Cuando un CFO se enfrenta a la decisión de contratar un servicio de seguridad administrado (MSSP) o construir capacidad interna, el ejercicio suele reducirse a una comparación simple: el costo anual del servicio contra el salario de uno o dos analistas. Esa comparación, aunque parece razonable, ignora variables que cambian por completo el resultado del análisis.
Un análisis financiero serio de esta decisión no compara precios — compara costo total de propiedad frente a costo de servicio, con el mismo rigor que se aplicaría a cualquier decisión de "hacer vs. comprar" en otras áreas del negocio.
Las variables que faltan en la comparación simple
El costo total de un equipo interno incluye mucho más que la nómina. Hay que sumar reclutamiento y su tiempo asociado, capacitación continua —la seguridad cambia constantemente y el conocimiento se vuelve obsoleto rápido—, licencias de herramientas especializadas, y el costo de cobertura extendida si la operación requiere monitoreo fuera de horario laboral. También hay que contemplar la rotación: en un sector con escasez de talento, perder a un analista clave significa semanas o meses de exposición mientras se reemplaza y se vuelve a capacitar.
Del otro lado, el costo de un MSSP suele presentarse como una cifra fija y predecible, pero también merece revisión: qué incluye exactamente el contrato, qué nivel de cobertura ofrece, y qué pasaría en términos de costo si la organización necesitara escalar ese servicio conforme crece.
Un marco simple para comparar ambas opciones
Un análisis financiero útil para el consejo o la dirección general debería responder cuatro preguntas concretas: ¿cuál es el costo total anualizado de cada opción, incluyendo todos los costos indirectos? ¿Qué nivel de cobertura y tiempo de respuesta ofrece cada una? ¿Qué tan predecible es ese costo en un horizonte de tres años? Y, quizás la más importante: ¿cuál sería el costo estimado de un incidente que ninguna de las dos opciones lograra prevenir a tiempo?
Esta última pregunta suele ser la que más cambia la conversación. No porque un MSSP garantice cero incidentes, sino porque comparar el costo de ambas opciones sin considerar el costo de la exposición residual —el riesgo que queda sin cubrir en cada modelo— deja fuera la variable que más pesa financieramente en el largo plazo.
Cuándo tiene sentido cada modelo
No existe una respuesta universal. Organizaciones con suficiente escala y con necesidades muy específicas de personalización pueden justificar financieramente un equipo interno robusto. Pero para la mayoría de las organizaciones medianas, el punto de equilibrio financiero favorece al modelo de servicio administrado, principalmente porque permite acceder a cobertura extendida, tecnología actualizada y personal especializado sin absorber el costo completo de construir esa capacidad desde cero.
El análisis correcto no busca demostrar que un modelo es superior al otro en abstracto. Busca que la decisión se tome con el costo total real de cada opción sobre la mesa, y no solo con la cifra que aparece más visible a primera vista.
En la práctica
Un caso frecuente en este análisis: organizaciones con decenas de cuentas privilegiadas —accesos de administradores, proveedores externos, integraciones de sistemas— sin un control centralizado de quién tiene acceso a qué, ni visibilidad clara de cuándo se usan esos accesos. Construir esa capacidad de gestión de accesos privilegiados internamente implica herramientas especializadas y personal dedicado a administrarla de forma continua. Operarla como servicio administrado reduce ese costo de implementación y mantenimiento, mientras entrega desde el inicio el control y la trazabilidad que un análisis financiero de riesgo exige.
