Cómo crear un catálogo de servicios de TI para una PyME en crecimiento

TL;DR: Si su acuerdo de soporte de TI se siente como un apretón de manos de “ya lo resolveremos después”, lo más probable es que lo pague después (normalmente en el peor momento posible). Un catálogo de servicios de TI práctico deja claro qué está incluido, qué es adicional, con qué rapidez se responde y quién hace qué, para que su PyME pueda escalar sin facturas sorpresa ni brechas de seguridad.

En mis tiempos, un “catálogo de TI” era una nota adhesiva en un monitor CRT que decía “NO TOCAR”. Ahora, en 2026, tiene aplicaciones en la nube, trabajadores remotos, Microsoft 365 y una impresora que todavía cree que es el empleado más importante del edificio. Si usted es una PyME en crecimiento en Palm Beach County, necesita claridad, no “buenas vibras”.

Por qué importa un catálogo de servicios de TI (y por qué siguen apareciendo facturas sorpresa)

Veo este mismo problema tres veces por semana: una empresa cree que está pagando por “soporte de TI”, pero nadie acordó qué significa eso exactamente. Entonces, cuando ocurre algo grande (contratación urgente, susto de ransomware, servidor muriéndose, migración de correo), la factura aparece como un giro inesperado.

Qué se rompe realmente cuando falta el catálogo

• Alcance poco claro de los servicios administrados que termina en discusiones de “eso está fuera de alcance” cuando usted ya está bajo presión.
• Expectativas de respuesta lentas porque nadie definió acuerdos de nivel de servicio (SLA) ni tiempos de respuesta.
• Brechas de seguridad porque se asume que habrá parches, MFA, copias de seguridad y monitoreo, pero no está documentado.
• Caos de presupuesto porque no puede pronosticar qué está incluido vs. qué son complementos.

Las computadoras deberían funcionar en silencio, en segundo plano, como un buen refrigerador. Si las nota demasiado, algo anda mal. Un catálogo de servicios de TI es la forma de volver a lo “aburrido y confiable”.

Empiece por el alcance de servicios administrados: qué está incluido vs. complementos

Antes de escribir cualquier otra cosa, decida qué incluye su soporte base. Y no, “todo” no es un alcance. “Todo” es lo que la gente dice justo antes de enojarse por una factura.

Defina sus servicios principales (lo que debe estandarizar)

A la mayoría de las PyMEs les va bien con un paquete base que cubra las operaciones diarias y la higiene básica de seguridad:

• Soporte de mesa de ayuda para usuarios (restablecimiento de contraseñas, problemas de correo, solución de problemas de software).
• Gestión de endpoints para PCs y Macs de la empresa (inventario, verificación de cifrado, estado de AV, configuración básica).
• Política de gestión de parches (actualizaciones de Windows 10/Windows 11, actualizaciones de macOS y parches de aplicaciones comunes de terceros cuando sea viable).
• Monitoreo de red (firewall, switches, puntos de acceso, alertas de disponibilidad de internet).
• Monitoreo de copias de seguridad (alguien realmente lo revisa, no solo “tenemos backups”).
• Administración de Microsoft 365 (usuarios, licencias, MFA, aspectos básicos del flujo de correo, buzones compartidos).

Si quiere la versión en lenguaje sencillo de lo que normalmente incluimos, comience en servicios de TI administrados para PyMEs y luego ajústelo a su entorno.

Enumere complementos comunes (para que nadie finja que estaban “incluidos”)

Los complementos están bien. Es normal. Solo escríbalos para que su “yo del futuro” no sea emboscado.

• Soporte fuera de horario y trabajo de fin de semana
• Configuración de una nueva oficina (cableado, instalación de un nuevo firewall, rediseño de Wi‑Fi)
• Proyectos mayores (migraciones de correo, reconstrucción de dominio, reemplazo de servidores)
• Servicios avanzados de ciberseguridad (detección y respuesta administradas, SIEM, simulaciones de phishing)
• Coordinación con proveedores más allá de la escalación básica (llamadas largas con el ISP, proveedores de aplicaciones de línea de negocio)

Esto es lo que NO debe hacer: ocultar complementos con lenguaje vago como “soporte avanzado según sea necesario”. Así es como termina discutiendo qué significa “según sea necesario”.

Redacte SLAs y tiempos de respuesta que coincidan con la realidad (no con deseos)

Hablemos de SLA y tiempos de respuesta. A la gente le encanta exigir soporte “instantáneo”. Perfecto. ¿También quiere precios “instantáneos”? Porque así no funciona el tiempo.

Elija niveles de prioridad y defínalos

Manténgalo simple. Cuatro prioridades son suficientes:

• P1 Crítico: El negocio está caído (caída de internet, caída de correo, evento de ransomware, sistema principal no disponible).
• P2 Alto: Impacto importante pero no caída total (varios usuarios afectados, persona clave bloqueada).
• P3 Normal: Problemas de un solo usuario, solicitudes estándar.
• P4 Bajo: Mejoras deseables, cambios menores, “cuando se pueda”.

Defina tiempo de respuesta vs. tiempo de resolución (no son lo mismo)

Tiempo de respuesta significa que se reconoció el ticket y se inició el triaje. Tiempo de resolución significa que realmente quedó solucionado. No los mezcle, a menos que disfrute la decepción.

Ejemplo (ajústelo a su personal y horarios):

• Respuesta P1: 15-30 minutos (horario laboral); escalación inmediata
• Respuesta P2: 1 hora
• Respuesta P3: el mismo día hábil
• Respuesta P4: 1-2 días hábiles

Defina también el horario laboral, la cobertura en días festivos y qué cuenta como una “emergencia”. (Pista: “olvidé mi contraseña otra vez” no es una emergencia. Es un hábito.)

Documente el flujo de tickets para que las solicitudes no se conviertan en conversaciones de pasillo

Si su “sistema de tickets” es un hilo de correos al azar y una nota adhesiva, usted no está gestionando TI. Está operando un VCR con el reloj parpadeando 12:00 para siempre.

Un flujo de tickets práctico para PyMEs

1. Ingreso: el usuario envía un ticket (portal/correo) con campos obligatorios (equipo, problema, urgencia, capturas si es posible).
2. Triaje: confirmar impacto, categorizar, asignar prioridad según sus definiciones de SLA.
3. Asignación: se enruta a mesa de ayuda o a la cola de escalación (red, Microsoft 365, seguridad).
4. Notas de trabajo: registrar cada acción (su “yo del futuro” se lo agradecerá).
5. Actualizaciones al cliente: establecer expectativas; no desaparezca.
6. Cierre: confirmar resolución, documentar causa raíz, etiquetar para reportes.

¿Quiere que esto funcione sin fricciones con un socio? Eso es literalmente lo que soporte de TI para empresas debería estar haciendo: proceso repetible, no teatro de improvisación.

Documentación de TI para PyMEs: el mínimo que evita el caos

Mire, no voy a endulzarlo: si su documentación de TI vive solo en la cabeza de una persona, usted no tiene documentación. Tiene un punto único de falla usando una camisa tipo polo.

Documentación esencial de TI para PyMEs que debe mantener

• Inventario de activos de TI: laptops/desktops, servidores (si aplica), equipos de red, impresoras, fechas de garantía, números de serie.
• Mapa de identidad y acceso: roles de administrador del tenant de Microsoft 365, política de MFA, propiedad del gestor de contraseñas.
• Documentación de red: detalles del ISP, modelo de firewall, VLANs (si se usan), SSIDs de Wi‑Fi, ubicación del acceso administrativo.
• Notas de respaldo y recuperación: qué se respalda, dónde, retención, pasos de restauración, fecha de la última prueba de restauración.
• Imágenes/estándares de equipos: qué apps se instalan, configuración base de seguridad, requisitos de cifrado.

Para detalles específicos de Microsoft 365, mantenga a mano enlaces a la guía oficial. Microsoft cambia pantallas y nombres con la frecuencia suficiente como para sacar canas a cualquier técnico veterano. Use Soporte de Microsoft para Microsoft 365 como referencia base, no una publicación aleatoria de un foro de 2013.

Checklist de onboarding y checklist de offboarding: donde la seguridad suele fallar

Las nuevas contrataciones y las salidas son donde las PyMEs suelen filtrar datos. No porque usted sea malintencionado. Porque está ocupado y los humanos olvidan cosas. Un checklist es el cinturón de seguridad de TI.

Checklist de onboarding (manténgalo aburrido y consistente)

• Crear el usuario en Microsoft 365 y asignar la licencia correcta
• Habilitar MFA y verificar el método de registro
• Aprovisionar buzón, acceso a Teams y los buzones compartidos requeridos
• Configurar el equipo: cifrado, apps estándar, actualizaciones, protección de endpoint
• Conceder acceso a recursos compartidos de archivos, sitios de SharePoint, apps de línea de negocio
• Documentar lo entregado: etiqueta del equipo, accesorios, cuentas

Si necesita ayuda para mantener Microsoft 365 en orden (licencias, valores predeterminados de seguridad, permisos de buzón), para eso existe administración y soporte de Microsoft 365.

Checklist de offboarding (hágalo el mismo día, no “cuando tenga tiempo”)

• Deshabilitar el inicio de sesión de inmediato (o al menos restablecer la contraseña y revocar sesiones)
• Eliminar de grupos y roles de administrador
• Convertir el buzón a compartido (si la licencia lo permite) o configurar reenvío según la política
• Recuperar dispositivos y verificar que las claves de cifrado/información de recuperación estén almacenadas correctamente
• Revocar métodos de MFA y tokens activos
• Transferir propiedad de archivos, OneDrive y recursos compartidos
• Actualizar portales de proveedores y cualquier acceso de “una sola persona lo controla”

El offboarding también es donde descubrirá quién estaba usando la tarjeta corporativa para pagar herramientas SaaS al azar. Lo cual nos lleva a la gestión de proveedores.

Gestión de cambios: deje de “hacer clic como vaquero” en producción

En mis tiempos, no se aplicaban cambios a las 2 PM porque la línea dial-up ya estaba ocupada. Hoy la gente sigue haciendo cambios a las 2 PM, pero ahora puede tumbar el Wi‑Fi de toda la oficina con un “ajuste rápido”.

Un proceso simple de gestión de cambios que las PyMEs sí seguirán

• Solicitud: qué cambia, por qué y qué sistemas se ven afectados
• Revisión de riesgo: ¿tiempo de inactividad? ¿impacto en seguridad? ¿plan de reversión?
• Aprobación: quién autoriza (propietario, gerente de oficina, líder de TI)
• Programación: fuera de horario si puede afectar el negocio
• Documentación: qué cambió, capturas/comandos si aplica

La gestión de cambios no es “tontería corporativa”. Es cómo evita el clásico: “Cambiamos algo y ahora nada imprime”.

Política de gestión de parches y gestión de endpoints: lo esencial (aunque no sea glamoroso)

No necesita lo más nuevo. Necesita lo que funciona. Y que se mantenga actualizado con parches.

Fundamentos de una política de gestión de parches

• Definir cadencia de actualizaciones (revisiones semanales, ventana de mantenimiento mensual)
• Definir excepciones (software especializado, hardware legado, restricciones por tiempo de inactividad)
• Exigir cumplimiento de reinicios (sí, los reinicios importan, por más que la gente se queje)
• Dar seguimiento al estado de parches y a los fallos

Fundamentos de la gestión de endpoints

• Nomenclatura estándar de dispositivos y etiquetas de inventario
• Cifrado obligatorio en laptops
• Control de privilegios de administrador local (la mayoría de los usuarios no los necesita)
• Seguridad base: firewall activado, protección de endpoint activada, política de bloqueo de pantalla

La seguridad no es un solo producto que compra una vez. Es rutina. Si quiere ajustar tornillos sin convertir su negocio en un “teatro de Fort Knox”, comience con servicios de ciberseguridad para empresas enfocados en reducir riesgos de forma práctica.

Monitoreo de red y administración de Microsoft 365: defina responsabilidades

Aquí es donde vive el “echarse la culpa”. Así que déjelo por escrito.

Responsabilidades de monitoreo de red

• ¿Quién gestiona la configuración del firewall y las actualizaciones de firmware?
• ¿Quién recibe alertas por caídas del ISP y cómo se escalan?
• ¿Cuál es el estándar de cobertura Wi‑Fi y de redes de invitados?

Responsabilidades de administración de Microsoft 365

• ¿Quién gestiona licencias y renovaciones?
• ¿Quién define la política de MFA y maneja la respuesta ante compromiso de cuentas?
• ¿Quién gestiona buzones compartidos, grupos de distribución y permisos?

Y por favor, por el amor a todo lo estable: no compartan una sola cuenta de administrador entre tres personas. Eso es como compartir una sola llave del carro para toda la familia y luego actuar sorprendido cuando el carro desaparece.

Gestión de proveedores, inventario de activos de TI y planificación del presupuesto de TI (la sección “adulta”)

Si su PyME está creciendo, necesita saber qué posee, qué alquila y qué está pagando por duplicado sin darse cuenta.

Gestión de proveedores: mantenga una lista simple de proveedores

• Números de cuenta del ISP, IDs de circuito, números de soporte
• Contactos de proveedores de software de línea de negocio y fechas de renovación
• Proveedores de hardware, garantías y contratos de soporte
• Quién está autorizado para aprobar compras y cambios

Para una guía general de higiene de seguridad que no intenta venderle “frijoles mágicos”, CISA es una referencia sólida: Guía de CISA Secure Our World.

Inventario de activos de TI: la hoja de cálculo que agradecerá tener

• Tipo de dispositivo, usuario asignado, fecha de compra, fecha de fin de garantía
• Sistema operativo (Windows 10, Windows 11, macOS)
• Aplicaciones críticas y notas de licenciamiento
• Calendario de reemplazo (normalmente 3-5 años para laptops, según la carga de trabajo)

Planificación del presupuesto de TI: pronostique con su catálogo

Su catálogo de servicios debe mapearse claramente a los costos:

• Mensual recurrente: servicios administrados, monitoreo, Microsoft 365, respaldo, herramientas de seguridad
• Anual recurrente: renovaciones, garantías, dominio/DNS, certificados
• Proyectos planificados: mudanzas de oficina, actualización de Wi‑Fi, ciclos de renovación de equipos

Si no puede predecir su gasto de TI dentro de un rango razonable, su catálogo aún no está listo.

TI administrada en Palm Beach County: cómo implementarlo sin que se convierta en una carpeta olvidada

Aquí en Palm Beach County, he trabajado con empresas en West Palm Beach, Palm Beach Gardens, Lake Worth Beach, Boynton Beach, Jupiter y Boca Raton. Distintas industrias, la misma historia: llega el crecimiento y, de repente, el viejo plan de TI de “llama al amigo del primo” deja de funcionar.

Un plan de implementación de 30 días (aburrido, pero funciona)

1. Semana 1: inventariar activos, mapear usuarios, documentar red y aspectos básicos de Microsoft 365.
2. Semana 2: definir alcance de servicios administrados y complementos, publicar el borrador del catálogo de servicios.
3. Semana 3: establecer SLAs, construir el flujo de tickets, finalizar checklists de onboarding/offboarding.
4. Semana 4: implementar política de parches, alertas de monitoreo y cadencia de revisión trimestral.

Luego haga revisiones trimestrales: qué tickets se repiten, cuáles están envejeciendo, qué le está costando tiempo, qué necesita estandarización. Las computadoras no mejoran por ser ignoradas. Los procesos tampoco.