Resumen ejecutivo

• Un Analista SOC (Security Operations Center) monitorea alertas de seguridad, hace triage en el SIEM y escala incidentes: es el rol de entrada más contratado en operaciones de ciberseguridad.

• Nivel 1 = filtrar ruido y documentar; nivel 2 = investigar en profundidad, correlacionar logs y contener amenazas con playbooks.

• Herramientas típicas: SIEM (Splunk, Microsoft Sentinel, QRadar, Elastic), EDR, tickets, threat intel y runbooks.

• La ruta más realista arranca en soporte IT o redes; los sueldos de analistas de seguridad en Argentina son competitivos (referencias Adecco / mercado IT) y suben con inglés y experiencia en incidentes.

Si buscás entrar a ciberseguridad sin inventarte un perfil senior de pentest, el SOC es la puerta que más se abre. Empresas, bancos, telcos y MSSP necesitan gente que mire pantallas de alertas, separe falsos positivos de incidentes reales y deje rastro claro de lo que hizo. Para el panorama completo de la carrera, arrancá por ciberseguridad como carrera: sueldo, demanda y cómo empezar.

Qué es un SOC y qué hace el analista

El SOC es el equipo (interno o tercerizado) que opera la detección y respuesta a incidentes de seguridad. El analista es quien:

• Consume alertas del SIEM y de sensores (firewall, EDR, correo, identidad).

• Hace triage: ¿es ruido, falso positivo o amenaza creíble?

• Enriquece el caso con contexto (usuario, host, geolocalización, IOC).

• Ejecuta el playbook: contener, escalar a nivel 2/IR, o cerrar con justificación.

• Documenta todo en el ticket: timeline, evidencias, decisión.

No es “hackear sistemas ajenos”. Es operación defensiva, bajo presión de turnos, con mucho oficio de investigación y comunicación.

Día a día: nivel 1 vs nivel 2

SOC nivel 1 (L1)

Es el filtro. Recibe decenas o cientos de alertas por turno. Su valor está en velocidad + criterio: clasificar, pedir más datos, escalar bien y no ahogar al L2 con basura. Skills clave: lectura de logs básicos (Windows/Linux), autenticación, phishing, malware genérico, uso del SIEM con queries simples.

SOC nivel 2 (L2)

Investiga casos abiertos: correlaciona eventos, revisa telemetría EDR, analiza IOCs, propone contención (aislar host, reset de credenciales, bloqueo en perimeter) y escribe reportes para IR o management. Acá pesa más el pensamiento crítico y conocer el entorno (Active Directory, cloud, apps críticas).

Herramientas que vas a tocar

• SIEM: Splunk, Microsoft Sentinel, IBM QRadar, Elastic SIEM — correlación y búsqueda de logs.

• EDR/XDR: Crowdstrike, Defender for Endpoint, SentinelOne, etc.

• Ticketing: ServiceNow, Jira, TheHive.

• Threat intel / OSINT: feeds de IOCs, VirusTotal, AbuseIPDB.

• Análisis de red y malware liviano: Wireshark, sandboxes, revisión de headers de mail.

No hace falta “saber todas”. En entrevistas, importa demostrar que sabés investigar una alerta de punta a punta y explicar tu razonamiento.

SOC interno vs MSSP: dónde conviene arrancar

En un SOC interno conocés a fondo una sola organización: sus apps críticas, su Active Directory, sus excepciones de negocio. El aprendizaje es profundo pero el volumen de alertas puede ser menor. En un MSSP (proveedor de servicios de seguridad) ves muchos clientes y stacks distintos: acelerás triage y documentación, a costa de menos contexto de negocio por cuenta.

Para el primer laburo, ambos sirven. Lo que más cuenta es salir con casos investigados que puedas contar: “alerté X, correlacioné Y, contuvimos Z”. Si venís de helpdesk, el MSSP suele valorar tu velocidad con tickets; si venís de redes, un SOC interno de empresa mediana puede aprovechar ese mapa de infraestructura.

Certificaciones y portfolio que abren puertas

No son obligatorias, pero bajan fricción en screening:

• CompTIA Security+ — base de conceptos (CIA, amenazas, controles).

• CySA+ o equivalentes orientados a análisis — más cerca del día a día SOC.

• Vendor SIEM (Splunk Fundamentals, Sentinel, etc.) — si la vacante nombra esa herramienta.

Más poderoso que el PDF del cert: 2–3 write-ups públicos (GitHub o Notion) donde investigás una alerta simulada con logs, hipótesis y decisión. Reclutadores de Adecco destacan que en seguridad informática la demanda del perfil analista es alta y que muchas empresas bancan el pago de certificaciones en dólares como beneficio para competir por talento (iProfesional / Guía Adecco).

Sueldos orientativos en Argentina

No hay una fila única “SOC Analyst” en todas las encuestas, pero sí referencias cercanas:

• Según la Guía Salarial de Adecco citada por iProfesional, un analista de seguridad informática en CABA percibía (corte publicado) promedios brutos del orden de ~$1,6M en empresas chicas, ~$2,2M en medianas y ~$2,8M en grandes, con bandas amplias según tamaño. Esos valores se mueven con inflación y demanda: usalos como orden de magnitud, no como tabla fija.

• La encuesta Sysarmy / OpenQube sigue siendo la brújula del mercado IT argentino: filtrá por roles de seguridad / Ops y mirá mediana según seniority y dolarización.

• Para SOC L1 junior, las bandas locales suelen estar por debajo del analista de SI “full”; el salto viene al pasar a L2, blue team o roles con on-call y certificaciones. Contratos remotos en USD (si hay inglés) cambian por completo el techo.

Pedí siempre: bruto, moneda, % dolarizado, turnos rotativos y si pagan certificaciones (beneficio habitual en el rubro, según reclutadores de Adecco).

Cómo entrar sin experiencia “de seguridad”

Reclutadores del sector coinciden: es poco frecuente el primer laburo directo en seguridad sin haber pasado por sistemas. La trayectoria clásica:

1. Soporte IT / helpdesk — tickets, endpoints, identidades, documentación.

2. Admin de redes o sistemas junior — logs, firewalls, AD, cloud básica.

3. SOC L1 — en empresa o MSSP; turnos; métricas de alertas cerradas.

4. L2 / IR / blue team — especialización.

Atajos útiles: laboratorios caseros (SIEM open source + generación de eventos), write-ups de 2–3 investigaciones de alerta, CompTIA Security+ (o equivalente) como señal de base, y inglés técnico para leer playbooks y threat reports.

Curso recomendado de Coderhouse

Si venís de soporte IT o Help Desk, el salto natural es fortalecer fundamentos de redes, sistemas y seguridad. El Curso de Ciberseguridad ordena esa base, prácticas de laboratorio y un portfolio contable en entrevistas de SOC.

CTA: esta semana elegí una alerta típica (phishing o login imposible) y escribí un mini-informe: evidencia, hipótesis, acciones, cierre. Ese artefacto pesa más en una entrevista de SOC que un CV genérico de “interesado en ciberseguridad”.

Preguntas frecuentes

¿SOC es lo mismo que pentester? No. SOC es detección y respuesta (blue team). Pentest es ofensiva autorizada. Hay puentes, pero el día a día es distinto.

¿Necesito título universitario? Ayuda, no es excluyente. Experiencia en soporte + labs + certificaciones de base suelen abrir L1.

¿Hay que bancar turnos? En muchos SOC sí (24×7). Preguntá el esquema y el plus por noche/finde antes de aceptar.

¿Qué miran en la primera entrevista? Criterio de triage, honestidad sobre lo que no sabés, claridad al documentar y ganas de aprender el stack del empleador.