La mayoría de los equipos de seguridad de las multinacionales tienen el mismo punto ciego. Una filial detecta un ataque; las demás se enfrentan a él semanas después, sin estar preparadas. La inteligencia ya existía dentro de la organización. Simplemente nunca llegó a circular.
La solución más evidente agrupar todos los datos de seguridad en una única plataforma es también la que lleva tiempo atascándose. Este artículo presenta un escenario ilustrativo para mostrar cómo el aprendizaje federado resuelve el problema desde el otro extremo.
La organización que aparece a continuación es hipotética y se ha creado para mostrar cómo funciona este enfoque en la práctica. No describe a ningún cliente concreto.
El escenario
Meridian Group opera infraestructuras energéticas en seis países europeos. Tiene 14.000 empleados. Cada país cuenta con su propia filial, su propio SOC (Centro de Operaciones de Seguridad) y su propia infraestructura de seguridad, heredada de sucesivas adquisiciones. En conjunto, se generan aproximadamente 40.000 eventos de seguridad al día, con cuatro analistas por SOC.
En marzo, la filial alemana detectó una campaña de phishing dirigida al área de compras. Seis semanas después, la filial italiana sufrió la misma campaña.
Por qué falló la centralización de los datos
Meridian lo intentó dos veces. Tres obstáculos hicieron fracasar ambos intentos.
Los registros de seguridad contienen datos personales de empleados, lo que activa las obligaciones derivadas del RGPD (Reglamento General de Protección de Datos), que pueden variar según el país. Dos filiales (silos, nodos o clientes) operan infraestructuras críticas cuyos reguladores nacionales prohíben expresamente que determinados datos operativos salgan del territorio. Además, los contratos con dos proveedores de servicios gestionados prohíben compartir sus datos de monitorización con terceros.
El proyecto de SIEM (Security Information and Event Management) centralizado lleva dos años paralizado. Mientras tanto, cada SOC sigue entrenando sus sistemas de detección únicamente con lo que observa a nivel local: una fracción de lo que realmente experimenta el grupo en su conjunto.
Cómo funciona la detección federada de amenazas
El aprendizaje federado invierte el enfoque habitual. En lugar de llevar los datos al modelo, lleva el modelo a los datos.
Cada filial ejecuta un nodo conectado con lo que ya existe localmente: SIEM, EDR (Endpoint Detection and Response), registros de red y sistemas de gestión de identidades. Los modelos se entrenan localmente con los datos locales. Solo se agregan y comparten los parámetros aprendidos; nunca los registros subyacentes.
El resultado es un modelo de detección que ha aprendido de las seis filiales sin que un solo registro haya cruzado una frontera. Cuando la campaña de phishing llega a Alemania, el patrón entra en el modelo global. Italia lo tiene disponible antes de que llegue el primer correo.
Esto es lo que se suponía que debía proporcionar el SIEM centralizado. El aprendizaje federado lo consigue sin tener que resolver el problema regulatorio, porque evita crearlo desde el principio.
Agentes dentro del flujo de trabajo del analista
La detección es solo la mitad del problema. La otra mitad es que los analistas pasan buena parte de su jornada haciendo triaje en lugar de investigar.
Los agentes que operan dentro de cada silo cambian la naturaleza del trabajo. Un agente de correlación agrupa alertas procedentes de distintas fuentes en un único incidente y filtra el ruido conocido. Un agente de contexto utiliza RAG federado (Retrieval-Augmented Generation, generación aumentada mediante recuperación) para consultar los playbooks del grupo, los incidentes históricos y los repositorios de documentación de sistemas distribuidos entre las distintas filiales, respondiendo a la pregunta «¿hemos visto esto antes?» sin copiar un solo documento.
La decisión sigue siendo humana. Los agentes observan, correlacionan y proponen opciones priorizadas; el analista decide y da su aprobación. Todas las acciones quedan registradas, incluidas las realizadas por los agentes.
Un control de acceso que supera el comité de riesgos
Los permisos se gestionan mediante un control de acceso basado en atributos (ABAC, Attribute-Based Access Control). El acceso no depende únicamente del rol del usuario, sino también del contexto: quién realiza la solicitud, desde qué dispositivo, desde qué ubicación y sobre qué datos.
En la práctica, un analista francés puede consultar patrones agregados del grupo, pero no acceder a datos en bruto de Alemania. Las políticas son explícitas, auditables y coherentes, y queda registrado por qué se concedió o denegó cada acceso.
Para el CISO, esto no es una funcionalidad técnica. Es lo que hace que el proyecto pueda superar el comité de riesgos.
Lo que el aprendizaje federado no resuelve
Omitir esta sección es lo que convierte un caso de uso en un folleto comercial.
- La federación no corrige los datos deficientes. Si una filial registra información de forma incompleta, el modelo federado aprenderá también esas carencias. El trabajo de calidad sobre los registros de datos sigue siendo un requisito previo.
- Los nodos heterogéneos complican el entrenamiento. Cuando las filiales difieren mucho en volumen y distribución de los datos, el modelo global puede quedar sesgado hacia los nodos dominantes. Es un problema conocido y gestionable, pero requiere un diseño deliberado.
- Los agentes no sustituyen a los analistas. Eliminan trabajo mecánico. La investigación, el criterio y la toma de decisiones siguen siendo humanos, y el diseño lo establece así en lugar de prometer una autonomía total.
La idea fundamental
El cuello de botella en la mayoría de los SOC distribuidos en múltiples ubicaciones no es la falta de datos. Es que los datos están en lugares donde no pueden ponerse en común.
Es un problema de arquitectura.
Y los problemas de arquitectura tienen solución.