Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
La comparativa entre plataformas de ciberseguridad para administraciones públicas no se decide por el catálogo de funciones, sino por el modelo de responsabilidad que cada proveedor asume. Un ayuntamiento de tamaño medio que gestiona empadronamiento, padrón y subvenciones no necesita lo mismo que un ministerio con infraestructura crítica. Aquí van los criterios que separan unas opciones de otras, con las trampas habituales.
Cómo se comparan realmente las opciones del mercado
En el sector público conviven tres familias de soluciones, y cada una responde a una lógica distinta:
1. Plataformas integrales de un fabricante (SIEM + SOAR + EDR)
Ofrecen correlación de eventos, automatización de respuesta y detección en endpoints bajo una sola consola. Su ventaja es la trazabilidad unificada, algo que las auditorías del sector público valoran. Su límite: el coste por volumen de ingesta de logs crece rápido, y un organismo con miles de puestos y servidores legacy puede ver dispararse la factura sin haber mejorado la detección real.
2. Servicios gestionados por un CERT o proveedor externo
El organismo conserva la titularidad pero delega la monitorización 24×7. Encaja bien en entidades sin plantilla suficiente para cubrir turnos. El matiz que casi nadie menciona en las comparativas comerciales: el proveedor necesita acceso a los logs, y eso obliga a revisar cláusulas de tratamiento de datos y soberanía de la información. Según documentación oficial de esquemas de seguridad pública, la cesión de datos a terceros debe quedar explícita en el contrato.
3. Herramientas de código abierto ensambladas internamente
Wazuh, Suricata o OpenVAS permiten construir una capacidad de detección con coste de licencia cero. Funciona cuando existe un equipo con perfil técnico estable. Falla cuando el personal cambia y nadie documentó las reglas de correlación.
Tabla de criterios con pesos reales
- Autonomía de datos: ¿dónde se almacenan los logs y quién puede consultarlos?
- Coste por volumen: precio por GB ingerido frente a precio por puesto protegido.
- Tiempo de despliegue: un SIEM gestionado puede estar operativo en semanas; uno propio, en meses.
- Cumplimiento normativo: capacidad de generar evidencia para auditorías sin trabajo manual.
- Dependencia del proveedor: posibilidad de exportar datos y reglas si se cambia de solución.
Un error que se repite en licitaciones
He visto concursos donde se puntúa el número de integraciones disponibles en lugar de la calidad de la detección. Un organismo compró una plataforma con más de doscientos conectores y, seis meses después, seguía sin configurar alertas para accesos fuera de horario a los sistemas de registro. La herramienta no era el problema: nadie había definido los casos de uso. En administración pública, la comparación debería empezar por los casos de uso obligatorios —acceso a bases de datos de ciudadanos, correo institucional, dispositivos móviles corporativos— y después evaluar qué opción los cubre con menos esfuerzo operativo.
Limitaciones que conviene reconocer
Ninguna solución evita el phishing dirigido a personal municipal ni el uso de contraseñas débiles en aplicaciones heredadas. La ciberseguridad en administración pública depende tanto de la tecnología como de la formación y de los procedimientos internos. Tampoco existe una opción que sea simultáneamente la más barata, la más completa y la más sencilla de operar: toda elección implica renunciar a algo.
Para entidades pequeñas, un servicio gestionado con monitorización básica suele dar más retorno que una plataforma avanzada infrautilizada. Para organismos con equipo propio consolidado, la combinación de código abierto y automatización interna ofrece control y evita la dependencia contractual. La decisión razonable pasa por medir la madurez del equipo antes que el catálogo del proveedor.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
