SOC-CMM explicado: 5 dominios, puntuación y frente a CMMI
SOC-CMM y CMMI miden la «madurez», pero responden a preguntas distintas. SOC-CMM está diseñado específicamente para un centro de operaciones de seguridad; CMMI es un marco general de mejora de procesos que se usa en ingeniería y TI. Si quieres evaluar y mejorar un SOC real, la respuesta corta es usa SOC-CMM. Aquí explicamos por qué y cuándo CMMI se gana su lugar.
SOC-CMM: hecho para el SOC
SOC-CMM, creado por Rob van Os, es una autoevaluación gratuita que puntúa un SOC en cinco dominios: Negocio, Personas, Procesos, Tecnología y Servicios. Lo crucial es que califica cada uno en dos ejes: madurez (qué tan formal y gestionado está algo) y capacidad (qué tan bien funciona realmente). Esa separación es justamente la clave: explica por qué un SOC puede parecer «maduro sobre el papel» (procesos documentados, responsables con nombre) y puntuar bajo en capacidad (las detecciones no saltan, las cacerías no ocurren). Respondes las preguntas y obtienes puntuaciones por dominio que puedes volver a medir y seguir como tendencia.
CMMI: un lenguaje general de madurez
CMMI (Capability Maturity Model Integration) describe la disciplina de los procesos en cinco niveles: 1 Inicial, 2 Gestionado, 3 Definido, 4 Gestionado cuantitativamente, 5 En optimización. Se usa en software e ingeniería, a menudo con evaluaciones formales. Le da a una organización una forma común de hablar de madurez, pero no dice nada específico de un SOC. Un «Nivel 3» te indica que un proceso está estandarizado en toda la organización; no te dice si tu threat hunting o tu respuesta a incidentes son buenos.
¿Cuál encaja con tus operaciones de seguridad?
- Evaluar y mejorar un SOC → SOC-CMM. Corresponde directamente a lo que hace un SOC, es gratuito y la separación entre madurez y capacidad saca a la luz las brechas que importan.
- Un mismo lenguaje de madurez para muchas funciones, o una evaluación obligatoria → CMMI. Si la dirección o un cliente quiere que todo se reporte en una única escala CMMI, o un contrato exige un nivel evaluado, ese es el trabajo de CMMI.
- Ambos. Muchos equipos evalúan el SOC con SOC-CMM y lo reportan hacia arriba con el lenguaje de niveles de CMMI. No son excluyentes.
El error que hay que evitar
Tratar cualquiera de los dos como una puntuación de una sola vez. Una cifra de madurez aislada es una métrica de vanidad; el valor está en la tendencia: vuelve a evaluar con cierta cadencia, muestra el avance por dominio y vincula cada brecha a una acción con presupuesto. Eso es lo que convierte un modelo de madurez de una diapositiva en una hoja de ruta.
¿Quieres las cifras ya? Haz una autoevaluación al estilo SOC-CMM en los cinco dominios con la evaluación de madurez del SOC, y mira el panorama completo en modelos de madurez del SOC explicados y en buenas prácticas del SOC.
Preguntas frecuentes
¿Cuál es la diferencia entre SOC-CMM y CMMI?
SOC-CMM es un modelo de madurez creado específicamente para centros de operaciones de seguridad: evalúa cinco dominios del SOC (Negocio, Personas, Procesos, Tecnología, Servicios) en madurez y en capacidad. CMMI (Capability Maturity Model Integration) es un marco de madurez de procesos de propósito general, con cinco niveles, que se usa en software, ingeniería y TI. SOC-CMM te dice qué tan desarrollado está tu SOC en términos de SOC; CMMI te da un lenguaje de madurez común para toda la organización, pero no es específico de un SOC.
¿Qué modelo de madurez debería usar para mi SOC?
Para evaluar y mejorar un SOC real, usa SOC-CMM: corresponde directamente a las funciones que realiza un SOC y es una autoevaluación gratuita. Recurre a CMMI (o úsalo junto a SOC-CMM) cuando necesites una misma escala de madurez para muchas funciones o cuando un nivel CMMI formal y evaluado sea un requisito contractual o de un cliente. No son excluyentes: muchos equipos evalúan el SOC con SOC-CMM y lo reportan hacia arriba con el lenguaje de niveles de CMMI.
¿SOC-CMM es gratuito?
Sí. SOC-CMM (creado por Rob van Os) se publica como una hoja de cálculo de autoevaluación gratuita con su modelo de puntuación. Respondes las preguntas de cada dominio y obtienes puntuaciones de madurez y capacidad que puedes seguir en el tiempo. PlayCISO también ofrece una autoevaluación interactiva de madurez del SOC si prefieres hacerla en el navegador y seguir la tendencia.
¿Qué mide realmente SOC-CMM?
Cinco dominios: Negocio (alineación, mandato, gobernanza), Personas (dotación, habilidades, formación), Procesos (cómo se hace y se documenta el trabajo), Tecnología (las herramientas y su cobertura) y Servicios (las capacidades que entrega el SOC, por ejemplo monitoreo, respuesta a incidentes, threat hunting). Cada uno se puntúa en madurez (qué tan formal o gestionado está) y en capacidad (qué tan bien funciona realmente), y por eso un SOC puede ser «maduro sobre el papel» y tener poca capacidad en la práctica.
¿Cuáles son los niveles de madurez de CMMI?
Cinco: 1 Inicial (ad hoc, impredecible), 2 Gestionado (reactivo, procesos a nivel de proyecto), 3 Definido (proactivo, estándares en toda la organización), 4 Gestionado cuantitativamente (medido y controlado con datos) y 5 En optimización (mejora continua). Describen en general qué tan disciplinado y medido es un proceso, no aspectos específicos de las operaciones de seguridad.