Seguridad: como MSP, no dejes pasar oportunidades

Publicado el 16/10/2026

Durante mucho tiempo, la seguridad era algo que un MSP hacía como complemento. Un servicio adicional a la gestión del puesto de trabajo o simplemente parte del paquete completo. Pero esa época ha terminado.

Para los clientes, un entorno de TI que funciona se da por hecho. Lo que esperan ahora de su MSP es que se implique en prevenir y limitar los ciberriesgos. Esto también tiene que ver con NIS2: las organizaciones sujetas a ella deben controlar los riesgos de su cadena de suministro. A veces, un MSP también está sujeto a esta normativa. Por eso hacen falta acuerdos claros sobre responsabilidades y medidas de seguridad que, además, se ajusten a las condiciones del ciberseguro del cliente. Aun así, en Worldstream vemos que muchos MSP prestan gran parte de su asesoramiento y su trabajo de seguridad sin hacerlo visible ni cobrar por ello. Ahí están dejando pasar oportunidades.

Antes, un MSP ofrecía gestión del puesto de trabajo e infraestructura. En algún momento se añadió la seguridad, como servicio independiente o como opción adicional. Ahora, la seguridad es el punto de partida.

La seguridad desde el diseño (security by design) significa que la seguridad ya se ha tenido en cuenta antes de entregar la infraestructura. No es una capa que se añade a posteriori, sino que forma parte del servicio desde el primer diseño. Al fin y al cabo, es mejor pensar antes que reparar después.

Antes de empezar en Worldstream, trabajé en un MSP. La seguridad no la hacíamos solo en el puesto de trabajo. Nos sentábamos con la dirección y el CISO de nuestros clientes y les ayudábamos a pensar en la segmentación de red, la gestión de accesos y la respuesta a incidentes. Nadie lo llamaba un servicio. Simplemente formaba parte del trabajo.

Aún recuerdo una conversación con un CISO que tenía que explicar a su dirección en qué punto se encontraban respecto a NIS2. Juntos repasamos las medidas, desde el registro de eventos (logging) y la monitorización hasta la gestión de proveedores. Gran parte ya la teníamos implantada. Pero él no lo sabía, porque no figuraba de forma explícita en ningún sitio. Y tenía razón: en la factura aparecían licencias y horas de gestión, pero faltaban el asesoramiento, las sesiones de diseño y las conversaciones con él. Fue entonces cuando lo vi claro: si no muestras lo que haces, para el cliente no existe. Es una oportunidad perdida, sobre todo porque los clientes exigen cada vez más en materia de seguridad.

Lo que veo cada vez más es que los MSP le dan la vuelta a esto. Reflejan en el contrato lo que hacen de más, por ejemplo «30 horas de consultoría de seguridad incluidas», y pueden ofrecerlo por separado en la renovación. Así no se convierte en una subida de precio repentina, sino en algo cuyo valor el cliente ya conoce. Ya lo escribí en mi blog sobre la adopción de la IA: pon nombre a tus horas de asesoramiento y véndelas.

Antes, lo que pedían los clientes era sencillo: tiene que funcionar, sin más. Ahora esperan proactividad y dan por hecho que tú eres el experto. En mi blog anterior sobre los cinco retos de los MSP puedes leer cómo han cambiado las expectativas de los clientes, de «tiene que funcionar, sin más» a la proactividad y un papel de asesor. En el caso de la seguridad, hay algo más. Los clientes ya no solo preguntan si todo está disponible, sino también si puedes evitar que sufran un hackeo. Eso exige una buena gestión del trabajo diario, anticiparse y elaborar hojas de ruta de forma conjunta.

Esa evolución hace que el servicio sea más valioso, pero también más caro. No siempre es fácil explicárselo a clientes acostumbrados a que todo esté incluido. Aun así, precisamente ahora necesitan un buen MSP más que nunca. Razón de más para hacer visible lo que ya haces.

Un aspecto que a menudo se subestima es el ciberseguro. Las aseguradoras imponen requisitos sobre MFA y copias de seguridad. Pero ¿quién se encarga de que estas medidas estén implantadas y probadas? Eso debe quedar claro en los acuerdos entre el MSP y el cliente.

Ahí es donde las cosas fallan con frecuencia. Hace poco hablé con un MSP que ayudó a un cliente tras un ataque de ransomware. A posteriori, resultó que no estaba claro quién era responsable de la MFA en las cuentas de administrador ni de probar las copias de seguridad. El SLA sí mencionaba la «gestión de copias de seguridad» y la «seguridad del puesto de trabajo», pero no quién debía ejecutar y controlar estas medidas. Eso puede dar lugar a discusiones. Mi consejo: deja las responsabilidades por escrito de forma explícita y comprueba junto con el cliente si los acuerdos se ajustan a los requisitos de la aseguradora.

Con la nueva normativa, ya no solo se mira al MSP, sino a toda la cadena en la que opera. En esencia, esa cadena está formada por tres partes: el MSP, el partner de infraestructura y el cliente.

Nosotros también lo notamos. Como partner de infraestructura, nos enfrentamos a requisitos cada vez más exigentes en materia de seguridad, cumplimiento normativo y medidas de gestión demostrables. Las certificaciones, unos procesos claros y una verificación cuidadosa del personal son cada vez más importantes. El listón está más alto para todos los eslabones de la cadena.

Entonces, ¿qué puedes esperar como MSP de tu partner de infraestructura? No solo un certificado, sino un partner que se implique contigo. Alguien que participe ya en el diseño: ¿dónde están los datos?, ¿cómo separas los entornos?, ¿cómo configuras las copias de seguridad y la recuperación? Y una empresa que te diga con honestidad qué encaja y qué no con los requisitos de tu cliente. En Worldstream, el responsable de seguridad y tu gestor de cuentas te ayudan a pensar en esas decisiones. Así integras la seguridad desde el principio, en lugar de repararla después.

La seguridad ya no es un complemento (add-on), sino la base de un buen servicio de MSP. Por eso, la oportunidad que muchos MSP dejan pasar es, en realidad, sencilla: piensa de antemano en la seguridad, haz visible lo que ya haces y elige un partner de infraestructura que se implique contigo.

Este artículo es la cuarta entrega de una serie en la que Worldstream aborda temas de actualidad del mercado MSP en la antesala de MSP Global.

Ven a vernos en MSP Global los días 21 y 22 de octubre de 2026 en Barcelona.