Seguridad gestionada (MSSP): tu departamento de seguridad, sin contratarlo

La seguridad no se resuelve con un proyecto al año. Hacemos de departamento de seguridad externo: vigilamos lo que tienes expuesto, priorizamos lo que hay que arreglar, respondemos cuando algo pasa y dejamos por escrito el estado del programa cada mes. Con una persona concreta al teléfono, no un buzón de tickets.

Última actualización: noviembre de 2026

4 h — Respuesta inicial ante un incidente crítico, con protocolo de respuesta activado
Mensual — Ciclo fijo: incidentes revisados, vulnerabilidades priorizadas e informe con reunión
NIST CSF 2.0 — El marco sobre el que medimos la postura y construimos el plan a 12 meses
1 interlocutor — Un CISO virtual asignado que conoce tu entorno, no un turno rotatorio

El problema no es que falte tecnología, es que no hay nadie mirando

Casi ninguna empresa mediana puede permitirse un CISO, un SOC y un equipo de respuesta propios. Lo que suele haber es un responsable de sistemas que además lleva la seguridad, herramientas compradas que nadie revisa y un pentest al año cuyo informe se queda a medio corregir. El atacante no distingue entre una empresa de veinte personas y una cotizada: busca lo que está expuesto y sin parchear, y eso aparece y desaparece cada semana.

Un MSSP no es comprar más herramientas. Es poner a alguien a mirar de forma continua y a decidir qué se arregla primero: qué ha aparecido nuevo en tu superficie expuesta, qué vulnerabilidad de tu stack se está explotando ya de verdad, qué incidente merece despertar a alguien y qué puede esperar al martes. Y dejar constancia escrita de todo ello, que es lo que te va a pedir un auditor de NIS2, de ISO 27001 o un cliente grande en su cuestionario de proveedor.

Lo que no somos: ni un soporte de IT con la seguridad de propina, ni un revendedor de licencias. Trabajamos con lo que ya tienes y nuestro trabajo es que el plan avance, no que el ticket se cierre.

Qué incluye el servicio

CISO virtual asignado: dirección del programa de seguridad y reunión mensual con dirección
Plan de seguridad a 12 meses sobre NIST CSF 2.0, con hitos y responsables
Vigilancia continua de la superficie expuesta: dominios, subdominios, puertos, servicios y certificados
Gestión de vulnerabilidades de principio a fin: descubrimiento, priorización por riesgo real y seguimiento hasta el cierre
Aviso de vulnerabilidades explotadas activamente que afectan a tu stack concreto, con la acción recomendada
Revisión de logs e incidentes, sobre tu SIEM o sobre el nuestro si no tienes
Respuesta a incidentes: contención, análisis forense y recuperación, con protocolo acordado por escrito
Concienciación continua y simulaciones de phishing trimestrales
Seguimiento del cumplimiento aplicable: NIS2, DORA, ENS e ISO 27001
Pentesting anual de alcance acordado, incluido a partir del nivel medio de servicio
Pruebas ofensivas periódicas entre un pentest y el siguiente, asistidas por agentes de IA y validadas por un pentester, con la frecuencia acordada (hasta mensual)
Expediente permanente de evidencias para auditorías y cuestionarios de cliente

Cómo funciona mes a mes

Alta y línea base: Inventario de activos reales —no el que dice la documentación—, revisión de configuraciones, medición de la postura contra NIST CSF 2.0 y plan a 12 meses acordado con dirección.
Vigilancia continua: Superficie expuesta, vulnerabilidades nuevas en tu stack y anomalías en los registros. Lo que requiere acción inmediata se avisa cuando pasa, no en el informe de fin de mes.
Ciclo mensual: Revisión de incidentes del mes, estado de cada vulnerabilidad abierta, avance del plan e informe escrito. Reunión para decidir las prioridades del mes siguiente.
Respuesta a incidentes: Protocolo activado en menos de 4 horas ante un incidente crítico: contención primero, análisis forense después y lecciones incorporadas al plan.
Revisión trimestral: Medición del progreso frente a la línea base, actualización del plan, simulación de phishing y revisión del expediente de cumplimiento.

Lo que pasa desapercibido sin nadie mirando

Un recorrido de técnicas por táctica de MITRE ATT&CK y qué hace con ellas la defensa antes y después de tener el servicio en marcha. No es que aparezcan herramientas nuevas: es que lo que ya se registraba pasa a mirarlo alguien y a generar una acción.

Lo que más cambia no es la detección, es que alguien decide qué hacer con cada alerta y lo deja escrito.
El reconocimiento externo —lo que un atacante ve de ti desde fuera— es lo primero que se recupera, porque no depende de desplegar nada dentro.
Las técnicas que quedan en ámbar siguen registradas sin alerta propia: aparecen en el informe mensual y entran en el plan, no se tapan.

Ejemplo ilustrativo del tipo de salto que produce el servicio, no la medición de un cliente concreto.

Qué recibes

Plan de seguridad a 12 meses con hitos, responsables y estado actualizado
Cuadro de postura de seguridad consultable en continuo
Informe mensual: incidentes, vulnerabilidades abiertas y cerradas, y avance del plan
Avisos de lo crítico cuando ocurre, con la acción recomendada y el SLA acordado
Informe trimestral de la simulación de phishing y de concienciación
Pentesting anual con informe técnico y ejecutivo
Expediente de evidencias listo para una auditoría o el cuestionario de un cliente grande

Para quién es

Empresas sin departamento de seguridad propio que tienen que cumplir NIS2 y no saben por dónde empezar
Startups SaaS a las que un inversor o un cliente enterprise les exige controles formales y evidencias
Empresas que acaban de sufrir un incidente y quieren que no se repita, con alguien respondiendo del plan
Entidades sujetas a DORA con obligación de gestionar el riesgo TIC de forma continua
Organizaciones en camino a la ISO 27001 que necesitan soporte técnico sostenido, no solo consultoría documental
Equipos de IT que llevan la seguridad "además de todo lo demás" y necesitan a alguien que la lleve de verdad

MSSP, SOC propio y mantenimiento de IT

Se confunden a menudo porque los tres "vigilan algo". Lo que cambia es qué miran, quién decide y de qué responden.

	MSSP gestionado	SOC propio	Mantenimiento de IT
A qué se dedica	Al programa de seguridad entero	A detectar y responder en tiempo real	A que los sistemas funcionen
Decide qué se arregla primero	Sí, y responde del plan	Escala, no prioriza el negocio	Lo que rompe la operación
Coste de entrada	Cuota mensual	Alto: plantilla 24/7 y herramientas	Bajo, pero no cubre seguridad
Respuesta a incidentes	Incluida, con protocolo y SLA	Incluida	Normalmente fuera de contrato
Evidencia para NIS2 / ISO 27001	Expediente mantenido al día	Según cómo se documente	No
Vigilancia de la superficie expuesta	Sí	A veces, si hay ASM	No
Cuándo encaja	Sin equipo propio y con obligaciones que cumplir	Volumen y criticidad que justifican plantilla	Siempre, pero no sustituye a lo anterior

Compara con

Preguntas frecuentes sobre seguridad gestionada

¿Qué diferencia hay entre un MSSP y un contrato de mantenimiento de IT?

El mantenimiento de IT responde de que los sistemas funcionen; un MSSP responde de que estén protegidos, que no es lo mismo y a veces entra en conflicto. Nosotros no administramos tu infraestructura: la evaluamos, priorizamos lo que hay que corregir y acompañamos a quien lo corrige, sea tu equipo o tu proveedor de sistemas. Lo habitual es que convivan: ellos operan, nosotros marcamos el criterio de seguridad y verificamos.

¿En qué se diferencia de la ciberinteligencia que también ofrecéis?

El MSSP mira hacia dentro: tu superficie expuesta, tus vulnerabilidades, tus incidentes y tu plan. La ciberinteligencia mira hacia fuera: qué se dice y se vende de ti en foros y mercados, si circulan credenciales de tus empleados, si alguien ha registrado un dominio parecido al tuyo. Se complementan, y quien contrata los dos recibe un solo informe. Si solo puedes empezar por uno, empieza por el MSSP: sin proceso interno, la inteligencia externa no se traduce en nada.

¿Cuál es el SLA de respuesta ante un incidente?

Para incidentes críticos, respuesta inicial en menos de 4 horas y protocolo activado desde ese momento: contención primero y análisis después. Para incidentes de alto impacto, inicio del análisis forense en 24 horas. Los umbrales de qué cuenta como crítico se acuerdan contigo al principio, porque "crítico" no significa lo mismo en una fábrica que en un SaaS.

¿Hace falta cambiar de herramientas para contrataros?

No. Trabajamos sobre lo que ya tengáis —vuestro SIEM, vuestro EDR, vuestro cloud— y si no hay nada aportamos lo mínimo necesario para la vigilancia. No revendemos licencias ni tenemos incentivo en que compréis una herramienta concreta, lo que nos deja decir cuándo una que ya pagáis no os está aportando nada.

¿El servicio incluye el pentesting anual?

Sí a partir del nivel medio de servicio, con el alcance acordado al principio del año. Es la combinación que tiene sentido: vigilancia continua para lo que cambia cada semana y una evaluación profunda al año para lo que solo se encuentra mirando despacio. Si ya hacéis pentesting con otro proveedor, se descuenta del servicio.

¿Y entre un pentest anual y el siguiente, quién prueba lo que cambia?

Además de vigilar la superficie expuesta, hacemos pruebas ofensivas periódicas asistidas por agentes de IA, con la frecuencia que se acuerde al dimensionar el servicio (hasta mensual). Repiten las pruebas del último pentest para confirmar que lo corregido sigue corregido y prueban lo que ha cambiado: subdominios, servicios o versiones nuevas. Igual que en el pentesting con IA, cada acción intrusiva la aprueba un pentester y nada llega al informe mensual sin validarse a mano. El pentest anual sigue siendo la evaluación en profundidad.

¿Qué pasa si nuestro equipo no tiene tiempo de corregir lo que encontráis?

Es el cuello de botella más habitual y por eso el plan se dimensiona con vuestra capacidad real de remediación, no con la lista completa de hallazgos. Priorizamos por riesgo real —qué se está explotando de verdad y qué expone datos—, y lo que no entra queda registrado como riesgo aceptado, con fecha y responsable. Un riesgo aceptado conscientemente es una decisión; uno olvidado es un agujero.

¿Sirve para cumplir NIS2?

Cubre buena parte de las medidas del artículo 21: gestión de vulnerabilidades, tratamiento de incidentes, concienciación, continuidad y la evidencia documental de todo ello. Lo que no cubre por sí solo es el gobierno —el órgano de dirección sigue siendo responsable y tiene obligación de formación— ni la notificación formal a la autoridad, aunque la preparamos contigo. Te decimos en la línea base qué parte queda fuera.

¿Trabajáis con empresas pequeñas?

Sí, y es donde más se nota, porque el salto desde "nadie mirando" es mayor. El servicio se dimensiona por activos y obligaciones, no por plantilla: una empresa de quince personas con datos de salud necesita más que una de doscientas que vende tornillos.

¿Qué pasa si decidimos montar un equipo interno más adelante?

Es el final razonable para una empresa que crece, y el plan, el inventario y el expediente de evidencias son vuestros desde el primer día precisamente para eso. Lo habitual es una transición donde la persona que contratáis entra acompañada y nosotros nos quedamos en lo puntual: pentesting, respuesta a incidentes o segunda opinión.