Automatización · Agentes de IA · Operaciones de seguridad

Ciberseguridad Agéntica: los agentes trabajan, las personas deciden

Diseñamos, construimos y operamos flujos de automatización, ecosistemas de agentes de IA y soluciones a medida para su CSIRT, su CyberSOC y su NOC. Sobre las herramientas que ya tiene y con el nivel de autonomía que usted aprueba.

Ver Operaciones Agénticas
  • Lo que no se puede deshacer siempre pasa por una persona.
  • Cada decisión de un agente queda registrada, con su evidencia y su porqué.

Seis servicios, de la primera idea a la operación diaria

Se contratan por separado o como un programa. El orden es el de un proyecto típico: entender, automatizar, delegar en agentes, construir a medida, asegurar y operar.

Diagnóstico y hoja de ruta

Levantamos sus procesos de seguridad y operación, el volumen de alertas y tickets, el tiempo que toma cada tarea y las herramientas que ya tiene. Con eso priorizamos los casos de uso por impacto, factibilidad y riesgo, y le recomendamos para cada uno el nivel de autonomía adecuado.

Conviene cuandoSabe que hay trabajo repetitivo que automatizar, pero no por dónde empezar ni cuánto vale la pena.

Qué recibe

  • Mapa de procesos y línea base de indicadores
  • Matriz de casos de uso priorizados
  • Nivel de autonomía recomendado para cada caso
  • Hoja de ruta con etapas y entregables

Flujos de automatización

Playbooks que hacen siempre lo mismo ante la misma entrada: enriquecer una alerta, abrir un ticket, notificar o bloquear un indicador confirmado. Corren sobre el orquestador de seguridad que ya tiene, o sobre una base de código abierto que queda en sus manos.

Conviene cuandoSu equipo repite a mano las mismas tareas todos los días y las reglas para hacerlas están claras.

Qué recibe

  • El flujo funcionando, con sus pruebas
  • Documentación y manual de operación
  • Medición del antes y el después

Ecosistemas agénticos

Para el trabajo que necesita criterio: investigar una alerta, armar una línea de tiempo o redactar un informe. Un agente orquestador reparte el trabajo entre subagentes especialistas, cada uno con herramientas de permisos mínimos, memoria controlada y puertas de aprobación humana.

Conviene cuandoLas tareas requieren análisis y no caben en una regla fija, pero consumen horas de su equipo.

Qué recibe

  • Agentes en operación, con su catálogo de herramientas
  • Matriz de aprobaciones: qué hace solo el agente y qué no
  • Pruebas de calidad y pruebas adversarias

Soluciones de IA a medida

Copilotos para analistas que responden con las políticas, procedimientos y casos de su propia organización; redactores de informes y reportes; resúmenes de inteligencia de amenazas; clasificación de documentos y revisión de configuraciones.

Conviene cuandoSu equipo pierde tiempo buscando información o redactando documentos que siguen siempre la misma estructura.

Qué recibe

  • La solución, con su base de conocimiento
  • Pruebas de exactitud con casos reales
  • Manual de uso para su equipo

Gobierno y seguridad de agentes

Aseguramos los agentes que construimos y los que su organización ya usa: identidad propia para cada agente, mínimo privilegio, registro inalterable de sus acciones y pruebas adversarias según el OWASP Top 10 para aplicaciones con agentes. Revisamos los conectores MCP y alineamos todo con ISO/IEC 42001 y con la Ley 21.719.

Conviene cuandoSu organización ya usa asistentes o agentes de IA, o está por hacerlo, y necesita saber que no abren una puerta nueva.

Qué recibe

  • Evaluación de los agentes y sus conectores
  • Pruebas adversarias documentadas
  • Controles y políticas de uso

Operación y mejora continua

Vigilamos que cada flujo y cada agente siga cumpliendo: la calidad de sus decisiones por muestreo, las falsas alarmas, el costo y los cambios en sus herramientas o en los modelos. Ajustamos, sumamos casos nuevos y le informamos los indicadores periódicamente.

Conviene cuandoYa tiene automatizaciones o agentes en marcha y quiere que sigan rindiendo sin cargar a su equipo.

Qué recibe

  • Revisión por muestreo de las decisiones de los agentes
  • Ajustes y casos nuevos según lo acordado
  • Informe periódico de indicadores para la gerencia

Usted decide cuánto hace solo cada agente

Cada acción tiene declarado su nivel de autonomía, y se sube o se baja según lo que muestren las mediciones. Así sabe siempre qué hace el agente y qué queda en manos de su equipo.

N0Manual

El agente

Nada: sólo se registra lo que ocurre.

La persona

Todo.

Para qué sirve

El punto de partida de cada caso.

N1Asistido

El agente

Investiga y recomienda.

La persona

Decide y ejecuta.

Para qué sirve

Casos nuevos y decisiones delicadas.

N2Supervisado

El agente

Prepara la acción completa.

La persona

La aprueba con un clic o la rechaza.

Para qué sirve

Contención, comunicaciones y reportes a la autoridad.

N3Autónomo acotado

El agente

Ejecuta sólo acciones reversibles y de bajo impacto, de una lista permitida.

La persona

Revisa después, por muestreo.

Para qué sirve

Cierre de falsos positivos conocidos y remediaciones de rutina.

N4Autónomo con política

El agente

Actúa dentro de una política aprobada por la dirección.

La persona

Fija la política y la audita.

Para qué sirve

Tareas acotadas de sólo lectura: enriquecer o resumir.

En cualquier nivel, lo que no se puede deshacer o tiene alto impacto pasa siempre por una persona.

La escala se inspira en los niveles de la conducción autónoma (SAE J3016): un lenguaje simple para decidir, caso a caso, cuánto se delega.

Operaciones Agénticas: CSIRT · CyberSOC · NOC

La sección especial de esta línea. Es donde más trabajo repetitivo hay, donde los plazos los fija la ley y donde cada minuto por alerta cuenta. Automatizamos la detección, la respuesta y la operación con agentes que trabajan sobre sus herramientas y bajo sus reglas.

Cómo se arma

Un orquestador recibe todo, decide qué especialista trabaja y respeta el nivel de autonomía de cada acción. Las personas están en las puertas.

FuentesSIEM, EDR, correo, identidad, nube, red, mesa de ayuda, monitoreo del NOC y reportes de personas
Agente orquestadorClasifica, reparte el trabajo, junta los resultados y respeta la autonomía de cada acción
  • TriajeAgrupa, descarta duplicados y prioriza
  • EnriquecimientoIndicadores, activo, usuario y vulnerabilidades
  • InvestigaciónLínea de tiempo, alcance y técnicas de MITRE ATT&CK
  • Contención y remediaciónAislar, bloquear, reiniciar o conmutar
  • ComunicaciónDirección, clientes y página de estado
  • CumplimientoPlazos de reporte, datos personales y evidencia
Puertas humanasToda acción de alto impacto, que avisa a terceros o que no se puede deshacer
Registro inalterableQué vio, qué decidió y por qué, quién aprobó y qué hizo
Conocimiento propioPlaybooks, runbooks, políticas y casos anteriores de su organización

Las herramientas se conectan con permisos mínimos y con credenciales propias de cada agente, nunca las de una persona. Cada conector se revisa antes de admitirse.

Qué se automatiza en cada área

Diez casos por área, con el nivel de autonomía con que suelen partir y el indicador que los mide. En el diagnóstico elegimos con usted los que más rinden en su operación.

CSIRT · Gestión y respuesta de incidentes

  1. Recepción y clasificación

    Recibe reportes por correo, formulario o teléfono, los clasifica según su taxonomía y elimina duplicados.

    Autonomía: N3Se mide con: minutos hasta clasificar
  2. Orquestación del caso

    Abre el caso, lo asigna según severidad, crea las tareas del playbook y sigue los plazos internos.

    Autonomía: N3Se mide con: tareas cumplidas a tiempo
  3. Reloj de la Ley 21.663

    Inicia el conteo al calificar un incidente de efecto significativo, avisa antes de cada plazo y redacta los reportes con los datos del caso.

    Autonomía: N2Se mide con: reportes enviados dentro de plazo
  4. Brechas de datos personales

    Ayuda a evaluar si corresponde notificar según la Ley 21.719 y redacta los avisos a la autoridad y a los afectados.

    Autonomía: N1, N2Se mide con: tiempo hasta decidir
  5. Contención con aprobación

    Aísla equipos, deshabilita cuentas, revoca sesiones y bloquea indicadores en firewall y proxy.

    Autonomía: N2, N3Se mide con: tiempo hasta contener
  6. Recolección de evidencia

    Inicia la adquisición de evidencia con su huella digital y su cadena de custodia.

    Autonomía: N2Se mide con: casos con evidencia íntegra
  7. Comunicaciones

    Borradores para la dirección, clientes, proveedores y personal, con el tono y el nivel aprobados.

    Autonomía: N1Se mide con: tiempo hasta el primer aviso
  8. Coordinación con terceros

    Prepara lo que se comparte con el CSIRT nacional o sectorial, la aseguradora y los proveedores.

    Autonomía: N1Se mide con: tiempo de respuesta a terceros
  9. Lecciones aprendidas

    Arma el informe posterior con la línea de tiempo y propone cambios a playbooks y detecciones.

    Autonomía: N1Se mide con: acciones de mejora cerradas
  10. Ejercicios

    Genera simulacros de mesa a partir de amenazas reales y evalúa las respuestas del equipo.

    Autonomía: N1Se mide con: ejercicios realizados y brechas detectadas

CyberSOC · Detección y análisis

  1. Triaje de alertas

    Agrupa, descarta duplicados, cierra falsos positivos conocidos y prioriza el resto.

    Autonomía: N3, N1Se mide con: alertas resueltas sin analista y exactitud por muestreo
  2. Enriquecimiento automático

    Reputación de indicadores, contexto del activo y del usuario y vulnerabilidades del equipo.

    Autonomía: N4Se mide con: minutos hasta tener el contexto completo
  3. Correos reportados

    Analiza enlaces y adjuntos, encuentra a los demás destinatarios y propone el retiro masivo.

    Autonomía: N2Se mide con: tiempo por reporte y correos retirados
  4. Investigación de alertas del EDR

    Árbol de procesos, prevalencia, línea de tiempo y técnica de ATT&CK.

    Autonomía: N1Se mide con: tiempo de investigación
  5. Identidad

    Inicios de sesión imposibles, fatiga de doble factor y cuentas privilegiadas; propone cerrar sesiones.

    Autonomía: N2Se mide con: tiempo hasta contener la cuenta
  6. Caza de amenazas

    Propone hipótesis y consultas a partir de amenazas actuales y resume lo encontrado.

    Autonomía: N1Se mide con: hipótesis probadas y hallazgos
  7. Ingeniería de detección

    Redacta reglas, las prueba contra datos históricos y las documenta.

    Autonomía: N1Se mide con: reglas nuevas y su tasa de falsos positivos
  8. Vulnerabilidades priorizadas

    Cruza la explotación conocida con la criticidad y la exposición del activo, y abre el ticket a su dueño.

    Autonomía: N3Se mide con: días hasta corregir lo crítico
  9. Inteligencia de amenazas

    Resume alertas públicas y de proveedores, extrae indicadores y busca coincidencias en su entorno.

    Autonomía: N3Se mide con: horas entre la alerta pública y la revisión interna
  10. Relevo de turno

    Resume casos abiertos, pendientes y riesgos para el turno siguiente y la gerencia.

    Autonomía: N4Se mide con: tiempo del relevo

NOC · Operación de redes y servicios

  1. Correlación y reducción de ruido

    Agrupa alarmas por causa común usando la topología y los cambios recientes.

    Autonomía: N3Se mide con: alarmas por incidente real
  2. Causa raíz asistida

    Revisa dependencias, cambios y métricas, y propone la causa más probable con su evidencia.

    Autonomía: N1Se mide con: tiempo hasta diagnosticar
  3. Remediación de rutina

    Reinicia servicios, libera espacio o conmuta a respaldo según runbooks probados.

    Autonomía: N3, N2Se mide con: tiempo de recuperación
  4. Riesgo de cambios

    Antes de aprobar un cambio, revisa su historial, sus dependencias y la ventana.

    Autonomía: N1Se mide con: cambios que fallan
  5. Capacidad

    Anticipa la saturación de enlaces, discos y licencias.

    Autonomía: N1Se mide con: incidentes por capacidad evitados
  6. Tickets

    Enriquece, clasifica y deriva cada ticket al equipo correcto.

    Autonomía: N3Se mide con: reasignaciones por ticket
  7. Comunicación de estado

    Actualiza la página de estado y avisa a las áreas afectadas.

    Autonomía: N2Se mide con: minutos hasta el primer aviso
  8. Resumen de guardia

    Resume lo ocurrido durante la guardia para el relevo.

    Autonomía: N4Se mide con: tiempo del relevo
  9. Verificación posterior

    Ejecuta pruebas automáticas después de un mantenimiento o un cambio.

    Autonomía: N3Se mide con: fallas detectadas antes que el usuario
  10. Puente NOC–SOC

    Reconoce cuándo una caída puede ser un ataque y escala al SOC o al CSIRT con el contexto.

    Autonomía: N3Se mide con: tiempo entre la caída y el aviso al SOC

N0 manual · N1 asistido · N2 supervisado · N3 autónomo acotado · N4 autónomo con política. Ver la escala de autonomía

El reloj de la Ley 21.663, automatizado

Cuando un incidente se califica como de efecto significativo, el agente de cumplimiento inicia el conteo, avisa antes de cada plazo y deja listo el borrador de cada reporte con los datos que el caso ya tiene. Una persona lo revisa y lo envía.

Qué plazos le aplican depende de la calidad de su organización; lo determinamos en cada caso.
  1. 3 horasAlerta
  2. 72 horasSegundo reporte (24 horas si un operador de importancia vital ve afectado su servicio esencial)
  3. 7 días corridosPlan de acción, sólo para operadores de importancia vital
  4. 15 díasInforme final, contados desde la alerta

Cuando una caída puede ser un ataque

El NOC es el primero en ver que algo dejó de funcionar; el SOC sabe reconocer un ataque. El puente NOC–SOC reconoce las señales de una denegación de servicio o de un cifrado de servidores y escala al SOC o al CSIRT con el contexto, sin esperar a que alguien lo note.

NOC

Un servicio deja de responder

Agente

Reconoce un patrón de ataque

SOC · CSIRT

Abre el caso con su contexto

Lo que medimos y le informamos

Ningún caso entra en operación sin una línea base y una meta acordada. Si no mejora, se ajusta o se apaga.

  • Tiempo hasta detectar (MTTD)
  • Tiempo hasta tomar el caso (MTTA)
  • Tiempo hasta resolver (MTTR)
  • Alertas resueltas sin analista
  • Exactitud por muestreo
  • Horas de analista liberadas
  • Reportes a la autoridad dentro de plazo
  • Alarmas por incidente (NOC)
  • Cambios fallidos
  • Acciones que una persona revirtió

Cómo trabajamos

Cinco etapas, y cada una termina con algo que usted puede revisar.

  1. DiagnósticoProcesos, volúmenes, tiempos, herramientas y riesgos, con la línea base de indicadores.Termina con la matriz de casos aprobada por usted.
  2. DiseñoPara cada caso: entradas, decisiones, herramientas, permisos, nivel de autonomía, aprobaciones y qué se registra.Termina con la ficha de cada caso aprobada.
  3. Construcción y pruebasSe prueba con casos reales del pasado y con intentos deliberados de engañar al agente.Termina cuando cumple la meta de calidad acordada.
  4. Marcha blancaEl agente trabaja en paralelo a su equipo, sin ejecutar acciones, y se comparan sus decisiones.Termina cuando la coincidencia alcanza el mínimo acordado.
  5. OperaciónSe enciende con su nivel de autonomía, con revisión por muestreo e informes periódicos.Sigue con mejora: la autonomía sube o baja según los indicadores.

Agentes en los que se puede confiar

Dar autonomía a un agente abre riesgos nuevos. Estos son los compromisos con que trabajamos y los controles que aplicamos a cada agente.

  • Las personas al mandoCada acción tiene su nivel de autonomía declarado y lo irreversible pasa por una persona.
  • Medir antes y despuésNingún caso entra en operación sin línea base ni meta acordada.
  • Sus datos donde deben estarLos modelos corren en su infraestructura o en un entorno que acordamos con usted. Un proveedor de IA externo sólo entra con su autorización y un contrato de tratamiento de datos.
  • Sin atarse a una marcaTrabajamos sobre las herramientas que ya tiene; si le falta alguna, le proponemos alternativas, incluidas las de código abierto.
  • Todo trazableCada decisión y cada acción de un agente quedan registradas con su porqué: sirven al auditor, a la autoridad y, si llega, a un peritaje.

Cómo cuidamos a los agentes

Seguimos el OWASP Top 10 para aplicaciones con agentes y los principios de ISO/IEC 42001.

  • Instrucciones escondidas en lo que el agente leeEl contenido externo se trata como dato, nunca como orden, y se prueba con correos y archivos maliciosos antes de encender.
  • Exceso de permisosHerramientas con mínimo privilegio, una lista de acciones permitidas por nivel y aprobación humana para lo de alto impacto.
  • Identidad de los agentesCredenciales propias para cada agente, de corta duración y revisadas periódicamente.
  • Cadena de suministroInventario de modelos, conectores y librerías; conectores revisados antes de admitirse y versiones fijadas.
  • Memoria envenenada y fallas en cascadaMemoria aislada por caso, límites de consumo y parada de emergencia.
  • Confianza excesiva en el agenteEl agente muestra su evidencia, no sólo su conclusión, y se mide cuántas acciones revierte una persona.

Preguntas frecuentes

¿La IA va a tomar decisiones sola en mi organización?

Sólo las que usted autorice. Cada acción tiene un nivel de autonomía que se acuerda por escrito, y lo que no se puede deshacer o tiene alto impacto pasa siempre por una persona. Los niveles se revisan con las mediciones y se pueden bajar en cualquier momento.

¿Mis datos salen de mi organización?

No, salvo que usted lo decida. Por defecto, los modelos corren en su infraestructura o en un entorno que acordamos con usted. Si conviene usar un proveedor de IA externo, se hace sólo con su autorización y con un contrato de tratamiento de datos.

¿Tengo que comprar una plataforma nueva?

No necesariamente. Trabajamos sobre las herramientas que ya tiene y, si falta alguna, le proponemos alternativas, incluidas las de código abierto. La decisión de compra siempre es suya.

¿Esto reemplaza a mi equipo de seguridad?

No. Le quita el trabajo repetitivo para que su equipo dedique su tiempo a lo que requiere criterio: investigar, decidir y mejorar. Las personas siguen al mando.

¿Qué pasa si un agente se equivoca?

Está previsto. Lo de alto impacto pasa por una persona, cada decisión queda registrada con su evidencia, la calidad se revisa por muestreo y cada agente tiene una parada de emergencia. Si un caso no cumple su meta, se ajusta o se apaga.

¿Cómo sabré si está funcionando?

Antes de empezar medimos su situación actual y acordamos una meta para cada caso. Después le informamos los indicadores periódicamente, comparados con esa línea base.

¿Sirve para cumplir la Ley 21.663 o la Ley 21.719?

Ayuda a sostener los procesos que esas leyes exigen: clasificar incidentes, cumplir los plazos de reporte, preparar las notificaciones y conservar la evidencia. Las decisiones y los envíos a la autoridad siguen en manos de su organización.

¿Por dónde conviene empezar?

Por el diagnóstico: en él vemos qué automatizar primero, con qué nivel de autonomía y qué resultado esperar. También se puede partir con un solo caso de punta a punta, para medirlo antes de crecer.

¿Trabajan con empresas que prestan servicios de seguridad?

Sí. Si su empresa presta servicios de SOC o de respuesta a incidentes a otras organizaciones, podemos diseñar ecosistemas que atiendan a varios clientes, cada uno con sus datos separados.

¿No encuentra su pregunta? Cuéntenos su caso en el cotizador y se la respondemos con la propuesta.

Automatización · Agentes de IA · Operaciones de seguridad

Cuéntenos qué quiere automatizar

Elija los servicios o las áreas que le interesan. Le respondemos con una propuesta.

Ver los servicios

No incluya en el formulario credenciales, direcciones internas ni detalles de su infraestructura.

Carrito 0 productos

Tu carrito está vacío

Agrega packs o planes de documentación normativa
Finalizar Compra
Datos de contacto y pago
1Contacto
2Resumen
3Pago
¿Agregar al carrito?