Tus analistas están desbordados de alertas. ¿Qué es la fatiga de alertas y qué harías al respecto?
Respuesta breve
La fatiga de alertas es la desensibilización que aparece cuando los analistas enfrentan demasiadas alertas de bajo valor o falsos positivos, lo que les hace pasar por alto o atender con prisa las reales. Se combate ajustando las reglas ruidosas, priorizando por riesgo, deduplicando y agrupando alertas relacionadas, automatizando el enriquecimiento repetitivo con un SOAR y midiendo la calidad de las alertas, no solo el volumen.
La fatiga de alertas es uno de los problemas operativos más importantes de un SOC, y a los entrevistadores les encanta porque la solución equivocada (simplemente silenciar las alertas) genera un riesgo real. Quieren ver que entiendes tanto el lado humano como el de ingeniería.
Qué es
La fatiga de alertas es la desensibilización que ocurre cuando los analistas son bombardeados con más alertas de las que pueden revisar de forma significativa, la mayoría de las cuales son falsos positivos o de bajo valor. Las personas se habitúan: empiezan a aprobar las alertas como benignas de forma automática, a ojearlas en lugar de investigarlas, y al final la real se les escapa. La brecha de Target en 2013 es el caso clásico de advertencia: la alerta se disparó y fue ignorada en medio del ruido.
Por qué es peligrosa
El coste no es solo un trabajo más lento; son detecciones perdidas. La fatiga también provoca agotamiento y rotación, lo que agrava el problema porque los analistas con experiencia se marchan.
Cómo combatirla
- Ajustar las reglas ruidosas en su causa raíz para que dejen de generar basura, sin crear puntos ciegos.
- Priorizar por riesgo para que los analistas vean primero las alertas más relevantes en lugar de un torrente plano.
- Deduplicar y agregar las alertas relacionadas en un solo caso en lugar de cincuenta tickets separados.
- Automatizar el enriquecimiento repetitivo con un SOAR para que cada alerta llegue ya contextualizada.
- Medir la calidad de las alertas — precisión, tiempo de cierre y cuántas alertas maneja un analista por turno — y no el volumen bruto.
La trampa a evitar
La solución perezosa es la supresión amplia, que cambia la fatiga por la ceguera. Reducir el ruido debe preservar la cobertura; en eso consiste toda la habilidad.
Por qué importa
Demostrar que tratas la fatiga de alertas como un problema de calidad y priorización —y no como un problema de «hacer clic más rápido»— le indica al entrevistador que entiendes cómo fracasan realmente los SOC y cómo mantener uno sano.
Posibles preguntas de seguimiento
- ¿Cómo medirías si la fatiga de alertas está mejorando?
- ¿Cuál es el peligro de suprimir alertas para reducir el volumen?
- ¿Cómo puede un SOAR reducir la carga humana sin ocultar amenazas reales?