Los ciberataques ya no se concentran únicamente en las grandes corporaciones. Las empresas midmarket, los organismos públicos, los ayuntamientos y otras entidades con recursos tecnológicos limitados deben hacer frente a amenazas cada vez más complejas, mientras aumenta su exposición digital, el uso de servicios cloud, el trabajo remoto y las exigencias regulatorias.
Muchas organizaciones han invertido en antivirus, firewalls, sistemas de protección del correo o soluciones EDR. Sin embargo, disponer de tecnología no garantiza por sí solo una respuesta eficaz ante un incidente.
El verdadero problema aparece cuando una alerta requiere ser analizada, investigada y contenida con rapidez, especialmente fuera del horario laboral o cuando el equipo interno de TI debe atender simultáneamente muchas otras prioridades.
Para responder a esta necesidad, Telefónica ha lanzado en España un servicio MxDR —Managed Extended Detection and Response—, diseñado y operado por Telefónica Tech.
Su objetivo es proporcionar capacidades avanzadas de monitorización, detección, investigación y respuesta, sin exigir al cliente la creación de un SOC propio ni la incorporación de un amplio equipo de especialistas.
Índice
¿Qué es realmente un servicio MxDR?
MxDR significa Managed Extended Detection and Response, es decir, detección y respuesta extendida gestionada.
Para comprender su aportación conviene separar sus tres componentes:
- Detection and Response: no se limita a impedir la ejecución de malware. Busca identificar comportamientos anómalos, investigar qué está ocurriendo y responder ante la amenaza.
- Extended: amplía la visibilidad más allá del ordenador o del servidor, correlacionando señales procedentes de diferentes ámbitos del entorno tecnológico.
- Managed: incorpora una operación especializada que supervisa, analiza e interviene continuamente sobre la tecnología.
Esta última dimensión es fundamental. Una plataforma de seguridad puede generar alertas de gran valor, pero alguien debe interpretarlas, relacionarlas con otras señales, determinar su nivel de riesgo y decidir qué actuación resulta necesaria.
Por tanto, MxDR no debe entenderse simplemente como una nueva herramienta de ciberseguridad. Es un servicio gestionado en el que se combinan tecnología, procesos operativos y profesionales especializados.
De la prevención a la detección y respuesta
La prevención continúa siendo imprescindible. Las organizaciones necesitan proteger sus dispositivos, controlar los accesos, asegurar la red, actualizar los sistemas y reducir sus vulnerabilidades.
Sin embargo, ningún entorno puede asumir que todas las amenazas serán bloqueadas antes de entrar.
Un atacante puede utilizar credenciales válidas obtenidas mediante phishing, aprovechar una configuración incorrecta, comprometer una identidad o desplazarse entre distintos sistemas sin ejecutar inicialmente un malware fácilmente reconocible.
Por eso, una estrategia moderna de ciberseguridad también debe responder a preguntas como estas:
- ¿Qué ocurre si una identidad legítima comienza a comportarse de forma anómala?
- ¿Quién investiga una alerta durante la noche o en un día festivo?
- ¿Cómo se relaciona una señal detectada en un dispositivo con otra procedente del correo, el cloud o la red?
- ¿Quién determina el alcance real del incidente?
- ¿Qué medidas se pueden adoptar para limitar su propagación?
- ¿Cómo se priorizan los incidentes que representan un riesgo real para la organización?
El valor del MxDR se encuentra precisamente en cubrir el espacio existente entre recibir una alerta y gestionar eficazmente un incidente.
Las cuatro funciones esenciales de MxDR
La propuesta de Telefónica se articula alrededor de cuatro grandes capacidades: monitorizar, detectar, investigar y responder.
1. Monitorización continua
El servicio supervisa de manera permanente los sistemas incluidos dentro de su cobertura.
La protección puede abarcar diferentes elementos del entorno tecnológico:
- Puestos de trabajo.
- Servidores.
- Identidades.
- Entornos cloud.
- Correo electrónico.
- Red corporativa.
Esta visión ampliada es especialmente relevante porque un ataque rara vez permanece en un único elemento.
Puede comenzar mediante un correo electrónico, comprometer una identidad, ejecutar una acción sobre un dispositivo e intentar posteriormente alcanzar otros sistemas de la organización.
Para detectar ese tipo de actividad es necesario disponer de visibilidad sobre diferentes superficies de ataque y analizar conjuntamente las señales generadas en ellas.
2. Detección de amenazas
Las señales recogidas son analizadas para identificar comportamientos potencialmente maliciosos.
La propuesta combina la plataforma Falcon de CrowdStrike, basada en inteligencia artificial, con el trabajo de los analistas de los Centros de Operaciones de Seguridad de Telefónica.
La automatización permite procesar grandes volúmenes de información y detectar patrones o comportamientos sospechosos con rapidez.
El análisis especializado aporta el contexto y el criterio necesarios para valorar la gravedad, la prioridad y el posible alcance de cada situación.
La combinación de inteligencia artificial y análisis humano busca mejorar la capacidad de detección y reducir el riesgo de que una amenaza relevante quede oculta entre un elevado número de alertas.
3. Investigación
Cuando se detecta una actividad sospechosa, no basta con saber que ha ocurrido. Es necesario investigar:
- El origen del incidente.
- Los sistemas potencialmente afectados.
- La secuencia de actividad observada.
- El alcance real de la amenaza.
- El riesgo que representa para la organización.
- Las posibles acciones necesarias para su contención.
Esta capacidad permite pasar de una alerta aislada a una visión más completa del incidente y facilita una respuesta proporcionada a su gravedad.
La investigación también ayuda a diferenciar una actividad realmente maliciosa de un comportamiento legítimo, evitando que los equipos internos inviertan tiempo en alertas que no representan un riesgo real.
4. Respuesta
El servicio está orientado a actuar para contener los ataques.
El objetivo no es trasladar al cliente una sucesión de alertas técnicas para que sea él quien deba analizarlas desde el principio, sino proporcionarle una situación previamente investigada, una actuación de respuesta o indicaciones claras para resolverla de la forma más efectiva posible.
Este enfoque marca una diferencia importante frente a modelos en los que el proveedor se limita a generar notificaciones que después deben ser investigadas íntegramente por el equipo del cliente.
La verdadera aportación de un MxDR está en avanzar desde “hemos detectado algo” hacia “hemos investigado qué está ocurriendo y estamos actuando para contenerlo”.
¿Qué diferencia existe entre antivirus, EDR, XDR y MxDR?
La evolución de la protección puede entenderse a través de cuatro niveles.
Antivirus o EPP
Está orientado principalmente a prevenir, identificar y bloquear amenazas en los dispositivos.
Continúa siendo una capa necesaria, pero su visibilidad se concentra fundamentalmente en el endpoint y en amenazas previamente conocidas o identificables mediante diferentes técnicas de protección.
EDR
El Endpoint Detection and Response añade capacidades de detección, investigación y respuesta sobre los puestos de trabajo y servidores.
Permite analizar comportamientos, investigar actividades sospechosas y realizar determinadas acciones de contención.
Sin embargo, un EDR necesita ser configurado, supervisado y operado correctamente. Si nadie analiza sus alertas con continuidad, una parte importante de su capacidad puede quedar infrautilizada.
XDR
El Extended Detection and Response amplía la detección y correlación a diferentes dominios tecnológicos.
Su finalidad es ofrecer una visión más amplia del ataque y relacionar señales que, contempladas de forma aislada, podrían parecer poco relevantes.
Esta correlación ayuda a comprender mejor la secuencia de acciones realizadas por un posible atacante.
MxDR
El Managed Extended Detection and Response añade a las capacidades extendidas una operación gestionada y especializada.
No se limita a poner la tecnología a disposición del cliente, sino que incorpora monitorización, análisis, investigación y respuesta continuada.
En términos sencillos:
- El antivirus o EPP protege principalmente el dispositivo.
- El EDR detecta e investiga actividad en puestos de trabajo y servidores.
- El XDR amplía y relaciona información de diferentes ámbitos.
- El MxDR incorpora además el equipo experto y la operación necesarios para utilizar esas capacidades de forma permanente.
¿Cómo se construye la propuesta MxDR de Telefónica?
El modelo de Telefónica combina tres componentes principales.
Tecnología de CrowdStrike
El servicio utiliza la plataforma Falcon de CrowdStrike para aportar capacidades de análisis en tiempo real, automatización, visibilidad unificada y detección de amenazas.
La tecnología permite analizar grandes cantidades de señales y ayudar a identificar comportamientos sospechosos que podrían pasar desapercibidos mediante mecanismos de protección más tradicionales.
Operación especializada de Telefónica Tech
Los analistas de los Centros de Operaciones de Seguridad de Telefónica intervienen en la monitorización, el análisis, la investigación y la respuesta.
El componente humano resulta especialmente importante cuando es necesario interpretar el contexto de una alerta, determinar el alcance real de un incidente o decidir qué actuación debe priorizarse.
La tecnología proporciona capacidad y velocidad, mientras que los especialistas aportan experiencia, conocimiento y criterio operativo.
Conocimiento de red de Telefónica
La propuesta incorpora también el conocimiento de red de Telefónica.
La combinación entre la plataforma tecnológica, la información procedente de diferentes superficies y la operación especializada busca mejorar la capacidad de detección y respuesta ante amenazas complejas.
El valor diferencial no reside únicamente en cada componente por separado, sino en su integración dentro de un servicio gestionado de extremo a extremo.
¿Para qué tipo de organización puede resultar adecuado?
Aunque cada proyecto necesita un análisis previo, un servicio MxDR puede resultar especialmente relevante para organizaciones que presenten una o varias de estas circunstancias:
- Disponen de herramientas de seguridad, pero no de un equipo que las opere permanentemente.
- Reciben alertas que no siempre pueden investigar con la profundidad necesaria.
- No cuentan con un SOC propio.
- Tienen un equipo de TI reducido y con múltiples responsabilidades.
- Utilizan simultáneamente dispositivos, identidades, correo, cloud y redes distribuidas.
- Necesitan mejorar su capacidad de respuesta fuera del horario laboral.
- Quieren obtener una visión más unificada de su exposición.
- Buscan reducir la necesidad de incorporar nuevo personal altamente especializado.
- Necesitan reforzar su resiliencia y su capacidad de gestión de incidentes.
- Quieren evolucionar desde un modelo basado en herramientas hacia una seguridad gestionada y orientada a resultados.
La decisión no debería basarse únicamente en el tamaño de la organización.
También deben considerarse su superficie de exposición, los servicios críticos que presta, la madurez de su equipo interno, la arquitectura tecnológica, el tipo de información que gestiona y el nivel de respuesta que necesita.
El valor de MxDR para las Administraciones Públicas
Las Administraciones Públicas ofrecen servicios esenciales a ciudadanos y empresas. Además, gestionan datos sensibles y operan entornos tecnológicos que pueden combinar sistemas tradicionales, servicios cloud, puestos de trabajo, sedes distribuidas y múltiples proveedores.
Una interrupción de sus sistemas puede afectar no solo al funcionamiento interno del organismo, sino también a la prestación de servicios públicos.
En este contexto, un MxDR puede contribuir a reforzar:
- La vigilancia continua de los sistemas.
- La detección temprana de actividades sospechosas.
- La capacidad de investigación de los incidentes.
- La coordinación de la respuesta.
- La reducción de la carga operativa sobre los equipos internos.
- La continuidad de los servicios digitales.
- La resiliencia frente a amenazas como el ransomware, el robo de credenciales o el acceso no autorizado.
Además, muchas entidades públicas no disponen de los recursos, el personal o la escala necesarios para crear y operar un SOC propio.
Un modelo gestionado permite acceder a capacidades especializadas sin tener que construir internamente toda la infraestructura tecnológica y organizativa requerida.
MxDR y cumplimiento regulatorio
El servicio puede contribuir al cumplimiento de requisitos relacionados con marcos europeos como NIS2 y DORA, especialmente en ámbitos vinculados con la monitorización, la detección de incidentes, la respuesta y la resiliencia operativa.
Contratar un servicio MxDR no convierte automáticamente a una organización en conforme con una normativa. El cumplimiento depende de un conjunto más amplio de medidas técnicas, organizativas, contractuales y de gobierno.
Sin embargo, un servicio de estas características puede apoyar ámbitos relevantes como:
- Monitorización de seguridad.
- Detección de incidentes.
- Capacidad de respuesta.
- Registro y trazabilidad de actuaciones.
- Gestión coordinada de eventos de seguridad.
- Refuerzo de la resiliencia operativa.
- Disponibilidad de capacidades especializadas.
En el caso de las Administraciones Públicas españolas, también será necesario analizar el encaje del servicio con sus obligaciones específicas, su política de seguridad, la categorización de sus sistemas y los requisitos aplicables del Esquema Nacional de Seguridad.
Ese análisis debe realizarse en el contexto concreto de cada organismo y no puede darse por resuelto únicamente mediante la contratación de una tecnología o de un servicio determinado.
Tres modalidades para adaptarse a diferentes necesidades
La oferta se estructura en tres modalidades:
- Essential.
- Advanced.
- Premium.
Estas alternativas permiten adaptar la propuesta a diferentes necesidades de protección, cobertura y madurez.
La elección del nivel adecuado no debería hacerse únicamente por el nombre de la modalidad. Debe partir de un análisis del entorno del cliente en el que se valoren aspectos como:
- Los activos que se quieren proteger.
- La arquitectura tecnológica.
- El número y tipo de dispositivos.
- La exposición de identidades y servicios cloud.
- La criticidad de los sistemas.
- La capacidad del equipo interno.
- Las necesidades de monitorización y respuesta.
- Los requisitos regulatorios aplicables.
El objetivo debe ser contratar una cobertura coherente con el riesgo y con la realidad operativa de la organización.
Qué debería analizar una empresa o administración pública antes de contratar un servicio MxDR
Antes de seleccionar un servicio, resulta recomendable responder a varias preguntas.
1. ¿Qué activos necesitan protección?
No solamente los ordenadores. También deben considerarse servidores, identidades, entornos cloud, correo electrónico, red y otros componentes relevantes para la actividad.
2. ¿Qué herramientas de seguridad existen actualmente?
Es necesario conocer qué soluciones están desplegadas, qué nivel de visibilidad proporcionan y cómo encajará el servicio con el entorno existente.
3. ¿Qué capacidad interna de respuesta tiene la organización?
Deben quedar claras las responsabilidades del proveedor y del cliente ante cada tipo de incidente.
Un servicio gestionado no elimina la participación del cliente, especialmente cuando una decisión puede afectar a sistemas críticos o a la continuidad de la actividad.
4. ¿Cuáles son los servicios más críticos?
La respuesta debe priorizar aquellos sistemas cuyo compromiso tendría un mayor impacto operativo, económico, reputacional o sobre los ciudadanos.
5. ¿Qué nivel de cobertura necesita la organización?
Deben valorarse la exposición, el tamaño, la complejidad tecnológica, la distribución de los sistemas y la madurez de seguridad.
6. ¿Cómo se gobernará el servicio?
Es conveniente definir los mecanismos de comunicación, seguimiento, escalado, coordinación e información.
7. ¿Qué requisitos regulatorios y contractuales son aplicables?
Este punto resulta especialmente relevante en sectores regulados, operadores de servicios esenciales y Administraciones Públicas.
Estas preguntas ayudan a evitar que la contratación se convierta en una simple adquisición de licencias y permiten orientarla hacia una mejora real de la capacidad de protección y respuesta.
De recibir alertas a gestionar el riesgo
La principal evolución que representa MxDR no consiste únicamente en detectar más eventos, sino en cambiar el modelo operativo de la ciberseguridad.
En un planteamiento tradicional, una herramienta genera una alerta y la traslada al equipo del cliente.
Ese equipo debe decidir si la alerta es relevante, investigarla, relacionarla con otras señales, determinar su alcance y actuar.
En un modelo gestionado, el objetivo es que el cliente reciba una situación previamente analizada, una actuación de contención o instrucciones claras para resolverla.
La tecnología deja de ser el punto final de la compra y pasa a formar parte de un servicio continuo.
Para muchas empresas medianas y entidades públicas, esta puede ser la diferencia entre tener herramientas de seguridad y disponer de una capacidad efectiva de detección y respuesta.
La pregunta que toda organización debería hacerse
Muchas organizaciones se preguntan si disponen de suficiente tecnología de seguridad. Sin embargo, la cuestión más importante no es únicamente cuántas herramientas tienen implantadas.
Las preguntas realmente relevantes son:
- ¿Quién supervisa esas herramientas de forma continuada?
- ¿Quién analiza las alertas con suficiente contexto?
- ¿Quién investiga el alcance real de un incidente?
- ¿Quién actúa cuando una amenaza aparece fuera del horario laboral?
- ¿Está preparada la organización para contener un ataque antes de que afecte a sus servicios críticos?
La ciberseguridad moderna no puede medirse solo por el número de tecnologías adquiridas. Debe evaluarse por la capacidad real de la organización para identificar, comprender y responder ante una amenaza.
Conclusión
La creciente complejidad de los entornos digitales obliga a evolucionar desde una seguridad basada exclusivamente en la prevención hacia modelos capaces de monitorizar, detectar, investigar y responder de forma continuada.
El servicio MxDR de Telefónica combina la plataforma Falcon de CrowdStrike, el conocimiento de red de Telefónica y la operación especializada de Telefónica Tech.
Su propuesta busca acercar capacidades avanzadas de ciberseguridad a organizaciones que necesitan reforzar su protección, pero que no disponen de los recursos necesarios para construir y operar un SOC propio.
Más allá de la tecnología, el valor del modelo reside en incorporar una capacidad operativa permanente, orientada no solo a identificar amenazas, sino a investigarlas y actuar frente a ellas.
Por eso, la pregunta para una empresa o una Administración Pública no debería ser únicamente si ya dispone de antivirus, firewall o EDR.
La pregunta verdaderamente relevante es:
Si se produce una amenaza real esta noche, ¿quién la detectará, quién la investigará y quién actuará para contenerla?
