¿Qué diferencia hay entre un antivirus y un EDR?
El antivirus decide en el momento si un programa es malicioso y lo bloquea. El EDR, que aquí llamamos antivirus gestionado, además registra lo que hacen los programas, crea alertas para que una persona las investigue y permite responder: aislar el equipo de la red o poner un archivo en cuarentena.
La frontera ya no es «lo conocido frente a lo nuevo». Microsoft explica que el antivirus que viene en Windows 10 y 11 dejó en 2015 de basarse solo en firmas de virus conocidos y que hoy también detiene amenazas por su comportamiento (documentación de Microsoft Defender Antivirus). Lo que un antivirus no hace es lo que viene después del bloqueo: guardar el historial, avisar a alguien y dejar que esa persona actúe.
EDR son las siglas inglesas de detección y respuesta en el equipo. La documentación de Microsoft sobre el suyo lo resume así: cuando se detecta una amenaza, «se crean alertas en el sistema para que un analista la investigue», y entre las acciones de respuesta están aislar el dispositivo y detener y poner en cuarentena un archivo (introducción a la EDR). La palabra que importa es analista: el EDR está pensado para que lo mire alguien.
| Qué cambia | Antivirus | Antivirus gestionado (EDR) | XDR | MDR |
|---|---|---|---|---|
| Qué es | Una herramienta en cada equipo | Una herramienta en cada equipo | Una herramienta que une varias fuentes | Un servicio: personas que operan las herramientas |
| Dónde mira | Archivos y programas | Lo que hacen los programas, la red y los inicios de sesión del equipo | Equipos, cuentas, correo y aplicaciones | Donde miren las herramientas que opera |
| Bloquea lo malicioso | Sí, por firma y por comportamiento | Sí | Sí | Sí, con sus herramientas |
| Guarda el historial de lo que pasó | No | Sí | Sí, de todas las fuentes | Sí |
| Permite aislar el equipo de la red | No | Sí | Sí | Sí, y decide cuándo |
| Necesita a alguien que mire las alertas | Poco | Sí | Sí | Ya lo incluye |
¿Qué es XDR y en qué se diferencia del EDR?
XDR, detección y respuesta extendidas, junta en una consola lo que ven varias herramientas: el antivirus gestionado de los equipos, el filtro de correo, las cuentas de usuario y las aplicaciones en la nube. Así se sigue un ataque que entra por correo y salta a un portátil. Y alguien tiene que mirarla.
Microsoft describe su XDR como un conjunto que «coordina de forma nativa la detección, prevención, investigación y respuesta entre puntos de conexión, identidades, correo electrónico y aplicaciones» (¿Qué es Microsoft Defender XDR?). Punto de conexión es como traduce Microsoft endpoint: cada ordenador, portátil o servidor. La ventaja que cuenta es la historia entera de un ataque: por dónde entró, qué tocó y qué sigue afectado.
La misma página aclara que solo correlaciona las señales de los productos a los que tienes licencia. Un XDR con una sola fuente conectada es, en la práctica, un EDR con otro nombre: pregunta qué fuentes entran en el precio.
¿Qué es MDR y por qué no es una herramienta?
MDR, detección y respuesta gestionadas, es un servicio: analistas que reciben las alertas, las investigan y actúan o te dicen qué hacer. Microsoft describe el suyo con analistas que gestionan la cola de incidentes las 24 horas. No se contrata un programa: se contrata que alguien mire cuando tú no puedes.
La descripción de Microsoft sirve de ejemplo de lo que se vende con ese nombre: un «servicio gestionado de detección y respuesta» en el que sus analistas «trian e investigan los incidentes en tu nombre, y toman medidas o guían a tu equipo en la respuesta» (Microsoft Defender Experts MDR). Esas dos opciones, actuar o guiar, son la primera pregunta que hay que hacer a cualquier proveedor.
Por qué hace falta gente lo explica el NIST en su guía de respuesta a incidentes de abril de 2025: el volumen de eventos que hay que analizar suele ser muy alto, hay que filtrarlo con herramientas hasta dejar lo que una persona puede revisar, y algunos incidentes solo los encuentra alguien con conocimientos técnicos especializados (NIST SP 800-61r3). Qué es el equipo que hace ese trabajo, un SOC, está en qué es un SOC de ciberseguridad.
¿Qué necesita una pyme de 10 a 250 empleados: antivirus, EDR, XDR o MDR?
Casi siempre, antivirus gestionado en todos los equipos y alguien que mire sus alertas, propio o contratado. La guía contra el ransomware de CISA, la NSA y el FBI recomienda antivirus de gestión centralizada y EDR o listas de programas permitidos en todos los equipos. XDR compensa cuando hay más que vigilar.
La guía #StopRansomware recomienda un antivirus de gestión centralizada, capaz de detectar tanto el ransomware como el programa que lo prepara, configurado para que sus avisos lleguen al personal de seguridad, y EDR o listas de programas permitidos en todos los equipos (CISA, #StopRansomware Guide). Añade que un ransomware puede ser la prueba de una intrusión anterior que nadie resolvió.
| Situación | Herramienta | Quién la vigila | Lo que suele quedar sin cubrir |
|---|---|---|---|
| Sin informático: alguien de administración lleva los equipos | Antivirus gestionado en todos los equipos | Un servicio contratado: MDR o seguridad gestionada completa | Saber qué pasó cuando algo falla |
| Un informático o una empresa de mantenimiento, en horario de oficina | Antivirus gestionado; XDR si el correo y las cuentas en la nube son el centro del trabajo | Tu informático de día y un servicio fuera de horario | Las noches, los fines de semana y las vacaciones |
| Equipo de TI propio con alguien dedicado a seguridad | XDR que junte equipos, correo y cuentas | Tu equipo, con apoyo externo en los incidentes graves | Los turnos para cubrir las 24 horas |
55.411
incidentes de malware gestionó INCIBE en 2025, y 392 de ellos fueron ransomware, el ataque que cifra los archivos y pide un rescate. El fraude online sumó 45.445, 4 de cada 10 incidentes del año.
Cómo entra un ransomware y dónde se frena, fase a fase, está en la guía del ransomware; el resto de cifras del año, juntas y con su fuente, en ciberataques en España en cifras.
¿Basta el antivirus de Windows en una empresa?
Es una buena base: viene en Windows 10 y 11 y también bloquea por comportamiento. Lo que no trae es quien lo vigile ni el historial para investigar. Si tu empresa tiene Microsoft 365 Empresa Premium, ya paga Defender para Empresas, que incluye EDR: entonces lo que falta suele ser la persona, no la herramienta.
Según Microsoft, Defender para Empresas está diseñado para pequeñas y medianas empresas de hasta 300 usuarios, incluye detección y respuesta en los equipos y viene dentro de la suscripción Microsoft 365 Empresa Premium; con otras suscripciones se compra aparte (¿Qué es Microsoft Defender para Empresas?). Antes de comprar otra herramienta, mira qué licencias tienes: el punto de partida es el inventario de equipos y programas, y la configuración del resto, la seguridad en Microsoft 365.
¿Qué pasa con las alertas de un EDR que nadie mira?
Se acumulan en una consola mientras el ataque sigue. Un EDR detecta y deja responder, pero aislar un equipo o bloquear una cuenta lo decide una persona, salvo lo que esté automatizado. CISA pide configurar las herramientas para que sus avisos lleguen al personal de seguridad. Una alerta que nadie lee no protege a nadie.
El antivirus gestionado ve algo raro: un programa que empieza a cifrar archivos de una carpeta compartida.
¿Lo frena solo?
- Sí
- Corta el proceso o pone el archivo en cuarentena, y deja la alerta.
- No
- Deja la alerta y espera a una persona.
¿Alguien mira la alerta en minutos?
- Sí
- Revisa el historial del equipo y confirma si es un ataque.
- No
- El atacante sigue teniendo tiempo para pasar a otros equipos.
¿Es un ataque?
- Sí
- Aísla el equipo de la red y avisa a la empresa.
- No
- Cierra la alerta y ajusta la regla para que no se repita.
Informe: qué pasó, qué se hizo y qué conviene cambiar.
El NIST propone las dos cosas a la vez: configurar las herramientas, el antivirus incluido, para que contengan solas lo que puedan, como poner en cuarentena un programa malicioso o pasar un equipo comprometido a una red aislada, y permitir que quien gestiona el incidente elija las acciones a mano (NIST SP 800-61r3). Lo que viene después de la primera hora está en el plan de respuesta a incidentes.
¿Qué preguntar antes de contratar un antivirus gestionado?
Cinco cosas: en qué horario se miran las alertas, si el proveedor aísla el equipo o solo te avisa, cuánto tarda en actuar, qué informe recibes y quién te atiende cuando pasa algo. Y una sexta que se olvida: qué puede hacer en tus sistemas sin pedirte permiso, por escrito en el contrato.
La herramienta
- Va en todos los equipos, también portátiles y servidores
- Qué hace sola y qué necesita a una persona
- Cuánto tiempo guarda el historial
Las personas
- Qué horario cubren las alertas: laborables, noches, festivos
- Si aíslan el equipo o solo te avisan
- Quién te llama y por qué canal
- Cuánto tardan en actuar, por contrato
Lo que queda por escrito
- Qué pueden hacer en tus sistemas sin consultarte
- Qué informe recibes y cada cuánto
- Cómo te devuelven los datos y la configuración si te vas
La sexta pregunta sale del NIST: cuando un tercero responde a incidentes por ti, el contrato debe dejar claro el reparto de responsabilidades, cómo fluye la información y qué autoridad tiene para actuar en tu nombre, incluidas decisiones como desactivar un servicio para contener un ataque. Las diez preguntas para cualquier proveedor están en cómo elegir proveedor de ciberseguridad.
¿Qué evidencia deja un antivirus gestionado para un cliente o una aseguradora?
Tres pruebas con fecha: la lista de equipos protegidos cruzada con el inventario, los incidentes detectados con lo que se hizo en cada uno y el informe periódico del servicio. Con ellas, la pregunta de un cuestionario sobre la protección de los equipos se responde con algo más que un «sí».
| Prueba | Qué demuestra | Cada cuánto |
|---|---|---|
| Equipos con el antivirus gestionado activo, cruzados con el inventario | Que no hay equipos sin proteger | Cada mes |
| Incidentes detectados, con la acción tomada y su fecha | Que alguien mira y responde | En cada incidente |
| Informe del servicio | Qué pasó, qué se hizo y qué conviene cambiar | Cada mes |
| Contrato o anexo con horario y tiempos de respuesta | Qué cubre la vigilancia y qué no | Al contratar y al renovar |
Esas pruebas van al dossier de evidencias, la carpeta con lo que enseñas a un cliente, y responden la parte de equipos de un cuestionario de seguridad. Si te aplica la NIS2, la gestión de incidentes es una de las medidas mínimas de su artículo 21.2, letra b; la lista entera, en el checklist de la NIS2.
En Talvit, el antivirus gestionado va en la cuota de 29 € por puesto y mes (IVA no incluido), como «lo que frena el ransomware en cada equipo». El dossier NIS2 se presupuesta aparte. Haznos las preguntas de la lista en tu caso.
Lo que esta guía no cubre
- Una comparativa de marcas: los nombres de producto cambian y cada fabricante usa las siglas a su manera.
- La protección de los móviles, que tiene su propia guía: móviles de empresa.
- Qué hacer si ya te han atacado: para eso están la guía de a quién llamar tras un ciberataque y el 017 de INCIBE.
Preguntas frecuentes
¿Un antivirus gestionado ralentiza los equipos?
Depende del producto y del equipo, y no hay una cifra independiente que valga para todos. Pide una prueba en dos o tres equipos antes de desplegarlo en toda la empresa y pregunta a quien los usa si nota la diferencia.
¿Necesito un antivirus gestionado si ya tengo copias de seguridad?
Sí: son cosas distintas. Las copias te dejan recuperar lo cifrado; el antivirus gestionado intenta que no llegue a cifrarse y te dice por dónde entró el ataque. La guía #StopRansomware de CISA recomienda las dos, y copias fuera de línea, cifradas y probadas.
¿El antivirus gestionado protege el correo?
No: vigila cada equipo. Un correo trampa engaña a la persona antes de tocar el equipo, y para eso hacen falta un filtro de correo y formación. Un XDR es lo que junta en una consola la vigilancia de los equipos y la del correo.
¿Un MDR sustituye a mi informático?
No. El MDR vigila y responde a los incidentes de seguridad; tu informático sigue con los equipos, las altas y bajas y el día a día. Lo útil es que se conozcan y que quede escrito quién hace qué cuando salta una alerta.
Fuentes
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
- CISA, MS-ISAC, NSA y FBI, #StopRansomware Guide (septiembre de 2023), consultado el
- NIST SP 800-61r3, recomendaciones de respuesta a incidentes (abril de 2025), apartado 2.2 y tabla 3, consultado el
- Microsoft Learn, «Introducción a Microsoft Defender Antivirus en Windows», consultado el
- Microsoft Learn, «Introducción a la EDR» (Defender para punto de conexión, actualizada el 3 de junio de 2026), consultado el
- Microsoft Learn, «¿Qué es Microsoft Defender XDR?», consultado el
- Microsoft Learn, «¿Qué es Microsoft Defender Experts MDR?», consultado el
- Microsoft Learn, «¿Qué es Microsoft Defender para Empresas?», consultado el
- NIST CSRC, glosario, «Endpoint Detection and Response», consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21.2, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: XDR y MDR entran en la comparativa, el antivirus de Windows se explica con la documentación de Microsoft, se añaden las recomendaciones de CISA y del NIST y cada cifra lleva su fuente.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
