Microsoft presenta ISOC en Defender, un SOC integrado para la era de los agentes de IA en ciberseguridad

Microsoft ha anunciado la disponibilidad en vista previa de ISOC (Integrated Security Operations Center) en Microsoft Defender, una nueva base que fusiona su SIEM (Sentinel) con las capacidades de protección frente a amenazas en un único sistema, en lugar de mantenerlos como productos separados que los equipos de seguridad deben integrar manualmente. El anuncio corre a cargo de Rob Lefferts, vicepresidente corporativo de Microsoft Threat Protection, y se enmarca en lo que la compañía llama 'la era agéntica' de la ciberseguridad.

El argumento central del artículo es que la naturaleza de los ciberataques ha cambiado de forma radical: los atacantes ya utilizan agentes de IA para automatizar la ejecución de sus operaciones a una escala que antes requería equipos enteros y que ahora puede llevar a cabo un solo operador apoyado en un framework de agentes. Según Microsoft, esta aceleración deja al descubierto un problema estructural de los SOC tradicionales: cuando la protección y las operaciones de seguridad viven en sistemas distintos, cada traspaso de información, cada integración y cada límite entre herramientas introduce fricción y retrasa a los defensores. Y esa misma complejidad, advierte el artículo, la heredan también los agentes defensivos que se intenten desplegar sobre una arquitectura fragmentada.

La respuesta de Microsoft es plantear lo que denomina un 'cyber stack' de extremo a extremo, del que ISOC sería la capa base para operaciones agénticas, apoyándose en la iniciativa Project Perception presentada en julio de 2026. La idea es que los agentes de IA necesitan tres elementos trabajando de forma unificada: señales y sensores que aporten visibilidad sobre el entorno, contexto que convierta esas señales en comprensión real de lo que ocurre, y 'actuadores' que traduzcan las decisiones tomadas en acciones concretas de protección. Con ISOC, estas tres capas dejan de estar repartidas entre productos distintos y pasan a operar como un todo, de modo que tanto personas como agentes comparten la misma base para ver, entender y actuar sobre el entorno.

Una de las piezas que se destacan como ejemplo de este enfoque es 'Attack disruption' en Microsoft Defender, una capacidad que usa telemetría y controles enriquecidos para detectar, predecir y adaptarse al comportamiento de un atacante mientras el ataque todavía está en marcha, anticipando sus siguientes movimientos y no solo reaccionando después del hecho. Microsoft describe esto como un 'bucle de protección integrado': un ciclo continuo en el que los datos sobre exposición se usan para reforzar la protección casi en tiempo real, y la inteligencia de amenazas ayuda a priorizar qué riesgos importan más en cada momento. Según el artículo, ISOC convierte este bucle en algo nativo del sistema, eliminando la carga de tener que ensamblarlo, ajustarlo y mantenerlo manualmente, y deja la puerta abierta a que nuevas capacidades se sumen a ese ciclo a medida que la protección evolucione.

Desde el punto de vista del profesional de seguridad, el mensaje es que ISOC cambia el punto de partida del trabajo diario. En lugar de tener que reconstruir el contexto saltando entre herramientas para investigar, cazar amenazas, automatizar respuestas, gestionar incidentes o entender el panorama de riesgo, todas esas capacidades estarían disponibles por defecto dentro de un mismo sistema. Esto permitiría organizar el trabajo en torno al resultado de seguridad que se persigue, y no en torno a las fronteras artificiales entre productos. A medida que crece el grado de autonomía de los agentes, el bucle de protección integrado asumiría una parte mayor del trabajo continuo de detección y defensa, mientras los agentes ayudan a los analistas humanos a investigar, razonar y actuar usando el mismo contexto y los mismos controles que ya tienen disponibles, sin necesidad de montar una capa agéntica aparte ni un modelo operativo distinto.

El artículo cierra con una idea de posicionamiento más que técnica: Microsoft sostiene que la ciberseguridad siempre ha sido una carrera entre atacantes y defensores, pero que la IA altera la velocidad, la escala y la economía de esa carrera. Por eso, según la compañía, el próximo SOC no se medirá por cuántas funciones de IA acumule, sino por si personas y agentes son capaces de percibir, razonar y actuar sobre un mismo entorno como un solo sistema coherente.

Conviene señalar que se trata de un artículo de anuncio corporativo publicado en el blog oficial de seguridad de Microsoft, por lo que su tono es fundamentalmente promocional: no incluye datos de rendimiento, comparativas independientes ni detalles técnicos profundos sobre cómo se implementa la integración, más allá de remitir a una grabación del anuncio completo y a un whitepaper titulado 'Agentic SOC: The new operating model for continuous defense' para quien quiera profundizar. ISOC en Microsoft Defender está disponible en vista previa desde la fecha de publicación de este anuncio.