Los CSP están midiendo mal los ingresos por seguridad

Para los proveedores de servicios de comunicaciones (CSP), la seguridad no es un ingreso complementario. Es una garantía de ingresos.

Para un proveedor de servicios de comunicaciones, los ataques DDoS suelen abordarse en dos ámbitos distintos. El primero ocurre en las operaciones de red, donde el ataque se trata como una amenaza a la infraestructura, a la disponibilidad del servicio y a la estabilidad general de la red. El segundo ocurre en la organización comercial, donde la protección contra DDoS se ofrece como un servicio de seguridad opcional vinculado al producto principal de conectividad. Internamente, separar ambos tiene sentido. Sin embargo, para el cliente, suelen ser parte de la misma promesa.

‍

Hace poco recordé esto mientras trabajaba con un importante CSP al que llevamos tiempo apoyando. Uno de sus grandes clientes empresariales estaba suscrito al servicio de conectividad del proveedor y también había adquirido su complemento de protección contra DDoS. La protección no estaba ofreciendo los resultados que el cliente esperaba, y la situación se había deteriorado hasta el punto de que el cliente estaba considerando cancelar toda su cuenta. El contrato de conectividad, cuyo valor era considerablemente mayor que el del componente de seguridad, se había puesto en riesgo por lo que, sobre el papel, parecía ser un servicio auxiliar.

‍

Ya se había implementado una plataforma DDoS alternativa dentro de la red del CSP, por lo que se le dio al cliente la oportunidad de probar ese servicio. El resultado fue positivo: se resolvió el problema inmediato de protección, se recuperó la confianza en el proveedor y el cliente decidió no solo mantener la relación de conectividad, sino también ampliar la parte de seguridad del contrato. Sería fácil presentar esto como una historia sobre una tecnología que funciona mejor que otra, pero eso pasaría por alto la lección más importante. La parte más pequeña del contrato original casi provoca la pérdida de la parte más grande y, posteriormente, ayudó a protegerla y a hacerla crecer.

‍

Los ingresos están en la columna equivocada

Los CSP suelen medir un servicio de seguridad de la misma manera que cualquier otro producto. Analizan sus ingresos, margen, tasa de adopción, embudo de ventas y número de clientes activos. Todas estas son métricas necesarias, especialmente cuando el proveedor debe justificar la inversión en plataformas especializadas, personal y soporte operativo. Sin embargo, solo capturan los ingresos generados directamente por el servicio de seguridad. No muestran cuántos ingresos por conectividad principal influye o protege dicho servicio.

‍

Esta distinción es importante porque los clientes no perciben a un proveedor a través de su estructura interna de productos. No separan al equipo de tránsito IP del equipo de seguridad gestionada cuando un servicio protegido deja de estar disponible. Tampoco pierden mucho tiempo decidiendo si el fallo subyacente pertenece a la red, a una plataforma de mitigación, a una configuración o a un proveedor externo. Lo que ven es que compraron conectividad, pagaron un extra para mantenerla disponible durante un ataque y se quedaron desprotegidos cuando más necesitaban esa seguridad.

‍

La insatisfacción resultante no se limita al concepto de seguridad en la factura. Se extiende a toda la cuenta. Las dudas sobre un servicio se convierten rápidamente en dudas sobre la competencia, el criterio y la capacidad de respuesta del proveedor en su conjunto. En el momento de la renovación, el cliente no solo decide si mantener un complemento DDoS. Está decidiendo si todavía puede confiar en el CSP para la conectividad de la que depende su propio negocio.

‍

Si la seguridad se mide solo en función de sus ingresos independientes, gran parte de su contribución comercial se atribuye a otros ámbitos o desaparece por completo. Un contrato de conectividad renovado se registra como ingresos por conectividad. Una expansión puede acreditarse al equipo de cuenta. La fuga de clientes que nunca ocurrió no tiene un lugar obvio en un panel de control de productos. Sin embargo, la seguridad puede haber influido materialmente en los tres resultados.

‍

La conectividad solo es un producto básico mientras funciona

Existe un argumento muy extendido de que la conectividad se ha convertido en un producto básico. La competencia de precios es intensa, al cliente le resulta difícil diferenciar el servicio subyacente y los proveedores buscan cada vez más el crecimiento en la nube, los servicios gestionados, la ciberseguridad y otras ofertas complementarias. La investigación actual de GSMA Intelligence refleja esa tendencia: los servicios más allá de las telecomunicaciones tradicionales representaron un promedio del 28% de los ingresos entre los principales operadores para 2024, mientras que el informe de la GSMA Informe Mobile Economy 2026 identifica la ciberseguridad como más del 20% de la oportunidad de servicios tecnológicos B2B direccionables más allá de la conectividad básica.

‍

La tentación es interpretar esto totalmente como una historia de diversificación. Bajo ese modelo, la conectividad proporciona la relación con el cliente y los servicios adicionales aumentan los ingresos por cuenta. La seguridad se convierte en un elemento más en un catálogo en expansión, compitiendo con otros productos por la atención de ventas y la inversión. Eso puede ser comercialmente conveniente, pero subestima el papel particular que desempeña la seguridad de red.

‍

No todos los servicios adyacentes refuerzan el producto principal de la misma manera. Un cliente normalmente puede reemplazar o eliminar una aplicación no relacionada sin concluir que su proveedor de red ha fallado. La protección contra DDoS es diferente porque existe para preservar la usabilidad de la conexión en condiciones hostiles. Se vende por separado, pero su resultado es inseparable de la disponibilidad del servicio que subyace.

‍

Esto es especialmente evidente con los clientes empresariales cuyos servicios públicos, aplicaciones o transacciones digitales dependen de una conectividad continua. En condiciones normales, los proveedores pueden parecer ampliamente intercambiables y las conversaciones de compra pueden girar en torno al precio, la capacidad y los términos contractuales. Durante un ataque, la distinción se vuelve mucho más clara. El cliente descubre si compró ancho de banda o si compró un proveedor capaz de mantener su negocio accesible.

‍

La conectividad puede tener un precio de producto básico, pero su fallo se experimenta como una promesa incumplida. Por esa razón, la importancia comercial de la protección contra DDoS puede ser mucho mayor que su contribución porcentual a la factura.

‍

DDoS tiene un radio de impacto comercial

El problema se complica por la forma en que se divide la responsabilidad dentro de muchos CSP. Las operaciones de red pueden ver el DDoS principalmente a través del efecto que tiene en la capacidad de la red troncal, la infraestructura y los clientes intermedios. El equipo de producto puede centrarse en si el servicio de protección contratado cumple con sus especificaciones. Los equipos de ventas y cuentas se encuentran con el problema más tarde, cuando el cliente ya está insatisfecho y la renovación está en peligro. Cada equipo ve una parte legítima del problema, pero el radio de impacto comercial los atraviesa a todos.

‍

Por lo tanto, un servicio de mitigación puede tener éxito según una medida interna y aun así fallar según otra. La red más amplia del proveedor puede permanecer estable mientras el cliente objetivo sigue experimentando interrupciones. El tráfico de ataque puede ser detectado y bloqueado mientras las transacciones legítimas sufren una latencia inaceptable o falsos positivos. Un panel de control puede demostrar que se bloqueó una gran cantidad de tráfico, pero el cliente juzgará el resultado mediante una prueba más sencilla: ¿podían sus usuarios seguir accediendo al servicio?

‍

Es por esto que la protección contra DDoS no puede gestionarse simplemente como una característica añadida a un circuito. Afecta simultáneamente a las operaciones de red, la experiencia del cliente y la retención de cuentas. Las medidas relevantes deberían reflejar ese papel más amplio. Junto con los ingresos directos por seguridad y el margen de producto, los CSP deberían preguntarse cómo afecta la seguridad a las tasas de renovación, el riesgo de abandono, el valor de vida del cliente, la expansión del servicio y la retención de cuentas estratégicamente importantes.

‍

Esto no significa asignar cada renovación exitosa al equipo de seguridad ni inventar números inflados para hacer que una cartera auxiliar parezca más valiosa. Significa reconocer una influencia comercial que los informes de productos convencionales pasan por alto. Si un servicio de seguridad relativamente pequeño determina si una cuenta de conectividad mucho mayor se queda o se va, tratar su valor solo como la cantidad cobrada por ese servicio ofrece a la dirección una imagen incompleta.

‍

De ingresos adicionales a garantía de ingresos

El sector de las telecomunicaciones ya comprende el principio de la garantía de ingresos: proteger los ingresos que la empresa ha generado pero que, de otro modo, podría perder debido a fugas, fallos en los procesos u otras debilidades. La seguridad forma parte de una conversación estratégica similar, aunque el mecanismo sea distinto. Protege los ingresos manteniendo la confianza y la disponibilidad del servicio en las que se basa la relación con el cliente.

‍

Ese cambio de perspectiva modifica el planteamiento de la inversión. En lugar de preguntarse únicamente si la cartera de seguridad puede convertirse en un gran negocio independiente, un CSP también puede plantearse qué partes de sus ingresos principales serían más difíciles de retener sin una protección creíble. Puede que un servicio de DDoS nunca llegue a rivalizar con la conectividad en ingresos totales, pero esa no es la prueba adecuada si su presencia mejora la retención, diferencia al proveedor y da a los clientes un motivo para ampliar la relación en lugar de reconsiderarla.

‍

También cambia la forma en que los proveedores deben abordar la prestación del servicio. Los CSP tienen una ventaja estructural en seguridad de red porque ya transportan el tráfico y operan cerca del punto donde se pueden identificar y mitigar los ataques. Eso no significa que cada proveedor deba desarrollar todas las capacidades internamente o intentar transformarse de la noche a la mañana en un proveedor de seguridad a gran escala. Los socios especializados pueden aportar tecnología y experiencia, pero el CSP debe seguir siendo responsable del resultado del servicio. Los clientes rara vez aceptan que un límite de proveedor interno sea la explicación de por qué falló su protección.

‍

Por tanto, la credibilidad depende de algo más que de añadir una referencia de seguridad al catálogo. El servicio debe integrarse en las operaciones, probarse en condiciones realistas y contar con el apoyo de personas que sepan cómo reaccionar cuando el tráfico del cliente no se comporta como se esperaba. Los equipos de cuenta también deben entender qué protege el servicio y cómo escalar los problemas antes de que la insatisfacción se convierta en una conversación sobre la cancelación del contrato. La promesa comercial y la capacidad operativa deben describir lo mismo.

‍

La parte del contrato que mantiene el resto vendido

En el caso que describí, el servicio de seguridad no se convirtió de repente en la mayor fuente de ingresos de la cuenta. Hizo algo más importante: ayudó a preservar el contrato de conectividad principal, reparó la confianza del cliente y creó espacio para que la relación creciera. El valor apareció en parte como ingresos por seguridad, pero gran parte permaneció registrado bajo el concepto de conectividad.

‍

A medida que los CSP miran más allá de sus servicios principales en busca de crecimiento, deberían evitar tratar cada oferta adicional como una isla comercial independiente. Algunos servicios hacen más que añadir ingresos. Hacen que el producto principal sea más creíble, más resistente y más difícil de sustituir para el cliente. La protección contra DDoS es uno de ellos, porque aborda el momento en que el valor de la conectividad se pone a prueba con mayor rigor.

‍

La seguridad puede aparecer junto a la conectividad en el catálogo de productos, pero no lo hace en la experiencia del cliente. Cuando la protección falla, toda la cuenta puede quedar en riesgo. Cuando funciona, el beneficio se extiende mucho más allá del cargo por seguridad en la factura. Los CSP que solo miden los ingresos directos seguirán subestimando lo que sus servicios de seguridad están haciendo realmente por el negocio.

‍

Para los CSP, la seguridad no es un ingreso adyacente. Es garantía de ingresos.