En abril de 2026, EcuCERT emitió una alerta sobre el ransomware Qilin y su herramienta para desactivar las soluciones EDR de los equipos antes de cifrarlos. El mensaje de fondo es incómodo para cualquier empresa que compró un antivirus y dio el tema por cerrado: los atacantes estudian las herramientas de seguridad informática que usted tiene y planifican cómo apagarlas.
Eso no significa que las herramientas no sirvan. Significa que ninguna funciona sola y que su valor depende de cómo se combinan, de quién revisa sus alertas y de si alguien notaría que una dejó de funcionar. Las secciones siguientes ordenan las categorías principales, con ejemplos libres y comerciales verificables, y proponen un orden de compra realista para una pyme.
Qué son las herramientas de seguridad informática y qué no hacen
Las herramientas de seguridad informática son los programas y equipos que protegen la confidencialidad, la integridad y la disponibilidad de la información: desde el antivirus de una laptop hasta el cortafuegos o el sistema que recoge registros. Cubren funciones distintas, igual que una cerradura, una alarma y una cámara protegen una casa de maneras diferentes.
Lo que no hacen es decidir por usted. Un escáner encuentra cien vulnerabilidades, pero alguien debe elegir cuáles corregir primero. Un SIEM genera alertas, pero si nadie las lee, la intrusión ocurre igual. Por eso, antes de comprar, conviene saber quién va a operar cada herramienta y cuántas horas a la semana puede dedicarle de verdad.
Tipos de herramientas de seguridad informática
Agrupar las herramientas por tipos ayuda a ver los huecos. La tabla siguiente resume las categorías básicas, con un ejemplo libre y uno comercial cuando existe uno verificable. No es una lista de compras: muchas pymes cubren varias categorías con un solo paquete, por ejemplo una licencia de oficina que ya incluye protección de equipos y doble factor.
| Categoría | Qué protege | Ejemplo libre | Ejemplo comercial |
|---|---|---|---|
| Antivirus y EDR | Equipos y servidores | Wazuh (detección en equipos) | Microsoft Defender for Business |
| Cortafuegos, IDS e IPS | Perímetro y tráfico de red | Suricata | Cortafuegos de nueva generación de varios fabricantes |
| SIEM y monitoreo | Registros y eventos | Wazuh | Soluciones SIEM comerciales |
| Escáner de vulnerabilidades | Fallos conocidos en sistemas | OpenVAS FREE de Greenbone | OpenVAS SCAN de Greenbone |
| Análisis de red | Inventario y tráfico | Nmap, Wireshark | Incluidos en suites de auditoría |
| Identidad y contraseñas | Cuentas y accesos | KeePassXC, Bitwarden | 1Password, Bitwarden para empresas |
Protección de equipos: antivirus y EDR
El antivirus clásico compara archivos con firmas de malware conocido. Un EDR va más allá: registra procesos, conexiones y cambios en el equipo, detecta comportamientos sospechosos y permite aislar una laptop a distancia. Microsoft Defender for Business, pensado para empresas de hasta 300 empleados, cuesta 3 dólares por usuario al mes y viene incluido en Microsoft 365 Business Premium.
La alerta sobre Qilin tiene una consecuencia práctica al elegir producto: conviene que el EDR tenga protección contra manipulación, de modo que no pueda desinstalarse ni detenerse sin una autorización desde la consola central. También conviene que la consola avise cuando un equipo deja de reportar, porque ese silencio suele ser la primera pista de que algo va mal.
Red: cortafuegos, IDS e IPS
El cortafuegos decide qué tráfico entra y sale de la red, y en los modelos de nueva generación también inspecciona aplicaciones y amenazas. Los sistemas de detección y prevención de intrusos (IDS e IPS) analizan el tráfico en busca de ataques. Suricata, desarrollado por la fundación sin ánimo de lucro OISF, es el motor libre más extendido de esa categoría.
El cortafuegos es también, con frecuencia, el equipo que recibe la VPN, y por eso aparece una y otra vez en las alertas. EcuCERT publicó en 2026 varios avisos sobre fallos explotados en equipos Fortinet. Mantenerlo actualizado forma parte del trabajo descrito en la guía de acceso remoto seguro para empresas.
Monitoreo: SIEM y registros
Un SIEM recoge los registros de servidores, equipos, correo y red en un solo lugar y genera alertas cuando detecta patrones sospechosos, como muchos intentos fallidos seguidos de un acceso correcto. Wazuh es una plataforma libre que combina SIEM y XDR, con monitoreo de integridad de archivos, detección de vulnerabilidades y evaluación de configuraciones, sin costo de licencia.
No hace falta registrar cada evento desde el inicio. Lo recomendable es empezar por las fuentes que más dicen sobre una intrusión: los accesos a la VPN, los inicios de sesión en el correo y en la nube, el controlador de dominio y la consola del antivirus. Con esos registros guardados varios meses ya es posible reconstruir casi cualquier incidente.
Escáneres de vulnerabilidades y análisis de red
Nmap es una herramienta libre para mapear redes e identificar qué equipos y servicios responden, y Wireshark es el analizador de protocolos de código abierto más conocido. Para buscar fallos conocidos, Greenbone ofrece OpenVAS FREE, una versión gratuita y limitada de su escáner. Estas tres herramientas son también las habituales en cualquier auditoría de seguridad informática.
Una advertencia práctica: escanear redes o equipos ajenos sin autorización puede constituir un delito, y escanear los propios sin avisar al proveedor de hospedaje o de internet puede provocar bloqueos. En la empresa, conviene tener por escrito quién autoriza cada análisis, qué rango de direcciones cubre y en qué horario se ejecuta, para evitar sustos.
Identidad, contraseñas, respaldo y correo
La autenticación multifactor es probablemente la herramienta más rentable de la lista, porque neutraliza buena parte de los robos de contraseña. La completan un gestor de contraseñas para el equipo, una solución de copias de seguridad con una copia aislada y un filtro de correo que bloquee adjuntos peligrosos y verifique los registros SPF, DKIM y DMARC del dominio.
Elegir herramientas de seguridad informática por tipos tiene otra ventaja: muestra lo que falta. Una empresa que tiene antivirus, cortafuegos y respaldo, pero ningún registro centralizado ni doble factor, sabe exactamente dónde está su punto ciego. Ese ejercicio, hecho con una hoja de papel y la tabla anterior, vale más que la demostración comercial de cualquier fabricante.
Herramientas libres frente a comerciales
Wazuh, Suricata, Nmap o Wireshark no tienen costo de licencia y son de calidad profesional. Su costo real está en otra parte: alguien tiene que instalarlas, ajustarlas, actualizarlas y revisar lo que producen. En una pyme sin personal técnico propio, esa carga suele recaer en un proveedor externo, lo que convierte el ahorro en una factura de servicios.
Las comerciales venden, sobre todo, tiempo: consolas preparadas, actualizaciones automáticas y soporte. La elección razonable para una empresa pequeña suele ser mixta: un paquete comercial para la protección de equipos y el correo, donde el mantenimiento diario importa más, y herramientas libres para tareas puntuales como el inventario de red o un escaneo trimestral de vulnerabilidades.
En Ecuador pesa además un factor que los catálogos internacionales no reflejan: el soporte local. Una herramienta excelente sin un distribuidor o integrador que responda en el mismo huso horario y en español puede quedar sin mantenimiento tras la primera renovación. Antes de decidir, conviene preguntar quién instalará, quién actualizará y quién atenderá una emergencia un sábado por la noche.
Qué necesitan primero las empresas en Ecuador
El Centro para la Seguridad de Internet (CIS) agrupa sus controles en tres niveles, y el primero, IG1, reúne 56 salvaguardas que considera la higiene básica para cualquier organización. CIS lo describe como pensado para empresas pequeñas y medianas con poco personal de seguridad. Es una buena brújula para decidir qué comprar primero, antes que cualquier producto de moda.
Con ese criterio, el orden para una pyme ecuatoriana de cinco a cincuenta personas queda bastante claro. La tabla prioriza por impacto frente a costo, y conviene leerla de arriba abajo: no tiene sentido pagar un SIEM si la VPN no exige doble factor o si nadie comprobó nunca que los respaldos se pueden restaurar.
| Prioridad | Herramienta | Por qué primero |
|---|---|---|
| 1 | Doble factor en correo, VPN y nube | Frena el uso de contraseñas robadas |
| 2 | Copias de seguridad con copia aislada | Permite recuperarse de ransomware y fallos |
| 3 | Antivirus o EDR en cada equipo | Detecta y bloquea malware en el punto de entrada |
| 4 | Actualizaciones automáticas e inventario | Cierra fallos conocidos y muestra qué hay en la red |
| 5 | Gestor de contraseñas para el equipo | Elimina claves repetidas y hojas de cálculo |
| 6 | Filtro de correo con SPF, DKIM y DMARC | Reduce phishing y suplantación del dominio |
| 7 | Registro centralizado o SIEM | Permite ver un ataque en curso |
Las tres primeras filas responden a lo que la guía #StopRansomware de CISA pide de forma explícita: doble factor resistente al phishing, copias fuera de línea y cifradas, y parches al día. Si la empresa trata datos personales de clientes, esas medidas forman parte también de las obligaciones de seguridad de la ley ecuatoriana de protección de datos.
El presupuesto suele ser menor de lo que se teme. Con los precios publicados por cada fabricante, una empresa de veinte personas pagaría 60 dólares al mes por Microsoft Defender for Business y 80 por el plan Teams de Bitwarden, ambos con facturación anual. Esas cifras cubren protección de equipos y contraseñas, dos de las prioridades de la tabla.
Cómo comprobar que las herramientas funcionan
Una herramienta instalada no es una herramienta que funciona. Revise cada mes que el antivirus o EDR está activo y actualizado en cada equipo, que las copias terminaron sin errores y que el cortafuegos tiene la última versión. La alerta de EcuCERT sobre Qilin muestra por qué: un EDR desactivado en silencio parece idéntico a uno que no detecta nada.
Una prueba sencilla consiste en usar el archivo EICAR, un archivo de prueba inofensivo que los antivirus reconocen por convención, para confirmar que la protección reacciona y que la alerta llega a quien debe recibirla. Si la alerta no llega a nadie, el problema no es la herramienta sino el proceso, y conviene resolverlo antes de comprar nada más.
Cada trimestre, un escaneo con Nmap de la red interna permite comparar los equipos con el inventario oficial. Cualquier dispositivo que aparezca sin estar registrado, como una cámara instalada por un proveedor o un enrutador doméstico conectado en una oficina, merece una explicación. Las herramientas de seguridad informática solo protegen lo que la empresa sabe que tiene.
Errores comunes al elegir herramientas de seguridad informática
El error más frecuente es comprar por catálogo: un cortafuegos de gama alta para una oficina de ocho personas que sigue sin doble factor en el correo. El segundo es acumular consolas que nadie mira. El tercero, dejar la configuración por defecto, con contraseñas de fábrica y funciones de protección desactivadas porque generaban demasiados avisos.
Antes de firmar un contrato, pida al proveedor que explique quién recibirá las alertas, en qué horario y con qué tiempo de respuesta, y cómo se retiran los accesos de un empleado que se va. Si busca apoyo externo, la comparación de empresas de ciberseguridad en Ecuador reúne criterios verificables para elegir proveedor sin depender de promesas comerciales.