Cuando se rompe, ¿quién lo carga de verdad?

La parte uno fue cómo se escribe la lista corta. La parte dos fue lo que se construyó a partir de ella. Esta parte es la mañana en que deja de funcionar, y todo lo que se sigue de ahí.

Quién está contractualmente obligado, y por cuánto. Qué se dice en la sala cuando la respuesta es nadie. Qué hace en su lugar un proveedor que vale la pena conservar. Y qué hace falta para dejar a uno que no lo vale, que resulta ser la parte que nadie planea hasta que la necesita esa semana.

Qué compró el premium en realidad

La prueba está en la parte dos y no te la voy a hacer recorrer de nuevo. Da por hecho que la opción cara no compró competencia, no terminó lo básico, y no te consiguió una caja más difícil de reventar.

Así que, ¿a qué está atado el dinero?

Al silicio no, que se abarata cada año. A las direcciones no. A las horas de ingeniería no, en un sector que recortó su gasto en formación casi un tercio en dos años. El premium está atado al canal — un fabricante lo bastante grande como para llevar niveles, rebajas, registro de operaciones y una red de distribución, lo que significa una cola de gente a la que se paga a todos antes de que se construya nada, y cada uno de ellos en tu factura.

Esa es la mitad del vendedor, y por sí sola no explica gran cosa. Muchos compradores son perfectamente capaces y firman igual. Así que aquí está la otra mitad, y es la más incómoda.

El premium compra cobertura. No para la empresa. Para la persona que firma.

Poner el logo bien conocido es defendible de una manera que elegir el abierto nunca lo es. Si el cortafuegos líder del mercado sufre una brecha, la de todos los demás también, y tuviste mala suerte. Si la cosa que montaste tú mismo sufre una brecha, la elegiste, y te preguntarán por qué. El resultado para el negocio es el mismo. La consecuencia para el individuo no lo es, y todo comprador por encima de cierto grado lo entiende sin que nadie tenga que decirlo en voz alta.

Como tal, el círculo se cierra. Al vendedor se le paga más por recomendar la opción cara. El comprador está personalmente más seguro aceptándola. Ninguno de los dos actúa contra su propio interés en ningún momento — y la única parte que carga el coste de ese arreglo es el negocio para el que ambos trabajan.

Esa es la respuesta a la pregunta con la que empezó esta serie, y es peor que mentir. Un mentiroso sabe cuál es la verdad. Este arreglo no necesita que nadie la sepa. Solo necesita que la lista corta siga saliendo igual, y así es.

Los informes que nunca recibes

Cada línea recurrente de una factura de servicio gestionado debería producir un documento. La mayoría no produce nada, y casi nadie pregunta.

Toma el parcheado de infraestructura, la línea que se sienta por encima de la del escritorio. La manera honesta de actualizar un parque es un playbook — Ansible o lo que sea — guardado en algún sitio donde puedas verlo, corrido según un calendario, dejando salida detrás. Así que pide ver el playbook, y pide ver el registro de ejecución. En muchísimos contratos no existe ninguno de los dos. Las actualizaciones son manuales cuando pasan, pasan cuando alguien se acuerda, y la línea se factura cada mes de todos modos. Lo que te vendieron como automatización es una nota en un calendario.

Luego las copias de seguridad. Esta es la peor de todas, porque es la línea en la que la gente más cree.

Recibirás un informe de copia. Marcas verdes, trabajos completados, bytes escritos, todo llegando cada semana y nada leído. Ese informe no es el que importa. Una copia que nadie ha restaurado no es una copia. Es una hipótesis sobre una copia.

El documento que quieres es una prueba de restauración. Qué se restauró, sobre qué hardware, cuánto tardó de principio a fin, y quién abrió los datos después y confirmó que eran los datos. Pide la más reciente.

Luego pregunta lo mismo otra vez sobre la copia sin conexión, porque es una afirmación distinta y necesita una prueba distinta. Todo el mundo dice que tiene una. Pídeles que te la enseñen — el soporte, dónde vive, la última fecha de escritura, quién tiene las credenciales — y pregunta cuándo se realizó por última vez una restauración desde esa copia en vez de desde el sistema de copia en vivo. Son soportes distintos en formatos distintos, y probar uno no prueba nada en absoluto sobre el otro. La copia sin conexión es la que sobrevive a una mala semana, y es la que menos probablemente se haya leído de vuelta jamás. Pregunta con qué frecuencia se hacen, y contra qué sistemas, y si alguien de tu lado ha visto alguna vez el resultado. En muchos contratos no se ha hecho nunca en absoluto, porque hacerlo cuesta un día del tiempo de alguien y nadie lo factura.

Hay una pregunta previa a todo esto, y decide si el resto significa algo. ¿Estos informes te llegan a ti, o solo a ellos?

La mayor parte del tiempo el utillaje los genera, aterrizan en la bandeja del proveedor, alguien los lee si hay tiempo, y a ti te avisan cuando hay un problema. Eso no es rendición de cuentas. Es autoevaluación con una factura pegada, y te pide que les creas de palabra en la cosa exacta que les pagas por hacer.

Así que pide que los informes te lleguen a ti también. Directamente desde el sistema, según un calendario, en la forma que el utillaje escupa — no una diapositiva montada por la persona a la que se mide, y no un panel verde cuidado para la reunión mensual. Los éxitos de copia y, más importante, los fallos. La ejecución de parches y lo que se saltó. Los volúmenes de alertas y los tiempos de respuesta contra el objetivo. La prueba de restauración cuando pasa, y la lista de excepciones tal como está.

No tienes que leer cada uno. Tienes que poder, y ellos tienen que saber que puedes. Ese es todo el mecanismo, y es la diferencia entre fiarte de alguien y estar en posición de comprobar.

Y si resulta ser difícil, pregunta por qué. Cada informe de esa lista ya existe y ya se envía a algún sitio. Añadir un segundo destinatario es una línea en una lista de distribución, no un proyecto. La reticencia aquí no es un problema técnico, y vale más que la respuesta habría valido.

Hay una versión mayor de la misma pregunta, y es la que decide si alguna vez puedes comprobar algo por ti mismo. ¿Dónde vive la documentación?

Pregunta si registrarán tu parque en tus sistemas — tu IPAM, tu base de activos, tu wiki — o en los suyos. La mayoría dirá los suyos, y se presentará como eficiencia. Su utillaje, sus plantillas, su proceso, nada que tengas que correr tú.

Mira lo que hace ese arreglo. El plan de direccionamiento, el diagrama de red, el registro de activos, los runbooks y las claves de licencia son todos registros de tu negocio, creados con tu dinero, describiendo equipo que posees. Guardados en algún sitio donde no puedes verlos. No puedes auditar lo que no puedes leer, así que no tienes forma de saber si la documentación coincide con el parque — y la documentación se aparta de la realidad constantemente, lo que es normal y perdonable, pero una deriva invisible es cómo te enteras durante un incidente en vez de durante una revisión.

Luego está lo que pasa al final, sobre lo que la sección sobre la marcha vuelve. Una documentación en tus propios sistemas ya es tuya, ya está al día, ya en un formato que usas. Una documentación en los suyos es una exportación, en su calendario, en la forma que su herramienta ofrezca, normalmente un PDF de algo que era una base de datos.

Así que haz la pregunta claramente, y pide acceso de lectura hoy en vez de en principio. Un proveedor que trabaja en tus sistemas ha tomado una decisión que les cuesta un poco y te da mucho, y te lo dirá. Uno que insiste en guardar la imagen en su propio utillaje ha tomado la decisión opuesta, y vale la pena preguntar qué parte de eso le pareció atractiva.

Esa brecha no es académica. Cada incidente de la parte dos aterriza sobre ella. Los clientes de Kaseya, los ochenta despachos de transmisiones inmobiliarias, los planes de pensiones detrás de Capita — para cada uno de ellos la única pregunta que importaba el día era si la restauración funcionaba. Ahí es cuando un informe que nadie pidió se convierte en el único documento del edificio que vale la pena tener.

Si tu proveedor no puede producir una prueba de restauración, no estás comprando copia de seguridad. Estás comprando copiado, y descubrirás cuál la peor mañana del año.

Nadie es responsable

Comprar un sitio donde poner la culpa merece más que la cláusula que le tocó en la parte uno, porque la rendición de cuentas es la cosa que todo este arreglo está construido para esquivar. No moralmente. Contractualmente.

Empieza por el acuerdo de nivel de servicio, y lee lo que promete de verdad. Casi siempre es un tiempo de respuesta. Cuatro horas para acusar recibo, ocho para atender, ese tipo de cosa. Responder está enteramente bajo su control, así que se puede prometer sin riesgo. Arreglar no lo está, así que no se promete. Busca una línea que los comprometa a un resultado — el servicio funciona, los datos vuelven, el sitio comercia — y en la mayoría de los contratos no hay una en ningún sitio.

Luego encuentra el tope de responsabilidad. Estará ahí, y suele ser los honorarios que pagaste en los doce meses anteriores, a veces menos. Así que lo peor que puede pasarles es devolverte lo que ya les diste. Lo peor que puede pasarte a ti es el negocio. Esos dos números no están en el mismo universo, y la brecha entre ellos es la posición de riesgo real en la que estás.

La reventa mueve el resto aguas arriba. Si el hiperescalador está caído es culpa del hiperescalador. Si el cortafuegos saca un diez es culpa del fabricante. Si un instalador troyanizado llega firmado y entregado como una actualización ordinaria, eso es el fabricante también. Cada uno de esos es verdad, y ninguno te sirve de nada, porque nunca tuviste relación con ninguna de esas empresas. Tuviste una con la firma que las eligió por ti y se llevó una rebaja por ello.

Y bajo todo eso se sienta el mecanismo más silencioso del lote. No puedes fallar en entregar un requisito que nunca se puso por escrito. El documento de requisitos que nadie escribió en la parte uno no es solo dejadez — es protección. Sin requisito capturado, sin promesa medible. Sin promesa medible, sin incumplimiento. No puedes apartarte de un diseño que nadie validó.

Mira lo que pasó cuando la rendición de cuentas por fin llegó a algún sitio. A Capita le pusieron una multa de £14 millones, y vino del Information Commissioner bajo la ley de protección de datos, por una alerta que nadie atendió durante cincuenta y ocho horas. No de un cliente, y no bajo un contrato de servicio. El dinero fue al Estado. Los 6,6 millones de personas cuyos datos salieron por la puerta, y los 325 planes de pensiones que cargan las consecuencias, no fueron los que la trajeron y no fueron los que cobraron.

Así que el arreglo, de principio a fin. El fabricante vende un producto bajo una licencia que declina la aptitud para nada en particular. El proveedor vende horas contra una responsabilidad con tope y una promesa de tiempo de respuesta. La aseguradora tarifica lo que queda. Y la pérdida se posa sobre el negocio que no puede moverse, que es la única parte de la cadena que nunca pudo declinar nada.

Hay una prueba más simple en todo eso, y no necesita abogado.

Si una firma cree en lo que ha recomendado, debería estar dispuesta a respaldarlo. Eso es lo que es una recomendación. No compraste la caja — cualquiera con una web puede venderte una caja. Compraste el juicio de alguien de que esta era la caja correcta para ti, y se le pagó por ese juicio, y se le pagó de nuevo por el fabricante cuya caja resultó ser.

Así que cuando falla y la respuesta vuelve que el fabricante falló a todos, mira lo que acaba de pasar. La parte que de verdad compraste ha sido declinada. El juicio se evapora en el momento exacto en que se pone a prueba, y lo que queda es una firma que hizo pasar un producto y se llevó un margen de paso.

Nadie le pide a un MSP que garantice a Microsoft. Pero hay una brecha ancha entre garantizar a un hiperescalador y respaldar tu propio consejo, y todo otro oficio vive en algún punto de ella. Un electricista que instala un cuadro eléctrico no puede culpar al fabricante de haberlo elegido. Un ingeniero de estructuras que especifica una viga posee la especificación. Cargan su juicio, porque el juicio era el servicio.

Así que pregunta qué está dispuesto a cargar tu proveedor. No el producto del fabricante — su propia recomendación. La respuesta, o la longitud de la pausa antes de ella, te dice lo que piensa de ella en privado.

Y luego es culpa tuya

El contrato es la mitad silenciosa de esto. La mitad ruidosa aparece el día en que algo se rompe de verdad, y llega ahí antes que el arreglo.

Mira en qué dirección viaja la responsabilidad. Hacia fuera, en cada dirección disponible, y más o menos en este orden. El fabricante entregó un mal parche. El circuito era del operador. Es un problema conocido y todo el mundo lo está viendo. Nadie podría haberlo previsto, dicho sobre un fallo que llevaba en la lista de explotados el tiempo suficiente como para haberle crecido barba. El proveedor anterior lo dejó así, que es una respuesta justa durante seis meses y todavía se da en el tercer año. Luego las direcciones hacia fuera se agotan, y queda una. Nunca aprobaste la actualización. Eso estaba fuera de alcance, tu personal hizo clic en el enlace, y nunca abriste un ticket.

Aquí está el trozo incómodo. Algunas de esas son verdad. Un cliente que ha rechazado el mismo reemplazo tres años seguidos sí posee esa decisión, y un proveedor que lo dice está siendo franco contigo. Así que la pregunta no es si la excusa es exacta. Es cuándo se dijo por primera vez. Un riesgo que se te presenta por escrito antes de la caída, con lo que costaría arreglarlo y lo que costaría no hacerlo, es un proveedor gestionando tu parque. La misma frase enviada la semana después es una defensa que se está montando. Mismas palabras, fecha distinta, sentido opuesto.

«Nunca abriste un ticket» es la que vale la pena parar, porque no es una excusa en absoluto. Es el modelo operativo dicho en voz alta. Nada es trabajo de nadie hasta que lo notas, lo que te convierte a ti en la vigilancia, y estás pagando una cuota mensual a una firma cuya capa de detección es un cliente que llama. Una vez que has oído esa respuesta una vez, sabes qué es el servicio.

Hay una versión más activa de esto, y funciona mucho mejor de lo que debería. Convocas una revisión para preguntar por qué los últimos seis meses han ido como han ido, y el orden del día que vuelve es sobre otra cosa del todo: un asunto de seguridad urgente, una fecha límite de licencia que nadie había mencionado, un aviso de fin de vida sobre una caja que lleva en fin de vida dos años y de repente se ha vuelto apremiante esta quincena. Se presenta con verdadera preocupación y un presupuesto pegado, y se come la hora. Sales habiendo acordado gastar dinero, y la cosa por la que convocaste la reunión nunca se dijo en voz alta en absoluto.

Fíjate en lo que la crisis fabricada siempre tiene en común. Necesita una compra, la necesita este trimestre, y exige que nadie en la sala admita nada. La urgencia de verdad tiene otra pinta, porque viene con un identificador, una fecha en que se publicó, las máquinas concretas de tu parque que lo tienen, y lo que ya han hecho al respecto mientras esperaban a decírtelo. La clase inventada llega como una fecha límite de fabricante y una cifra redonda. Pregunta cuándo apareció por primera vez en su radar. Si la respuesta es la misma semana en que empezaste a hacer preguntas incómodas, eso no es una coincidencia y nunca se pretendió que lo fuera.

Así que lleva tu propio expediente, y empiézalo antes de necesitarlo. Cada vez que te dicen que una cosa está bien, pide eso en un correo. Cada vez que rechazas algo, anota qué te enseñaron y a cuánto lo cotizaron. Cuesta un minuto y significa que el día en que se vuelve culpa tuya, puedes pedir la fecha, y la respuesta existe o no existe. Una firma que hace este trabajo como es debido llega ahí primero de todos modos. Abre con hemos pasado esto por alto, esto es lo que estamos cambiando, y lo dice antes de que hayas terminado de preguntar. Les cuesta una frase, que es precisamente por lo que tan pocas la gastarán.

Y cuando te llega la crisis inventada, o la culpa aterriza sobre ti por algo que nadie te presentó nunca, dilo en la sala. No como una queja después y no como una nota para el expediente. Pregúntales si consideran eso profesional, si es la respuesta que aceptarían si se la dieran a ellos, y dónde está la integridad en ella. Alguien estará incómodo, y ese es todo el propósito de preguntar. Una firma con algo de amor propio que le quede lo encaja, dice de acuerdo, y vuelve distinta el mes siguiente. Sabrás en un minuto de qué clase es la que está sentada enfrente.

Luego ponte a buscar de todos modos. Esa semana. Una mala reunión no lo decide, pero la esquiva nunca fue un mal día. Fue una decisión sobre ti: que gestionar cómo te sientes es más barato que arreglar lo que compraste, y que lo aguantarás. Las firmas no deshacen ese cálculo porque un cliente ponga cara. Reemplazar a un proveedor como es debido lleva meses que no has empezado a gastar, y el momento de hacerlo es mientras todavía estás lo bastante tranquilo como para elegir bien, en vez de en la quincena después de la caída que por fin te decide.

Pregunta estas en la próxima reunión

Nada de esto te cuesta nada, y no necesitas ser ingeniero para preguntar ninguna de ellas.

He puesto las preguntas en una hoja de cálculo en vez de a lo largo de la página — 120 de ellas a través de quince áreas, cada una con a qué suena una respuesta competente frente a a qué suena una esquiva, y una columna para anotar cuál obtuviste.

Trátalo como una hoja de apoyo, no un guion. Recórrelo, marca la docena que de verdad pesa sobre tu contrato, y pregunta esas. Nadie aguanta cien preguntas en una hora y aprenderías menos si lo intentaran. Envíalo antes de la reunión en vez de sacarlo en una — un proveedor que hace el trabajo como es debido agradecerá el aviso, y cómo se toma el aviso es en sí una respuesta.

Una pregunta ahí dentro pide cuáles de sus recomendaciones les rinden una rebaja, un crédito, un margen o un objetivo del fabricante. Esa es la que cambia la temperatura de una sala, y no debería. Un proveedor sin nada que ocultar la responde de frente, porque iba a recomendar lo mismo de todos modos y preferiría que lo supieras. Mira lo que pasa cuando preguntas. La respuesta importa menos que la reacción.

Un proveedor que hace el trabajo como es debido tiene todo esto a mano. Ya, hoy, sin preparar. Los requisitos por escrito, las opciones costeadas, la línea de código abierto en la comparación, el plan de direccionamiento con doble pila, la herramienta de gestión remota parcheada y los riesgos en el registro donde les corresponde. Pregunta, y descubres en una reunión de qué clase estás pagando.

Y si es el propio hecho de preguntar lo que les molesta, has descubierto todo lo que necesitabas.

Toda cuenta se queda en silencio

Todo esto asume que puedes marcharte si lo necesitas. Eso vale la pena probarlo antes de necesitarlo, porque marcharse es donde un contrato de servicio gestionado deja de tratar de tecnología.

Asume que lo necesitarás algún día. Cada uno de estos arreglos deriva de la misma manera, con quienquiera que firmes. La atención que tenías mientras ganaban el trabajo se adelgaza una vez que el recibo domiciliado está en marcha, y te instalas en sus libros como una cifra mensual en vez de un parque en el que alguien piensa. Nadie se sienta y decide dejar de importarle. El mejor ingeniero se va a donde está el ruido, las revisiones dejan de hacerse discretamente, y tu equipo se queda sobre lo que era la respuesta correcta el año que firmaste mientras el resto del oficio avanza sin ti.

Entiende qué es de verdad una cuenta en silencio, porque la frase suena a cumplido y no lo es. Una cuenta en silencio es una que nadie ha comprobado. Las copias salen en verde cada noche y nadie ha restaurado una a una máquina de repuesto y la ha visto arrancar. El par de conmutación por error nunca se ha conmutado, porque hacerlo significa reservar una caída y alguien tendría que estar ahí. El firmware es el que vino, el certificado lo ha renovado quien se acordó, y la documentación describe una red que se dio de baja hace dos mudanzas. El recuento de licencias no se ha mirado desde el año en que tenías once empleados más. Nada de eso genera un ticket, así que nada alcanza la pantalla de nadie, y la cuenta navega por cada revisión interna porque lo único que se mide es si llamaste.

Luego te enteras. No en una revisión, porque no la hubo. Te enteras la mañana en que la restauración hace falta, o cuando el auditor pide el diagrama, o cuando una cosa que ha corrido intocada seis años se para y nadie que quede en el edificio sabe qué hacía. Una cuenta en silencio paga lo mismo que una ocupada y cuesta mucho menos de servir. Ese es todo el incentivo, y apunta lejos de que nadie abra nunca la tapa.

El consejo que les cuesta dinero

Pon la prueba del revés, y pregunta qué se supone que estás comprando de verdad. No es la ausencia de problemas. Cualquiera puede estar ausente. Lo que pagas es alguien que conoce el negocio lo bastante bien como para llegar con cosas que no pediste: una manera de hacer el cierre de mes que deja de derrumbarse, una licencia que pagas y que nadie ha abierto desde el año antepasado, una manera más barata de guardar los datos, un plan para la caja que todos han acordado en silencio no reiniciar. Parte de eso les cuesta ingresos decírtelo, que es exactamente por lo que es la señal honesta. Pregúntate cuándo puso tu proveedor por última vez delante de ti una recomendación que hacía su propia factura más pequeña.

La forma más común que eso toma no es un descuento. Es alguien repasando lo que ya corres. La mayoría de las empresas no están cortas de software, están cortas de cualquiera que se haya sentado alguna vez como es debido con el software que tienen: el nivel de licencia que ya incluye la función que se cotiza, el módulo pagado en el proyecto original y nunca desplegado, el flujo de trabajo en el sistema de finanzas que acabaría con el reteclear si alguien le diera dos días, la segunda suscripción comprada porque nadie preguntó al primer proveedor si su producto hacía eso también, los informes que nadie construyó nunca así que toda la empresa exporta a una hoja de cálculo y hace el trabajo ahí. Un proveedor de verdad empieza en ese montón. Lo que posees, qué se le puede hacer hacer, qué no hará nunca, y cuánto del problema desaparece si la cosa que ya pagas está configurada como se pretendía, todo eso antes de que nadie abra una lista de precios.

Lo que te dice cómo piensan ganar contigo, porque ese trabajo es de la clase incómoda. Significa leer la documentación de otro, aprender un sistema que no revenden y por el que no obtienen nada por conocer, y sentarse con la gente que lo usa todo el día para descubrir qué pasa de verdad a las cuatro de un viernes. Ninguna rebaja llega a la espalda de nada de eso. Es también todo lo que creías estar comprando. Y a veces la respuesta al final de verdad es un sistema nuevo, en cuyo caso compra el sistema nuevo. Gastar no es el problema. El orden es: qué corres, qué seguirá haciendo, dónde de verdad se queda corto, y solo entonces qué salir a conseguir. Una recomendación que se salta los tres primeros nunca fue una evaluación. Era un catálogo con tu nombre tecleado arriba.

Y un proveedor que nunca se ha sentado a aprender qué hace el negocio no puede hacer nada de eso. Hay una diferencia entre saber que tienes noventa buzones y saber qué hora de qué día dolería de verdad perder el sistema que toma los pedidos. Uno es inventario, el otro es comprensión, y solo el segundo produce consejo que vale el dinero. Una firma que no ha propuesto nada en tres años, que no puede decir qué vendes ni cuándo cae tu temporada alta, que mantiene las luces encendidas y sube la factura el mismo día cada mes, no es un socio y ha dejado de fingir serlo. Es una suscripción con un número de teléfono encima. No de las que conservar.

El fallo opuesto aparece con mejor traje. Es el proveedor que nunca está callado en absoluto, que tiene algo para ti cada trimestre, y cuya respuesta a cada pregunta que le has hecho volvió con una referencia de pieza pegada. Parece atención. Lo que separa el consejo de la venta no es su volumen, y tampoco es lo buenas que sean las diapositivas — es si la recomendación es capaz de volver como déjalo estar, no necesitas nada este año, y ese dinero se gasta mejor en la cosa del rincón que nadie ha presupuestado. Si ni una recomendación en toda la relación les ha costado nunca una venta, no te están asesorando. Te están haciendo pasar por una lista, y la parte uno trata de dónde vienen esas listas. Un socio te disuade de gastar a veces. Para todos los demás eres una cuenta que compra lo que se le enseña, que es una vaca lechera con un service desk pegado, y nadie implicado tiene que ser deshonesto para que sea exactamente lo que está pasando.

Deshacerse de un mal proveedor

Repasa lo que de verdad tiene que pasar. Todo. Credenciales administrativas entregadas para cada sistema. Documentación que describe cómo está construido el parque, suponiendo que exista. Control de los nombres de dominio, y de la cuenta donde sea que viva el DNS. Claves privadas de certificado. Suscripciones sacadas del acuerdo de socio del proveedor y metidas en una tenencia que es tuya. Su agente retirado de cada máquina, por ellos. Y el saliente cooperando con su reemplazo, en detalle, durante semanas, sin que se le pague nada por hacerlo y acabando de que le digan que está terminado.

Ahora la parte que debería preocuparte más. Cuanto peor es un proveedor, más dura se vuelve esa salida, porque las carencias son las mismas carencias. Una firma que nunca puso tus requisitos por escrito no escribió el paquete de traspaso tampoco. Una firma que guardó las credenciales en una bóveda compartida no tiene forma limpia de dárselas a otro. Una firma sin playbook y sin prueba de restauración no tiene nada que entregar salvo acceso y buena suerte. El desorden es el foso. Nadie se sentó y lo diseñó así, y funciona mejor que si lo hubieran hecho.

Así que asume que la línea de documentación no aguanta. La documentación es la primera cosa en quedar sin escribir y la última que alguien comprueba, y lo que llegue a la salida describirá un parque que avanzó sin ella. Ese es el caso bueno. El malo es un paquete que parece completo y está equivocado: un diagrama con un switch encima que fue al vertedero hace dos años, un runbook para un servidor que se ha reconstruido desde entonces, una hoja de credenciales llena de cuentas con las que nadie puede iniciar sesión. Documentación equivocada es peor que ninguna, porque actúas sobre ella. Ninguna al menos te manda a ir a mirar.

Cotiza la salida como si nada la sobreviviera. Alguien recorre los racks, lee la configuración del equipo en vivo, exporta las reglas del cortafuegos y los ámbitos DHCP y los ficheros de zona, y anota qué corre de verdad. Eso son semanas de trabajo, y en una salida son semanas que gastas bajo preaviso, mientras que los únicos que saben las respuestas ya han sido informados de que están terminados. Hazlo ahora en su lugar. Pide el paquete hoy, luego toma una página y compruébala contra una máquina en vivo. Si aguanta, has aprendido algo que vale la pena saber. Si no vale los bits usados para guardarla, has aprendido eso también, y lo has aprendido con un año para arreglarlo en vez de una quincena.

Esa línea de cooperación es la que de verdad dolerá, y es la que nadie cotiza. Reléela como una petición: a una firma que acaba de perder la cuenta se le pide pasar semanas explicándosela a la gente que se la quitó. Nadie tiene que negarse. La cuenta pasa al montón de los que se van, el ingeniero que conocía tu parque se va a un trabajo que todavía paga, y tus preguntas aterrizan con quien queda. Las respuestas vuelven en días en vez de horas. La llamada de traspaso se reserva a tres semanas vista. La mitad de lo que pides resulta ser facturable, y la única persona que construyó la cosa se fue en marzo. Nada de eso es sabotaje. Todo eso te cuesta exactamente lo que el sabotaje costaría.

Tu reemplazo lo carga, y luego lo cargas tú de nuevo. Su primer mes se va en averiguar qué han heredado. Eso es descubrimiento por el que no tienen nada que enseñarte, así que o lo cotizan honestamente y parecen caros frente a la renovación del saliente, o se lo tragan y empiezan el trabajo ya atrasados. Pagas de cualquier modo. Así que compra la cooperación antes de necesitarla. Ponla en el contrato a la entrada en vez de a la salida: un periodo de traspaso definido, una persona nombrada que lo hace, una tarifa por día acordada mientras todavía quieren tu firma, y un acceso que sigue vivo hasta que la firma entrante diga que puede irse. Paga por un solapamiento y cuéntalo barato. Y no llegues nunca al cambio con el proveedor saliente teniendo la única llave de algo que posees.

El papeleo hace su parte también. Periodos de preaviso medidos en meses en vez de semanas, fechas de renovación automática que pasan mientras todavía estás decidiendo, y un traspaso cotizado como servicios profesionales a una tarifa por día que alguien fija después de que ya has dado el preaviso. Nada de eso es inusual, y nada de eso rompe ninguna regla.

Así que prueba la salida mientras la relación va bien y nadie está molesto. Pide el paquete de traspaso ahora, por escrito, como un entregable en vez de una promesa. Pregunta quién es de verdad el titular de tus dominios. Pregunta si tus licencias se sientan en tu propia tenencia o bajo su acuerdo de socio, y qué implica moverlas. Un proveedor que hace el trabajo como es debido responderá a las tres de memoria, porque una firma segura de su trabajo no tiene razón para hacer difícil la marcha.

Y si las respuestas son vagas, recuerda lo que dice la siguiente sección sobre a quién te quejas.

No hay regulador para la venta

Algo debería haberte estado incordiando a estas alturas. Cada carencia de esta serie que vino con una conclusión formal pegada es una carencia de seguridad. El ICO sobre Advanced. El ICO sobre Capita. La CISA sobre el utillaje. Sobre la venta — la lista corta, la rebaja, la opción única, la renovación — no hay nada. Ni una sola acción de ejecución contra un MSP británico.

Eso no es porque la venta sea limpia. Es porque nadie tiene el trabajo de mirarla.

La ley de consumo se para en tu puerta de entrada. La Consumer Rights Act 2015 protege a los consumidores, y una sociedad limitada que compra un servicio gestionado no es uno. La Digital Markets, Competition and Consumers Act 2024 entregó a la CMA poderes de ejecución directa en abril de 2025, apuntados de lleno a las prácticas de venta agresivas, la información engañosa y las cláusulas contractuales claramente desequilibradas. Son poderes de consumidor. El propio balance de la CMA del primer año vale la pena leerlo por la redacción tanto como por los números: catorce investigaciones, dos acuerdos, £760 000 «refunded to consumers» — reembolsados a los consumidores —, £4,7 millones en multas, 157 cartas de asesoramiento y advertencia. Consumidores, siempre. No el fabricante de treinta personas que firmó cinco años de servicio gestionado la primavera pasada.

Las telecomunicaciones son el único rincón del que un regulador británico se ha acercado. Muestra a qué se parece la ejecución cuando alguien tiene el encargo. En julio de 2015 Ofcom multó a un pequeño proveedor de telecomunicaciones de empresa con £200 000 por vender de forma abusiva servicios de línea fija a una base de «around 100,000 small businesses» — unas 100 000 pequeñas empresas —, y le obligó a indemnizar a los clientes afectados y a reescribir sus materiales de venta. Conducta correcta, tamaño de cliente correcto, industria equivocada, y hace once años.

No hay equivalente para los servicios de TI. Súmalo desde donde estás sentado. Sin periodo de desistimiento. Sin defensor al que escalar. Sin regulador con jurisdicción. Sin deber sobre nadie de decirte lo que el fabricante le paga. Sin conclusiones publicadas de las que aprender, porque no hay ningún sitio del que una conclusión pueda venir. El contrato lo redactó el proveedor, y el único remedio en él es demandar — lo que significa costes, años, y un presupuesto legal que una pequeña empresa no tiene, como el proveedor bien sabe.

El asesoramiento financiero tuvo este mismo problema y lo resolvió. El arreglo no era complicado — decir quién paga al asesor, e impedir que el proveedor del producto sea la respuesta.

No habrá un RDR para la TI. Nadie viene a obligar a tu MSP a declarar lo que el fabricante le paga, y el Cyber Security and Resilience Bill que pasa ahora por el Parlamento, que metería a los proveedores de servicios gestionados dentro de las NIS Regulations, trata de detección y notificación en vez de de quién paga el consejo.

Así que cuando alguien te dice que no hay evidencia de un problema en cómo se vende la tecnología en este país, tiene razón. No significa nada en absoluto. No hay evidencia porque no hay inspector, no hay vía de queja que acabe en un documento público, y no hay registro de qué le pasó a cualquier otro que firmó el mismo contrato. En un mercado que nadie supervisa, la ausencia de evidencia es solo la ausencia de que nadie mire.

Lo que dice del oficio

Quita las facturas y mira quién está de verdad de pie en este arreglo.

En un extremo, negocios que fabrican y hacen cosas. Una empresa que mecaniza piezas. Un taller. Una cocina que da de comer a la gente. Abogados metiendo a alguien en una casa un viernes. Cada uno produce algo que puedes señalar, y cada uno carga el riesgo de este artículo, porque son la única parte de la cadena que no puede declinar nada.

En el otro extremo, varias capas que no producen nada en absoluto. Un fabricante cuya licencia declina la aptitud para cualquier fin concreto. Un distribuidor moviendo una caja entre almacenes y llevándose un pedazo. Un programa de socios que paga a alguien por preferir un logo a otro. Un proveedor que vende horas contra una responsabilidad con tope. Cada uno se lleva su margen y pasa la consecuencia hacia abajo, y la consecuencia sigue viajando hasta que alcanza a la única persona que tiene que abrir las puertas el lunes.

Un oficio es un cuerpo de gente que sabe hacer algo, que cobra por saberlo, y que respalda lo que dice porque su nombre está encima. Medida contra eso, la mayor parte de esta industria es un canal de distribución con certificaciones.

Mira lo que se ha cedido para llegar ahí. La competencia primero, porque no puedes cortar un tercio de lo que gastas en formación y seguir vendiendo pericia sin reírte. Luego el juicio, vendido al principio del encargo y declinado en el momento en que se pone a prueba. Y por último la simple voluntad de decir «esa no es la respuesta correcta para ti» cuando la respuesta correcta paga menos — que es la única cosa que separa el consejo de la venta, y no cuesta más que agallas.

La salida de todo esto es poco glamurosa y del todo disponible. Posee el equipo que puedas poseer. Ten tus propias llaves. Guarda la documentación en algún sitio que puedas alcanzar sin llamar a nadie. Aprende lo suficiente sobre tus propios sistemas como para saber cuándo te están diciendo una bobada — no para hacerlos correr tú mismo, solo para reconocer un adjetivo llegando donde se pidió un número. Eso no es nostalgia de cuando todos tenían un servidor en un armario. Es la única palanca en oferta, y es barata.

Hay gente en este oficio que nunca dejó de hacer el trabajo como es debido, y no son difíciles de detectar una vez que sabes qué buscar. Cotizan la opción aburrida. Te dicen lo que cuesta una cosa en vez de a cuánto está tarifada. Ponen el riesgo por escrito antes de que preguntes, y se alivian cuando alguien por fin comprueba.

Los demás han arreglado las cosas para que nadie lo haga nunca. Tienes derecho a preguntar qué cuesta, quién paga a quién, y qué pasa cuando se rompe. Nadie en este arreglo va a ofrecerlo por su cuenta, y eso no es lo mismo que no debértelo.

Fuentes

Recuperadas el 28 de agosto de 2026.

Ley y política.

• Cyber Security and Resilience (Network and Information Systems) Bill 2024-26 — informe de la House of Commons Library sobre meter a los proveedores de servicios gestionados en las NIS Regulations.

Quién tiene derecho a quejarse.

• Consumer Rights Act 2015 y la Digital Markets, Competition and Consumers Act 2024 — las protecciones, y para quién son.
• CMA, la ejecución directa de consumo un año después — de abril de 2025 a abril de 2026: 14 investigaciones, GBP 760 000 reembolsados a los consumidores, GBP 4,7 millones en multas.
• Ofcom multa a Unicom, 31 de julio de 2015 — GBP 200 000 por venta abusiva a pequeñas empresas, lo más cercano a un precedente de ejecución, en telecomunicaciones en vez de en TI.