MDR, SOC o antivirus tradicionals: què necessita la meva empresa?

Qualsevol CEO que hagi revisat el pressupost de ciberseguretat de la seva empresa s'ha trobat, en algun moment, amb les mateixes tres sigles: MDR, SOC i, tot i ser una tecnologia més antiga però encara present en molts contractes, l'antivirus tradicional. Els proveïdors parlen de «protecció integral» i «detecció avançada» gairebé sense diferenciar-les, fet que converteix una decisió amb implicacions econòmiques i legals molt concretes en un acte de fe envers el comercial de torn. La realitat és que aquests tres models no són intercanviables ni competeixen en el mateix terreny: responen a necessitats diferents, tenen estructures de cost radicalment diferents i, sobretot, ofereixen nivells de protecció molt desiguals.

Durant anys, decidir quin antivirus corporatiu calia implantar era una tasca delegada gairebé del tot al departament de sistemes. Aquella època s'ha acabat. Segons l'informe de l'INCIBE publicat el febrer de 2026, Espanya va gestionar 122.223 incidents de ciberseguretat durant el 2025, un 26 % més que l'any anterior, amb un increment especialment significatiu del ransomware, que va passar de 176 a 392 casos en només un any. El 2024, el nombre total d'incidents ja havia augmentat un 16,6 % respecte del 2023, fet que confirma una tendència sostinguda i no un augment puntual. A més, només durant el 2025 es van detectar més de 237.000 sistemes vulnerables, la majoria a causa de la manca d'actualitzacions o de configuracions insegures en entorns cloud. 

A tot això cal afegir-hi un canvi normatiu de gran abast. La Directiva NIS2, actualment en procés de transposició a Espanya, trasllada per primera vegada la responsabilitat de la ciberseguretat directament a l'alta direcció, sense possibilitat de delegar-la en el CIO o el CISO. Un director general que no pugui demostrar que la seva empresa disposa d'una capacitat raonable de detecció i resposta davant d'un incident greu s'exposa a responsabilitats que abans requeien exclusivament sobre l'àrea tècnica. Això converteix l'elecció entre antivirus, SOC i MDR en una decisió de govern corporatiu, i no únicament en una compra de tecnologia.

L'antivirus tradicional

Com funciona

L'antivirus clàssic treballa principalment mitjançant signatures: manté una base de dades amb patrons de malware ja coneguts i bloqueja qualsevol fitxer que hi coincideixi. Les versions més modernes incorporen tècniques heurístiques i una certa capacitat d'aprenentatge automàtic, però el principi continua sent el mateix: identificar una amenaça que ja ha estat detectada prèviament en algun altre lloc del món.

Aquesta arquitectura funciona raonablement bé davant del malware massiu i no dirigit, que continua representant una part important del trànsit maliciós diari. És una solució econòmica, fàcil de desplegar i que no requereix personal especialitzat per a la seva administració bàsica.

Els seus límits davant les amenaces actuals

El problema apareix quan l'atacant no utilitza un malware «de catàleg». Diverses anàlisis tècniques publicades el 2026 estimen que un antivirus basat en signatures detecta aproximadament el 40 % de les amenaces actuals. El 60 % restant utilitza tècniques d'evasió que cap base de signatures pot anticipar: malware polimòrfic que modifica la seva empremta cada vegada que es replica, atacs fileless que no deixen cap fitxer detectable al disc o l'explotació de vulnerabilitats zero-day, per a les quals, per definició, encara no existeix cap signatura prèvia.

El ransomware actual il·lustra perfectament aquesta realitat. Segons informes d'INCIBE-CERT, CCN-CERT i Mandiant, citats en diverses anàlisis del sector durant el 2026, el temps de permanència d'un atacant dins la xarxa abans d'executar el xifrat s'ha reduït sovint a menys de cinc dies des de l'accés inicial. Això deixa molt poc marge d'actuació a una eina que únicament reacciona davant coincidències de signatures.

A més, el vector d'entrada predominant ja no és un fitxer adjunt fàcilment identificable, sinó credencials vàlides robades mitjançant infostealers o accessos remots sense autenticació multifactor. Davant d'aquest escenari, un antivirus, per definició, no té capacitat de resposta: la sessió sembla completament legítima. L'informe IBM X-Force Threat Intelligence 2026 indica que el 63 % de les bretxes de seguretat s'inicien a través de tècniques d'enginyeria social, un àmbit on la tecnologia basada en signatures representa, en el millor dels casos, l'última línia de defensa, però mai la primera.

El SOC

Què és i què implica construir-ne un

Un Centre d'Operacions de Seguretat (SOC) és un equip, propi o externalitzat com a servei, dedicat a la vigilància contínua de tota la infraestructura tecnològica: xarxes, endpoints, entorns cloud, identitats i aplicacions. Un SOC madur combina un SIEM, que centralitza i correlaciona els registres de tota l'organització, amb processos d'investigació d'incidents, gestió de vulnerabilitats i elaboració d'informes de compliment normatiu. A diferència d'un antivirus, el SOC no es limita a bloquejar amenaces: les investiga, les documenta i garanteix la traçabilitat exigida per marcs normatius com la NIS2, el RGPD o DORA.

Construir un SOC intern des de zero, però, representa una inversió molt important. Diverses anàlisis de costos publicades el 2026 situen la inversió del primer any, per oferir cobertura les 24 hores del dia, els 7 dies de la setmana, entre 1,8 i 3,3 milions d'euros, amb un cost recurrent anual d'entre 800.000 i 1,3 milions d'euros. Aquesta xifra inclou entre vuit i deu analistes a jornada completa per cobrir els diferents torns, les llicències del SIEM i de les eines de detecció, instal·lacions segures i formació contínua, que acostuma a situar-se entre 10.000 i 20.000 euros anuals per analista en certificacions.

A tot això s'hi afegeix un problema de retenció del talent. Segons una enquesta de SANS publicada el 2025, el 70 % dels analistes de SOC amb cinc anys d'experiència o menys abandonen el seu lloc de treball abans de complir tres anys, fet que obliga les organitzacions a incorporar i formar professionals de manera constant.

Quan té sentit

Segons diferents estudis del sector, disposar d'un SOC propi comença a ser econòmicament justificable en organitzacions que superen els 5.000 endpoints, que estan subjectes a requisits regulatoris estrictes que exigeixen mantenir el control intern sobre totes les decisions de resposta o que desenvolupen aplicacions pròpies que només un equip profundament coneixedor de l'entorn pot analitzar adequadament.

Per sota d'aquest llindar, el cost d'oportunitat difícilment es justifica davant de serveis gestionats.

MDR: la via intermèdia que ha guanyat protagonisme al mercat

Què inclou realment un servei MDR

El Managed Detection and Response (MDR) és un servei externalitzat que combina tecnologia de detecció als endpoints (EDR), intel·ligència d'amenaces i analistes especialitzats que investiguen i actuen directament sobre la infraestructura del client, sense necessitat que aquest hagi d'autoritzar cada actuació.

La diferència principal respecte d'un SOC-as-a-Service és precisament aquesta capacitat de resposta directa. Aïllar un equip compromès, aturar un procés maliciós o bloquejar un compte compromès no és només una recomanació: és una acció que el proveïdor executa en temps real.

Per què ha crescut tan ràpid

El mercat mundial dels serveis MDR, valorat en 4.100 milions de dòlars el 2024, es preveu que arribi als 11.800 milions de dòlars el 2029. Aquest creixement reflecteix fins a quin punt les empreses mitjanes estan optant per aquesta alternativa en lloc de construir la seva pròpia capacitat interna. El motiu econòmic és contundent. Mentre que un SOC per gestionar 500 endpoints requereix una inversió de diversos milions d'euros, un servei MDR equivalent acostuma a situar-se entre 90.000 i 300.000 euros anuals. Un informe de Enterprise Strategy Group, citat pel proveïdor Expel, calcula un retorn de la inversió del 308 % anual per als serveis MDR en comparació amb el cost de construir una capacitat equivalent internament. La principal raó és que el proveïdor reparteix el cost de la seva plataforma tecnològica i dels seus analistes entre centenars de clients.

Un altre factor que afavoreix aquesta adopció és el model de facturació. Proveïdors com ESED, per exemple, treballen amb una quota mensual fixa per als seus serveis de ciberseguretat externalitzada (antivirus avançat amb XDR/MDR, monitorització 24/7, gestió de còpies de seguretat, consultoria, entre d'altres), cosa que permet a la direcció planificar el pressupost destinat a la seguretat sense sorpreses i sense haver d'afrontar una elevada inversió inicial. Es pot obtenir més informació sobre aquest model a la pàgina de tarifes d'ESED.

Els seus límits

L'MDR no substitueix el control absolut. L'organització delega bona part de les decisions operatives en el proveïdor, fet que obliga a definir prèviament protocols d'escalat i playbooks de resposta durant el desplegament del servei. Tampoc cobreix, per si sol, totes les obligacions de compliment normatiu que sí assumeix un SOC complet, com ara la gestió integral de vulnerabilitats o determinada documentació específica per a auditories sectorials. Per aquest motiu, en organitzacions amb diversos milers de treballadors, és habitual que l'MDR convisqui amb un petit equip intern encarregat de l'arquitectura de seguretat, l'anàlisi forense avançada i la relació amb els organismes reguladors, mentre el proveïdor assumeix la vigilància contínua.

Tres escenaris reals per prendre la decisió

PIME de 20 a 50 treballadors

Sense un equip de seguretat dedicat, un antivirus de nova generació combinat amb un servei d'MDR resol la major part dels riscos amb un cost assumible. Les anàlisis del mercat situen aquest paquet complet, que inclou EDR, autenticació multifactor i filtratge de contingut, entre 1.500 i 3.000 euros anuals per a una plantilla d'aquestes dimensions. És una xifra molt moderada si es compara amb el cost mitjà d'un rescat per ransomware a Espanya el 2026, que ronda els 50.000 euros, segons diversos mitjans especialitzats del sector.

Empresa mitjana de 200 a 1.000 treballadors

Quan existeix una certa exposició reguladora però no es disposa del pressupost necessari per mantenir un SOC valorat en diversos milions d'euros, el model híbrid és el que acostuma a oferir més valor. En aquest escenari, un petit equip intern defineix les polítiques de seguretat i manté la relació amb el negoci, mentre que un servei d'MDR s'encarrega de la detecció i la resposta fora de l'horari laboral i durant els períodes de màxima activitat.

Gran empresa d'un sector regulat

En sectors com la banca, l'energia, la sanitat o les infraestructures crítiques, sotmesos a normatives com la NIS2 o DORA, el volum de dades a protegir i les exigències de traçabilitat davant dels organismes supervisors acostumen a justificar, a partir d'una determinada dimensió, la inversió en un SOC propi o híbrid. En molts casos, aquest es complementa amb un servei d'MDR per cobrir la vigilància durant les nits i els caps de setmana, una cobertura que resulta molt més difícil de mantenir exclusivament amb personal intern.

El marc regulador espanyol incrementa la pressió sobre aquesta decisió

La transposició de la NIS2 obliga a comunicar qualsevol incident greu al CSIRT competent —INCIBE-CERT o CCN-CERT, segons el cas— en un termini màxim de 24 hores des de la seva detecció, i a presentar un informe complet en el termini d'un mes.

Paral·lelament, el Reglament General de Protecció de Dades (RGPD) exigeix notificar qualsevol incident a l'Agència Espanyola de Protecció de Dades en un màxim de 72 hores quan aquest comprometi dades personals. Aquesta situació és pràcticament inevitable en els atacs de ransomware amb doble extorsió, en què els atacants exfiltren la informació abans de xifrar-la.

Complir aquests terminis sense disposar d'una capacitat de detecció primerenca i d'una documentació forense sòlida és, a la pràctica, impossible si l'única defensa és un antivirus tradicional.

Què s'hauria de preguntar un CEO abans de signar el contracte

Abans de prendre una decisió, és convenient que la direcció es plantegi amb honestedat quants endpoints i ubicacions ha de protegir, si ja disposa d'un equip intern capaç de gestionar incidents fora de l'horari laboral, quines obligacions reguladores específiques s'apliquen al seu sector i quin seria el cost, en termes de reputació i facturació, d'un incident greu que trigués diversos dies a detectar-se. La resposta a aquestes preguntes acostuma a indicar amb força claredat si el punt de partida més adequat és reforçar l'antivirus existent amb EDR, contractar un servei d'MDR, desplegar un SOC propi o combinar diverses d'aquestes capes de protecció.

Conclusió

La pregunta correcta no és quin dels tres models és millor en termes absoluts, perquè no competeixen directament entre si. L'antivirus tradicional continua tenint un paper important, però com una capa més dins d'una estratègia de defensa en profunditat, mai com l'única línia de protecció davant del ransomware i de les tècniques d'evasió actuals. El SOC ofereix el nivell més alt de control i visibilitat, però requereix una inversió que només un nombre reduït d'organitzacions pot justificar de manera sòlida. L'MDR s'ha consolidat com el punt d'equilibri que permet a la majoria de les empreses mitjanes disposar de serveis experts de detecció i resposta davant d'incidents sense haver d'assumir el cost de crear un equip propi. En última instància, la decisió no és tecnològica, sinó empresarial: es tracta de determinar quin nivell de risc està disposada a assumir la teva empresa i quina capacitat de resposta pot demostrar, amb fets i no amb promeses de màrqueting, el dia que es produeixi un incident.

Fonts: INCIBE (Informe sobre ciberatacs a Espanya 2025 i Estadístiques 2024), IBM X-Force Threat Intelligence Index 2026, IBM Cost of a Data Breach Report 2024, SANS Survey 2025, Enterprise Strategy Group / Expel, anàlisis sectorials sobre el cost de l'MDR en comparació amb el SOC (2026) i guies tècniques de referència sobre ransomware i el compliment de la NIS2 i el RGPD a Espanya.