Definición de la Arquitectura Tecnológica del SOC

La arquitectura tecnológica de un SOC define qué fuentes de datos se recolectan, cómo se transportan, dónde se almacenan y qué herramientas procesan esa información para generar alertas útiles. Diseñarla bien es más difícil de lo que parece porque implica decisiones que afectan directamente el costo y la capacidad de detección durante años: cuánta retención de logs es necesaria para investigaciones forenses, si el procesamiento ocurre en la nube o on-premise, y cómo escalar la ingesta de datos sin que los costos de licenciamiento del SIEM se disparen. Un error frecuente es diseñar la arquitectura pensando solo en la tecnología de moda, sin mapear primero qué activos críticos requieren visibilidad prioritaria; el resultado es un SOC que recibe millones de eventos irrelevantes mientras un servidor crítico queda fuera del alcance de monitoreo. Una arquitectura madura prioriza las fuentes de datos según el riesgo real del negocio, no según la facilidad de integración.