Antivirus, EDR o MDR: qué elegir para tu empresa
Muchas empresas creen que con un antivirus instalado están protegidas. La realidad es que la protección moderna depende menos del producto y más de quién lo opera y cómo se responde a lo que detecta. Elegir entre antivirus, EDR y MDR es, sobre todo, una decisión de gestión: cuánto puedes vigilar tú y cuánto delegas a un equipo que responda por ti. Este artículo explica las diferencias reales, los errores más comunes al decidir y las preguntas que conviene hacer antes de firmar.
El antivirus tradicional y sus límites
El antivirus clásico se basa en firmas: reconoce amenazas que ya conoce. Frente a ataques nuevos o sin archivo, su eficacia cae de forma notable. Dicho esto, muchos antivirus modernos ya incorporan análisis de comportamiento, por lo que no es exacto reducirlos a 'solo firmas'. Lo que sí es cierto es que no fueron diseñados para investigar, contener y responder a un incidente complejo.
Sirven como línea básica de higiene, pero no constituyen una estrategia de defensa. El problema no es tener antivirus; es creer que con eso basta. Un antivirus que avisa pero no aísla, que bloquea pero no investiga, deja al equipo de TI reconstruyendo el incidente a mano cuando ya es tarde.
En la práctica, el antivirus cubre la base pero no resuelve la pregunta más importante: cuando detecta algo, ¿quién actúa? Si la respuesta es 'nadie fuera de horario', el antivirus es el primer eslabón de una cadena incompleta.
EDR: detección y respuesta en el endpoint
EDR (Endpoint Detection and Response) registra el comportamiento de cada equipo y permite investigar y contener amenazas que un antivirus no vería. Genera una línea de tiempo detallada de procesos, conexiones y cambios, lo que permite reconstruir un ataque después de que ocurrió.
El reto es que produce alertas que alguien debe analizar. Sin un equipo que las revise y actúe, el EDR se convierte en ruido y en una falsa sensación de control. Un EDR bien configurado en un entorno sin vigilancia es como una alarma que suena en una casa vacía: detecta, pero nadie responde.
EDR aporta dos cosas que el antivirus no: contexto e investigación. El contexto permite distinguir un falso positivo de un ataque real, y la investigación permite entender cómo entró el atacante y qué más tocó. Pero ambas requieren tiempo y conocimiento, no solo licencia.
MDR: el EDR gestionado
MDR (Managed Detection and Response) pone un equipo detrás del EDR: analistas que validan alertas y responden, incluso fuera de horario. No se limita a vigilar endpoints: un buen MDR puede integrar identidad, correo y logs, dando visibilidad más amplia que un EDR solo.
Para la mayoría de las empresas sin un equipo interno de seguridad, MDR suele ser la opción que cierra el ciclo: detección más respuesta real. La diferencia clave frente al EDR es que alguien responde por ti cuando no puedes hacerlo tú.
Pero no es universalmente mejor. Si ya cuentas con analistas y procesos maduros, un EDR bien configurado y operado internamente puede ser suficiente. MDR es valioso cuando falta el equipo, no cuando sobra. La pregunta correcta es: ¿tienes quien responda a las 3 a.m.?
Errores comunes al decidir
Un error frecuente es comprar el EDR más caro y dejarlo sin supervisión. La herramienta no se defiende sola: alguien tiene que responder a las alertas que genera, y si nadie lo hace, el dinero invertido no se traduce en protección real.
Otro es asumir que 'MDR' significa lo mismo en todos los proveedores. El alcance varía: algunos solo vigilan endpoints, otros correlacionan identidad y correo. Pregunta qué fuentes cubren y qué hacen cuando detectan algo, no solo cuánto cuesta.
Un tercer error es decidir por marca y no por alcance. Una marca reconocida con configuración por defecto puede proteger menos que una menos conocida bien afinada a tu entorno. La configuración y la operación pesan más que el logo.
Preguntas de compra
¿Quién responde a las alertas fuera de horario? Si la respuesta es 'nadie', necesitas MDR o un equipo interno.
¿Qué fuentes cubre el servicio? ¿Solo endpoints, o también identidad, correo y logs?
¿Qué hace el proveedor cuando detecta una amenaza: avisa, aísla, o ambas cosas? ¿En qué tiempo razonable?
¿Cómo verás la evidencia de que la defensa está funcionando? ¿Qué reporte recibirás y con qué frecuencia?
Checklist de decisión
Define qué proteges y qué riesgo priorizas (ransomware, robo de credenciales, fraude).
Evalúa si tienes equipo para responder alertas; si no, MDR es lo razonable.
Compara alcance, no solo precio: qué se monitorea y qué se responde.
Pide un reporte de ejemplo para ver cómo te comunicarán hallazgos e incidentes.
Confirma tiempos de respuesta razonables y por escrito, no promesas vagas.