EDR gestionado para pymes: cuándo tiene sentido y qué exigir antes de contratar

Muchas pymes ya tienen antivirus, Microsoft 365, copias de seguridad y algún firewall, pero siguen sin saber qué ocurre cuando un equipo empieza a ejecutar PowerShell sospechoso, descarga una herramienta de acceso remoto o intenta cifrar una carpeta compartida. Un EDR aporta telemetría y capacidad de contención, pero por sí solo no resuelve el problema. Si nadie revisa alertas, ajusta reglas, valida falsos positivos y toma decisiones durante un incidente, la empresa habrá comprado otra consola más.

Por eso el concepto importante para una pyme no suele ser EDR a secas, sino EDR gestionado o MDR. La diferencia está en la operación: quién mira las alertas, en qué horario, con qué autoridad puede aislar un equipo, cómo se escala un incidente y qué evidencias quedan después. Antes de contratar, conviene separar marketing de servicio real.

• Hay portátiles fuera de oficina, teletrabajo o usuarios con permisos locales elevados
• La empresa usa correo cloud, SaaS críticos, repositorios o herramientas administrativas remotas
• Existen servidores compartidos, ERP, NAS o aplicaciones internas que no pueden pararse sin impacto
• El equipo interno no puede revisar alertas de seguridad todos los días
• Ya se han sufrido fraudes de correo, malware, accesos sospechosos o incidentes de proveedor
• Clientes o contratos piden evidencias de monitorización, respuesta y trazabilidad

• Contratar solo por precio por dispositivo sin revisar el servicio de respuesta
• No incluir servidores porque encarecen la propuesta, dejando fuera los activos más críticos
• No definir excepciones y acabar silenciando alertas importantes por ruido operativo
• No integrar el proceso con copias de seguridad, proveedores IT y responsables de negocio
• Pensar que EDR sustituye MFA, parches, hardening, segmentación o formación anti-phishing

La implantación razonable empieza con un piloto controlado: equipos de administración, dirección, perfiles técnicos y algunos usuarios estándar. Después se revisa ruido, compatibilidad, impacto en rendimiento y procedimientos. Solo entonces tiene sentido desplegar al resto. En paralelo hay que documentar contactos, ventanas de actuación, criterios de aislamiento, lista de activos críticos y plan de comunicación si hay incidente.