Cómo diferenciar monitorización y respuesta al contratar seguridad

Sigue un caso desde la señal hasta el cierre

Pide al proveedor recorrer un escenario: una cuenta muestra actividad sospechosa. Identifica quién recibe la señal, reúne contexto, clasifica el caso y contacta contigo. Después pregunta quién puede bloquear sesiones, preservar evidencia o coordinar recuperación. No des por incluido un paso porque el producto tenga una función para hacerlo. La capacidad de una herramienta, el servicio contratado y la autoridad otorgada por tu empresa son tres cosas que deben coincidir.

Pon nombre a cada compromiso temporal

Distingue tiempo hasta detectar una señal disponible, avisar, aceptar el incidente e iniciar una acción. Define horario, prioridad, punto de inicio y excepciones. Pregunta por esperas de autorización y soporte de terceros. Evita comparar dos ofertas por un mismo número si una mide aviso y otra atención. Una promesa de resolución necesita condiciones y alcance; no puede garantizar por sí sola que un tercero recupere una aplicación caída.

Acordad acciones y autorizaciones

Construye una matriz breve: investigar con lectura, proponer, ejecutar con aprobación o ejecutar bajo un procedimiento previamente autorizado. Añade activo, límite y contacto que decide. Para acciones que interrumpen el negocio, prepara sustitución del aprobador y criterio de urgencia. No otorgues administración general por comodidad. NIST integra detección y respuesta en la gestión del riesgo; esa relación no borra la necesidad de distribuir responsabilidades concretas entre cliente y proveedor.

Demuestra el traspaso y el cierre

Con un ejercicio autorizado, verifica que el aviso llega, se acepta y produce la siguiente decisión prevista. Comprueba acceso a evidencias, canal alternativo y escalado cuando no responde el titular. Pide un informe final con acciones, alcance, validación y pendientes. Define quién confirma que el servicio vuelve a ser útil y quién conserva el caso. Si solo has contratado monitorización, asigna antes otra capacidad de respuesta; dejarla para cuando llegue la primera alerta crea un vacío operativo.

Ejemplo de dos ofertas que parecen equivalentes

En una comparación hipotética, ambos proveedores ofrecen atención continua. El primero revisa señales y remite recomendaciones; el segundo también puede ejecutar un bloqueo previamente autorizado sobre un grupo acotado de equipos. No basta con elegir el segundo por tener más acciones. Comprueba qué necesitas, qué impacto tendría el bloqueo y quién atiende las excepciones. Si tu aplicación crítica está fuera de ese grupo, ambas ofertas pueden dejar pendiente la misma intervención. Pide seguir el caso hasta la persona que actuará sobre esa aplicación y escribe el reparto. Compara después coste y cobertura con ese alcance homogéneo. El resultado puede ser contratar monitorización y respuesta separadas, siempre que el traspaso esté probado y no dependa de una llamada improvisada.

Fuentes y documentación

• NIST SP 800-61 Rev. 3 · Incident response — Integra preparación, detección y respuesta en la gestión de riesgos.