Nos quieren vender un servicio SIEM: ¿realmente lo necesitamos para nuestro tamaño?, ¿para qué sirve?

Eso que dice el vendedor de que "el SIEM es obligatorio por la KVKK" no es cierto. La ley te pide tomar medidas técnicas razonables para la seguridad de los datos personales y poder auditar los registros hacia atrás, pero no exige un software SIEM por nombre. Si puedes guardar los logs de acceso básicos con sello de tiempo, legalmente ya cumples el mínimo. Te están queriendo amarrar con miedo.

Somos un despacho de arquitectura con 55 empleados. Hace dos años, por un susto parecido, entramos a un servicio así pagando 18.000 TL al mes. Durante seis meses solo nos mandaban reportes estándar en PDF cada semana. Al revisar vimos que generaba 300 falsas alarmas semanales y ninguna era una amenaza real. Al terminar el contrato cancelamos, nos pasamos a licencias avanzadas de endpoint y el gasto bajó a un tercio.

Para que el motor de un SIEM sirva, necesita buena correlación. Hay que alimentarlo con eventos de Active Directory, switches, logs de firewall, uno por uno. En un lugar de 40 computadoras, ¿cuántos eventos de seguridad significativos pueden salir al día? Casi todo se queda en "Ahmet metió mal su contraseña 3 veces". Pagar miles de liras al mes a un tercero para monitorear eso no tiene sentido.

a nuestro jefe le vendieron el mismo cuento y despues entro un ransomware al servidor de la oficina. xq el de contabilidad abrio una factura falsa y ni tenian verificacion en dos pasos... dijeron q con siem solo hubieran visto en vivo como se infectaba todo. pa mi q primero cierren los huecos basicos.

¿Tienen entre sus clientes a grandes fábricas automotrices o socios extranjeros que les exijan auditorías? A veces las grandes industrias obligan por contrato a sus proveedores a tener ciertos estándares de seguridad o monitoreo en vivo. Si no hay esa presión externa, esa propuesta les queda lejísimos.

Antes de gastar ese dinero en un SIEM, checa si ya cumplieron estos 3 puntos: 1) ¿Los servidores de contabilidad y ERP tienen puertos abiertos directo a internet? 2) ¿Los respaldos están desconectados físicamente de la red? 3) ¿Tienen un antivirus/endpoint administrado centralmente en todos los equipos? Si no tienen esto, el SIEM solo va a servir para ver cómo se quema todo.

Agradece amablemente la cotización y amplía la capacidad de almacenamiento de logs de tu firewall actual. Pon un almacenamiento externo, manda los logs ahí y revisa los respaldos a diario, con eso basta. En lugar de pagar 22.000 TL al mes, usa esa lana para tu personal de TI o para renovar equipo de infraestructura.

En la empresa de logística donde trabajaba antes lo pusieron por pura emoción. El primer mes salieron cientos de alertas y el equipo de TI terminó silenciando las notificaciones. Al cuarto mes, entre tanta alerta silenciada, ni nos dimos cuenta de que habían encriptado un servidor. El tema no es el software, sino la capacidad del analista que está detrás; y con presupuesto de PYME lamentablemente no alcanza para ese nivel de especialización.

Nota: esto es mi experiencia, puede no aplicar a todos.

Hay una cosa a la que hay que prestar atención. Antes de decidir mirad qué datos tenéis en la mano.

Corrijanme si me equivoco.

El punto que más se pasa por alto sobre qué es el servicio SIEM es este: No confíes en una sola medida; ve capa por capa.

Ánimo.

Lo probaré. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Eso es todo, disculpa si me he extendido demasiado.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Si regañas las falsas alarmas, nadie volverá a reportar.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Yo seguiría por ese camino.

Estoy de acuerdo.

Estoy de acuerdo. Si es la primera vez que lo hacéis empezad poco a poco, la escala llegará después.

Pienso diferente. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Eso es todo, disculpa si me he extendido demasiado.

En su momento, nosotros también nos atascamos ahí. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Espero que le sea útil.

Estoy de acuerdo. Si regañas las falsas alarmas, nadie volverá a reportar.

Voy a defender lo contrario, no se molesten. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Eso es todo, disculpa si me he extendido demasiado.