Servicios gestionados de Azure: qué incluyen y quién gestiona qué

Los servicios gestionados de Azure abarcan dos cosas: los servicios que Microsoft opera por usted, como Azure SQL Managed Instance, Managed Disks y Functions sin servidor, y las operaciones diarias que un proveedor de servicios gestionados (MSP) ejecuta por encima: monitorización, parcheo, seguridad, pruebas de copias de seguridad y control de costes. La mayoría de los entornos de producción necesitan ambas, porque Microsoft nunca gestiona los datos, las identidades ni la configuración de su organización.

Puntos clave

• «Gestionado» en Azure funciona en tres capas: servicios de plataforma operados por Microsoft, contratos de soporte de Microsoft y un partner que opera el entorno con un SLA.
• Los servicios de plataforma eliminan el trabajo de hosts y sistema operativo, pero con el modelo de responsabilidad compartida de Microsoft siempre conserva los datos, los endpoints, las cuentas y la gestión de accesos.
• Las funciones centrales de un servicio gestionado de Azure son monitorización 24/7, respuesta a incidentes, parcheo, copias de seguridad probadas, postura de seguridad, gobernanza de identidades, FinOps y evidencias de cumplimiento.
• Para las entidades de la UE incluidas en el ámbito de NIS2, su MSP forma parte de su cadena de suministro y debe apoyar la alerta temprana a las 24 horas y la notificación del incidente a las 72 horas.
• Los entornos pequeños y totalmente sin servidor con un equipo de guardia quizá no necesiten un MSP externo; los entornos híbridos, regulados o de crecimiento rápido suelen necesitarlo.

¿Qué son los servicios gestionados de Azure?

El término se usa para dos cosas distintas, y confundirlas es el origen de caídas, brechas de cumplimiento y facturas sorpresa. En la práctica se aplica en tres capas.

Capa 1: servicios de plataforma que gestiona Microsoft

Aquí Microsoft se encarga del parcheo de los hosts, de la disponibilidad y de la infraestructura subyacente. Usted configura y consume el servicio, pero no entra en un servidor para repararlo. Ejemplos habituales:

• Azure SQL Managed Instance: una base de datos PaaS con compatibilidad casi total con SQL Server. Microsoft se ocupa del parcheo del sistema operativo, de las copias de seguridad automáticas y de la alta disponibilidad. A cambio, tiene menos control de bajo nivel que con SQL Server en su propia VM.
• Managed Disks: almacenamiento en bloques para VM sin tener que gestionar las cuentas de almacenamiento. El cifrado en reposo y las instantáneas vienen incluidos.
• Azure Managed Applications: un editor despliega una aplicación empaquetada en su suscripción y conserva el control operativo de su grupo de recursos gestionado. Útil para plataformas internas, pero defina el RBAC con cuidado.
• Azure Functions: cómputo sin servidor. Suyos son el código, los desencadenadores y los enlaces; en el plan Premium también lo son la integración con VNet y las instancias precalentadas.

Capa 2: soporte y asesoramiento de Microsoft

Microsoft vende contratos de soporte y ayuda de incorporación, como FastTrack para cargas de trabajo elegibles. Son servicios reactivos y de asesoramiento. Ayudan con averías y con la planificación de migraciones, pero no vigilan su entorno las 24 horas, no atienden una alerta de seguridad a las 03:00 ni ajustan su gasto.

Capa 3: un proveedor de servicios gestionados

Un MSP de Azure asume la responsabilidad operativa de su entorno con un SLA definido: monitorización, enrutamiento de alertas, respuesta a incidentes, parcheo, validación de copias de seguridad, postura de seguridad, optimización de costes y documentación de cumplimiento. Cubre el hueco entre lo que ejecuta Microsoft y lo que su equipo interno puede abarcar.

El error más habitual que vemos en las evaluaciones de incorporación es suponer que la capa 1 elimina la necesidad de la capa 3. El PaaS elimina las tareas de infraestructura. No elimina la monitorización de aplicaciones, la configuración de seguridad, la gobernanza de costes ni las evidencias de auditoría.

¿Qué gestiona Microsoft y qué le corresponde a usted?

Microsoft gestiona el centro de datos físico, la red y los hosts en todos los modelos; el resto cambia según se trate de IaaS, PaaS o SaaS. La guía de responsabilidad compartida de Microsoft es explícita: sea cual sea el tipo de despliegue, el cliente conserva siempre la responsabilidad de los datos, los endpoints, las cuentas y la gestión de accesos. Ese es el trabajo que asume un MSP.

Funciones centrales de un servicio gestionado de Azure

Un proveedor que solo responde tickets es un servicio de asistencia, no un servicio gestionado. Estas son las funciones que cabe esperar en un contrato real de operaciones de Azure.

Servicios de infraestructura gestionados

El cuidado diario de las VM, las redes virtuales, el almacenamiento, los planes de App Service y los clústeres de AKS: parcheo del SO invitado, actualización de imágenes, actualizaciones de versión de AKS, reglas de escalado, revisiones de grupos de seguridad de red y estado de ExpressRoute o VPN. Es lo que la mayoría entiende por «servicios de infraestructura gestionados de Azure».

Monitorización 24/7 y respuesta a incidentes

Azure Monitor y Log Analytics recogen la telemetría de la plataforma; las alertas se enrutan a un ingeniero de guardia con runbooks documentados y objetivos de respuesta P1–P4. Consulte cómo abordamos la monitorización y el soporte en la nube.

Seguridad e identidad

Microsoft Defender for Cloud para la postura y la detección de amenazas, Microsoft Sentinel como SIEM, acceso condicional y revisiones de acceso privilegiado en Entra ID, y una vía acordada hacia la detección y respuesta gestionadas para los eventos de seguridad.

Copia de seguridad y recuperación ante desastres

Políticas de Azure Backup y Site Recovery diseñadas según sus objetivos de recuperación, con pruebas de restauración programadas. Una copia de seguridad que nunca se ha restaurado es una suposición, no un control. Nuestra página del servicio de copias de seguridad de Azure describe la cadencia de pruebas que aplicamos.

Gobernanza y landing zones

Azure Policy, grupos de administración, etiquetado y RBAC basados en el patrón de landing zone del Cloud Adoption Framework, para que las suscripciones nuevas nazcan conformes en lugar de corregirse después.

Acceso delegado y auditable

Los proveedores deberían trabajar mediante Azure Lighthouse, que permite a un proveedor de servicios gestionar recursos en los tenants de sus clientes mientras el cliente controla quién tiene acceso y puede retirarlo. Las contraseñas de administrador compartidas son una señal de alarma.

FinOps

Revisiones semanales de anomalías, ajuste de tamaño, Azure Hybrid Benefit y una cartera de reservas gestionada. Microsoft indica que las instancias de VM reservadas pueden costar hasta un 72 % menos que el pago por uso, pero solo si alguien mantiene los compromisos alineados con el uso real.

Beneficios que se notan en producción

• Menos trabajo operativo repetitivo. Las alertas de Advisor, las recomendaciones de Defender, las actualizaciones de AKS y las auditorías de NSG generan un flujo constante de trabajo que no encaja en la planificación de sprints. Un MSP lo absorbe con un alcance fijo.
• Detección más rápida. Sin monitorización 24/7, los incidentes suelen descubrirse cuando un cliente se queja. Con alertas enrutadas y un ingeniero de guardia, la detección pasa de horas a minutos.
• Cumplimiento como proceso continuo. Las evidencias se recogen de forma continua en lugar de reconstruirse antes de cada auditoría.
• Control de costes. En el informe State of the Cloud 2025 de Flexera, el 84 % de los encuestados citó la gestión del gasto en la nube como uno de sus principales retos, y estimó que el 27 % del gasto se desperdicia. Consulte nuestro servicio de optimización de costes en la nube para ver cómo trabajamos en ello.

¿Cómo ayudan los servicios gestionados de Azure con NIS2 y el RGPD?

Ayudan a cumplir porque ejecutan los controles y generan las evidencias, pero la responsabilidad sigue recayendo en usted. NIS2 abarca 18 sectores críticos de la UE. Según las preguntas frecuentes sobre NIS2 de la Comisión Europea, una entidad incluida en el ámbito debe enviar una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación del incidente en 72 horas y un informe final en el plazo de un mes.

Su MSP necesita un proceso 24/7 que alimente esos plazos, y él mismo forma parte de su cadena de suministro. Según el RGPD actúa como encargado del tratamiento, por lo que el contrato necesita un acuerdo de encargado del tratamiento (artículo 28), una lista de subencargados, plazos de notificación de brechas y derechos de auditoría. Si un proveedor no puede mostrarlos cuando se los pide, descártelo. La ley DPDP de 2023 de la India impone obligaciones similares a las organizaciones que tratan datos personales de ciudadanos indios. Más sobre el ámbito de aplicación en nuestra guía de NIS2.

Escenarios típicos

Son patrones habituales de las evaluaciones de incorporación, no clientes con nombre.

• Empresa SaaS de la UE en un sector NIS2. Producción solo en regiones de la UE, impuesta con una política allowedLocations; SQL Managed Instance con claves gestionadas por el cliente en Key Vault; un proceso de incidentes 24/7 alineado con los pasos de notificación al CSIRT.
• Fintech india. Producción en Central India con DR en South India; AKS con actualizaciones gestionadas; paneles de cumplimiento de Defender for Cloud alineados con la ley DPDP y los requisitos del RBI; pruebas de restauración semanales registradas para la auditoría.
• Gran empresa multicloud. Azure para Entra ID, Microsoft 365 y cargas .NET, AWS para contenedores o plataformas de datos. El MSP aplica un único proceso de monitorización e incidentes en ambas y reporta el gasto total en la nube, no dos facturas separadas. Nuestra comparativa AWS vs Azure vs GCP explica dónde encaja cada una.

ASM vs ARM: por qué sigue saliendo

Azure Service Management (ASM) es el antiguo modelo de despliegue «clásico»; Azure Resource Manager (ARM) es el actual. Los recursos clásicos no tienen grupos de recursos, RBAC, etiquetas ni Azure Policy. Microsoft ha ido retirando los servicios clásicos por fases, y Cloud Services (classic) quedó obsoleto para todos los clientes el 1 de septiembre de 2024. Si una evaluación todavía encuentra recursos clásicos, migrarlos es una tarea de seguridad y de soporte, no un extra opcional.

Herramientas que suele usar un servicio gestionado de Azure

Errores frecuentes

• Dimensionamiento de lift-and-shift. Las VM conservan los tamaños de la infraestructura local. Si la CPU media se mantiene en valores muy bajos, bajar un tamaño es un ahorro fácil.
• Defender for Cloud en el nivel gratuito. El nivel gratuito solo ofrece postura básica; los planes de pago añaden detección de amenazas y evaluación de vulnerabilidades para servidores, SQL, contenedores y almacenamiento.
• Redes planas. Una VNet, una subred, NSG permisivos. Use un diseño hub-and-spoke, registros de flujo y Azure Firewall o una NVA para el tráfico este-oeste.
• Copias de seguridad sin probar. Azure Backup funciona con fiabilidad; lo que importa es la restauración.

Cuándo no necesita un MSP

Quizá no lo necesite si su entorno es pequeño y lo vigila un ingeniero de plataforma competente, si las cargas de trabajo son totalmente sin servidor y sin obligaciones de cumplimiento, o si ya mantiene una rotación de guardia 24/7. Probablemente sí lo necesite si el entorno ha superado la monitorización en horario laboral, si las obligaciones de NIS2, RGPD, SOC 2 o la ley DPDP exigen controles continuos, si trabaja con entornos híbridos o multicloud, o si la factura de Azure crece más rápido que los ingresos y nadie sabe explicar por qué.

Cómo ayuda Opsio

Opsio opera entornos Azure para organizaciones nórdicas, europeas e indias desde Karlstad y Bangalore: monitorización 24/7, parcheo, operaciones de seguridad, pruebas de copias de seguridad y FinOps bajo un único SLA. Nuestra página de proveedor de servicios gestionados de Azure detalla el alcance y los niveles de precio publicados; qué hace y cuánto cuesta un MSP de Azure explica cómo comparar proveedores.

La misma división entre servicios gestionados por la plataforma y operaciones a cargo de un partner aparece en nuestro caso de Branäsgruppen, que está en AWS y no en Azure: los servidores y las bases de datos del grupo de estaciones de esquí pasaron a equivalentes gestionados, con copias incrementales diarias y completas semanales conservadas durante 60 días bajo el servicio gestionado de Opsio. El caso refleja una capacidad de respuesta media de las páginas un 40 % mejor, un coste total de propiedad un 40 % menor y una disponibilidad de la aplicación del 99,9 % o más.

Preguntas frecuentes

¿Cuál es la diferencia entre un servicio gestionado de Azure y un MSP de Azure?

Un servicio gestionado es un producto que opera Microsoft, como una base de datos PaaS. Un MSP es una empresa que opera todo su entorno, incluidas las partes que Microsoft deja en sus manos: configuración, identidades, protección de datos, costes y respuesta a incidentes.

¿Cuáles son los cinco tipos de servicios gestionados?

La clasificación habitual es: infraestructura gestionada (cómputo, red, almacenamiento), seguridad gestionada (SOC, SIEM, detección y respuesta), bases de datos gestionadas, aplicaciones gestionadas (despliegue, escalado, parcheo) y operaciones financieras en la nube gestionadas (FinOps).

¿Cuál es la diferencia entre ASM y ARM?

ASM fue el modelo de despliegue clásico original de Azure, sin grupos de recursos, RBAC ni políticas. ARM lo sustituyó y es el modelo compatible hoy, con plantillas (JSON o Bicep), RBAC granular, etiquetas y Azure Policy. Los recursos clásicos que queden deben migrarse.

¿Qué es un dispositivo administrado en Azure?

Un dispositivo administrado es un portátil, un teléfono o una tableta inscritos en Microsoft Intune. La inscripción permite aplicar reglas de cumplimiento, como el cifrado y la versión del SO, aplicar acceso condicional y borrar el dispositivo de forma remota.

¿Cómo ayudan los servicios gestionados de Azure a cumplir NIS2?

Un proveedor con monitorización de seguridad 24/7, runbooks de incidentes documentados e informes listos para auditoría respalda las obligaciones de gestión de riesgos y notificación de NIS2, siempre que esté vinculado por contrato como parte de su cadena de suministro y pueda acreditar sus propias certificaciones.