El SOC agéntico de Evolutio, premiado como Mejor Proyecto de IA 2026

Evolutio recibió el premio al Mejor Proyecto de IA en los Premios Byte TI 2026 por la transformación de su centro de operaciones de seguridad en un SOC agéntico. El reconocimiento pone el foco en una aplicación de la inteligencia artificial cuyo valor se concreta en el trabajo diario de los equipos de ciberseguridad: comprender mejor las alertas, facilitar las decisiones y automatizar tareas con conocimiento del entorno protegido.

La propuesta de Evolutio sitúa esta adaptación en el centro de su SOC agéntico, una arquitectura que coordina siete sistemas de agentes especializados: Triaje, Contextualización, Análisis, Management, Aprendizaje, Respuesta e Inteligencia. Un orquestador articula su colaboración para abordar el ciclo de las operaciones de seguridad, desde la interpretación de una alerta hasta la gestión de su resolución.

Dentro de esta arquitectura, Contextualización y Management mantienen una vinculación especialmente estrecha con cada cliente. El primero incorpora el conocimiento necesario para interpretar lo que sucede en su entorno. El segundo conecta el trabajo de los agentes con los procedimientos y las herramientas que permiten gestionar el servicio.

Los modelos frontera aportan capacidades crecientes para interpretar información técnica y razonar sobre amenazas. Convertir ese potencial en ciberoperaciones requiere incorporar la criticidad de los activos, las excepciones operativas y las prioridades de cada organización. Una misma alerta puede corresponder a una actividad autorizada o anticipar un incidente grave. Su significado depende del contexto y sus consecuencias exigen una gestión ajustada al negocio.

Esta conexión entre capacidad tecnológica y realidad operativa explica el valor diferencial del enfoque reconocido por Byte TI.

«Nuestro valor diferencial está en transformar la capacidad general de la IA en una operación que conozca al cliente y pueda trabajar dentro de sus procesos. Contextualización y Management son el pegamento que hace posible esa transformación», plantea Raúl Chico, CAIO de Evolutio.

Contextualización para comprender cada alerta en su entorno

El sistema de Contextualización reúne información específica del cliente y la entrega al sistema de Análisis junto con la alerta. Su cometido es aportar las evidencias que permiten interpretar lo ocurrido: el histórico de tickets, el inventario, las identidades y la normativa interna.

Para ello, identifica entidades de una alerta, como usuario, dirección IP, URL y equipo. Después coordina subagentes que consultan el sistema de gestión de servicios, bases de datos de inventario e identidad y documentación interna mediante recuperación de conocimiento, o RAG. Cada dato de contexto cita su fuente para que el analista pueda comprobarlo.

Imaginemos un escenario de posible exfiltración de información. Una herramienta de seguridad detecta una transferencia de datos hacia un dominio externo. Para valorar su relevancia, el SOC necesita averiguar quién está detrás de esa actividad, qué permisos tiene, qué función desempeña el equipo afectado y si existe alguna autorización que la justifique.

Si la contextualización revela que se trata de un usuario con privilegios en Finanzas y que el destino contraviene la normativa interna, el equipo dispone de elementos concretos para orientar la investigación. Si encuentra una actividad autorizada y documentada, puede valorar la señal de otra manera. La información del cliente cambia la interpretación del evento.

Esta integración requiere conocer sus fuentes y cómo utilizar sus datos. Un inventario aporta valor cuando permite entender la función del activo afectado. Un ticket anterior puede explicar una excepción. Una política interna establece qué actividad resulta aceptable para esa organización. Contextualización convierte esas piezas en información utilizable durante la investigación y conserva su trazabilidad.

«El analista necesita saber qué significa una alerta para ese cliente. Cuando recibe el caso con el contexto y sus fuentes, puede dedicar su atención a valorar el riesgo y decidir la respuesta», explica Ricardo Sanz, director de Ciberseguridad de Evolutio.

Management para integrar y medir la operación

Management es otro de los componentes propios de Evolutio dentro del SOC agéntico. Está concebido para conectar el trabajo de los agentes con la gestión cotidiana del servicio, mediante tareas como la actualización de tickets, las notificaciones y el cierre de casos conforme a los procedimientos establecidos.

Gestionar un incidente requiere reflejar lo sucedido en las herramientas del cliente, comunicarlo a los interlocutores adecuados y mantener la continuidad entre los equipos implicados. Una investigación útil debe convertirse en un caso gestionable, con la información necesaria para darle seguimiento.

La personalización alcanza así a cómo se documenta el trabajo, quién recibe una comunicación y qué condiciones permiten cerrar un caso. Estos aspectos concentran conocimiento operativo específico de cada organización y explican la importancia de Management dentro de la oferta.

Esta gestión también debe hacer visible el rendimiento del SOC mediante sus indicadores básicos: el tiempo medio de detección, o MTTD; el tiempo medio hasta el reconocimiento de una alerta, o MTTA; y el MTTR, entendido aquí como tiempo medio de resolución. Su seguimiento requiere criterios de medición coherentes y registros fiables de los hitos de cada caso.

La trazabilidad de la gestión permite identificar dónde se acumulan las esperas, cómo funcionan los escalados y en qué puntos conviene mejorar la coordinación. Estos indicadores deben interpretarse junto con la gravedad de los incidentes, la calidad de las decisiones y los acuerdos de nivel de servicio de cada cliente.

Contextualización y Management conectan, por tanto, el conocimiento del entorno con la ejecución y la evaluación del servicio. El primero ayuda a interpretar la amenaza. El segundo integra el trabajo realizado en un ciclo de gestión que pueda seguirse y mejorarse.

«Management debe llevar el trabajo de los agentes hasta el punto en el que el servicio pueda gestionarlo: el ticket actualizado, la comunicación que corresponde y el cierre conforme al procedimiento. Esa continuidad también nos permite evaluar el rendimiento y orientar la mejora del SOC», señala Ricardo Sanz.

Una arquitectura que aprovecha la evolución de los modelos

El SOC agéntico de Evolutio combina capacidades de fabricantes con sistemas de agentes propios. Triaje y Análisis se apoyan en capacidades de fabricante, mientras que Contextualización, Inteligencia y Management son desarrollos de Evolutio.

Esta combinación permite aprovechar el avance de los modelos y de las plataformas de ciberseguridad, al tiempo que se construye la integración específica que necesita cada organización. El conocimiento del cliente y los procesos del servicio aportan continuidad a una oferta que debe evolucionar con la tecnología.

Cada mejora en las capacidades generales de IA puede incorporarse a una arquitectura que conoce las fuentes y la operativa sobre las que debe trabajar. El desarrollo propio se concentra especialmente en los componentes que transforman esa capacidad en un servicio adaptado al cliente.

«Queremos aprovechar cada mejora de los modelos. Nuestra arquitectura se centra en conectarlos con el conocimiento y la operativa del cliente para que esa mejora se traduzca en capacidad efectiva de servicio», añade Raúl Chico.

Automatización con control humano y soberanía

La automatización del SOC exige definir qué tareas pueden delegarse, qué actuaciones requieren aprobación y cómo se supervisan las excepciones. La propuesta de Evolutio mantiene al profesional dentro del circuito de decisión y vincula la autonomía de los agentes con los procedimientos acordados para cada servicio.

El contexto aporta elementos para decidir. La trazabilidad permite revisar el razonamiento y las evidencias utilizadas. La gestión asegura que las actuaciones queden documentadas y tengan continuidad. Estos mecanismos permiten ampliar la automatización conservando el control operativo.

La soberanía también forma parte del diseño. El contexto de un incidente puede incluir información sensible sobre identidades y vulnerabilidades. La propuesta incorpora un Gateway de IA que asigna a cada flujo el modelo y el entorno de ejecución compatibles con el nivel de control requerido por el cliente.

El valor del proyecto se concreta en la operación

En la comunicación pública del premio, Evolutio informó de reducciones de hasta el 50 % en el tiempo de triaje y de hasta el 40 % en el tiempo medio de resolución. Son resultados comunicados por la compañía que deben valorarse en el contexto de las operaciones medidas.

Estas mejoras permiten entender la relevancia del proyecto como aplicación de IA. La capacidad tecnológica se conecta con problemas concretos del servicio y su contribución puede evaluarse en la operación.

El SOC agéntico de Evolutio articula esa conexión mediante agentes especializados, conocimiento del cliente y procesos de gestión. Contextualización y Management concentran la adaptación que permite convertir capacidades generales de inteligencia artificial en ciberoperaciones automatizadas y personalizadas, con continuidad operativa y supervisión humana.