Coste por endpoint
No facturamos por GB ingestados. El presupuesto deja de depender de cuánto loguees.
Ingesta de logs, correlación de eventos, búsqueda KQL-like y un camino claro de alerta → evidencia → respuesta. Sin la complejidad operativa de los SIEM corporativos.
Un SIEM recoge los logs de tus endpoints, servidores, proveedor de identidad y aplicaciones cloud, los correlaciona en eventos y levanta las alertas que merecen que alguien las mire. Una pyme lo necesita por la misma razón que una gran empresa: sin él, una brecha solo se descubre cuando algo deja de funcionar. La diferencia está en quién lo va a operar. En una empresa de 10 a 300 personas suele ser el responsable de IT que además lleva la seguridad, así que el SIEM tiene que poder llevarlo esa persona.
Un SIEM para pymes es un SIEM que puede operar el responsable de IT que además lleva la seguridad, sin un analista dedicado. Al elegirlo, conviene comprobar que la consola está pensada para ese perfil, que el precio es por endpoint y no por GB ingestado, que comparte datos con el EDR y el correo, y que las primeras alertas útiles llegan en días. Si está en la UE, pregunta dónde se alojan los datos y cuánto se retienen.
Las checklists de SIEM corporativo asumen un SOC con plantilla de sobra. Ignóralas casi todas. Esto es lo que realmente determina si un SIEM funciona para un equipo de IT de 10 a 300 personas.
No facturamos por GB ingestados. El presupuesto deja de depender de cuánto loguees.
Reglas mantenidas por nuestro equipo, alineadas con MITRE ATT&CK.
Consultas tipo KQL sobre el almacén central, con resultados en segundos en lugar de informes programados.
La misma plataforma une SIEM con detección de endpoint y correo. No silos.
Regiones UE activo-activo por defecto. On-prem disponible si la normativa lo exige.
Te ayudamos a priorizar qué fuentes conectar primero, para ver valor antes de terminar de conectarlo todo.
Criterios neutros. Elige la fila que encaja con la gente que tienes, no la que trae la lista de funciones más larga.
| Opción | Quién lo opera | Qué dispara el coste | Encaja cuando |
|---|---|---|---|
| SIEM open source que montas tú (Wazuh, basado en ELK) | Tu propio ingeniero: backend, reglas, actualizaciones. | Hardware y horas de ingeniería; la licencia es gratis. | Alguien quiere hacerse cargo y el alcance son logs y cumplimiento. |
| SIEM corporativo (Splunk, Sentinel, QRadar) | Un ingeniero de detección o un SOC. | GB ingestados al día; loguear más cuesta más. | Ya tienes equipo de seguridad y una partida de presupuesto para esto. |
| MDR / SOC externo | Los analistas del proveedor. | Por endpoint o por usuario, más el SIEM que va por debajo. | Quieres que otro vigile las alertas 24/7 y aceptas ver menos. |
| Protoxol | Tu responsable de IT o tu MSP, desde una consola. | Por endpoint protegido, según plan. | Quieres seguir operando la seguridad tú sin mantener la fontanería. |
Antes de comparar presupuestos, compara qué hace crecer cada presupuesto. Con cuatro modelos cubres casi cualquier SIEM que te vayan a ofrecer. Ninguna fila lleva una cifra: la idea es saber qué número de tu lado mueve la factura.
| Modelo | Qué hace crecer tu factura | A quién le encaja |
|---|---|---|
| Por GB ingestado | El volumen de log al día. Activar auditoría detallada, añadir un firewall o conectar una aplicación cloud muy verbosa sube la factura. La retención por encima de la ventana incluida suele facturarse aparte. | Equipos con un ingeniero que filtre las fuentes antes de que lleguen, y un responsable de presupuesto que acepte que la cifra se mueva cada mes. |
| Por endpoint o por usuario | La plantilla y el número de dispositivos. Loguear más desde las mismas máquinas no cuesta nada extra. Añadir un servidor o un portátil añade una unidad. | Pymes que quieren una cifra fija para el año y cuyo crecimiento es fácil de prever. Es el modelo que usa Protoxol, por plan. |
| Por asiento de analista | Cuántas personas entran a investigar. La ingesta suele ir incluida o con un tope. Habitual en ofertas de MDR y en herramientas centradas en la búsqueda. | Equipos donde solo una o dos personas van a abrir la consola. Comprueba si hay topes de ingesta escondidos bajo el precio del asiento. |
| Open source más hardware | Disco, RAM y las horas de quien lo mantiene. La licencia es gratis; el crecimiento del almacenamiento y las actualizaciones no lo son. | Empresas con un ingeniero que quiera el stack y que ya administren servidores. Vale para retención y cumplimiento, cuesta más para el trabajo diario de detección. |
Un ejercicio útil: coge tu volumen de log diario, tu número de endpoints y cuántas personas abrirían la consola, y pasa los cuatro modelos por esas tres cifras. La opción más barata sobre el papel cambia cuando sumas las horas de quien la mantiene viva. La página de alternativa a Wazuh desarrolla ese cálculo para el caso open source.
Seis opciones que aparecen en casi toda evaluación a esta escala. Protoxol es nuestro producto, así que lee esa fila como la versión del fabricante y comprueba el resto en una prueba. Las columnas de precio describen el modelo, no el importe.
| Opción | Modelo operativo | Modelo de precio | Puntos fuertes | A qué estar atento |
|---|---|---|---|---|
| Wazuh (open source) | Autoalojado. Tu ingeniero lo instala, lo afina y lo actualiza. | Licencia gratis; pagas hardware y tiempo. Cloud y soporte de pago opcionales. | Sin coste de licencia, comunidad grande, el agente cubre telemetría de endpoint e integridad de ficheros, encaja bien para reunir evidencias de cumplimiento. | El afinado de reglas y el mantenimiento de índices caen en tu equipo. Las acciones de respuesta hay que programarlas. Si un viernes deja de ingestar, no hay nadie a quien llamar. |
| Microsoft Sentinel | SIEM cloud en Azure. Lo opera tu equipo o un partner. | Por GB ingestado, con niveles de compromiso y cargos de retención aparte. | Conectores nativos para Microsoft 365, Entra y Defender. Buena opción si tu parque ya es Microsoft. | El coste sigue al volumen de log: las fuentes más verbosas hay que filtrarlas. El lenguaje de consulta (KQL) tiene su curva. Las fuentes que no son de Microsoft dan más trabajo. |
| Splunk | Cloud o autoalojado. Normalmente lo opera un ingeniero dedicado o un SOC. | Por GB ingestado al día, con opciones por carga de trabajo en despliegues grandes. | Búsqueda madura, ecosistema de aplicaciones enorme, conocido por casi cualquier perfil de seguridad. | Está construido y tarifado para volúmenes corporativos. Con 10 a 300 personas pagas un margen que no vas a usar y necesitas a alguien que sepa SPL. |
| Elastic Security | Elastic Cloud o autogestionado. Tu equipo lleva el clúster y las reglas. | Niveles por recursos (cómputo y almacenamiento), no por GB ingestado. | Búsqueda rápida, reglas de detección abiertas, agente EDR en el mismo stack. | El dimensionado del clúster y el ciclo de vida de los índices son tu problema. El nivel de licencia decide qué detecciones e integraciones te tocan. |
| Servicio MDR (genérico) | Los analistas del proveedor vigilan las alertas, normalmente 24/7, sobre su SIEM o sobre el tuyo. | Por endpoint o por usuario, a menudo con contrato mínimo y la licencia del SIEM por debajo. | Alguien mira a las tres de la mañana. Se pone en marcha más rápido que cualquier opción que montes tú. | Ves lo que el proveedor decide mostrarte. Cambiar de proveedor obliga a reconectar todas las fuentes. Deja por escrito qué entra en el servicio y qué no. |
| Protoxol (nuestro producto) | SaaS alojado en la UE o autoalojado. Lo opera tu responsable de IT o tu MSP desde una consola. | Por endpoint protegido, según plan (Starter hasta 250, Team hasta 2.500, Enterprise). Sin lista pública de precios; se calcula sobre tu número real de endpoints. | Diez módulos en una consola, activables por separado y sobre el mismo modelo de datos: SIEM, EDR, NDR, correo, exposición de credenciales. Reglas curadas que mantenemos. Ingesta Wazuh, Splunk, Elastic, Suricata, Microsoft 365 y Okta. Playbooks con aprobación humana por defecto. Soporte incluido. | Producto más joven, con menos ecosistema que los nombres de arriba. No es un servicio gestionado: las alertas las mira tu equipo, no el nuestro. Si quieres escribirte el stack de detección entero, el open source te da más cuerda. |
Si dos filas te parecen igual de buenas, pasa la misma semana de logs por las dos y cuenta cuántas alertas tuvo que leer una persona de verdad. Esa cifra, más que cualquier lista de funciones, te dice cuál seguirá usando tu equipo el año que viene. El módulo SIEM y búsqueda lista los conectores y la sintaxis de consulta si quieres comprobar el encaje antes de la demo.
Elijas lo que elijas, el primer mes decide si el SIEM acaba siendo una herramienta o una pestaña que nadie abre. Cuatro semanas, un trabajo cada una.
Pasado el día 30, añade fuentes de una en una y repite la semana 3 con cada una. El orden importa menos que la costumbre. Si quieres ver cómo encajan los módulos antes de empezar, la plataforma Protoxol enseña cómo SIEM, EDR y el resto comparten una misma línea temporal.
La mayoría de los SIEM asume un equipo de analistas dedicado: lenguajes de consulta complejos, licencias enrevesadas y paneles que nadie mira. Los equipos de IT pequeños acaban pagando por una capacidad que no pueden operar.
Protoxol se centra en los flujos que un equipo pequeño ejecuta de verdad: recoger los logs que importan, correlacionar eventos automáticamente y destacar las alertas que merecen acción, con búsquedas que responden en minutos, no en tardes. Pide una demo y compruébalo con tus propios datos.
No. Protoxol está diseñado para que un equipo de IT con responsabilidad de seguridad pueda operarlo en el día a día. El triaje de alertas, el contexto de investigación y los pasos de respuesta están integrados en la consola.
Se soportan fuentes habituales de infraestructura, endpoint y cloud mediante conectores y formatos estándar. Te ayudamos a priorizar primero las fuentes que aportan valor real de detección, para no pagar por almacenar ruido.
El SIEM open source te da el motor, no la operación — sigues siendo responsable del mantenimiento de reglas, el escalado y el soporte. Protoxol incluye reglas curadas y mantenidas, con un equipo de soporte detrás, a un coste por endpoint predecible en vez de tiempo de ingeniería. Mira la comparativa completa con Wazuh.
Sí. Los módulos se activan de forma independiente sobre el mismo modelo de datos, así que añadir EDR o protección de correo más adelante es activar un módulo, no un segundo proyecto.
Conectar tus primeras fuentes de log y tener reglas curadas funcionando suele tardar días, no los despliegues de un trimestre que exigen los SIEM corporativos.
El que tu equipo siga operando dentro de seis meses. Para la mayoría de pymes eso significa: precio por endpoint en vez de por GB, una consola que el responsable de IT pueda usar sin un curso de lenguaje de consultas y reglas de detección que alguien mantiene por ti. Si tienes a alguien que quiera hacerse cargo, un SIEM open source también es una respuesta válida.
Depende más del modelo de precio que del proveedor. Los SIEM por GB crecen con lo que registras; el MDR añade horas de analista; el open source cuesta horas de ingeniería. Protoxol factura por endpoint protegido, según plan, así que el presupuesto se conoce de antemano. Lo calculamos sobre tu número real de endpoints; no hay lista pública de precios.
Si no tienes ninguno, empieza por EDR: protege los portátiles y servidores donde empiezan los incidentes y se despliega más rápido. Añade SIEM cuando necesites ver identidad, correo y cloud en la misma línea temporal. En Protoxol los dos son módulos de la misma consola, así que el orden es una decisión, no una migración.
30 minutos, tus propios datos, sin diapositivas de venta. Te enseñamos exactamente qué alertas verías el primer día.