¿Qué es la detección y respuesta gestionadas (MDR)?
Según el informe «State of the MSP» de Kaseya de 2026, el 61 % de los MSP afirman que la mayoría o la totalidad de sus clientes recurren a ellos en busca de asesoramiento en materia de ciberseguridad. El MDR se está convirtiendo cada vez más en la forma en que los MSP satisfacen esa expectativa sin tener que crear un equipo completo de operaciones de seguridad desde cero.
Las operaciones de seguridad deben realizarse las 24 horas del día, los 7 días de la semana. Las amenazas no esperan al horario laboral, y los datos sobre la duración de los ataques lo dejan claro: el tiempo medio que tarda un delito cibernético en desarrollarse, desde el acceso inicial hasta el movimiento lateral, es ahora de 29 minutos (Informe Global sobre Amenazas de CrowdStrike, 2026). Una organización que no cuente con una supervisión continua no dispone de horas para responder, sino de minutos.
Crear y dotar de personal a un centro de operaciones de seguridad (SOC) interno, con los analistas, las herramientas, los procesos y los conocimientos necesarios para detectar y responder a las amenazas las 24 horas del día, supone un coste anual de más de 735 000 dólares en personal y funcionamiento. Y eso sin contar las herramientas. Para la inmensa mayoría de las organizaciones, esa inversión no es viable.
La detección y respuesta gestionadas (MDR) subsana esta carencia al ofrecer las capacidades de un centro de operaciones de seguridad (SOC) como servicio gestionado: un equipo de expertos en seguridad, dotado de tecnología de detección avanzada, que supervisa su entorno y responde a las amenazas en su nombre, las 24 horas del día, los 7 días de la semana.
Disfruta de operaciones de seguridad las 24 horas del día, los 7 días de la semana, sin necesidad de crear un SOC
Kaseya MDR cuenta con analistas de seguridad con sede en EE. UU. que supervisan su entorno las 24 horas del día, detectando, investigando y respondiendo a las amenazas para que su equipo no tenga que hacerlo.
¿Qué es el MDR?
El MDR es un servicio de seguridad gestionado que combina tecnología —normalmente EDR, detección de red, SIEM e inteligencia sobre amenazas— con la experiencia humana para ofrecer una supervisión, detección, investigación y respuesta continuas ante las amenazas. La palabra clave es «respuesta»: a diferencia de los servicios de supervisión de alertas, que se limitan a notificar las detecciones, los proveedores de MDR actúan en tu nombre para contener y solucionar las amenazas.
El servicio funciona las 24 horas del día, los 7 días de la semana, con un equipo de analistas de seguridad que supervisan los datos de telemetría del entorno del cliente, investigan las alertas que señalan los sistemas automatizados, distinguen las amenazas reales de los falsos positivos y aplican medidas de contención cuando se confirma una amenaza real. El aislamiento de los terminales, el bloqueo de procesos maliciosos y el asesoramiento al cliente durante el proceso de corrección forman parte de sus funciones.
El MDR se centra en los resultados. El valor no reside en la pila tecnológica, que uno mismo podría montar. Reside en la experiencia humana que gestiona esa pila las 24 horas del día, tomando las decisiones que los sistemas automatizados no pueden tomar y actuando en el margen de tiempo antes de que una amenaza se convierta en una brecha de seguridad.
Qué incluye el MDR
Detección de amenazas. Supervisión continua de la telemetría de los terminales, la red, las identidades y la nube mediante EDR, herramientas de detección de red y datos de SIEM. La detección se basa tanto en reglas automatizadas como en la revisión de los analistas para detectar amenazas que los sistemas automatizados por sí solos no detectan, en particular las anomalías de comportamiento que no se ajustan a las firmas conocidas.
Investigación de alertas. Los analistas de seguridad revisan y clasifican las alertas para determinar si se trata de amenazas reales o de falsos positivos. Las herramientas de seguridad modernas generan miles de alertas al día. Sin la clasificación por parte de los analistas, la información relevante queda sepultada entre el ruido y se produce la «fatiga de alertas». El servicio MDR libera al equipo interno de esta carga.
Búsqueda de amenazas. Búsqueda proactiva en los datos de telemetría de indicadores de compromiso que no hayan activado la detección automática, con el fin de detectar la actividad de ataque en sus primeras fases —reconocimiento, movimiento lateral, escalada de privilegios— que precede a un incidente visible. Los ataques de ransomware que se desarrollan a lo largo de semanas antes de que se produzca el cifrado requieren este tipo de detección proactiva para poder detectarlos.
Respuesta ante incidentes. Cuando se identifica una amenaza confirmada, los proveedores de MDR adoptan medidas de contención: aíslan los terminales afectados, bloquean los procesos maliciosos y coordinan la respuesta global ante el incidente. El proveedor se encarga de la contención inmediata; el cliente y el proveedor se encargan conjuntamente de la investigación, la corrección y la recuperación, en función del alcance del servicio.
Información sobre amenazas. Los proveedores de MDR recopilan información sobre amenazas procedente de toda su base de clientes y de fuentes externas, actualizando continuamente las reglas de detección a medida que surgen nuevas amenazas. Esta ventaja que supone la inteligencia colectiva hace que la capacidad de detección del proveedor mejore con cada incidente que se produzca en toda su cartera de clientes.
Informes. Elaboración periódica de informes sobre el estado de la seguridad, la actividad de las amenazas, los indicadores de detección y respuesta, y las tendencias de los incidentes, proporcionando el registro de pruebas que exigen los requisitos de cumplimiento y que las partes interesadas necesitan para comprender el valor de la inversión en seguridad.
Cómo funciona el MDR
El flujo operativo de MDR es sencillo, aunque su ejecución subyacente es compleja.
Recopilación de datos de telemetría. La infraestructura tecnológica del proveedor de MDR recopila datos de seguridad de los terminales, las redes, los sistemas de identidad, el correo electrónico y las plataformas en la nube.
Detección automatizada. Los modelos de aprendizaje automático y la detección basada en reglas identifican anomalías y patrones de amenazas conocidos en el flujo de telemetría, generando alertas para que las revisen los analistas.
Evaluación por parte de los analistas. Los analistas de seguridad revisan las alertas, las contextualizan y determinan cuáles representan amenazas reales. Se filtran los falsos positivos. Las amenazas reales se remiten a los niveles superiores para su investigación.
Investigación. Las amenazas confirmadas se investigan para comprender su alcance, los sistemas afectados, el vector de ataque y toda la cadena de ataque. La correspondencia con el marco MITRE ATT&CK ayuda a clasificar las técnicas y a comprender los objetivos del adversario.
Contención y respuesta. Se llevan a cabo medidas de contención: aislamiento de los terminales afectados, bloqueo de procesos maliciosos y revocación de las credenciales comprometidas. Se notifica al cliente y se le orienta a lo largo del proceso de corrección más amplio.
Recuperación y aprendizaje. Tras un incidente, las reglas de detección se actualizan en función de lo aprendido, y se elabora un informe en el que se documenta lo ocurrido, cómo se gestionó y qué medidas pueden reducir la probabilidad de que se repita.
MDR frente a MSSP: ¿cuál es la diferencia?
A veces se confunden los proveedores de servicios de seguridad gestionados (MSSP) con los proveedores de MDR, pero existe una diferencia operativa significativa:
Los MSSP suelen ofrecer servicios de supervisión y alertas. Están atentos a las amenazas y avisan al cliente cuando detectan algo. La investigación y la respuesta siguen siendo responsabilidad del cliente.
Los proveedores de MDR incluyen la investigación y la respuesta en el servicio. No se limitan a informarte de que ha ocurrido algo. Determinan de qué se trata, cuál es su gravedad y toman medidas para contenerlo. La capacidad de respuesta es su característica definitoria.
Esta distinción es importante a la hora de evaluar la carga operativa que cada modelo supone para el cliente. Un MSSP que genera alertas que requieren la investigación y la respuesta de un equipo interno supone un alivio menor para las organizaciones con recursos limitados que un proveedor de MDR que se encarga de esos pasos dentro del servicio. Para las organizaciones que no cuentan con analistas de seguridad internos, una alerta de un MSSP resulta, en la práctica, inútil si no hay nadie que actúe en consecuencia.
MDR, EDR y XDR
Estos tres términos describen capacidades de seguridad relacionadas entre sí, pero distintas, que aparecen constantemente en las mismas conversaciones:
EDR (detección y respuesta en terminales) es una plataforma tecnológica que supervisa el comportamiento de los terminales, detecta amenazas a nivel de dispositivo y ofrece capacidades de respuesta, como el aislamiento de terminales. EDR es una herramienta que gestionas tú mismo. Sin analistas que investiguen sus detecciones, EDR genera alertas que pueden quedar sin revisar.
XDR (detección y respuesta ampliadas) amplía la visibilidad de EDR a múltiples capas de seguridad, recopilando datos de telemetría de los terminales, la red, la identidad, el correo electrónico y la nube en una plataforma unificada de detección y respuesta. XDR sigue siendo una plataforma tecnológica, no un servicio gestionado.
El MDR (detección y respuesta gestionadas) es la capa de servicio que gestiona el EDR o el XDR en su nombre. Los proveedores de MDR suelen utilizar herramientas de EDR y XDR como base para la detección y, a continuación, añaden el equipo de analistas, la búsqueda de amenazas, la investigación y la respuesta, lo que convierte la tecnología en un servicio de seguridad operativo.
En la práctica: EDR y XDR te indican lo que está ocurriendo. MDR te explica qué significa y toma medidas al respecto.
¿Quién necesita el MDR?
El Reglamento sobre productos sanitarios (MDR) es relevante para cualquier organización que:
- Carece de analistas de seguridad internos que supervisen las detecciones del EDR e investiguen las alertas las 24 horas del día
- Requiere una cobertura de detección y respuesta las 24 horas del día, los 7 días de la semana, que un pequeño equipo interno no puede proporcionar
- Ha sufrido un incidente de seguridad y es consciente de la diferencia que existe entre disponer de herramientas de seguridad y contar con una capacidad de respuesta operativa
- Está sujeto a requisitos de seguro cibernético o a marcos de cumplimiento que exigen una supervisión continua y una respuesta documentada ante incidentes
- Quiere demostrar su madurez en materia de seguridad a los clientes, a los miembros del consejo de administración o a los auditores sin el coste y la complejidad que supone crear un SOC interno
Esto describe a la mayoría de las pymes y a una proporción significativa de las empresas del mercado medio. Los argumentos económicos son convincentes: desarrollar una capacidad interna equivalente requiere varios analistas de seguridad a tiempo completo, licencias de herramientas especializadas y cobertura por turnos las 24 horas del día, los 7 días de la semana, lo que supone más de 735 000 dólares al año, sin contar el coste de las herramientas. El servicio MDR ofrece esa capacidad por una fracción del coste.
En el caso concreto de los MSP, lo que está en juego es aún mayor. Los MSP disponen de acceso privilegiado a docenas de entornos de clientes a través de sus plataformas RMM y PSA. Ese acceso los convierte en objetivos de gran valor para los ataques a la cadena de suministro. Un MSP que no cuente con cobertura MDR para su propia infraestructura supone una vía de ataque expuesta hacia todos y cada uno de los clientes que gestiona.
MDR y Kaseya SIEM: cómo funcionan juntos
El MDR y el SIEM abordan el mismo problema desde perspectivas diferentes. El MDR es un servicio gestionado, es decir, un equipo de analistas que supervisa tu entorno y responde ante las amenazas. El SIEM es una plataforma tecnológica que recopila, correlaciona y analiza los datos de telemetría de seguridad de todo tu entorno.
Kaseya ofrece ambas opciones. Kaseya SIEM, ya disponible para el público general, unifica la telemetría de los terminales, la red, la nube, la identidad y el correo electrónico, correlacionando señales de más de 60 fuentes de datos con una retención de registros de 400 días. Para las organizaciones que desean gestionar sus propias operaciones de seguridad, SIEM proporciona la plataforma necesaria. Para aquellas que buscan la cobertura sin la carga operativa, el servicio SOC gestionado 24/7 de Kaseya, impulsado por Kaseya Intelligence, ofrece capacidades de MDR sobre la base de esa telemetría.
Ambos funcionan mejor juntos: SIEM aporta la amplitud y la retención de datos; MDR aporta la experiencia humana que transforma los datos en medidas de protección. Descubre Kaseya SIEM.
El Reglamento sobre productos sanitarios (MDR) para los MSP: ampliación de la infraestructura de seguridad
Para los MSP, el MDR ofrece dos oportunidades distintas.
A nivel interno, el MDR proporciona la cobertura de operaciones de seguridad que protege el propio entorno del MSP, incluidas las plataformas RMM y PSA con privilegios elevados que convierten a los MSP en objetivos atractivos. Un MSP que cuente con cobertura MDR para su propia infraestructura es considerablemente más resistente a los ataques a la cadena de suministro que tienen como objetivo a los MSP como punto de entrada a su base de clientes.
Al tratarse de un servicio orientado al cliente, el MDR que se ofrece a los clientes proporciona la capacidad de seguridad que la mayoría de las pymes no pueden permitirse desarrollar por sí mismas. Los MSP que incluyen el MDR como componente estándar de su oferta de seguridad, en lugar de recomendarlo como un complemento opcional, están proporcionando una protección verdaderamente integral y diferenciándose de los competidores que ofrecen supervisión sin respuesta.
El servicio MDR de Kaseya, disponible en «Kaseya 365 Endpoint Pro», lo prestan analistas de seguridad con sede en EE. UU. que trabajan las 24 horas del día, los 7 días de la semana. Se integra con Datto EDR y con la plataforma más amplia « Kaseya 365 », lo que proporciona a los MSP y a los equipos internos de TI una capacidad completa de operaciones de seguridad gestionadas. Descubre « Kaseya 365 Endpoint Pro».
Puntos clave
- MDR ofrece supervisión, investigación y respuesta ante amenazas las 24 horas del día, los 7 días de la semana, como servicio gestionado, lo que permite disponer de las capacidades de un centro de operaciones de seguridad (SOC) sin el coste anual de más de 735 000 dólares que supone crear uno propio.
- La característica que distingue al MDR del MSSP es la respuesta: los proveedores de MDR toman medidas de contención en tu nombre, no se limitan a notificarte que ha ocurrido algo.
- MDR es la capa de servicio que gestiona las tecnologías EDR y XDR en su nombre. EDR y XDR son herramientas; MDR es el servicio gestionado que hace que esas herramientas sean eficaces desde el punto de vista operativo.
- Dado que el tiempo medio de detección de los delitos informáticos se sitúa actualmente en 29 minutos, la cobertura continua de analistas las 24 horas del día, los 7 días de la semana, no es un lujo, sino un requisito básico para las organizaciones que desean contener las amenazas antes de que se propaguen.
- Para los MSP, el MDR es tanto un control de seguridad interno que protege el acceso privilegiado a las soluciones RMM y PSA, como un servicio dirigido a los clientes que ofrece la capacidad de seguridad que la mayoría de las pymes no pueden desarrollar por sí mismas.
