Activo crítico: por qué contamos servicios y no usuarios

Qué estamos contando

En V-SOC, el activo crítico es cada servicio, plataforma o equipo integrado que vigila el SOC. La unidad sirve para describir el alcance de vigilancia y organizar la operación. Los usuarios y las estaciones de trabajo no cuentan como activos críticos. Esta regla evita confundir el tamaño de una organización con la cantidad de integraciones y unidades que el equipo de seguridad debe observar, investigar y mantener dentro del servicio.

Hablar de servicios no significa que todos los componentes de una infraestructura se reduzcan a una sola unidad. Un servidor integrado individualmente cuenta como activo, al igual que una aplicación o un sitio monitoreado. Para definir el alcance hay que identificar qué se integra y cómo se vigila. El inventario debe permitir rastrear cada cantidad hasta su origen y evitar tanto omisiones como registros duplicados de una misma fuente.

Usuarios, tenants y volumen

Un tenant de Microsoft 365 con 800 usuarios representa un activo crítico. Los usuarios influyen en el volumen de registros estimado, pero no se convierten en 800 activos del SOC. Google Workspace y otro proveedor de identidad siguen la misma distinción: se cuenta el tenant integrado. La calculadora usa la presencia de usuarios para derivar una unidad; si hay varios tenants, el alcance debe revisarse y ajustarse para representarlos correctamente.

Esta separación permite dimensionar productos distintos con unidades distintas. El SIEM se estima en GB/día; EDR se dimensiona en agentes; V-SOC se organiza en activos críticos. Un cambio en el número de usuarios puede aumentar los registros del tenant sin cambiar el número de tenants vigilados. Por eso conviene revisar cada dimensión por separado y no trasladar automáticamente una cantidad de una línea de servicio a otra.

La plataforma EDR también cuenta

Con EDR Cloud de MUUSA, las estaciones y servidores que requieren el agente determinan el dimensionamiento EDR. La plataforma EDR integrada agrega un activo crítico al SOC. Las estaciones siguen sin contarse individualmente como activos. Cuando el cliente usa su propio EDR, no se calcula un precio de EDR de MUUSA, pero la plataforma del cliente suma un activo porque forma parte de las integraciones vigiladas.

Si se elige operar sin EDR, no se agrega ese activo de plataforma y las estaciones quedan fuera de la vigilancia del servicio. Esa elección necesita una conversación sobre cobertura. Recibir otros registros no reemplaza automáticamente la telemetría del endpoint. Antes de definir el alcance, verifica qué herramienta se integrará, qué eventos entregará y qué acciones podrá ejecutar el equipo con los permisos acordados.

Un ejemplo hipotético con 180 estaciones, 10 servidores Windows y 2 controladores de dominio, usando EDR MUUSA, deriva 192 agentes EDR. Para V-SOC suma 13 activos: diez servidores, dos controladores y una plataforma EDR. Cada controlador cuenta como servidor integrado; no se agrupan los dos en un único activo por dominio. Las 180 estaciones no aumentan el total de activos críticos.

Equipos e integraciones individuales

Los servidores Linux/Unix, hipervisores, servidores DNS/DHCP, bases de datos y servidores web o de aplicación cuentan por unidad integrada. También los sitios o aplicaciones web monitoreados y las aplicaciones críticas de negocio declaradas. Revisa si una aplicación y su servidor representan integraciones diferentes dentro del alcance; evita registrar dos veces la misma fuente por describirla con nombres distintos. El listado debe expresar la vigilancia acordada con el SOC.

En seguridad y nube se cuentan firewalls, WAF, VPN, proxy/SWG, sensores IDS/IPS/NDR, cuentas AWS, suscripciones Azure, proyectos GCP y clústeres Kubernetes según sus unidades integradas. Un clúster HA de firewall se ingresa como una unidad lógica. En proxy/SWG, el equipo o servicio determina activos y los usuarios navegando aportan únicamente al cálculo de GB/día. Esas dos entradas responden a preguntas diferentes y deben completarse de manera consistente.

La red de acceso se cuenta por plataforma

Switches, routers y puntos de acceso Wi-Fi suman volumen estimado de registros, pero no activos por equipo. Las plataformas de gestión de red sí cuentan, una por plataforma integrada. Así, 50 switches, 30 puntos de acceso y una controladora representan un activo de gestión de red. El resultado depende de que esa plataforma forme parte del servicio; el inventario físico por sí solo no demuestra una integración operativa.

La calculadora muestra los activos detectados con su origen y permite ajustar el total antes de estimar el plan. Usa ese ajuste para reflejar un alcance comprobado y documenta su motivo. El número final debe corresponder a servicios, plataformas y equipos integrados, con responsables y fuentes definidos. Revisa tu entorno en precios y calculadora o agenda una demo para validar el inventario y la cobertura con MUUSA.