Qué es un MSP o proveedor de servicios gestionados y cómo elegir el adecuado

Un servidor que se queda sin espacio un viernes a las siete de la tarde. Una actualización que nadie aplicó porque "ya lo miraremos la semana que viene". Una copia de seguridad que funcionaba perfectamente hasta el día en que hubo que restaurarla. 

Pocas empresas deciden contratar un proveedor de servicios gestionados por convicción estratégica. Casi siempre lo hacen después de un susto. 

Y es ahí donde empiezan muchos errores. Se elige con prisa, se compara por precio y se firma un contrato que nadie vuelve a leer hasta que algo falla.

En ANCO, después de más de 45 años gestionando infraestructuras de clientes, hemos visto las dos caras: empresas a las que un buen MSP les cambió la forma de trabajar y empresas que pasaron por tres proveedores sin entender por qué nada mejoraba. 

MSP son las siglas de Managed Service Provider, que en español se traduce como proveedor de servicios gestionados.

Es una empresa que asume de forma continua la gestión de parte o de toda la infraestructura tecnológica de otra organización, bajo un alcance y unos niveles de servicio pactados. Hablamos de servidores, redes, puestos de trabajo, entornos cloud, bases de datos, copias de seguridad o seguridad. 

La palabra importante es continua. Un MSP no aparece solo cuando le llamas: vigila, mantiene y corrige antes de que el problema llegue al usuario. 

Se usan casi como sinónimos y no lo son. La diferencia está en qué compras exactamente. 

Varía mucho según el proveedor y lo que contrates, pero lo habitual se mueve en estos bloques: 

Un MSSP (Managed Security Services Provider) es un proveedor especializado solo en seguridad: monitorización de amenazas, SOC, detección y respuesta a incidentes, gestión de vulnerabilidades. La frontera con el MSP es cada vez más difusa, porque muchos proveedores ya integran las dos capas. 

Hay un patrón que se repite en muchas empresas medianas. El departamento de IT tiene dos o tres personas muy capaces que dedican casi todo su tiempo a apagar fuegos. La migración pendiente, el proyecto de datos o la revisión de seguridad se quedan siempre para el trimestre siguiente. 

Hay un matiz que conviene dejar claro desde el principio. Externalizar la operación no significa desentenderse. La responsabilidad sobre los datos, los riesgos y las decisiones sigue siendo tuya. Las empresas a las que mejor les funciona este modelo mantienen a alguien dentro que entiende la infraestructura, dirige al proveedor y le pide cuentas. 

Hay señales que suelen anticipar la decisión. La más habitual es la dependencia de una persona: "el que sabe" de los sistemas, que no puede coger vacaciones tranquilo y cuya marcha dejaría a la empresa a ciegas. 

Otras aparecen con el crecimiento. Más usuarios, más sedes, más aplicaciones en la nube, y una infraestructura que ya nadie tiene del todo controlada. O llegan desde fuera: un cliente grande que audita a sus proveedores, una certificación ISO 27001 o una normativa como NIS2, el ENS si trabajas con la Administración o DORA en el sector financiero. Todas exigen evidencias de control, monitorización y respuesta que muchas empresas hoy no pueden demostrar. 

Y luego está la cobertura. Si un incidente a las tres de la madrugada no lo ve nadie hasta las nueve, tienes un problema que solo se resuelve con más personal o con un servicio externo. 

Si tienes un equipo interno sólido, con capacidad y cobertura, probablemente no necesitas externalizarlo todo. Puede bastar con delegar áreas concretas, como la seguridad 24/7 o la gestión del cloud. 

Tampoco funciona cuando lo que se busca es que alguien "se haga cargo" sin implicación por parte de la empresa. Esos proyectos suelen acabar mal, y casi nunca por culpa de la tecnología. 

El acuerdo de nivel de servicio es el corazón del contrato. Fíjate en la diferencia entre tiempo de respuesta y tiempo de resolución. "Respondemos en 30 minutos" puede significar solo que alguien acusa recibo de tu incidencia. Pide tiempos de resolución por nivel de prioridad y qué ocurre si no se cumplen. 

Las certificaciones y las acreditaciones de partner con fabricantes como Microsoft son una buena señal, pero no bastan. Pregunta por su experiencia con empresas de tamaño y sector parecidos. Gestionar 50 puestos de una oficina no se parece en nada a mantener una planta con sistemas industriales. 

En algunos proveedores la seguridad va incluida y en otros es un módulo aparte. Lo importante es saber quién aplica los parches, quién vigila las alertas y quién responde si hay un incidente. Si esas tres preguntas no tienen un nombre claro detrás, hay un hueco. Y los atacantes suelen encontrarlo antes que tú. 

Casi todas las propuestas dicen "24x7". La pregunta útil es qué pasa con una alerta a las tres de la madrugada. En muchos casos, de noche solo hay monitorización automática y una guardia que actúa sobre incidencias críticas. Puede ser suficiente para tu empresa, pero conviene saberlo antes de firmar: quién ve la alerta, en cuánto tiempo y qué puede hacer sin esperar a que alguien de tu equipo se despierte. 

Un equipo que conoce tu entorno resuelve en minutos lo que a un técnico nuevo le cuesta horas. Pregunta si tendrás interlocutores asignados o si cada incidencia la atenderá alguien diferente. 

Si no sabes qué hace tu proveedor, no puedes evaluarlo. Un MSP serio te da informes periódicos, métricas de servicio y reuniones de seguimiento en las que no solo se repasan las incidencias, también lo que conviene mejorar. 

Es la pregunta que casi nadie hace al firmar, y la que más importa después. Hemos visto empresas atrapadas con un proveedor que no les convencía porque nadie tenía documentada la infraestructura, las credenciales estaban solo en manos del MSP y empezar de cero daba vértigo. 

La documentación, el inventario y las credenciales de tu infraestructura son tuyos. Que el contrato lo diga por escrito. 

Un buen MSP empieza por entender lo que hay: inventario, estado de los sistemas, riesgos visibles. Si alguien te pasa un precio cerrado sin haber analizado tu infraestructura, o está sobredimensionando el servicio para cubrirse, o te está ofreciendo algo genérico que encajará a medias. 

La relación con un MSP se parece más a una colaboración larga que a una compra. El proveedor adecuado conoce tu infraestructura mejor con cada mes que pasa, anticipa los problemas y te ayuda a decidir hacia dónde crecer. El inadecuado se convierte en otra dependencia más, y de las caras.