SIEM para pymes: qué es, cuándo lo necesitas y qué alternativas hay

Cuando una empresa empieza a tomarse en serio la seguridad, aparece la palabra SIEM. Suena a lo que tienen las grandes empresas y a algo imprescindible. Pero un SIEM mal planteado es una de las formas más caras de no mejorar nada. Veamos qué es, cuándo tiene sentido y qué alternativas existen para una pyme.

Qué es un SIEM

Un SIEM (Security Information and Event Management) recoge los registros (logs) de muchos sistemas en un único lugar y los analiza para detectar amenazas:

• Centraliza los eventos del firewall, los servidores, el directorio de usuarios, el correo, la VPN, la nube, los EDR…
• Correlaciona: una sola señal puede no significar nada, pero “inicio de sesión desde otro país + creación de un usuario administrador + acceso masivo a ficheros” en diez minutos sí.
• Alerta cuando se cumplen reglas o patrones sospechosos.
• Conserva los registros para investigar incidentes y cumplir requisitos legales.

El problema: un SIEM no se vigila solo

Un SIEM es una herramienta, no un servicio. Para que funcione hace falta:

1. Elegir y conectar bien las fuentes de datos. Sin los registros adecuados, no hay nada que detectar.
2. Ajustar las reglas para reducir falsos positivos. Si no, llegan cientos de alertas al día y nadie las mira.
3. Personas que revisen las alertas, idealmente las 24 horas.
4. Procedimientos de respuesta: qué hacer cuando salta cada tipo de alerta.
5. Presupuesto para el volumen de datos. Muchos SIEM cobran por datos ingeridos o almacenados, y la factura crece con cada fuente nueva.

Muchas pymes compran o instalan un SIEM, conectan cuatro fuentes y lo olvidan. El resultado es un gasto fijo y una falsa sensación de seguridad.

¿Lo necesitas?

Probablemente sí si:

• Estás sujeto a NIS2, al ENS en categoría media o alta, o a requisitos de clientes que exigen monitorización y conservación de registros.
• Tienes una infraestructura con muchos sistemas distintos (en local, en la nube y SaaS).
• Tienes, o vas a contratar, personas que puedan dedicarle tiempo.

Probablemente todavía no si:

• No tienes cubierto lo básico: MFA, copias de seguridad probadas, parches y EDR.
• Nadie en la empresa puede revisar alertas con regularidad.

Alternativas para una pyme

EDR o XDR con servicio MDR

En lugar de montar un SIEM, contratas un EDR o XDR con un servicio MDR (Managed Detection and Response): un equipo externo vigila las alertas de tus equipos, tu correo y tus identidades, y actúa. Para muchas pymes es la opción con mejor relación entre protección y esfuerzo.

SOC gestionado (SOC as a Service)

Un proveedor opera por ti un SIEM, el suyo o el tuyo, con su equipo de analistas. Te da la visibilidad de un SIEM sin tener que contratar a un equipo propio. Pregunta qué fuentes cubren, qué tiempos de respuesta garantizan y qué acciones pueden tomar sin consultarte.

SIEM de código abierto

Soluciones como Wazuh permiten montar una plataforma de detección sin coste de licencia. Es una buena opción para aprender o si tienes perfil técnico en casa, pero el coste real está en el tiempo de implantación, mantenimiento y vigilancia.

Los registros nativos de tus plataformas

Microsoft 365, Google Workspace y los proveedores de nube incluyen registros de auditoría y alertas básicas. Actívalos, revisa cuánto tiempo los conservan y configura las alertas más importantes. Es gratis o casi, y es el primer paso lógico.

Si decides montar un SIEM: por dónde empezar

1. Define primero qué quieres detectar (casos de uso) y después elige las fuentes, no al revés.
2. Empieza por las fuentes de mayor valor: identidad (Active Directory o Entra ID), correo, VPN y accesos remotos, firewall y EDR.
3. Activa pocas reglas bien ajustadas antes que cientos genéricas.
4. Decide quién revisa las alertas y en qué horario, y qué pasa fuera de ese horario.
5. Calcula el volumen de datos y su coste antes de conectar todo.
6. Revisa y ajusta cada mes.

Preguntas frecuentes

¿Cuánto tiempo hay que guardar los registros? Depende de la normativa aplicable y de tus necesidades de investigación. Muchas organizaciones guardan entre seis meses y un año de registros accesibles, y más tiempo en almacenamiento barato.

¿SIEM y SOC son lo mismo? No. El SIEM es la herramienta; el SOC (Security Operations Center) es el equipo y los procesos que la usan para vigilar y responder.