Con más de 600 proveedores que afirman ofrecer servicios MDR según Guía de mercado de Gartner para 2025, Seleccionar al proveedor adecuado resulta abrumador. El lenguaje de marketing difumina la línea entre los servicios de monitorización MDR genuinos y los servicios de monitorización reempaquetados. Los proveedores prometen más de lo que pueden cumplir. Las tablas comparativas confunden más de lo que aclaran.

Esta guía elimina la confusión. Le proporcionaremos un marco estructurado para evaluar a los proveedores de MDR, las preguntas específicas que debe hacer y las señales de alerta que indican que un proveedor no cumplirá con lo prometido.

Al final, dispondrá de una lista de verificación práctica que podrá utilizar de inmediato en su proceso de evaluación.

¿Eres nuevo en MDR? Empieza con nuestro Guía completa para la detección y respuesta gestionadas. antes de evaluar a los proveedores.

 

Antes de comenzar: Defina sus requisitos

El mayor error que cometen las organizaciones es evaluar a los proveedores antes de comprender sus propias necesidades. Antes de contactar a cualquier proveedor, documente:

1. Tu entorno

• Puntos finales¿Cuántos dispositivos necesitan cobertura? (computadoras portátiles, servidores, dispositivos móviles);
• Nube¿Qué plataformas? (AWS, Azure, GCP, híbrida);
• Seguridad: FW, IPS/IDS, WAF, XDR, EDR, NDR, otros;
• Red: Infraestructura local, sitios remotos, OT/IoT;
• Identidad: Directorio activo, proveedores de SSO, plataformas de identidad;
• Correo electrónico: Microsoft 365, Google Workspace, otros.

2. Tus limitaciones

• Presupuesto¿Cuál es tu presupuesto anual realista?
• Residencia de datos¿Exigen las normativas que los datos permanezcan en regiones específicas?
• Cumplimiento¿Qué marcos normativos se aplican? (RGPD, NIS2, PCI-DSS, HIPAA, ISO 27001)
• Requisitos de integración¿A qué herramientas existentes debe conectarse el MDR?

3. Tus expectativas

• Nivel de respuesta¿Desea que el proveedor tome medidas o simplemente que le avise?
• Horas de cobertura¿Servicio 24/7 o solo en horario comercial?
• Comunicación¿Cómo desea que se le notifique? ¿Con qué rapidez?
• Informes¿Qué métricas e informes necesitan las partes interesadas?

Documente estos requisitos antes de cualquier conversación con proveedores. Se convertirán en sus criterios de evaluación.

Los 7 criterios de evaluación principales

1. Capacidades de detección

La detección es la base. Sin una detección eficaz, nada más importa.

Preguntas que debe hacerse:

• ¿Qué fuentes de datos utiliza? (puntos finales, red, nube, identidad, correo electrónico)
• ¿Utilizas análisis de comportamiento o solo detección basada en firmas?
• ¿Cómo se detectan las amenazas que no coinciden con los patrones conocidos?
• ¿Qué fuentes de inteligencia sobre amenazas utiliza? ¿Con qué frecuencia se actualizan?
• ¿Puedes detectar el movimiento lateral y la escalada de privilegios?
• ¿Cómo gestiona el tráfico cifrado?

Qué buscar:

• Cobertura en todo su entorno, no solo en los puntos finales;
• Detección basada en el comportamiento y en anomalías, no solo en firmas;
• Integración con inteligencia sobre amenazas (fuentes comerciales + investigación propia);
• Capacidad para detectar amenazas avanzadas: malware sin archivos, ataques que aprovechan los recursos del sistema, amenazas internas.

Señales de alerta:

• Solo supervisa los puntos finales (sin visibilidad de la red, la nube o la identidad);
• Se basa exclusivamente en la detección basada en firmas;
• No pueden explicar su metodología de detección más allá de “IA/ML”;

2. Capacidades de respuesta

Aquí es donde el MDR real se diferencia de los servicios de monitoreo. Según Gartner, Una pregunta fundamental es: "¿Qué tipos de respuesta se ofrecen como componente del servicio MDR y cuál es el límite de esas actividades de respuesta?"“

Preguntas que debe hacerse:

• ¿Qué medidas de respuesta puedes tomar sin mi aprobación?
• ¿Qué acciones requieren mi autorización previa?
• ¿Es posible aislar de forma remota los puntos finales comprometidos?
• ¿Es posible bloquear direcciones IP, dominios o procesos maliciosos?
• ¿Se pueden desactivar las cuentas de usuario comprometidas?
• ¿Cuál es el tiempo promedio desde la detección hasta la contención?
• ¿Ofrecen orientación para la remediación o solo medidas de contención?

Qué buscar:

• Capacidades de respuesta activa (aislar, bloquear, deshabilitar), no solo alertar;
• Procedimientos claros para la escalada de la gravedad de los diferentes niveles;
• Acuerdos de nivel de servicio (SLA) de respuesta definidos con compromisos de tiempo específicos;
• Orientación para la remediación y análisis de la causa raíz.

Señales de alerta:

• “Les avisamos y ustedes responden”, eso es monitoreo, no MDR;
• Capacidades de respuesta vagas sin acciones específicas enumeradas;
• No se han definido acuerdos de nivel de servicio (SLA) para los tiempos de respuesta;
• Requiere que su equipo esté disponible las 24 horas del día, los 7 días de la semana, para autorizar las acciones.

3. Asistencia humana las 24 horas del día, los 7 días de la semana.

La tecnología por sí sola no basta. Se necesitan analistas cualificados que investiguen las amenazas las 24 horas del día.

Preguntas que debe hacerse:

• ¿Su centro de operaciones de seguridad (SOC) cuenta con analistas humanos disponibles las 24 horas del día, los 7 días de la semana, los 365 días del año?
• ¿Dónde se encuentran sus centros de operaciones de seguridad (SOC)? ¿Qué zonas horarias cubren?
• ¿Cuál es el nivel de experiencia promedio de sus analistas?
• ¿Qué certificaciones tienen sus analistas?
• ¿Cuál es su tasa de rotación de analistas?
• ¿A cuántos clientes presta servicio cada analista?
• ¿Los mismos analistas trabajan en mi cuenta o se trata de un equipo rotativo?

Qué buscar:

• Cobertura real las 24 horas del día, los 7 días de la semana, con analistas humanos (no solo alertas automatizadas);
• Analistas con experiencia (promedio de 3 años o más de experiencia);
• Ratios razonables entre analistas y clientes;
• Baja rotación de personal (indica buenas condiciones laborales y retención de talento).

Señales de alerta:

• “Supervisión automatizada las 24 horas del día, los 7 días de la semana, con revisión por parte de analistas durante el horario laboral”;
• No está dispuesto a revelar su experiencia como analista ni sus certificaciones;
• Altas tasas de rotación (más de 30% al año);
• Centro de operaciones de seguridad (SOC) exclusivamente offshore con posibles barreras lingüísticas/de comunicación.

4. Búsqueda de amenazas

La búsqueda proactiva de amenazas detecta adversarios que ya se encuentran en su entorno y que la detección automatizada no ha tenido en cuenta.

Preguntas que debe hacerse:

• ¿Realiza usted una búsqueda proactiva de amenazas o solo una detección reactiva?
• ¿Con qué frecuencia realiza búsquedas de amenazas?
• ¿Qué desencadena una búsqueda de amenazas? (programada, basada en información de inteligencia, solicitud del cliente)
• ¿Podrías compartir ejemplos de amenazas descubiertas durante la caza?
• ¿Realizas búsquedas entre todos los clientes o solo cuando interactúas específicamente con ellos?

Qué buscar:

• Búsqueda de amenazas periódica y programada (no solo cuando se solicita);
• Cacerías basadas en inteligencia y en amenazas emergentes;
• Metodología de caza documentada;
• Posibilidad de compartir ejemplos anónimos de descubrimientos de caza.

Señales de alerta:

• La búsqueda de amenazas es un servicio adicional con un coste extra;
• Solo realiza cacerías cuando el cliente lo solicita específicamente;
• No pueden explicar su metodología de caza ni proporcionar ejemplos.

5. Conjunto de tecnologías e integración

La tecnología del proveedor de MDR debe ser compatible con su infraestructura existente.

Preguntas que debe hacerse:

• ¿Qué agente de punto final utiliza? ¿Es propietario o de terceros?
• ¿Con qué plataformas SIEM/EDR/XDR se integran?
• ¿Podéis trabajar con nuestras herramientas de seguridad actuales o necesitamos reemplazarlas?
• ¿Cómo se recopilan los datos de telemetría de la red?
• ¿Ofrecen soporte para nuestras plataformas en la nube? (AWS, Azure, GCP)
• ¿Cuál es su cronograma de implementación? ¿Qué se requiere de nuestro equipo?

Qué buscar:

• Integración flexible con herramientas de seguridad comunes;
• Soporte para sus plataformas en la nube específicas;
• Proceso de implementación claro con plazos definidos;
• Mínimas interrupciones en las operaciones existentes.

Señales de alerta:

• Requiere eliminar las inversiones existentes;
• Solo funciona con sus herramientas patentadas;
• Plazos de implementación imprecisos ("depende");
• Se requiere un gran esfuerzo por parte de su equipo durante el proceso de incorporación.

De acuerdo a eSentire, Deberías preguntar: "¿Cuánto tiempo tardó en completarse la incorporación de tus últimos 10 clientes?" Obtén datos reales, no estimaciones de marketing.

6. Informes y visibilidad

Necesitas tener visibilidad sobre lo que está haciendo el proveedor y cómo está mejorando tu nivel de seguridad.

Preguntas que debe hacerse:

• ¿Qué informes proporcionan? ¿Con qué frecuencia?
• ¿Podemos acceder a un panel de control en tiempo real?
• ¿Qué métricas monitorizas? (MTTD, MTTR, incidentes por tipo, etc.)
• ¿Proporcionan resúmenes ejecutivos para la dirección?
• ¿Se pueden personalizar los informes para adaptarlos a nuestros requisitos de cumplimiento normativo?
• ¿Realizan análisis de las causas raíz de los incidentes?

Qué buscar:

• Paneles de control en tiempo real con el estado actual de las amenazas;
• Informes periódicos (operativos semanales, ejecutivos mensuales);
• Métricas claras: Tiempo medio de detección (MTTD), Tiempo medio de respuesta (MTTR);
• Informes listos para cumplir con sus requisitos normativos;
• Análisis de las causas fundamentales y recomendaciones para la mejora.

Señales de alerta:

• Informes limitados (“le enviaremos un resumen mensual”);
• Sin acceso al estado en tiempo real;
• No están dispuestos a compartir informes de muestra antes de firmar;
• No se han definido métricas ni indicadores clave de rendimiento (KPI) claros;

7. Acuerdos de Nivel de Servicio (SLA)

Los acuerdos de nivel de servicio (SLA) definen la responsabilidad. Los SLA vagos implican una responsabilidad vaga.

Preguntas que debe hacerse:

• ¿Cuál es su SLA para la confirmación inicial de la alerta?
• ¿Cuál es su acuerdo de nivel de servicio (SLA) para la contención de amenazas?
• ¿Cuál es su tiempo de actividad garantizado?
• ¿Qué sucede si no se cumple un SLA? (créditos, penalizaciones)
• ¿Cómo se mide y se informa sobre el rendimiento de los SLA?
• ¿Podemos ver datos históricos sobre el rendimiento del SLA?

Qué buscar:

• Acuerdos de nivel de servicio (SLA) específicos y medibles (por ejemplo, "confirmación de recepción en 15 minutos para alertas críticas");
• Consecuencias claras por incumplimiento de los acuerdos de nivel de servicio (SLA);
• Informes transparentes sobre el rendimiento de los acuerdos de nivel de servicio (SLA);
• Disposición a compartir datos históricos de rendimiento;

Señales de alerta:

• Acuerdos de nivel de servicio (SLA) vagos ("respondemos rápidamente");
• No habrá consecuencias por incumplimiento de los acuerdos de nivel de servicio (SLA).;
• No están dispuestos a compartir el historial de rendimiento de SLA;
• Los acuerdos de nivel de servicio (SLA) solo se aplican durante el horario laboral.

Lista de verificación de evaluación completa

Utilice esta lista de verificación durante la evaluación de sus proveedores. Califique a cada proveedor según estos criterios:

Detección y cobertura

• Cubre puntos finales, red, nube, identidad y correo electrónico.
• Utiliza detección de comportamiento/anomalías, no solo firmas.
• Integra información sobre amenazas procedente de múltiples fuentes.
• Puede detectar amenazas avanzadas (sin archivos, movimiento lateral, internas).
• Compatible con sus plataformas en la nube específicas.
• Proporciona visibilidad del tráfico cifrado

Capacidades de respuesta

• Toma medidas de respuesta activas (aislar, bloquear, deshabilitar).
• Cuenta con procedimientos de escalamiento claros según la gravedad.
• Proporciona acuerdos de nivel de servicio (SLA) de respuesta documentados.
• Ofrece orientación para la remediación, no solo para la contención.
• Realiza análisis de la causa raíz de los incidentes.

Experiencia humana

• Servicio de SOC disponible las 24 horas, los 7 días de la semana, los 365 días del año, con analistas humanos.
• Analistas con experiencia (promedio de 3 años o más)
• Relación razonable entre analistas y clientes.
• Tasa de rotación aceptable (inferior a 25%)
• Canales de comunicación claros y vías de escalamiento

Caza de amenazas

• Se incluye la búsqueda proactiva y programada de amenazas.
• Metodología de caza basada en la inteligencia
• Puede proporcionar ejemplos de descubrimientos de caza.
• La caza abarca todo tu entorno.

Tecnología e integración

• Se integra con sus herramientas de seguridad existentes.
• Compatible con sus plataformas en la nube
• Cronograma de implementación claro y realista
• Mínima interrupción de las operaciones
• Requisitos razonables de su equipo

Informes y visibilidad

• Acceso al panel de control en tiempo real
• Informes periódicos (semanales y mensuales)
• Métricas claras (MTTD, MTTR, tendencias de incidentes)
• Informes listos para cumplir con sus requisitos.
• Resúmenes ejecutivos para el liderazgo

Acuerdos de nivel de servicio y rendición de cuentas

• Acuerdos de nivel de servicio (SLA) específicos y medibles
• Consecuencias por incumplimiento de los SLA
• Informes de rendimiento de SLA transparentes
• Datos históricos de rendimiento disponibles

Ajuste empresarial

• Cumple con sus requisitos de residencia de datos
• Cuenta con las certificaciones de cumplimiento pertinentes (SOC 2, ISO 27001).
• Experiencia en su sector
• Precios que se ajustan a tu presupuesto
• Condiciones contractuales aceptables (duración, cláusulas de rescisión)

Preguntas para hacer a las referencias

No omitas la verificación de referencias. Pregunta a las posibles referencias:

1. Incorporación“¿Cuánto tiempo duró realmente el despliegue? ¿Qué se requirió de su equipo?”
2. Calidad de detección“¿Han detectado amenazas reales? ¿Podría compartir un ejemplo sin dar detalles delicados?”
3. Velocidad de respuesta“Cuando hubo un incidente, ¿con qué rapidez respondieron? ¿Cumplieron con sus acuerdos de nivel de servicio (SLA)?”
4. Comunicación¿Cómo es la comunicación diaria? ¿Son proactivos o hay que insistirles?“
5. Valor“¿Sientes que obtienes una buena relación calidad-precio? ¿Los volverías a elegir?”
6. Debilidades“¿Qué es lo que te gustaría que hicieran mejor?”

Solicite referencias a organizaciones similares a la suya, del mismo sector, de tamaño similar y con un nivel de complejidad del entorno similar.

Resumen de señales de alerta: cuándo alejarse

Aléjese de un proveedor si observa estas señales de advertencia:

Señales de alerta técnicas

• Cobertura solo para puntos finales: Las amenazas reales se mueven por tu entorno;
• Detección solo por firmaLos adversarios modernos eluden las firmas fácilmente;
• Sin respuesta activa: Alertar sin tomar medidas no es MDR;
• Bloqueo de propiedad: Te obliga a reemplazar las herramientas que funcionan.

Señales de alerta operativas

• Sin cobertura humana las 24 horas del día, los 7 días de la semana.Las alertas automatizadas no son lo mismo que la revisión de un analista;
• Acuerdos de nivel de servicio (SLA) vagos“Respondemos rápidamente” no es un compromiso;
• No se permite la caza de amenazas: La detección exclusivamente reactiva no detecta las amenazas incrustadas;
• Alta rotación de analistas: Indica problemas que eventualmente sentirás.

Señales de alerta en los negocios

• No puedo proporcionar referencias.Todo proveedor consolidado debería tener clientes satisfechos;
• No dispuesto a realizar pruebas de concepto.Si no demuestran sus capacidades, ¿por qué confiar en sus afirmaciones?
• Tácticas de presión: Los buenos proveedores no necesitan técnicas de venta agresivas;
• Costes ocultos: Esté atento a los “complementos” que deberían incluirse.

El proceso de evaluación: paso a paso

Fase 1: Investigación (2-3 semanas)

1. Documente sus requisitos (entorno, limitaciones, expectativas);
2. Crear una lista reducida de 4 a 6 proveedores;
3. Revisar los informes de los analistas (Gartner, Forrester);
4. Consulta las opiniones de los clientes y los estudios de caso;

Fase 2: Conversaciones iniciales (2-3 semanas)

1. Programar llamadas de presentación con los proveedores preseleccionados;
2. Comparta su documento de requisitos;
3. Solicitar propuestas iniciales y precios;
4. Reducir la lista a 2 o 3 finalistas;

Fase 3: Evaluación profunda (3-4 semanas)

1. Enviar la solicitud de propuestas detallada a los finalistas;
2. Realizar análisis técnicos en profundidad;
3. Solicitar y completar llamadas de referencia;
4. Negociar una prueba de concepto (POC, por sus siglas en inglés) si procede.

Fase 4: Decisión y negociación (2-3 semanas)

1. Califica a los finalistas según tu lista de verificación;
2. Negociar los términos y precios del contrato;
3. Aclarar los acuerdos de nivel de servicio (SLA) y las cláusulas de rescisión;
4. Tomar la decisión final.

Fase 5: Incorporación (2-6 semanas)

1. Iniciar el despliegue;
2. Implementar agentes e integraciones;
3. Ajustar las reglas de detección y respuesta;
4. Validar la cobertura y establecer valores de referencia.

Plazo total: 3-4 meses desde el inicio hasta la puesta en marcha del MDR.

Precios: Qué esperar

Los precios de MDR varían significativamente en función de:

• Número de puntos finales/usuarios;
• Alcance de la cobertura (solo en el punto final frente a la pila completa);
• Las capacidades de respuesta incluían:;
• Requisitos de cumplimiento;
• Duración del contrato.

Rangos de precios típicos:

Tamaño de la organización	Puntos finales	Rango de costos anuales
Pequeña empresa	50-200	$50,000-$180,000
Mercado medio	500-2,000	$180,000-$480,000
Empresa	5,000+	$500,000+

Esté atento a los costes ocultos:

• Tarifas de incorporación/despliegue;
• Cargos por incidente que superen un umbral;
• Costes adicionales por la búsqueda de amenazas;
• Niveles de soporte premium;
• Retención de datos más allá del período estándar;
• Gastos por cancelación anticipada.

Obtén el precio final por escrito antes de firmar.

Referencia rápida: Preguntas frecuentes sobre la evaluación de proveedores de MDR

¿Cuánto tiempo debería durar la evaluación del MDR? Prepárese para un período de 3 a 4 meses desde la investigación inicial hasta la implementación operativa. Apresurar la evaluación conlleva a malas decisiones. Sin embargo, si ha sufrido una brecha de seguridad o se enfrenta a un riesgo inminente, algunos proveedores ofrecen una incorporación acelerada.

¿Debería realizar una prueba de concepto (POC)? Si es posible, sí. Una prueba de concepto (POC) permite validar las capacidades de detección, la calidad de la respuesta y la comunicación antes de comprometerse. Muchos proveedores ofrecen periodos de prueba de concepto de 30 a 60 días. Desconfíe de los proveedores que se niegan por completo a realizar pruebas de concepto.

¿Cuántos proveedores debo evaluar? Comience con 4 a 6 candidatos en la investigación inicial y luego reduzca la lista a 2 o 3 para una evaluación más exhaustiva. Evaluar a más de 3 finalistas consume mucho tiempo sin un beneficio proporcional.

¿Cuál es la duración típica de un contrato? La mayoría de los contratos MDR tienen una duración de entre 1 y 3 años. Los contratos a largo plazo suelen ofrecer mejores precios, pero asegúrese de contar con cláusulas de rescisión aceptables en caso de que el servicio no cumpla con sus expectativas.

¿Puedo cambiar de proveedor de MDR más adelante? Sí, pero requiere esfuerzo. Planifique periodos de solapamiento, migración de datos y reajustes. Incluya cláusulas de rescisión razonables en su contrato (un preaviso de 90 días es lo habitual).

¿Qué ocurre si ya tengo un SIEM? Muchas organizaciones utilizan MDR junto con su SIEM existente. El MDR gestiona la detección y la respuesta, mientras que el SIEM proporciona retención de registros e informes de cumplimiento. Consulte con los proveedores cómo se integran con su SIEM específico.

Muchas organizaciones utilizan MDR junto con su SIEM existente. El MDR gestiona la detección y la respuesta, mientras que el SIEM proporciona retención de registros e informes de cumplimiento. Pregunte a los proveedores cómo se integran con su SIEM específico. Para obtener un desglose detallado, consulte nuestra Comparación entre MDR, SIEM y SOC.

Conclusión

Elegir un proveedor de MDR es una decisión importante que afectará su nivel de seguridad durante años. No se precipite y no se deje influir por las promesas de marketing.

Concentrarse en:

• amplitud de detección¿Pueden ver todo tu entorno?
• Capacidad de respuesta¿Tomarán medidas o simplemente te avisarán?
• Experiencia humana¿Los analistas cualificados realmente están vigilando las 24 horas del día, los 7 días de la semana?
• Responsabilidad¿Son los acuerdos de nivel de servicio (SLA) específicos y exigibles?

Utilice la lista de verificación de esta guía durante su evaluación. Haga las preguntas difíciles. Verifique las referencias. Y recuerde: el mejor proveedor de MDR es el que se adapta a sus necesidades específicas, no el que tiene la mejor publicidad.

 

---

¿Listo para evaluar a los proveedores de MDR?

La sociología proporciona Servicios MDR Diseñado para organizaciones medianas. Somos transparentes sobre nuestras capacidades, ofrecemos acuerdos de nivel de servicio (SLA) claros y respondemos con gusto a las preguntas difíciles.

Contáctanos para analizar sus necesidades.