Qué preguntar antes de contratar un proveedor de ciberseguridad

El primer filtro: ¿venden licencias o gestionan un servicio?

Hay una diferencia importante entre un proveedor que te vende e instala un antivirus, y uno que gestiona de forma continua tu seguridad. En el primer caso, la responsabilidad de revisar alertas, aplicar parches y reaccionar ante un incidente sigue siendo tuya. En el segundo, esa responsabilidad operativa se traslada al proveedor, que actúa de forma proactiva. Antes de comparar precios, conviene tener claro cuál de los dos modelos se está contratando en realidad.

Preguntas sobre cobertura y tiempos de respuesta

• ¿La monitorización es realmente 24 horas, 7 días a la semana, o solo en horario laboral ampliado?
• ¿Cuál es el tiempo medio de primera respuesta ante una alerta crítica, y está ese compromiso por escrito?
• ¿El proveedor puede actuar de forma autónoma ante una amenaza confirmada —aislar un equipo, bloquear una cuenta— o solo notifica y espera instrucciones tuyas?
• ¿Qué ocurre fuera de horario laboral, en festivos o durante vacaciones del equipo interno?

Preguntas sobre alcance real del servicio

• ¿Qué capas de protección incluye exactamente el precio: endpoint, red, correo, identidad, formación?
• ¿El escaneo de vulnerabilidades es puntual (una vez al contratar) o periódico durante toda la relación?
• ¿Incluye gestión de parches y actualizaciones, o solo alerta de que faltan por aplicar?
• ¿Qué pasa si un dispositivo nuevo se incorpora a mitad de contrato: se cubre automáticamente o requiere renegociar?

Preguntas sobre transparencia y reporting

• ¿Se recibe un informe periódico con datos concretos —amenazas bloqueadas, vulnerabilidades detectadas, tiempo de respuesta— o solo un resumen genérico?
• ¿Hay acceso a un panel o cuadro de mando propio, o toda la información pasa siempre por el proveedor?
• ¿Quién es el interlocutor ante un incidente grave: una persona con nombre y teléfono, o un ticket genérico?

Preguntas sobre contrato y salida

• ¿Existe permanencia forzada, y qué penalización tiene salir antes de tiempo?
• ¿Los datos y configuraciones son portables si decides cambiar de proveedor, o quedan atrapados en su plataforma?
• ¿El precio es cerrado o puede variar según el volumen de incidentes gestionados, con sorpresas en la factura?

Una señal de alarma habitual

Desconfía de cualquier propuesta que prometa protección "100% garantizada" o "invulnerable". Ningún proveedor serio puede eliminar el riesgo por completo: lo que sí puede hacer es reducirlo de forma sustancial, detectar rápido lo que se le escape, y tener un plan claro de respuesta cuando ocurra. Un discurso comercial que ignora esa realidad suele ser una señal de que el resto de la propuesta tampoco es tan sólida como parece.