MDR, SOC o antivirus tradicionales: ¿qué necesita mi empresa?

Cada CEO que ha revisado el presupuesto de ciberseguridad de su empresa se ha topado en algún momento con las mismas tres siglas: MDR, SOC y, más atrás en el tiempo pero todavía presente en muchos contratos, el antivirus tradicional. Los proveedores hablan de “protección integral” y “detección avanzada” casi sin distinción, lo que convierte una decisión con implicaciones económicas y legales muy concretas en un ejercicio de fe hacia el comercial de turno. La realidad es que estos tres modelos no son intercambiables ni compiten en el mismo terreno: responden a preguntas distintas, tienen estructuras de coste radicalmente diferentes y, sobre todo, ofrecen niveles de protección muy dispares.

Durante años, decidir sobre el antivirus corporativo era una tarea delegada casi por completo al departamento de sistemas. Esa época ha terminado. Según el informe de INCIBE publicado en febrero de 2026, España gestionó 122.223 incidentes de ciberseguridad durante 2025, un 26% más que el año anterior, con un aumento especialmente marcado del ransomware, que pasó de 176 a 392 casos en un solo año. En 2024 la cifra total ya había crecido un 16,6% respecto a 2023, lo que confirma una tendencia sostenida y no un pico puntual. Además, se detectaron más de 237.000 sistemas vulnerables solo en 2025, la mayoría por falta de parcheo o configuraciones inseguras en entornos cloud.

A esto se suma un cambio normativo de fondo. La directiva NIS2, ya en fase de transposición en España, traslada por primera vez la responsabilidad de la ciberseguridad a la alta dirección de forma directa, no delegable en el CIO o el CISO. Un consejero delegado que no pueda demostrar que su empresa cuenta con capacidad de detección y respuesta razonable frente a un incidente grave se expone a responsabilidades que antes recaían exclusivamente en el área técnica. Esto convierte la elección entre antivirus, SOC y MDR en una decisión de gobierno corporativo, no solo de compras de TI.

El antivirus tradicional

Cómo funciona

El antivirus clásico trabaja fundamentalmente por firmas: mantiene una base de datos de patrones de malware ya conocidos y bloquea cualquier archivo que coincida con ellos. Las versiones más modernas incorporan heurística y algo de aprendizaje automático, pero el principio de fondo sigue siendo el mismo: reconocer algo que ya se ha visto antes en algún lugar del mundo.

Esta arquitectura funciona razonablemente bien contra el malware masivo y no dirigido, que sigue representando un volumen considerable del tráfico malicioso diario. Es barato, fácil de desplegar y no requiere personal especializado para su gestión básica.

Sus límites frente a las amenazas actuales

El problema aparece cuando el atacante no usa malware “de catálogo”. Diversos análisis técnicos de 2026 estiman que un antivirus basado en firmas detecta aproximadamente el 40% de las amenazas actuales; el 60% restante recurre a técnicas de evasión que ninguna base de firmas puede anticipar: malware polimórfico que cambia de huella cada vez que se replica, ataques “fileless” que no dejan un archivo detectable en disco, y explotación de vulnerabilidades de día cero para las que, por definición, no existe firma previa.

El ransomware actual ilustra bien esta brecha. Según informes de INCIBE-CERT, el CCN-CERT y Mandiant citados en análisis del sector para 2026, el tiempo de permanencia de un atacante en la red antes de ejecutar el cifrado se ha reducido con frecuencia a menos de cinco días desde el acceso inicial, lo que deja muy poco margen a una herramienta que solo reacciona ante coincidencias de firma. Además, el vector de entrada dominante ya no es un archivo adjunto reconocible, sino credenciales válidas robadas mediante infostealers o accesos remotos sin autenticación multifactor, un escenario frente al cual un antivirus, por definición, no tiene nada que decir: la sesión parece legítima. El informe IBM X-Force Threat Intelligence 2026 sitúa en un 63% la proporción de brechas que comienzan con ingeniería social, un terreno donde la tecnología de firmas es, en el mejor de los casos, la última línea de defensa y no la primera.

El SOC

Qué es y qué requiere construirlo

Un Centro de Operaciones de Seguridad (SOC) es un equipo, propio o contratado como servicio, dedicado a la vigilancia continua de toda la infraestructura: red, endpoints, nube, identidades y aplicaciones. Un SOC maduro combina un SIEM que centraliza y correlaciona los registros de toda la organización, procesos de investigación de incidentes, gestión de vulnerabilidades y generación de informes de cumplimiento normativo. A diferencia del antivirus, el SOC no se limita a bloquear: investiga, documenta y sostiene la trazabilidad que exigen marcos como NIS2, RGPD o DORA.

Construir un SOC interno desde cero, sin embargo, es una inversión de gran envergadura. Análisis de coste publicados en 2026 sitúan la inversión del primer año, para dar cobertura 24 horas los 7 días de la semana, entre 1,8 y 3,3 millones de euros, con un coste recurrente anual de entre 800.000 y 1,3 millones. Esa cifra incluye entre ocho y diez analistas a tiempo completo para cubrir turnos, licencias de SIEM y herramientas de detección, instalaciones seguras y formación continua, que suele rondar entre 10.000 y 20.000 euros por analista al año en certificaciones. A esto se añade un problema de retención de talento: según una encuesta de SANS de 2025, el 70% de los analistas de SOC con cinco años de experiencia o menos abandona su puesto antes de cumplir tres años en él, lo que obliga a las organizaciones a reclutar y formar de manera constante.

Cuándo tiene sentido

Un SOC propio empieza a resultar económicamente razonable, según distintos análisis del sector, en organizaciones que superan los 5.000 endpoints, con requisitos regulatorios estrictos que exigen control interno sobre cada decisión de respuesta, o con aplicaciones a medida que solo un equipo que conoce el entorno en profundidad puede analizar correctamente. Por debajo de ese umbral, el coste de oportunidad rara vez se justifica frente a alternativas gestionadas.

MDR: la vía intermedia que ha ganado terreno en el mercado

Qué incluye realmente un servicio de MDR

El Managed Detection and Response (MDR) es un servicio externalizado que combina tecnología de detección en el endpoint (EDR), inteligencia de amenazas y analistas humanos que investigan y actúan directamente sobre la infraestructura del cliente, sin necesidad de que este apruebe cada paso. La diferencia clave frente a un SOC-as-a-Service es precisamente esa capacidad de contención directa: aislar un equipo comprometido, detener un proceso malicioso o bloquear una cuenta no es una recomendación, es una acción que el proveedor ejecuta en tiempo real.

Por qué ha crecido tan rápido

El mercado global de MDR, valorado en 4.100 millones de dólares en 2024, se proyecta que alcance los 11.800 millones en 2029, un crecimiento que refleja hasta qué punto las empresas medianas están optando por esta vía en lugar de construir capacidad interna. La razón económica es contundente: mientras un SOC de 500 endpoints exige una inversión de varios millones, un servicio de MDR equivalente suele costar entre 90.000 y 300.000 euros al año. Un informe de Enterprise Strategy Group citado por el proveedor Expel calcula un retorno de inversión del 308% anual para servicios MDR frente al coste de construir capacidad equivalente internamente, principalmente porque el proveedor reparte el coste de su plataforma y sus analistas entre cientos de clientes.

Un factor adicional que facilita esta adopción es el modelo de facturación. Proveedores como ESED, por ejemplo, trabajan con una tarifa fija mensual para sus servicios de ciberseguridad externalizada (antivirus avanzado con XDR/MDR, monitorización 24/7, gestión de backups y consultoría, entre otros), lo que permite a la dirección presupuestar el gasto en seguridad sin sorpresas y sin necesidad de una inversión inicial elevada. Puede consultarse más información sobre este modelo en la página de tarifas de ESED.

Sus límites

El MDR no sustituye el control total. La organización delega buena parte de las decisiones operativas en el proveedor, lo que exige acordar de antemano protocolos de escalado y playbooks de respuesta durante el despliegue. Tampoco cubre, por sí solo, todas las obligaciones de cumplimiento que sí asume un SOC completo, como la gestión de vulnerabilidades de extremo a extremo o cierta documentación de auditoría específica de sector. Por eso, en organizaciones de más de varios miles de empleados, lo habitual es que el MDR conviva con un equipo interno reducido que se ocupa de arquitectura, forense avanzado y relación con reguladores, mientras el proveedor cubre la vigilancia continua.

Tres escenarios reales para decidir

Pyme de 20 a 50 empleados

Sin equipo de seguridad dedicado, un antivirus de nueva generación combinado con un servicio de MDR resuelve la mayor parte del riesgo a un coste asumible. Los análisis de mercado sitúan ese paquete completo, incluyendo EDR, autenticación multifactor y filtrado de contenido, entre 1.500 y 3.000 euros anuales para una plantilla de ese tamaño, una cifra modesta si se compara con el coste medio de un rescate de ransomware en España en 2026, que ronda los 50.000 euros según medios especializados del sector.

Empresa mediana de 200 a 1.000 empleados

Con cierta exposición regulatoria pero sin presupuesto para un SOC de varios millones, el modelo híbrido gana sentido: un pequeño equipo interno que fija políticas y gestiona la relación con el negocio, apoyado por un MDR que cubre la detección y respuesta fuera de horario y durante picos de actividad.

Gran empresa en sector regulado

En banca, energía, sanidad o infraestructuras críticas, sujetas a NIS2 o DORA, la magnitud de los datos a proteger y las exigencias de trazabilidad ante el supervisor suelen justificar, más allá de cierto tamaño, la inversión en un SOC propio o híbrido, complementado en muchos casos con MDR para la cobertura nocturna y de fines de semana que resulta más difícil de sostener con personal interno.

El marco regulatorio español añade presión sobre la decisión

La transposición de NIS2 obliga a notificar un incidente grave al CSIRT competente —INCIBE-CERT o CCN-CERT según el caso— en apenas 24 horas desde su detección, con un informe completo en un mes. El RGPD, en paralelo, exige notificar a la Agencia Española de Protección de Datos en 72 horas cuando el incidente compromete datos personales, algo casi inevitable en los ataques de ransomware con doble extorsión, donde el atacante roba información antes de cifrarla. Cumplir estos plazos sin una capacidad de detección temprana y una documentación forense sólida es, en la práctica, inviable con un antivirus tradicional como única defensa.

Qué debería preguntarse un CEO antes de firmar el contrato

Antes de decidir, conviene que la dirección se plantee con honestidad cuántos endpoints y ubicaciones necesita cubrir, si existe ya un equipo interno capaz de gestionar incidentes fuera de horario laboral, qué obligaciones regulatorias concretas aplican a su sector, y cuánto costaría, en términos de reputación y facturación, un incidente grave que tardara varios días en detectarse. La respuesta a estas preguntas suele señalar con bastante claridad si el punto de partida razonable es reforzar el antivirus existente con EDR, contratar un MDR, construir un SOC propio o combinar varias de estas capas.

Conclusión

La pregunta correcta no es cuál de los tres modelos es mejor en abstracto, porque no compiten entre sí de forma directa. El antivirus tradicional sigue teniendo un papel, pero como una capa más dentro de una estrategia de defensa en profundidad, nunca como única línea de protección frente al ransomware y las técnicas de evasión actuales. El SOC ofrece el control y la visibilidad más completos, a cambio de una inversión que solo un número limitado de organizaciones puede justificar con solidez. El MDR se ha consolidado como el punto intermedio que permite a la mayoría de las empresas medianas acceder a detección y respuesta expertas sin asumir el coste de construir un equipo propio. La decisión, en última instancia, no es tecnológica: es una decisión de negocio sobre cuánto riesgo está dispuesta a asumir tu empresa y qué capacidad de respuesta puede demostrar, con hechos y no con promesas de marketing, el día que ocurra un incidente.

Fuentes: INCIBE (informe de ciberataques en España 2025 y estadísticas 2024), IBM X-Force Threat Intelligence Index 2026, IBM Cost of a Data Breach Report 2024, SANS 2025 Survey, Enterprise Strategy Group / Expel, análisis de coste MDR vs SOC del sector (2026) y guías técnicas de referencia sobre ransomware y NIS2/RGPD en España.