EDR vs antivirus tradicional: qué comprar si tiene 40 empleados

La pregunta llega cada semana en consultorías de San Juan: "¿Necesitamos EDR o basta el antivirus que viene con Microsoft?" La respuesta honesta depende de datos que maneja, regulación, y si alguien revisará alertas. CISA coloca EDR en controles recomendados para organizaciones con datos sensibles; antivirus tradicional solo detecta malware conocido por firma.

Antivirus tradicional — incluso suites "enterprise" — bloquea archivos maliciosos en el punto de entrada. No correlaciona procesos sospechosos, no detecta living-off-the-land, y rara vez ofrece respuesta remota de contención. EDR añade telemetría, behavioral analysis, y playbooks de aislamiento. Para una PYME de 40 empleados en Guaynabo con datos de clientes enterprise, la brecha justifica el incremento de costo.

Comparación operativa: antivirus requiere casi cero staffing; EDR requiere triage semanal mínimo o MSSP. Si su IT son 1.5 personas, EDR sin servicio gestionado es ruido acumulado. Krebs on Security reporta incidentes donde EDR generó alertas ignoradas durante semanas — herramienta sin proceso es teatro.

Costo en PR para 50 endpoints: Defender for Business incluido en ciertos planes M365 vs CrowdStrike/SentinelOne a precio por endpoint mayor pero con detección superior en pruebas independientes. NIST CSF función Detect no especifica vendor; especifica capacidad. Evalúe con prueba piloto de 30 días en departamento finance y IT.

Nuestra recomendación: si maneja PHI, PCI, o contratos que exigen respuesta a incidentes, EDR es baseline. Si solo necesita compliance checkbox y acepta riesgo residual, antivirus moderno con MFA y backups probados puede ser paso intermedio — pero documente esa decisión para el board.