Preguntar por el costo de seguridad gestionada MSSP en México es razonable. El problema es que una cifra aislada casi nunca explica qué está incluido, qué queda fuera y qué responsabilidades conserva tu equipo interno.
Un servicio MSSP puede cubrir monitoreo, revisión de alertas, hardening, EDR, firewall, correo, identidades, reportes, seguimiento de remediación y apoyo ante eventos relevantes. Pero no todas las propuestas cubren lo mismo.
Esta guía te ayuda a entender qué variables cambian la cotización para comparar proveedores con más claridad y evitar paquetes que parecen similares, pero tienen alcances muy distintos.
1. El alcance define la base de la cotización
El primer factor es qué activos quedarán dentro del servicio. No cuesta lo mismo revisar una cantidad pequeña de endpoints que operar controles sobre varias sedes, servidores, servicios publicados, nube, correo, firewalls y aplicaciones internas.
Un alcance MSSP puede incluir:
- estaciones de trabajo;
- servidores;
- EDR o antivirus administrado;
- firewall y VPN;
- correo electrónico;
- identidades y accesos;
- servicios expuestos a internet;
- nube;
- bitácoras críticas;
- seguimiento de vulnerabilidades;
- reportes ejecutivos y técnicos.
Mientras más fuentes y responsabilidades se incluyan, más importante se vuelve documentar límites. Si la propuesta solo dice “monitoreo de seguridad” sin detallar fuentes, contactos y entregables, todavía no es comparable.
2. Las herramientas existentes cambian el esfuerzo
Algunas empresas ya tienen EDR, firewall, Microsoft 365, SIEM, respaldos, inventario y bitácoras centralizadas. Otras tienen controles dispersos, consolas sin revisar o herramientas sin políticas actualizadas.
El costo cambia según el punto de partida. No es lo mismo operar un entorno con fuentes limpias y accesos listos que ordenar primero inventario, permisos, licencias, exclusiones, alertas duplicadas y configuraciones incompletas.
Antes de pedir una propuesta, conviene listar:
- herramientas actuales;
- licencias activas;
- responsables internos;
- consolas disponibles;
- alertas que ya se reciben;
- problemas recurrentes;
- contratos con otros proveedores;
- restricciones de acceso.
Esto ayuda a decidir si Syscore operará controles existentes, recomendará ajustes o propondrá una ruta por fases.
3. Monitoreo no significa lo mismo en todas las propuestas
Muchas propuestas usan la palabra monitoreo, pero no siempre explican qué se revisa ni qué sucede cuando aparece una señal relevante.
Pregunta qué incluye el monitoreo:
- revisión de eventos de endpoint;
- alertas de firewall o acceso remoto;
- actividad sospechosa en correo;
- señales de identidad comprometida;
- exposición de servicios;
- cambios críticos de configuración;
- vulnerabilidades prioritarias;
- seguimiento de acciones pendientes.
También pregunta qué no se monitorea. Esa respuesta es tan importante como la lista de inclusiones.
Un buen servicio de monitoreo y análisis de seguridad debe separar ruido operativo de eventos que necesitan decisión. Si solo reenvía alertas automáticas, el valor real puede ser limitado.
4. La respuesta ante alertas debe quedar delimitada
La seguridad gestionada no siempre implica respuesta completa a incidentes. Puede incluir validación, documentación, recomendación y escalamiento, pero las acciones sobre sistemas productivos suelen requerir autorización del cliente.
Define desde el inicio:
- quién recibe alertas críticas;
- qué evidencia se comparte;
- qué acciones puede ejecutar el proveedor;
- qué cambios requieren autorización;
- qué contactos participan fuera de horario laboral, si aplica;
- cómo se documenta el cierre;
- cuándo se activa un proceso de gestión de incidentes.
Este punto afecta la cotización porque no es lo mismo revisar eventos y escalar recomendaciones que participar en contención, recuperación o coordinación técnica extendida.
5. El número de activos no es la única métrica
Algunos servicios se cotizan por endpoint, servidor o fuente de datos. Eso puede funcionar como base, pero no cuenta toda la historia.
Dos empresas con la misma cantidad de equipos pueden tener riesgos muy distintos. Una puede tener usuarios remotos, VPN, portales públicos y permisos dispersos. Otra puede operar con pocos servicios externos y controles bien documentados.
Además del número de activos, revisa:
- exposición pública;
- criticidad de los sistemas;
- cantidad de usuarios con privilegios;
- operación en varias sedes;
- dependencia de proveedores externos;
- frecuencia de cambios;
- necesidad de reportes para dirección o clientes.
La cotización debe reflejar riesgo operativo y complejidad, no solo volumen.
6. Los reportes también consumen tiempo
Un reporte útil no es una captura de pantalla mensual. Debe explicar qué se revisó, qué se encontró, qué se atendió, qué sigue abierto y qué decisión necesita el cliente.
Los entregables pueden incluir:
- resumen ejecutivo;
- hallazgos priorizados;
- eventos relevantes;
- acciones recomendadas;
- estado de remediaciones;
- cambios de configuración;
- tendencias;
- pendientes por responsable;
- sesión de revisión.
Mientras más formal sea el reporte, más esfuerzo requiere. Pero ese esfuerzo puede ser necesario si dirección necesita visibilidad, si hay auditorías, si clientes piden evidencia o si el equipo interno necesita justificar cambios.
7. La fase inicial puede cotizarse aparte
Un MSSP serio necesita una etapa de arranque. Ahí se revisan accesos, herramientas, fuentes, contactos, prioridades, exclusiones, umbrales y rutas de escalamiento.
Esa fase puede incluir:
- inventario inicial;
- revisión de consolas;
- levantamiento de riesgos visibles;
- ajuste de políticas;
- limpieza de alertas repetitivas;
- documentación de contactos;
- definición de severidades;
- calendario de reportes;
- plan de mejora por fases.
Si el entorno está desordenado, esta etapa puede ser más importante que el monitoreo recurrente. Sin arranque ordenado, el servicio mensual empieza con ruido y expectativas poco claras.
8. Señales de una cotización incompleta
Ten cuidado si una propuesta:
- no define fuentes incluidas;
- no aclara activos cubiertos;
- no explica entregables;
- promete eliminar todos los incidentes;
- no habla de responsabilidades del cliente;
- no define proceso de escalamiento;
- no separa monitoreo de respuesta;
- no pregunta por herramientas existentes;
- no incluye una fase de arranque;
- no explica cómo se manejan hallazgos críticos.
Una cotización incompleta puede parecer atractiva, pero suele trasladar decisiones difíciles al momento en que ya existe una alerta.
9. Cómo preparar información para cotizar mejor
Antes de pedir costo, prepara una ficha simple con:
- número aproximado de endpoints;
- servidores físicos o virtuales;
- herramientas de seguridad actuales;
- firewalls y VPN;
- plataformas de correo;
- servicios publicados;
- sedes;
- responsables de TI;
- principales preocupaciones;
- necesidad de reportes ejecutivos;
- expectativa de soporte ante alertas.
También conviene revisar la diferencia entre MSSP y MSP. Un MSP puede operar infraestructura y soporte. Un MSSP se enfoca en controles, alertas, exposición y riesgo de seguridad. Muchas empresas necesitan ambos enfoques, pero no deben confundirse.
Cómo puede ayudarte Syscore
Syscore ayuda a definir alcance, ordenar fuentes de datos, operar controles de seguridad, documentar evidencia y dar seguimiento a remediaciones dentro de un servicio de seguridad gestionada MSSP.
Antes de cotizar, revisamos el entorno, las herramientas actuales, las responsabilidades internas y el nivel de acompañamiento esperado. La meta es que el servicio tenga límites claros y que tu equipo sepa qué se monitorea, qué se escala y qué acciones quedan pendientes.
Si todavía no tienes claro el alcance, puedes empezar con una revisión de servicios de ciberseguridad para empresas o una guía para elegir una empresa de ciberseguridad en México.
Preguntas frecuentes
¿La seguridad gestionada MSSP se cobra por usuario o por equipo?
Depende del alcance. Algunas partes pueden estimarse por endpoint, servidor o fuente de datos, pero también influyen monitoreo, respuesta, reportes, herramientas, complejidad y responsabilidades.
¿Un MSSP reemplaza a mi equipo de TI?
No necesariamente. Normalmente complementa al equipo interno con análisis, evidencia, recomendaciones y seguimiento de controles. TI conserva decisiones operativas, cambios autorizados y conocimiento del negocio.
¿Necesito comprar herramientas nuevas?
No siempre. Primero conviene revisar lo que ya tienes. En algunos casos se pueden operar herramientas existentes; en otros, el problema es falta de cobertura, configuración o visibilidad.
¿Qué pasa si aparece una alerta crítica?
Debe existir una ruta de escalamiento acordada. La propuesta debe definir contactos, evidencia mínima, severidad, autorización para acciones y conexión con respuesta a incidentes cuando sea necesario.