¿Cómo elegir un proveedor de ciberseguridad para empresas medianas?

Para elegir un proveedor de ciberseguridad, decide por evidencia y no por promesas: define primero qué necesitas proteger, exige certificaciones con alcance verificable, pide referencias y entregables concretos, revisa contrato y responsabilidades, y compara con una matriz de criterios ponderados. Un piloto acotado reduce el riesgo antes de comprometerte a largo plazo.

Antes de mirar proveedores: define qué necesitas

La mayoría de las malas contrataciones empiezan por un encargo difuso. Antes de pedir ofertas, responde por escrito:

1. ¿Qué activos y procesos quieres proteger? (datos de clientes, producción, aplicaciones expuestas, identidades).
2. ¿Qué obligaciones tienes? Normativa sectorial, requisitos de clientes o de licitaciones. La Comisión Europea explica, por ejemplo, que NIS2 obliga a las entidades medianas y grandes de los sectores incluidos a adoptar medidas adecuadas de gestión de riesgos de ciberseguridad [1]. Si no sabes qué te aplica, empieza por una consultoría GRC.
3. ¿Qué resultado esperas? Reducir un riesgo concreto, pasar una auditoría, tener vigilancia continua.
4. ¿Qué capacidad interna tienes? Quién recibirá los informes y decidirá.

Qué tipo de proveedor necesitas

En Hodeitek ofrecemos pentesting y Red Team, SOC gestionado, consultoría GRC, formación y concienciación y consultoría de IA aplicada a seguridad.

Ocho criterios para comparar

1. Certificaciones y alcance

Una certificación solo vale por su alcance. Pide el certificado, el alcance exacto y, en el caso de ISO/IEC 27001, la declaración de aplicabilidad. Para proveedores en la nube, el registro público STAR de Cloud Security Alliance permite consultar el nivel de garantía que han declarado [2], y los informes SOC de AICPA proporcionan información para evaluar los riesgos de externalizar un servicio [3]. Como ejemplo de transparencia, Hodeitek publica sus certificados (ISO/IEC 27001 y ENS categoría Media) y su alcance en su página de empresa.

2. Metodología y estándares de referencia

Un proveedor serio explica con qué marcos trabaja. En un SOC, por ejemplo, MITRE ATT&CK para describir técnicas de adversarios [4] y NIST SP 800-61 para la respuesta a incidentes [5]. En un pentest de aplicaciones, la guía de pruebas WSTG de OWASP [6] o los requisitos de ASVS [7]. Si no puede decir qué referencia sigue, es una mala señal.

3. Equipo, cobertura y tiempos de respuesta

Pregunta quién hará el trabajo (no solo quién lo vende), con qué experiencia y certificaciones personales, y qué cobertura horaria tiene. Un acuerdo de nivel de servicio debe fijar tiempos de reacción y de resolución por severidad, y cómo se miden.

4. Seguridad de su propia cadena de suministro

Tu proveedor también tiene proveedores. NIST ofrece una guía para identificar, evaluar y mitigar los riesgos de la cadena de suministro de ciberseguridad en todos los niveles de la organización [8], y el NCSC británico recuerda que la mayoría de las organizaciones dependen de proveedores para entregar productos, sistemas y servicios [9]. Pregunta qué subcontratistas intervienen, qué datos les llegan y qué inventario de componentes puede compartirte (por ejemplo, una SBOM [10]).

5. Entregables y transparencia

Pide un informe de ejemplo con datos anonimizados: estructura, nivel de detalle, priorización y recomendaciones. Un buen informe permite actuar sin llamar al autor. Desconfía de los resultados que solo se enseñan en una presentación.

6. Contrato y responsabilidades

Revisa con asesoramiento jurídico: alcance y exclusiones, confidencialidad, tratamiento de datos, responsabilidad e indemnizaciones, subcontratación, notificación de incidentes y plazos, derecho de auditoría y condiciones de salida (reversibilidad y devolución de datos).

7. Datos, ubicación y uso de IA

Aclara dónde se almacenan y procesan tus datos, quién tiene acceso y si se usan para entrenar modelos. Si el proveedor emplea IA, pide que explique qué decisiones toma y cuáles revisa una persona. Hablamos de ello en qué es un SOC agéntico.

8. Modelo de precio y referencias

Pide un precio cerrado o un modelo claro, y qué incluye y qué no. Solicita referencias que puedas contactar, de empresas de tamaño y sector comparables. Puedes consultar los casos de éxito que Hodeitek tiene publicados.

Matriz de evaluación ponderada (ejemplo ilustrativo)

Puntúa cada criterio de 1 a 5 y multiplica por su peso. Los pesos y las puntuaciones de la tabla son ilustrativos; ajústalos a tu caso.

La lista de comprobación descargable incluye esta matriz en blanco, preguntas para cada criterio y una guía de piloto.

Banderas rojas

• «Garantizamos que nunca serás atacado». Nadie puede garantizarlo.
• No quieren poner el alcance por escrito o no enseñan un informe de ejemplo.
• Certificaciones sin alcance verificable o que no cubren el servicio que ofrecen.
• Piden accesos amplios y permanentes sin justificarlos.
• No pueden nombrar a las personas que ejecutarán el trabajo.
• Precio opaco o sorpresas en el contrato (subcontratación, límites de responsabilidad desproporcionados).
• Presión para firmar rápido o sin piloto.

Piloto, medición y salida

Antes de un compromiso largo, propón un piloto acotado (un alcance, un plazo y criterios de éxito acordados por escrito). Define métricas que te importen (hallazgos accionables, tiempo de reacción, calidad de los informes), y negocia desde el inicio cómo saldrás: formatos de entrega de datos, plazos de devolución y borrado.

Si lo que evalúas es una plataforma TPRM

Si lo que necesitas es una plataforma para gestionar a tus propios proveedores, la evaluación tiene criterios propios (cobertura de marcos, evidencias, integraciones, escalabilidad). Tenemos una guía específica: Cómo elegir una plataforma TPRM: criterios para 2026. La pregunta de cómo evaluar plataformas TPRM para tu sector se trata en el blog de HodeiShield, nuestra plataforma de gestión de riesgo de terceros y cumplimiento, donde también puedes ver su solución de riesgo de terceros. Y en nuestra web, la solución de gestión de riesgos de terceros y cadena de suministro.

Preguntas frecuentes

¿Cómo elegir un proveedor de ciberseguridad para empresas medianas?

Define primero qué necesitas y compara entre tres y cinco proveedores; más multiplica el trabajo sin mejorar la decisión. Lo importante es que todos respondan al mismo alcance y a las mismas preguntas, y valida al elegido con un piloto acotado.

¿Es suficiente con que el proveedor tenga ISO 27001?

No. La certificación acredita un sistema de gestión con un alcance concreto; hay que comprobar que ese alcance cubre el servicio que contratas y complementar con referencias, metodología y contrato.

¿Qué diferencia hay entre un pentest y un SOC gestionado?

El pentest es una prueba puntual de ataque controlado para encontrar debilidades; el SOC gestionado es vigilancia y respuesta continuas. Se complementan.

¿Conviene contratar a un único proveedor para todo?

Depende. Un único proveedor simplifica la gestión, pero concentra el riesgo; uno por especialidad da independencia (por ejemplo, que quien evalúa no sea quien implanta). Decide según tu tamaño y tu capacidad interna.

¿Cuánto debe durar un piloto?

No hay una duración universal: lo justo para evaluar entregables y comunicación con casos reales; cuanto más acotado el alcance, menos plazo hace falta.

Siguiente paso

Descarga la lista de comprobación para elegir un proveedor de ciberseguridad o cuéntanos tu caso y te ayudamos a definir el alcance.

Fuentes

1. NIS2 Directive: securing network and information systems. European Commission. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
2. STAR Registry. Cloud Security Alliance. https://cloudsecurityalliance.org/star
3. SOC suite of services. AICPA & CIMA. https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2
4. MITRE ATT&CK. MITRE. https://attack.mitre.org/
5. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (SP 800-61 Rev. 3). NIST, 2025-04-03. https://csrc.nist.gov/pubs/sp/800/61/r3/final
6. Web Security Testing Guide. OWASP. https://owasp.org/www-project-web-security-testing-guide/
7. Application Security Verification Standard (ASVS) 5.0. OWASP, 2025-05-30. https://asvs.owasp.org/
8. Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations (SP 800-161 Rev. 1 Upd. 1). NIST. https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
9. Supply chain security guidance. UK NCSC. https://www.ncsc.gov.uk/collection/supply-chain-security
10. Software Bill of Materials (SBOM). CISA. https://www.cisa.gov/sbom