Una dirección general rara vez plantea la duda en estos términos. Lo que llega al comité es otra cosa: nadie dentro de la empresa tiene tiempo ni criterio suficiente para sostener la seguridad, y hay que resolverlo con un tercero.
A partir de ahí se abren dos caminos que se parecen mucho en la factura y muy poco en todo lo demás.
Un MSSP vende capacidad de operación. Una Oficina Técnica de Seguridad vende criterio, dirección y trazabilidad de las decisiones.
Elegir mal no suele detectarse el primer mes. Se detecta el día del primer incidente serio, o en la primera auditoría en la que alguien pregunta quién decidió qué y con qué fundamento.
Qué contrata realmente una empresa cuando elige un MSSP
Un proveedor de seguridad gestionada presta servicios definidos en un catálogo, con un alcance cerrado y unos acuerdos de nivel de servicio que fijan tiempos de respuesta y horarios de cobertura.
Esa es su virtud y también su límite. El MSSP ejecuta muy bien lo que se le ha pedido, y no está diseñado para cuestionar si lo que se le ha pedido era lo correcto.
El modelo funciona cuando la empresa ya sabe qué necesita:
- Vigilancia continua de una infraestructura ya definida.
- Operación y mantenimiento de controles técnicos ya desplegados.
- Respuesta ante incidentes dentro de un perímetro acordado.
- Refuerzo de capacidad en franjas horarias que la empresa no cubre.
El propio INCIBE describe con detalle las ventajas y los inconvenientes de externalizar la ciberseguridad: acceso inmediato a especialización y menor impacto por obsolescencia, a cambio de dependencia de terceros y de una pérdida de visibilidad sobre los procesos internos.
Si la empresa contrata un MSSP sin haber definido antes qué activos son críticos, el proveedor operará sobre el perímetro equivocado con una eficiencia impecable. El informe mensual saldrá en verde y el riesgo real seguirá intacto.
Qué aporta una Oficina Técnica de Seguridad
Una Oficina Técnica de Seguridad no se sitúa en el lado del proveedor, sino en el lado de la empresa. Su función es dirigir la seguridad de forma continua y responder ante la dirección de que las decisiones tomadas son las adecuadas.
Eso implica tareas que ningún catálogo de servicios gestionados cubre:
- Inventario y clasificación de activos, con revisión periódica.
- Análisis de riesgos y traducción del riesgo técnico a impacto de negocio.
- Plan director de seguridad, priorización de inversión y seguimiento de su ejecución.
- Control de proveedores y de la cadena de suministro.
- Preparación de auditorías y reporte al comité de dirección.
La diferencia de fondo es sencilla: el MSSP responde de la ejecución; la OTS responde del criterio y de la coherencia del conjunto.
Las cuatro diferencias que deciden la elección
Quién asume la responsabilidad
La responsabilidad última nunca se traslada al proveedor. El órgano de dirección sigue siendo responsable aunque haya externalizado la operación completa.
La directiva europea NIS2 lo formula de manera explícita al atribuir a los órganos de dirección la aprobación y supervisión de las medidas de gestión de riesgos, además de la obligación de formarse en la materia. En el ámbito del Esquema Nacional de Seguridad, el criterio es equivalente: externalizar un servicio no exime de aplicar las medidas exigidas a los sistemas prestados por terceros.
Qué alcance cubre el contrato
El alcance de un MSSP es el que figura en su anexo técnico. El de una OTS es el gobierno de la seguridad de la organización completa, incluidos los propios proveedores.
Por eso una OTS puede recomendar que se cambie de proveedor, que se reduzca un servicio o que se deje de pagar por un control que no aporta reducción de riesgo. Un proveedor difícilmente propondrá recortar su propio alcance.
Cómo se mide el servicio
Un servicio gestionado se mide por disponibilidad, volumen y tiempos de respuesta. Una oficina técnica se mide por reducción de riesgo, cobertura de controles y avance del plan.
Son dos cuadros de mando distintos, y solo el segundo es presentable ante un consejo sin traducción previa.
Con quién habla el proveedor
El MSSP habla con el departamento de sistemas. La OTS habla con dirección general, financiero, legal y sistemas, porque su trabajo consiste precisamente en convertir decisiones técnicas en decisiones de negocio.
Cuándo conviene un MSSP
Hay escenarios en los que la seguridad gestionada es la respuesta correcta y contratar más gobierno sería redundante:
- La empresa ya cuenta con una figura interna que dirige la seguridad y necesita brazos, no criterio.
- El riesgo está identificado y la prioridad es cubrir horarios o volumen de trabajo.
- El alcance es estable y no cambia con la estrategia del negocio.
- Existe un contrato maduro, con métricas claras y capacidad real de exigirlas.
Cuándo conviene una Oficina Técnica de Seguridad
El escenario cambia por completo cuando la empresa no tiene todavía respuesta a preguntas básicas.
La OTS suele ser la opción adecuada si se dan varias de estas condiciones:
- No existe un inventario fiable de activos ni una clasificación por criticidad.
- Conviven varios proveedores sin nadie que coordine sus alcances ni detecte solapamientos.
- Hay presión regulatoria o contractual y no hay quien sostenga el discurso ante un auditor.
- La inversión en seguridad crece sin que nadie pueda explicar qué riesgo reduce.
- La dirección pide un cuadro de mando y recibe informes técnicos sin traducir.
Cuando el problema es de capacidad, se contrata operación. Cuando el problema es de criterio, contratar más operación agrava el desorden.
El modelo mixto suele ser el realista
En la mayoría de empresas medianas la elección no es excluyente. La OTS gobierna, prioriza y controla; uno o varios proveedores especializados ejecutan las partes operativas bajo su dirección.
Ese reparto también existe en la decisión previa entre detección y gobierno: si la duda es cómo encaja la vigilancia continua en el modelo, la desarrollamos en el análisis sobre OTS o SOC como modelo operativo. Y si la duda está dentro del propio centro de operaciones, el punto de partida es la comparativa entre SOC interno y SOC gestionado.
Lo que la normativa no permite externalizar
Cualquier modelo de externalización tiene un suelo normativo que conviene conocer antes de firmar.
El Centro Criptológico Nacional publica en sus guías CCN-STIC del Esquema Nacional de Seguridad los criterios aplicables a terceros y proveedores, e incluye un perfil de cumplimiento específico para servicios de seguridad gestionados que contempla el reconocimiento de niveles de madurez.
En el terreno de la certificación, conviene comprobar que los certificados que exhibe un proveedor procedan de entidades de certificación acreditadas, y no de sellos sin respaldo verificable.
Antes de firmar, revise tres puntos del contrato: qué ocurre fuera del horario cubierto, quién decide la prioridad cuando hay dos incidentes simultáneos y cómo se devuelve la información al finalizar el servicio.
Cuatro preguntas para decidir
- ¿Sabemos qué activos no pueden detenerse más de un día?
- ¿Hay alguien que responda ante dirección por las decisiones de seguridad?
- ¿Podríamos justificar ante un auditor por qué invertimos donde invertimos?
- ¿Nuestros proveedores actuales trabajan coordinados o cada uno en su alcance?
Si las respuestas son afirmativas, lo que falta es capacidad y un MSSP la aporta. Si son negativas, lo que falta es dirección.
En la empresa de ciberseguridad planCiber trabajamos ese gobierno de forma continua y coordinamos a los proveedores que ya operan en su empresa, sin duplicar lo que ya funciona.
Preguntas Frecuentes sobre OTS y MSSP
¿Qué es una Oficina Técnica de Seguridad (OTS) en ciberseguridad?
Es la unidad que dirige y coordina la ciberseguridad de una organización de forma continua: define prioridades a partir del riesgo, ordena el trabajo de los proveedores implicados, controla el cumplimiento normativo y reporta a la dirección. No sustituye a los equipos técnicos, sino que los gobierna y les aporta criterio.
¿Qué diferencia hay entre una OTS y un servicio MSSP?
Un MSSP presta servicios de seguridad gestionada bajo un catálogo cerrado y unos acuerdos de nivel de servicio: opera lo que se le contrata. Una OTS actúa desde el lado del cliente y decide qué hay que hacer, con qué prioridad y con qué proveedor. El MSSP responde de la ejecución y la OTS responde del criterio y de la coherencia del conjunto.
¿Qué tareas de ciberseguridad asume una OTS gestionada?
Asume el inventario y la clasificación de activos, el análisis de riesgos y su revisión periódica, el plan director de seguridad y su seguimiento, la gestión del ciclo de vida de las vulnerabilidades, la coordinación de auditorías y pruebas técnicas, el control de proveedores y cadena de suministro, la preparación ante incidentes y el reporte al comité de dirección.
¿Qué indicadores mide una Oficina Técnica de Seguridad?
Los indicadores habituales combinan riesgo, operación y cumplimiento: porcentaje de activos inventariados y clasificados, tiempo medio de corrección de vulnerabilidades críticas, cobertura de las medidas del marco de referencia aplicable, número de hallazgos de auditoría abiertos y su antigüedad, cumplimiento de los acuerdos de nivel de servicio de los proveedores y grado de avance del plan director.
¿Qué diferencia hay entre una OTS y un SOC?
Un SOC es una capacidad de detección y respuesta que vigila la actividad y reacciona ante incidentes. Una OTS es una capacidad de gobierno que decide qué se protege, con qué prioridad y con qué recursos. Son funciones complementarias y conviven bien en una misma organización, con la OTS dirigiendo y el SOC operando.
Solicita una evaluación inicial de tu postura de ciberseguridad sin compromiso y te indicamos qué modelo encaja con tu organización: habla con nuestro equipo o escríbenos a info@planciber.com.
