporte identifica carga alta, falsos positivos y soporte directivo insuficiente como causas principales de estrés. Esto conecta People con Process y Technology: si la cola de alertas, la calidad de detección y el reporting no se gobiernan, el problema aparece como burnout aunque su origen sea sistémico.
Roadmap People 30/90/180
Un roadmap People debe reducir dependencia y ruido antes de ampliar estructura. Primero se clarifican roles y carga; después se corrige conocimiento, formación y handover; finalmente se conecta staffing con automatización, métricas y mejora continua.
- Medir carga real por turno y tipo de actividad.
- Separar problemas de capacidad de problemas de ruido.
- Documentar conocimiento crítico y criterios de escalado.
- Definir skills por rol, no por curso genérico.
- Alinear sourcing y retención con el modelo operativo del SOC.
Capacidad real por turno
El headcount total oculta fragilidad. La capacidad debe leerse por turno, rol, idioma, servicio, nivel de escalado y ventana de respuesta. Un SOC puede parecer cubierto en plantilla y estar expuesto por noches, fines de semana, vacaciones o dependencia de un único ingeniero para reglas críticas.
| Dimensión | Evidencia | Señal de riesgo |
|---|---|---|
| Turnos | Calendario, guardias, handovers y cobertura real. | Huecos cubiertos por sobreesfuerzo informal. |
| Skills | Matriz por rol y actividad crítica. | Solo una persona sabe mantener una fuente o playbook. |
| Escalado | Criterios L1/L2/L3 y tiempos objetivo. | Escalados basados en disponibilidad personal. |
| Retención | Rotación, antigüedad y plan de sucesión. | Pérdida de conocimiento cada 2-3 años. |
Preguntas frecuentes
Independiente por diseño
Primedefence evalúa contra el SOC-CMM y nada más. El modelo es gratuito, abierto y citado por MITRE, el NCSC y ENISA. La evaluación la entrega un tercero externo sin interés en el resultado y sin operación de SOC propia, de modo que el hallazgo responde solo a su interés.
