Cuándo el antivirus básico deja de ser suficiente: criterios reales para dar el salto a protección gestionada

La pregunta que lo decide todo

Hay una sola pregunta que separa a una empresa que todavía puede apañarse con su antivirus actual de una que no puede: ¿puedes confirmar ahora mismo, sin moverte de tu silla, qué dispositivos de tu empresa carecen de protección actualizada?

Si la respuesta es «tendría que ir uno por uno a comprobarlo» o «no estoy seguro del todo», ya tienes la respuesta sobre si tu protección actual es suficiente. Y eso no depende de si tienes cinco portátiles o cincuenta.

Esta distinción importa porque la mayoría de los debates sobre protección de endpoints se plantean en términos de tamaño: a partir de X empleados, salta a una solución empresarial. Pero ese umbral es arbitrario. Lo que de verdad cambia la ecuación no es el número de máquinas, sino el momento en que gestionar la seguridad máquina a máquina se convierte en un agujero de información que no puedes tapar con revisiones manuales.

Por qué el antivirus de consumo tiene un problema estructural en un negocio

Antes de hablar de cuándo cambiar, vale la pena entender por qué el antivirus de consumo tiene limitaciones que van más allá de la capacidad técnica.

El primer problema es legal y a menudo se ignora: la mayoría de licencias de software de consumo prohíben explícitamente el uso comercial. No es un matiz menor — es un incumplimiento de contrato que puede invalidar cualquier reclamación si algo sale mal. Usar Avast Free o Norton Basic en los ordenadores de tu empresa puede parecer un ahorro, pero te deja sin cobertura contractual ni soporte real.

El segundo problema es operativo. Un antivirus de consumo protege la máquina en la que está instalado. Punto. No te dice si el portátil de la persona que se fue el mes pasado sigue con acceso activo. No te alerta si un dispositivo lleva semanas sin actualizarse. No te permite aplicar una política de contraseñas de forma centralizada ni generar el informe que te pedirá tu aseguradora o un cliente con contrato de proveedor.

Esto no significa que el antivirus de consumo sea inútil — detecta malware conocido perfectamente. Significa que resuelve solo una parte del problema, y conforme el negocio crece, esa parte se vuelve proporcionalmente más pequeña.

Los disparadores reales: cuándo la situación cambia

El número de dispositivos raramente es el detonante. Estos son los momentos que sí lo provocan de forma consistente:

1. No puedes responder la pregunta de visibilidad

Ya la planteamos al inicio. Si para saber si todos tus dispositivos están protegidos necesitas hacer una ronda física o enviar mensajes a cada persona, tienes un problema de gestión de riesgos, no solo de herramienta. Una revisión manual puede funcionar hoy, volverse incómoda en seis meses e imposible al año. El momento en que esa revisión empiece a ser disruptiva es el momento de actuar, no cuando ya sea imposible.

2. Alguien se va de la empresa

El offboarding es uno de los escenarios más ignorados en empresas pequeñas. Cuando una persona deja la empresa, ¿puedes confirmar que su portátil fue borrado? ¿Que ya no tiene acceso a las cuentas empresariales? ¿Que el dispositivo, si era propio, no retiene documentos o credenciales? Sin gestión centralizada, la respuesta honesta suele ser «más o menos» o «confiamos en que lo hizo». Eso no es suficiente.

3. El trabajo remoto y los dispositivos personales

En cuanto alguien accede al correo empresarial desde casa, desde una red de cafetería o desde su propio móvil, la superficie expuesta crece fuera de tu control. El antivirus instalado en el ordenador de oficina no cubre ese portátil personal que sincroniza con tu Google Workspace o con tu Microsoft 365. La protección gestionada de endpoints te permite establecer políticas que aplican independientemente de dónde esté el dispositivo.

4. El seguro cibernético o un cliente te lo pide

Este es hoy el disparador más frecuente, y va en aumento. Las aseguradoras que ofrecen pólizas de ciberriesgo han sofisticado mucho sus formularios de solicitud. Ya no preguntan genéricamente si tienes antivirus — preguntan específicamente por EDR, por autenticación multifactor en el correo corporativo, por quién monitorea las alertas y con qué frecuencia, y por si tienes un procedimiento documentado de respuesta ante incidentes.

Un antivirus de consumo no marca ninguna de esas casillas. Y si respondes estas preguntas de forma incorrecta o incompleta, no solo puede afectar a la prima — puede anular la cobertura en caso de siniestro.

Del mismo modo, cada vez más contratos con clientes medianos o grandes incluyen cláusulas de seguridad para proveedores. Si tu cliente opera en finanzas, sanidad o sector público, probablemente ya te esté preguntando o te preguntará pronto.

5. Tocas datos regulados

El RGPD no especifica qué herramienta de seguridad debes usar, pero sí exige que puedas demostrar diligencia debida en la protección de datos personales. En sectores como sanidad, asesorías fiscales, despachos de abogados o intermediarios financieros, las obligaciones son más concretas todavía. La protección gestionada no es solo una mejora técnica — es también documentación de que tus medidas son coherentes, auditables y actualizadas.

El error de diagnóstico más habitual: el antivirus no suele ser la brecha real

Aquí es donde muchas empresas se equivocan al plantear la conversación. Cambian de antivirus pensando que eso resuelve el problema, y siguen igual de expuestas porque el antivirus nunca fue el punto débil.

En la mayoría de incidentes que afectan a empresas pequeñas, el vector de entrada no fue un fallo en la detección de malware. Fue alguien que introdujo su contraseña en una página de inicio de sesión falsa. Fue una cuenta de administrador compartida entre tres personas. Fue un acceso remoto activo que llevaba meses sin parchear. Fue una notificación de MFA que alguien aprobó sin verificar porque pensó que era suya.

Un EDR no te salva de ninguno de esos escenarios. Por eso el orden de prioridades importa:

• Primero, MFA en el correo corporativo y en todas las cuentas con acceso a datos. Es la medida con mejor relación coste-protección que existe. Gratis o casi gratis en la mayoría de plataformas, y bloquea la gran mayoría de ataques de credenciales.
• Segundo, protección gestionada de endpoints con alguien monitorizando las alertas. No solo la herramienta — el monitoreo activo.
• Tercero, formación breve y regular. Simular un phishing una vez al año y una sesión corta de buenas prácticas es más barato que cualquier herramienta y cubre el vector de ataque que más daño genera.

La formación tiende a ser lo más económico de las tres y lo que más se pospone. Es también lo único que mitiga el error humano que ningún software puede prevenir.

La trampa del EDR desatendido

Aquí viene el punto que más se pasa por alto cuando una empresa decide dar el salto: una plataforma EDR que nadie monitorea activamente es poco más que un antivirus caro.

Un EDR genera alertas. Si esas alertas no las revisa nadie, o las revisa alguien que no sabe interpretar qué es una falsa alarma y qué es una amenaza real, has añadido coste y complejidad sin añadir protección real. La herramienta en sí no toma decisiones — necesita a alguien que lo haga.

Para una empresa sin equipo de IT interno, las opciones reales son dos:

• Contratar un MDR (servicio de detección y respuesta gestionado): alguien externo monitorea las alertas por ti, de forma continua, e interviene cuando detecta algo. Es el modelo más completo pero también el más caro.
• Trabajar con un MSP (proveedor de servicios gestionados) que incluya el monitoreo de seguridad como parte del servicio. La calidad varía mucho — asegúrate de que el contrato especifica qué se monitorea, con qué frecuencia y cuál es el protocolo de respuesta.

Comprar una licencia de EDR, instalarla y dejarla sola no es una tercera opción válida. Es la peor de las opciones porque da sensación de seguridad sin proporcionar seguridad real.

Antes de comprar nada: audita lo que ya tienes

Una de las situaciones más frecuentes que se da en empresas que trabajan con Microsoft 365 Business Premium es que ya tienen licenciado Microsoft Defender for Business y no lo saben o no lo tienen configurado.

Defender for Business es una solución EDR completa, integrada en el entorno Microsoft 365, diseñada específicamente para empresas de hasta 300 usuarios. Si ya pagas Microsoft 365 Business Premium, está incluido en tu suscripción. No es una solución de consumo — tiene consola centralizada, detección basada en comportamiento, gestión de vulnerabilidades y políticas aplicables a todos los dispositivos.

El primer paso antes de evaluar cualquier otra herramienta es revisar qué licencias de Microsoft tienes ya contratadas y si Defender for Business está activado y configurado correctamente. En muchos casos, el MSP o el partner que gestiona el IT puede hacer esa configuración inicial sin coste adicional significativo, porque la licencia ya está pagada.

Esta verificación cambia completamente el análisis de coste. Si ya tienes la herramienta, la decisión no es si compras una plataforma EDR — es si contratas a alguien que la monitoree, lo que es una conversación diferente y generalmente más económica.

Pasos concretos para una pyme sin IT interno

Si partes de cero sin equipo técnico propio, este es el camino más sensato:

• Audita tus licencias actuales. Especialmente Microsoft 365 — confirma qué plan tienes y si Defender for Business está disponible.
• Activa MFA en el correo y en todas las cuentas con acceso a sistemas o datos. Esto puede hacerlo cualquier administrador de Microsoft 365 o Google Workspace en menos de una hora.
• Pide presupuesto a dos o tres MSPs locales que incluyan el monitoreo de Defender for Business o una solución EDR equivalente. Pregunta explícitamente: ¿quién revisa las alertas, con qué frecuencia, y qué protocolo seguís si detectáis algo?
• Habla con tu aseguradora antes de contratar nada. Pregúntale qué herramientas y prácticas necesitas para acceder a la cobertura que quieres, y qué documentación necesitarás en caso de siniestro. Eso te dará el requisito mínimo real, no el ideal teórico.
• No pagues por una herramienta que nadie va a monitorear. Si no puedes asegurar el monitoreo, es mejor esperar a tenerlo resuelto que instalar algo que da falsa tranquilidad.

La conversación con el asegurador: qué preguntar y qué esperar

Las pólizas de ciberseguro se están convirtiendo en el primer punto de presión real que empuja a muchas empresas a mejorar su postura de seguridad. Y es una palanca útil si sabes cómo usarla.

Cuando vayas a renovar o contratar una póliza, lleva preparadas estas preguntas:

• ¿Qué controles técnicos son obligatorios para la cobertura? ¿Y cuáles reducen la prima?
• ¿La cobertura se mantiene si un incidente ocurre en un dispositivo personal que accedía a cuentas empresariales?
• ¿Qué documentación necesitaré para demostrar que tenía EDR activo y con monitoreo en el momento del incidente?
• ¿La formación en seguridad para empleados cuenta como control valorable?

Las respuestas a estas preguntas te darán un mapa mucho más preciso de qué necesitas realmente que cualquier recomendación genérica. Y de paso, la conversación con el asegurador es también el mejor argumento interno para justificar la inversión: no es un gasto de IT, es un requisito de la póliza que protege el negocio.

El coste de no hacer nada también se puede calcular

Una forma de plantear la decisión que resulta muy clara es esta: compara el coste de una vulneración sin protección centralizada frente al coste de la solución. Una brecha que comprometa datos de clientes tiene costes directos — recuperación, notificación obligatoria bajo RGPD, posibles sanciones — y costes indirectos que a veces son mayores: tiempo de inactividad, reputación, pérdida de contratos.

No hace falta que el cálculo sea preciso. Solo tiene que ser honesto. Si el coste probable de un incidente es significativamente mayor que lo que cuesta la protección gestionada, tienes un caso de negocio. Y en la mayoría de empresas que tocan datos regulados o tienen dependencia operativa de sus sistemas, ese umbral se alcanza antes de lo que parece.

La pregunta no es si puedes permitirte protección gestionada. Es si puedes permitirte no tenerla.