El 66% externaliza su seguridad: el MSP vende continuidad

Un MSP (proveedor de servicios gestionados) es la empresa que opera la infraestructura y la seguridad de otra compañía por contrato. Y ese modelo está dejando de venderse por horas de soporte: el 66% de las organizaciones ya externaliza su seguridad en un MSP y un 29% adicional está evaluando hacerlo, según la encuesta de Barracuda Networks a 2.000 responsables de TI y seguridad, publicada en noviembre de 2026. Para un founder, eso significa que el proveedor que le resuelve las incidencias hoy probablemente no sea el que le garantice seguir operando mañana.

Ese es el eje de la conversación que IT Reseller reunió con el apoyo de ADM Cloud & Services y N-Able, con representantes de Aviva, BASE10, Secture y SEDASER. El diagnóstico compartido: el cliente ya no compra tecnología, compra capacidad de recuperación.

¿Por qué el cliente dejó de medir al MSP por incidencias resueltas?

Durante años el mercado identificó a los proveedores gestionados con la compañía que arregla lo que se rompe. Los participantes del encuentro coincidieron en que esa etapa queda atrás: el aumento de amenazas y la digitalización elevaron la expectativa hacia acompañamiento estratégico y garantías de continuidad.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Luis Blanco, director de operaciones y desarrollo de negocio de BASE10 Consultoría y Sistemas 360º, lo resumió con una frase que cualquier fundador con años de operación reconoce: «lo que nos pedían hace 20 años no es lo mismo que nos piden ahora». La compañía nació hace casi dos décadas dando infraestructura y soporte a pymes y hoy combina digitalización, gobierno tecnológico, ciberseguridad, cumplimiento normativo e inteligencia artificial.

De ahí surge una de las tendencias más citadas del encuentro: los modelos de CIO as a Service y CISO as a Service, es decir, alquilar dirección tecnológica y de seguridad en lugar de solo ejecución técnica. Blanco los describe como cada vez más demandados.

Juan Antonio Clavero, propietario de SEDASER, puso el foco en la promesa de fondo: «más que comprar tecnología, lo que los clientes están buscando es seguridad». Y Sergio Fernández de Tejada, director de ventas y marketing de Aviva Voice Systems & Services, describió el salto de su compañía de proveedor tecnológico a proveedor estratégico, apoyada en servicios de confianza, firma digital y trazabilidad de procesos.

La continuidad ya pesa más que la prevención

El consenso del encuentro fue incómodo para el relato clásico de la ciberseguridad: ninguna protección es infalible. La pregunta que ordena la conversación ya no es cómo evitar el ataque, sino cuánto tarda la organización en volver a operar.

Los números acompañan esa urgencia. El FBI recibió 859.532 denuncias de delitos en internet en 2024, con pérdidas declaradas superiores a 16.000 millones de dólares, un 33% más que en 2023, según el informe de ResearchAndMarkets sobre el mercado de soluciones de ciberseguridad 2026-2031. Ese mismo informe proyecta que el mercado global pasará de 255.000 millones de dólares en 2025 a 580.180 millones en 2031, con una tasa anual compuesta del 14,68%.

La brecha está en la ejecución. Solo el 29% de las organizaciones que buscan apoyo de un MSP afirma poder asegurar cuentas comprometidas y restaurar operaciones en cuestión de horas tras un incidente, según Barracuda. Es decir: siete de cada diez no pueden prometer eso hoy.

Antonio Huerta, cofundador y coCEO de Secture, aportó la razón por la que el tema dejó de ser teórico: «no hay empresa que no haya tenido algún tipo de incidente o ataque».

Backup no es recuperación: la prueba que casi nadie pasa

Clavero fue el más directo del encuentro al señalar una confusión extendida: «hay muchas empresas que dicen: yo tengo backup. Pero si se te cae el servidor, ¿cómo recuperas el servidor?». Su recomendación es concreta: entornos de prueba y procedimientos testados, porque sin eso el retorno a la normalidad puede tardar días o semanas.

Aviva lleva esa lógica al extremo. Fernández de Tejada explicó que, por pertenecer al grupo Constellation Software, la compañía se somete a auditorías continuas y mantiene infraestructuras duplicadas y entornos de prueba permanentes. «Todos los días nos hacen incluso ataques ellos mismos a nosotros para comprobar nuestra resiliencia», contó.

El dato de contexto: WatchGuard, que cumple 30 años trabajando con proveedores gestionados, colabora con más de 50.000 proveedores de ciberseguridad y protege a más de 1,5 millones de clientes en todo el mundo, según informó la compañía. La escala del ecosistema explica por qué una falla de proceso se multiplica.

La identidad digital, el nuevo perímetro

El segundo gran eje del encuentro fue la identidad. Fernández de Tejada sostiene que «la identidad siempre ha sido un tema clave, pero ahora mucho más, con el tema de la IA», y advirtió que el fraude por suplantación crece de forma constante en procesos de contratación, financiación y onboarding digital. Su apuesta: identidad verificable y la futura wallet europea. «La identidad digital va a ser uno de los elementos fundamentales sobre los que se construya la confianza en los próximos años».

Clavero coincidió y sumó un matiz operativo: muchas empresas no saben reaccionar ante una identidad comprometida. La identidad aparece además como la categoría de mayor peso dentro del mercado de productos de ciberseguridad, impulsada por la nube, el trabajo híbrido y los modelos de confianza cero, según ResearchAndMarkets.

El movimiento del mercado ya es visible en España. Masorange desplegó Orange Cyberdefense España, con un centro de seguridad (SOC) en Madrid y Barcelona y la previsión inicial de contratar 100 expertos en ciberseguridad, según informó ABC. Su matriz, Orange Cyberdefense, cuenta con 3.300 trabajadores en 23 países. El COO de Masorange, Germán López, lo enmarcó así: «la ciberseguridad ya no es una cuestión tecnológica, sino un reto de negocio y de continuidad operativa».

¿Qué pasa cuando la IA entra sin gobierno?

Todos los participantes coincidieron en un punto: la IA acelera la productividad y multiplica la superficie de riesgo. Clavero fue tajante sobre el uso real: «queramos o no, dentro de la empresa están utilizándola», con políticas corporativas o sin ellas.

Huerta señaló la contradicción de fondo: organizaciones que empujan la productividad con IA mientras mantienen dudas sobre qué pasa con sus datos en esas plataformas. «Hay una contradicción que se tiene que resolver», dijo. Blanco recordó que la normativa europea ya exige formación en IA para quienes la usan profesionalmente, aunque lamentó la falta de mecanismos efectivos de supervisión, y subrayó el reto de gobernar agentes, asistentes y automatismos.

Víctor Orive, CEO de ADM Cloud & Services, puso el acento en la visibilidad: no se puede controlar lo que no se conoce. «La visibilidad es fundamental para poder establecer cualquier estrategia de gobierno tecnológico», recalcó. Y describió la tensión sin adornos: «si controlas no eres productivo. Y si eres productivo, tienes que dejar de controlar».

El miedo del cliente es medible. El 59% de las organizaciones que evalúan contratar un MSP declara preocupación por riesgos ligados a la IA, incluidos phishing generado por IA, ingeniería social automatizada, shadow AI y amenazas internas asistidas por IA, según Barracuda. Y el 40% de los clientes actuales valora que el proveedor explique riesgos e incidentes en lenguaje claro para la dirección.

La presión también llega del lado de la oferta. Según GTIA, más de tres cuartas partes de los proveedores de servicios TI de Norteamérica y Reino Unido/Irlanda planean añadir servicios de ciberseguridad en el próximo año, y el 93% ya los ofrece como servicio principal o complementario. Pero en cada uno de los seis controles de seguridad medidos, menos de la mitad reporta despliegue en más de la mitad de sus clientes.

¿Qué significa esto para tu startup?

Si diriges una empresa que depende de un proveedor gestionado, el encuentro deja tres tareas que puedes ejecutar esta semana.

Pide un simulacro, no un certificado. Solicita a tu proveedor (o a tu equipo interno) una prueba documentada de recuperación de un sistema crítico, con el tiempo real de restauración medido. Si la respuesta es «tenemos backup», tienes un problema de continuidad, no una garantía.
Haz inventario de shadow AI antes de escribir la política. Pregunta a cada área qué herramientas de IA usa y con qué datos. Sin ese mapa, cualquier norma interna nace incumplida. Orive lo dijo sin rodeos: primero visibilidad, después gobierno.
Reformula tu contrato en términos de negocio. Cambia las métricas de «incidencias resueltas» por tiempo de recuperación de los procesos críticos y por quién decide durante un incidente. Es la misma conversación que los clientes están llevando a sus proveedores.

Si en cambio vendes servicios gestionados, la oportunidad está en el hueco que deja el mercado: solo el 29% de los compradores cree que su proveedor puede restaurar operaciones en horas. Empaquetar continuidad demostrable —con pruebas, reportes y lenguaje que entienda un CFO— es hoy un diferenciador más defendible que sumar otra herramienta al catálogo. ADM Cloud & Services ya apoya a más de 500 partners con preventa, formación y servicios especializados, y su CEO describió un filtro exigente antes de incorporar tecnología: funcionalidad, soporte, rentabilidad y encaje comercial.

Conclusión

El servicio gestionado se está redefiniendo en torno a tres preguntas que no son técnicas: cuánto tarda tu empresa en volver a operar, quién puede probar que un proceso se hizo bien y cómo se gobierna una IA que los empleados ya usan sin permiso. La identidad digital y la resiliencia dejaron de ser anexos del contrato de soporte para convertirse en el contrato mismo.

Para un founder, la lectura práctica es incómoda pero simple: si no puedes demostrar tu recuperación con un documento y un cronómetro, no tienes continuidad de negocio. Tienes una promesa.