Cómo comparar propuestas de ciberseguridad
Comparar propuestas de ciberseguridad es difícil porque cada proveedor estructura el alcance distinto. Estas claves te ayudan a ver más allá del precio y a elegir lo que de verdad protege tu operación. No se trata de la propuesta más barata ni de la más cara, sino de la que mejor define qué se monitorea, quién responde y cómo verás el avance. Este artículo recorre las preguntas clave, los errores al comparar y un checklist para evaluar propuestas con criterio.
¿Qué incluye y qué no?
Pide el alcance detallado: qué se monitorea, qué se responde y qué queda fuera. Lo que no está escrito, normalmente no se hace. Una propuesta vaga es una señal: si no pueden detallar qué harán, probablemente no lo tienen claro.
Dos propuestas con precio similar pueden cubrir cosas muy distintas. La comparación justa empieza por poner el alcance en la misma escala: no es justo comparar 'monitoreo de endpoints' con 'monitoreo más respuesta más reporte'.
Pregunta específicamente qué pasa con lo que no está incluido. Si el incidente no está en el alcance, ¿quién responde y cómo? Es mejor saber antes que descubrirlo durante la crisis.
¿Quién responde y cuándo?
La detección sin respuesta es media solución. Pregunta quién actúa fuera de horario y en qué tiempos razonables. Si la respuesta es 'te avisamos', no es respuesta; es un aviso.
Los tiempos deben ser realistas y estar en la propuesta. Una promesa vaga de 'respuesta rápida' no es un compromiso; un tiempo escrito, aunque sea un rango, sí lo es. Y un tiempo que parece demasiado bueno para ser verdad, probablemente lo es.
Distingue entre 'tiempo de detección' y 'tiempo de respuesta'. Detectar en minutos no sirve si la respuesta tarda horas. Ambos importan, y ambos deben estar claros en la propuesta.
¿Cómo se mide el avance?
Una buena propuesta incluye cómo verás el progreso, no solo promesas. La evidencia de avance es parte del servicio: si no sabes qué se hizo, no sabes si se hizo.
Pide un reporte de ejemplo: si no pueden mostrarte cómo comunicarán hallazgos, no sabrán hacerlo cuando llegue el momento. Un reporte de ejemplo es la prueba de que hay un proceso, no solo buenas intenciones.
El avance no es solo métricas de alertas; es también qué se mejoró, qué se cerró y qué riesgo quedó pendiente. Un reporte que solo dice 'todo bien' no es evidencia; es propaganda.
¿Qué pasa en un incidente?
El plan de respuesta debe estar claro antes de contratar, no durante la crisis. Pregunta quién contiene, quién decide y cómo se comunica. Si la respuesta es vaga ahora, será vaga cuando más la necesites.
El incidente es el momento en que más necesitas al proveedor. Si en la propuesta no hay un plan claro de qué hacer cuando algo pasa, en la crisis tampoco lo habrá. La propuesta es la prueba de que han pensado en el caso difícil.
Pregunta también qué pasa después del incidente: quién documenta, quién mejora, qué cambia para que no se repita. Un proveedor que solo 'apaga el incendio' y no aprende te deja la misma puerta abierta.
Errores comunes al comparar
Comparar solo precio. Una propuesta barata que no responde fuera de horario puede costar más en un incidente que una cara que sí lo hace. El costo real incluye lo que no cubre.
Asumir que 'más tecnología' es mejor. Más herramientas sin gestión son más superficie de ataque y más ruido, no más protección. La operación pesa más que el logo.
No pedir referencias de alcance similar. Lo que funcionó en una empresa grande no siempre aplica a la tuya; el contexto importa más que el tamaño.
Checklist de evaluación
Alcance detallado: qué se monitorea y qué se responde.
Responsables y tiempos de respuesta por escrito.
Mecanismo de reporte y evidencia de avance.
Plan de incidentes definido antes de contratar.
Reporte de ejemplo entregado.
Referencias de entornos similares al tuyo.