Cuando comparas una consultora grande contra una firma especializada no estás eligiendo tamaño: estás eligiendo quién ejecuta el trabajo y quién responde por el resultado. El nombre que firma la propuesta y el equipo que entra a tu operación no siempre son el mismo, y esa diferencia es la que tu empresa paga después.
La situación se repite en empresas medianas mexicanas: llegan dos o tres propuestas, una lleva un nombre conocido y cuesta más, otra viene de una firma chica que nadie en la mesa había oído nombrar. Quien decide rara vez tiene forma de juzgar el contenido técnico, así que termina eligiendo por prestigio o por precio. Las dos son malas señales para lo que se está comprando, que es criterio.
En resumen
- El proveedor que contratas pasa a formar parte de tu superficie de ataque: según el Verizon Data Breach Investigations Report 2026, 48% de las brechas analizadas involucraron a un tercero, 60% más que el año anterior.
- El tamaño del proveedor no predice la calidad del trabajo. Lo que la predice es quién ejecuta, con qué criterio y qué pasa cuando encuentra algo grave.
- Hay casos en los que una consultora grande es la elección correcta, y conviene reconocerlos antes de pedir propuestas.
- Cinco preguntas ordenan cualquier comparación, y las cinco se responden por escrito antes de firmar.
El proveedor que contratas pasa a formar parte de tu superficie de ataque
Cuando contratas a alguien para revisar tu seguridad, le das acceso, información y confianza. Esa relación es ahora uno de los caminos que un atacante puede recorrer para llegar a tu empresa, y los datos del último año lo dicen sin ambigüedad.
El Verizon Data Breach Investigations Report 2026, en su decimonovena edición, analizó más de 31,000 incidentes de seguridad reales, de los cuales más de 22,000 fueron brechas confirmadas en 145 países, ocurridas entre el 1 de noviembre de 2024 y el 31 de octubre de 2025. Su hallazgo sobre proveedores es directo: las brechas con participación de un tercero aumentaron 60% respecto al año anterior y alcanzaron 48% del total.
Casi una de cada dos brechas pasó por un proveedor. Eso cambia la pregunta con la que se elige: no es a quién le compro más barato, es a quién le abro la puerta de mi operación.
Por qué el tamaño del proveedor no predice la calidad del trabajo
Una firma grande tiene procesos, cobertura y respaldo, y eso vale. Lo que no garantiza es quién va a estar en tu proyecto. En estructuras grandes, el equipo que presenta la propuesta y el equipo que ejecuta suelen ser distintos, y el trabajo de campo recae con frecuencia en perfiles junior supervisados a distancia.
En la firma especializada ocurre lo contrario, con el problema y el mérito invertidos: menos capacidad simultánea, y contacto directo con quien decide y ejecuta. Ninguna de las dos cosas es buena o mala en abstracto. Dependen de lo que tu empresa necesita este año.
El error caro no es elegir grande o elegir chico. Es elegir sin preguntar quién hace el trabajo, porque esa es la única variable que cambia el resultado que recibes.
Cuándo sí conviene una consultora grande
Lo digo primero, porque quien solo habla mal de la competencia no está dando criterio. Hay escenarios donde una firma grande es la elección correcta y contratar una firma pequeña sería un error.
- Tu empresa opera en varios países y necesitas un mismo proveedor cubriendo todas las operaciones, con una sola relación contractual.
- Un corporativo o un cliente global te exige, por política, un proveedor de una lista cerrada en la que solo aparecen firmas grandes.
- Necesitas cubrir muchos frentes al mismo tiempo, en semanas, y el volumen simultáneo pesa más que la profundidad en cada uno.
- Tu área de compras requiere una estructura de proveedor que una firma pequeña no puede sostener, como coberturas de seguro específicas o presencia en varias sedes.
Si tu caso es uno de esos cuatro, la conversación es con una firma grande y no vale la pena seguir comparando. Si no lo es, el tamaño dejó de ser un criterio y empiezan a importar las preguntas de la sección siguiente.
Cuándo conviene una firma especializada
Una firma especializada conviene cuando lo que compras es criterio y no volumen. En una empresa mediana mexicana ese suele ser el caso: no necesitas veinte personas revisando, necesitas que quien revisa sepa qué está viendo y te lo diga sin traductor.
Hay tres diferencias que se notan desde la primera reunión. Hablas con quien va a ejecutar, no con quien vende. Las decisiones no pasan por tres niveles de aprobación, así que cuando aparece un hallazgo grave te enteras el mismo día. Y el contexto regulatorio que aplica es el mexicano, empezando por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, no un marco traducido de otro país.
Ese es el terreno de Sentelius, y conviene decir el límite en la misma frase: no somos la opción para una operación en varios países que necesita un solo contrato global. Somos la opción para una empresa mediana en México que necesita saber qué tiene roto, cuánto le cuesta y en qué orden se corrige.
Las cinco preguntas que ordenan cualquier comparación de propuestas
Haz estas cinco preguntas por escrito y pide las respuestas por escrito, antes de firmar. Ninguna exige que sepas de tecnología: solo exigen que pongas las respuestas de los dos proveedores una al lado de la otra.
| Pregunta que haces por escrito | Qué te dice la respuesta |
|---|---|
| ¿Quién va a ejecutar el trabajo y qué experiencia tiene? | Si la respuesta habla de la firma y no de personas, el trabajo lo hará quien esté disponible |
| ¿Qué queda fuera del alcance? | Una propuesta que no nombra sus límites los va a descubrir contigo, a mitad del proyecto |
| ¿Qué pasa el día que encuentren algo grave? | Sin un compromiso de aviso inmediato por escrito, te enteras cuando llegue el reporte |
| ¿Qué recibo al terminar y en qué idioma de negocio? | Si solo entregan detalle técnico, alguien de tu equipo tendrá que traducirlo para decidir |
| ¿Qué no pueden prometerme? | Quien no reconoce ningún límite está vendiendo certeza, y la certeza absoluta no existe |
Una propuesta que responde las cinco sin rodeos vale más que un nombre conocido. Una que las esquiva te está diciendo, sin decirlo, que el trabajo lo va a resolver alguien que todavía no conoces.
Lo que no debería decidir tu elección
Tres señales aparecen en casi toda decisión de proveedor, y ninguna de las tres predice el resultado del trabajo.
- El logotipo del cliente más grande
- Que hayan trabajado con una empresa reconocida no dice qué hicieron ahí, ni quién lo hizo, ni cómo salió.
- La certificación de quien te vende
- La credencial del ejecutivo comercial no es la credencial de quien va a revisar tu operación.
- El precio más bajo de las tres propuestas
- Sin alcances comparables no estás comparando precios, estás comparando documentos distintos.
Ninguna de las tres es una mentira del proveedor. Simplemente no responden la única pregunta que importa, que es qué vas a recibir y quién lo va a hacer.
Cómo se ve una primera conversación que sí sirve
Una primera conversación útil no empieza con un catálogo de servicios. Empieza con preguntas sobre tu operación, porque sin eso nadie puede proponerte nada que no sea genérico, y termina con un alcance escrito que tú puedas comparar contra otra propuesta.
En Sentelius esa conversación arranca por el diagnóstico de integridad y eficiencia operativa, que entrega el mapa de lo que está roto y lo que cuesta antes de que contrates nada más. Y si lo que traes entre manos es una prueba de intrusión, el detalle de qué exigir en esa propuesta está en qué revisar en una cotización de pentesting.
El criterio de fondo es el mismo que aplico a cualquier proveedor, incluido el nuestro: quien no te dice qué no puede hacer, tampoco te va a decir qué salió mal. Sobre eso escribí en cómo funciona una auditoría de ciberseguridad en México.
Preguntas frecuentes
¿Es mejor contratar una consultora grande o una firma especializada de ciberseguridad?
Depende de qué necesitas cubrir. Una consultora grande conviene cuando operas en varios países, cuando un cliente te exige un proveedor de su lista o cuando necesitas muchos frentes a la vez. Una firma especializada conviene cuando lo que compras es criterio y quieres hablar directo con quien ejecuta.
¿Cómo sé si un proveedor de ciberseguridad es confiable?
Pídele por escrito quién va a ejecutar el trabajo, qué queda fuera del alcance, qué pasa si encuentra algo grave y qué no puede prometerte. Un proveedor que responde las cuatro sin rodeos ya te dijo más que cualquier presentación comercial.
¿Contratar un proveedor de seguridad aumenta mi riesgo?
Cualquier proveedor con acceso a tu operación forma parte de tu superficie de ataque. El Verizon Data Breach Investigations Report 2026 encontró que 48% de las brechas analizadas involucraron a un tercero. Por eso se revisa cómo trabaja el proveedor, no solo qué ofrece.
¿Qué debe incluir una propuesta de servicios de ciberseguridad?
Alcance con sus límites escritos, quién ejecuta, qué se entrega al terminar y para quién, el compromiso de aviso ante un hallazgo grave, y lo que el proveedor declara que no puede prometer. Si falta alguno de esos cinco puntos, la propuesta todavía no se puede comparar.
¿Una empresa mediana en México necesita un proveedor de ciberseguridad o personal propio?
Contratar talento senior de seguridad de forma interna es caro y difícil de retener para una empresa mediana. Por eso la mayoría empieza con un proveedor externo que aporta criterio, y suma personal propio cuando la operación ya tiene un plan que seguir.
El siguiente paso
Si tienes propuestas sobre la mesa y no sabes cómo compararlas, el problema no es de presupuesto: es que ninguna te ha dicho qué está roto en tu operación. Solicita el diagnóstico de integridad y eficiencia operativa: recibes el mapa de riesgos con su impacto financiero, el plan de acción priorizado y un resumen para tu consejo, en diez días hábiles.
Compara propuestas sabiendo qué necesitas de verdad
El diagnóstico entrega el mapa de lo que está roto, en lenguaje de negocio y en diez días hábiles.
Autor:
Alejandro Tapia
Chief Technology & Security Officer en Sentelius
He estado de los dos lados de esta mesa: cuatro años como director de seguridad de la información de una empresa global, evaluando y contratando proveedores, y hoy dirigiendo la firma que presenta la propuesta. Soy ingeniero en redes y telecomunicaciones, con más de una década en arquitectura tecnológica y ciberseguridad.