Cómo elegir una empresa de ciberseguridad para tu PYME: qué servicios necesitas y qué preguntar

Buscas «empresas de ciberseguridad cerca de mí» y aparecen varias opciones con mensajes casi idénticos: protección integral, expertos certificados, soluciones a medida. Desde fuera es difícil saber qué hace cada una, cuál encaja con una PYME o si realmente necesitas contratar a alguna.

Esta guía te ayuda a decidirlo sin ser técnico: qué tipos de empresa existen, qué preguntarles y cómo comparar sus propuestas. Al final explicamos cómo trabajamos en LockSphere y en qué casos no somos la opción adecuada.

Si estás sufriendo un incidente ahora mismo, esta guía puede esperar. Avisa a tu proveedor informático y llama al 017, la línea de ayuda en ciberseguridad de INCIBE. Atiende también a empresas, es gratuita y confidencial y funciona de 8:00 a 23:00 todos los días.

Qué hace realmente una empresa de ciberseguridad

El mismo nombre esconde servicios que apenas se parecen. Esta clasificación simplifica un mercado en el que algunas empresas combinan varias funciones, pero sirve para saber a quién le estás hablando.

Tu proveedor informático no aparece en la tabla, pero forma parte de la decisión. Normalmente seguirá operando los sistemas, así que cualquier empresa que contrates tendrá que coordinarse con él. Si dudas entre un CISO virtual, una oficina de apoyo o un MSSP, ya comparamos esos modelos en CISO como servicio para PYMEs.

Empieza por tu situación, no por el proveedor

El NIST, el instituto de estándares de Estados Unidos, recomienda a las pequeñas empresas empezar por una lista clara de los resultados que esperan del servicio (NIST, Building Your Team). Puedes hacerlo con una frase: «Contratamos esto para poder…». Según cómo la termines, el tipo de empresa cambia:

• «…responder a lo que nos pide un cliente o la aseguradora». Necesitas saber dónde estás y ordenar las mejoras. Si te exigen una certificación concreta, confirma antes cuál es y qué alcance debe tener.
• «…saber por dónde empezar». Una conversación inicial o un diagnóstico como el Plan Director de Seguridad suele ser más útil que un producto. También puedes ver cómo queda en un ejemplo ficticio.
• «…que las mejoras pendientes se terminen». Lo que falta es dirección y seguimiento. Comprar otra herramienta no lo resolverá.
• «…que alguien atienda las alertas». Es un problema de operación, y ahí encaja un proveedor técnico.
• «…que el equipo sepa reaccionar». Busca formación adaptada a cada puesto, con ejercicios sobre situaciones reales de su trabajo.

Si no consigues terminar la frase, ya tienes el primer paso: aclarar la necesidad antes de pedir presupuestos.

¿Tiene que ser una empresa cerca de ti?

Depende del trabajo. Para analizar riesgos, preparar decisiones, coordinar proveedores o revisar avances, la distancia suele pesar poco: gran parte se puede hacer en remoto con reuniones periódicas.

La proximidad sí importa cuando alguien tiene que instalar equipos, actuar en tus oficinas o formar a la plantilla en una sala. En esos casos, deja por escrito quién se desplaza, con qué plazo y si tiene coste.

Más que el código postal, comprueba tres cosas: que pueda trabajar en tu idioma y en tu horario, que conozca las obligaciones que aplican a tu empresa en España y que entienda negocios de tu tamaño.

Siete preguntas para comparar empresas de ciberseguridad

1. ¿Qué necesitáis saber antes de proponer nada? Una propuesta que llega sin preguntar qué información manejas, de quién dependes o qué te preocupa no está pensada para tu empresa.
2. ¿Habéis trabajado con empresas como la nuestra? El NIST aconseja que las ofertas muestren experiencia en tu sector y con pequeñas empresas. Una lista de grandes marcas no demuestra que sepan adaptarse a una plantilla de 30 personas. Distingue también la experiencia de la empresa de la que aportan sus profesionales.
3. ¿Quién hará el trabajo y qué subcontratáis? Conviene saber con quién hablarás, quién tendrá acceso a tu información y si intervienen terceros.
4. ¿Qué certificaciones tenéis, quién las posee y qué cubren? Un certificado personal no acredita a la empresa, y uno de empresa se refiere a un alcance concreto. Si un contrato o una norma te lo exigen, es un requisito. INCIBE también sugiere pedir certificaciones como ISO 27001 en servicios especialmente críticos (INCIBE, relación con proveedores). Fuera de esos casos, es un dato más que valorar junto al resto.
5. ¿Qué información y accesos necesitaréis, y qué pasa al terminar? La misma guía de INCIBE recomienda concretar qué información se accede y cómo, retirar los permisos y borrar los datos al finalizar. Si el proveedor va a tratar datos personales por cuenta de tu empresa, la AEPD recuerda que debes elegir uno que ofrezca garantías suficientes y regular la relación mediante contrato. Consúltalo con quien te asesore en protección de datos.
6. ¿Qué queda fuera? Pregunta por el horario, por lo que ocurre ante un incidente y por las peticiones adicionales. Una empresa que sabe explicar lo que no hace suele tener claro lo que sí hace.
7. ¿Cómo sabremos que ha servido? Pide que concreten qué recibirás, cuándo, y cómo se comprobará que una mejora está terminada. Y comprueba si te lo explican de forma que dirección pueda decidir.

Señales de alerta

• Promete seguridad total o que nunca sufrirás un incidente.
• Garantiza que obtendrás una certificación antes de conocer tu situación.
• Presiona con el miedo o con plazos que nadie te ha pedido.
• Recomienda un producto antes de preguntarte nada.
• Presenta un análisis automático como si fuera un diagnóstico de tu empresa.
• Pide contraseñas compartidas o accesos permanentes sin explicar para qué.

Ninguna basta por sí sola para descartar a nadie, pero todas justifican una pregunta más.

Cuánto cuesta y cómo comparar presupuestos

No hay una tarifa de referencia que sirva para todas las PYMEs. El precio depende del alcance, del número de personas, sistemas y proveedores implicados y de la dedicación que requiera. Además, lo que recibes puede ser muy distinto: un proyecto cerrado, una cuota mensual o un servicio por usuario o dispositivo.

Para comparar con criterio, pasa cada propuesta a una misma hoja con estas filas:

• Resultado que promete y situación que resuelve.
• Alcance y exclusiones.
• Personas que trabajarán contigo.
• Entregables y plazos.
• Accesos e información que necesitan.
• Precio total, con desplazamientos, extras y renovación.
• Condiciones de salida.

El NIST lo resume en una advertencia: no te fijes solo en el coste. Las casillas vacías suelen decir más que el importe. Si te interesa el caso concreto de la dirección externa, tienes más detalle sobre qué determina el precio de un CISO virtual.

Un ejemplo ficticio

Ejemplo ilustrativo: no describe a ningún cliente de LockSphere.

Una clínica dental con dos sedes y 25 personas gestiona historiales de pacientes. Su gerente busca una empresa de ciberseguridad y recibe tres propuestas: una cuota por dispositivo para proteger y vigilar los equipos, un diagnóstico de tres semanas de una consultora que trabaja en remoto y una oferta de «seguridad integral» de una empresa de su ciudad, sin alcance detallado.

Antes de comparar precios, escribe su frase: «Contratamos esto para saber qué riesgos tenemos con los historiales y qué hacer en los próximos seis meses». Con ella, el diagnóstico es lo que mejor responde a su pregunta. La protección de equipos puede ser útil, pero conviene decidirla cuando se conozcan las prioridades. A la empresa local le pide que detalle el alcance: estar cerca es una ventaja si alguien tiene que ir a la clínica, pero no aclara qué está comprando.

Consultoría de ciberseguridad para PYMEs: cómo trabajamos en LockSphere

LockSphere es una consultoría de ciberseguridad para PYMEs que gestionan información sensible. Ayudamos a dirección a entender sus riesgos y convertirlos en decisiones claras y priorizadas, junto al equipo interno y los proveedores IT, sin sustituirlos.

Lo hacemos con tres servicios: el Plan Director de Seguridad para saber dónde estás y en qué orden actuar, la dirección de ciberseguridad o CISO virtual para mantener esas prioridades mes a mes y la formación en ciberseguridad en directo, online o presencial.

También conviene que sepas qué no hacemos. No vendemos herramientas, la implantación técnica no está incluida por defecto y no ofrecemos vigilancia ni respuesta 24/7. Si necesitas alguna de esas capacidades, tendrás que contratarla con quien pueda prestarla.

Preguntas frecuentes

¿Toda PYME necesita contratar una empresa de ciberseguridad? No siempre. Si tu proveedor informático cubre la operación, dirección conoce sus prioridades y alguien comprueba que se cumplen, quizá solo necesites una revisión puntual. Lo importante es poder afirmarlo con criterio, no suponerlo.

¿Puede encargarse mi proveedor informático? De una parte, sí: suele ser quien aplica y mantiene las medidas. Pregúntale qué queda fuera de su contrato y quién decide las prioridades de seguridad del conjunto de la empresa.

¿Qué diferencia hay entre una consultora y un proveedor de seguridad gestionada? La consultora ayuda a decidir qué hacer y en qué orden; el proveedor gestionado opera herramientas y vigila alertas. Muchas empresas acaban necesitando ambas funciones, y lo importante es saber quién cubre cada una.