¿Qué métricas reportarías para demostrar que el SOC está haciendo su trabajo?

Reporta métricas de resultado junto a las de actividad. Sirven el tiempo hasta detectar y el tiempo hasta contener por severidad, la proporción de incidentes encontrados por tus propias detecciones frente a los reportados desde fuera, la cobertura de detección validada contra tus técnicas prioritarias, la tasa de falsos positivos por regla y la antigüedad de las excepciones de riesgo abiertas. Evita el número bruto de alertas y de tickets cerrados como cifras de portada, ya que premian el ruido por encima de los resultados de seguridad.

Mi cifra de portada es la proporción de incidentes que detectamos nosotros frente a los que nos llegaron por un usuario, un cliente, un proveedor o las fuerzas del orden. Ese único número dice si la función funciona. Por debajo, tiempo hasta detectar y tiempo hasta contener separados por severidad, porque promediar un reporte de phishing con un intento de ransomware esconde todo lo que importa. Luego la cobertura contra las técnicas que decidimos que eran prioritarias para nuestro modelo de amenazas, calificada con pruebas de validación y no por autoevaluación, y la tasa de falsos positivos por regla para que el trabajo de tuning tenga un número asociado. Evito a propósito abrir con el volumen de alertas o los tickets cerrados, porque esos suben cuando el entorno se vuelve más ruidoso, y he visto felicitar a un equipo por una métrica que era pura regresión de telemetría. Cuando un mes va mal lo presento con el motivo y el arreglo, porque en el momento en que maquillas el panel pierdes la capacidad de pedir presupuesto mirando a los ojos.