MSSP, SOC gestionado y MDR: diferencias reales y cuál necesitas

Un MSSP administra tus herramientas de seguridad, un SOC gestionado vigila lo que ocurre en tu entorno y te avisa, y un MDR además actúa sobre el incidente: aísla equipos, deshabilita cuentas y corta la propagación dentro de lo que hayáis pactado. Para saber cuál tienes, o cuál te están ofreciendo, pregunta qué pasa en los quince minutos siguientes a una alerta crítica un sábado de madrugada.

Las tres siglas aparecen mezcladas en casi todas las propuestas comerciales, y no siempre por mala fe: el propio mercado las usa con bastante libertad. El problema es que detrás de cada una hay un modelo de servicio distinto, con un coste distinto y, sobre todo, con un resultado muy diferente el día que alguien entra en tu red.

Aquí explico qué hace realmente cada modelo, cómo situarte con una sola pregunta y qué conviene pedir por escrito para comparar ofertas sin perderse en el discurso comercial.

Qué hace cada uno

MSSP (proveedor de servicios de seguridad gestionados). Administra tecnología: Firewall, VPN, filtrado de correo, antivirus. Aplica parches, cambia reglas, renueva licencias y se asegura de que todo funcione. Puede generar alertas, pero su trabajo es operar herramientas, no investigar incidentes.

SOC gestionado. Recoge registros de distintas fuentes, los correlaciona y tiene analistas que revisan lo que salta. Cuando ven algo relevante te lo notifican con contexto: qué equipo, qué usuario, qué recomiendan hacer. La ejecución queda en manos de tu equipo o de tu proveedor de IT.

MDR (detección y respuesta gestionadas). Detecta e investiga como un SOC y, además, tiene permisos y medios técnicos para actuar: aislar un equipo desde el EDR, deshabilitar una cuenta y revocar sus sesiones activas, detener un proceso o bloquear un indicador. Normalmente incluye búsqueda proactiva de amenazas (threat hunting) y apoyo en la investigación posterior.

La frontera que más se difumina en las ofertas es la que separa el SOC gestionado del MDR. Muchos servicios que se venden como SOC 24×7 terminan en una llamada o en un correo. Eso tiene valor, pero no es contención.

La prueba de las tres de la madrugada

Funciona muy bien en una primera reunión con un proveedor. Plantea un escenario concreto: sábado, 03:10, el EDR detecta cifrado masivo de ficheros en un servidor desde una cuenta con privilegios de administrador. Pide que te cuenten, minuto a minuto, qué ocurre en el siguiente cuarto de hora.

• Queda registrada y se revisa el lunes: tienes herramientas gestionadas.
• Un analista la valida y llama al responsable de IT: tienes vigilancia. El tiempo de contención depende de que alguien conteste al teléfono y sepa qué hacer a esa hora.
• El analista aísla el servidor, deshabilita la cuenta, revoca sus sesiones y después te llama con lo que ha visto: tienes MDR.

Fíjate también en lo que no mencionan. Si la respuesta habla del servidor pero no de la cuenta comprometida, el atacante sigue dentro con credenciales válidas y puede volver a entrar por otro sitio.

Qué encaja según tu punto de partida

No es una escalera que haya que subir peldaño a peldaño. Una empresa que ya tiene un EDR moderno bien desplegado puede ir directamente a MDR.

Por qué el MDR cuesta más y cuándo compensa

Lo que se paga es la capacidad de actuar en minutos a cualquier hora: analistas en turno real, procedimientos probados y permisos técnicos sobre tu entorno. Eso supone un coste fijo alto para el proveedor y se refleja en la cuota.

Compensa porque el impacto de un incidente depende, sobre todo, del margen que tiene el atacante para moverse. Un acceso contenido en el primer equipo se cierra en días. Ese mismo acceso con ocho horas por delante puede llegar al controlador de dominio, a las copias de seguridad y a una exfiltración de datos que obliga a notificar. La detección puede ser igual de rápida en los dos casos; lo que cambia es lo que pasa justo después.

Seis preguntas para comparar propuestas

1. ¿Hay analistas en turno las 24 horas o un sistema de alertas con revisión al día siguiente? Las dos cosas se venden como 24×7. Pregunta cuántas personas hay de guardia de madrugada.
2. ¿Qué acciones ejecutáis sin pedir autorización? Pide la lista concreta por escrito, y también qué sistemas quedan excluidos.
3. ¿Qué fuentes cubrís? Endpoint, identidad (Entra ID o Active Directory), correo, nube y red. Un servicio que solo ve el endpoint no detectará el robo de una sesión de Microsoft 365.
4. ¿Cuánta retención de datos incluye la cuota? Marca hasta dónde se puede investigar hacia atrás. Con 30 días de retención, un acceso que lleva dos meses dentro queda fuera del análisis.
5. ¿Qué SLA dais por severidad? Separando apertura, asignación y atención, y con el reloj en marcha desde que salta la alerta, no desde que el analista la valida.
6. ¿Qué incluye la respuesta a incidentes? Si hay horas de análisis forense en la cuota, cuántas, y qué pasa si se agotan a mitad de un incidente.

Con esas seis respuestas por escrito, comparar dos ofertas es cuestión de una tarde.

Se puede mantener la tecnología que ya tienes

Un proveedor de MDR serio integra el EDR, el entorno de identidad y el Firewall que ya tienes desplegados. Si te propone sustituir alguna pieza, pídele que concrete qué capacidad falta. A veces la carencia es real (un antivirus tradicional no permite aislar equipos ni investigar lo ocurrido) y a veces es simplemente una venta de licencias.

Lo que sí hay que revisar antes de arrancar es la cobertura real del EDR. Es habitual encontrar servidores sin agente, equipos con versiones antiguas o políticas en modo solo detección. Un MDR no puede aislar un equipo en el que no hay agente.

En Cylum prestamos detección y respuesta gestionada con analistas en turno 24×7 que contienen el incidente según un procedimiento pactado contigo. Si estás comparando propuestas, podemos repasar la tuya con estas seis preguntas.