Cuatro modelos que se venden como si compitieran, cuando en realidad resuelven problemas distintos. Esta comparativa explica qué hace cada uno, qué cuesta operarlo de verdad y cómo elegir sin comprar de más ni quedarte corto.
| Modelo | Qué es | Alcance típico | Quién lo opera |
|---|---|---|---|
| SIEM | Una plataforma que recolecta y correlaciona registros | Toda la telemetría que le conectes | Tu equipo. La herramienta no decide nada por sí sola |
| MDR | Servicio de detección y respuesta, generalmente vía agente | Equipos finales y servidores; red sólo a veces | El proveedor |
| SOC gestionado | Servicio completo de monitoreo, análisis y gestión de incidentes | Red, firewalls, servidores y equipos | El proveedor |
| SOC interno | Equipo y plataforma propios | El que tú definas | Tú, con plantilla dedicada |
«MDR» y «SOC gestionado» se usan hoy casi como sinónimos comerciales, y cada proveedor los define a su conveniencia. No compares nombres: compara qué fuentes de datos cubre, en cuánto tiempo te avisa y qué hace cuando detecta algo. Esas tres respuestas distinguen los servicios de verdad.
Un SIEM es infraestructura. Recibe registros de firewalls, servidores y aplicaciones, los normaliza y aplica reglas de correlación. Lo que produce son alertas.
El problema es de volumen. Una empresa mediana genera con facilidad miles de alertas al mes, de las cuales la gran mayoría son ruido: escaneos automáticos de internet, falsos positivos y eventos rutinarios. Alguien tiene que separar el trigo de la paja, todos los días.
Tiene sentido si ya cuentas con analistas de seguridad de tiempo completo. Es un error si lo compras esperando que resuelva solo — es la forma más común de gastar bien y protegerse mal.
El MDR nació alrededor del EDR: un agente instalado en cada equipo que observa el comportamiento de los procesos y permite al proveedor detectar y, en muchos casos, aislar el equipo comprometido de forma remota.
Su fortaleza es la visibilidad profunda en el punto final y la capacidad de contención rápida. Su límite es el alcance: si el ataque llega por una VPN mal configurada o un firewall expuesto, y ahí no hay agente, hay un punto ciego.
Tiene sentido si tu riesgo principal está en las estaciones de trabajo —plantilla numerosa, trabajo remoto, phishing como vector dominante—. Se queda corto si tu superficie crítica es perimetral o de servidores, o si el despliegue de agentes en producción no es viable.
Un SOC gestionado parte de la telemetría que tu infraestructura ya genera —firewalls, servidores, sistemas— sin exigir necesariamente un agente por equipo. Correlaciona, analiza, prioriza y entrega el incidente documentado.
La diferencia menos comentada, y la que más pesa en sectores regulados, es que un SOC gestionado produce el expediente: qué pasó, cuándo, quién lo atendió y cómo se cerró. Ese registro es lo que pide un auditor de la CNBV, de ISO 27001 o de PCI-DSS.
Tiene sentido si necesitas cobertura amplia, cumplimiento normativo, o no puedes sostener un equipo interno de guardia. No es lo tuyo si una restricción legal impide que un tercero procese tu telemetría.
Cubrir 24 horas los 365 días no son tres personas. Con turnos, vacaciones, incapacidades y rotación, el mínimo realista está entre cinco y seis analistas — y en México ese perfil es escaso y se lo disputan bancos y consultoras internacionales.
A eso se suman la plataforma, su mantenimiento, la afinación continua de reglas y el reclutamiento cada vez que alguien se va. El punto de equilibrio real está muy alto: por debajo de una organización grande con riesgo elevado, casi siempre sale más caro y con peor cobertura que el modelo gestionado.
Si son mayoritariamente laptops y usuarios remotos, el MDR encaja. Si son firewalls, servidores y sistemas de negocio, necesitas alcance de SOC. Si son ambos, busca un proveedor que cubra los dos frentes en un solo contrato — dividirlo entre dos proveedores crea zonas grises justo donde se pierden los incidentes.
Si un regulador, un auditor o un cliente corporativo te va a pedir evidencia, el criterio decisivo no es la calidad de la detección sino la trazabilidad. Pregunta cómo se documenta cada incidente y si puedes exportar el histórico.
Si la respuesta es «nadie hasta el lunes», no importa qué modelo contrates: necesitas que el proveedor no sólo detecte, sino que te diga en lenguaje claro qué hacer, y que escale hasta que alguien conteste.
Somos un SOC gestionado con alcance de red, firewalls y servidores. Trabajamos sobre la telemetría que tu infraestructura ya emite, analizamos cada evento con inteligencia artificial y entregamos el incidente documentado en menos de 60 segundos, en español y con instrucciones concretas.
Cada incidente queda como expediente auditable de principio a fin. Y si tu necesidad real es MDR en endpoints, te lo diremos: preferimos no venderte lo que no resuelve tu problema.
Cuéntanos qué infraestructura tienes y qué te preocupa. Te decimos qué modelo encaja, aunque no seamos nosotros.
Solicitar cotización