Auditoría de seguridad informática: qué se revisa y qué recibes

Cuando pides presupuesto para una auditoría de seguridad informática recibes cifras que se diferencian entre sí por un factor de diez, y ninguna explica del todo qué vas a recibir a cambio. Esa horquilla se explica casi siempre por el alcance y por el entregable, muy pocas veces por la calidad del proveedor. Una revisión automática de tu web y una auditoría que examina servidores, cuentas, copias de seguridad y procesos comparten nombre y poco más. Esto es lo que debería incluir una auditoría que sirva para tomar decisiones.

Primero se define el alcance, por escrito

Una auditoría empieza acordando qué se mira y qué se deja fuera. Esa lista debe figurar en el presupuesto, no descubrirse a mitad del trabajo. Para una pyme de 10 a 50 empleados, el alcance típico incluye:

• Los sistemas accesibles desde internet: web, correo, VPN, portales de acceso remoto, servicios publicados que quizá ni recuerdas tener.
• La red interna: servidores, sistemas de ficheros, dispositivos de red, equipos de los empleados.
• Identidades y accesos: cuentas activas, permisos de administrador, segundo factor, altas y bajas de personal.
• Servicios cloud y SaaS: correo corporativo, almacenamiento, ERP o CRM alojados por terceros.
• Copias de seguridad: qué se copia, con qué frecuencia, dónde se guarda y cuándo fue la última restauración probada.
• Documentación y procesos: políticas existentes, contratos con proveedores, plan de respuesta a incidentes si lo hay.

Si un presupuesto no dice cuáles de estos bloques cubre, esa es la primera pregunta que conviene hacer.

Qué se revisa desde fuera

La parte externa reconstruye lo que cualquiera puede ver de tu empresa sin credenciales. Se inventarían los dominios y subdominios activos, los servicios que responden en internet y las versiones de software que exponen, los certificados y su caducidad, y la configuración de correo (SPF, DKIM y DMARC) que determina cuán fácil resulta suplantar tu dominio.

A eso se suma la búsqueda de credenciales de tu empresa aparecidas en filtraciones anteriores y de información publicada por descuido: paneles de administración accesibles, copias de seguridad olvidadas en un directorio público, o repositorios con claves dentro del código.

Qué se revisa desde dentro

La parte interna es la que suele producir los hallazgos más incómodos, porque nadie los ha mirado en años. Se examinan las actualizaciones pendientes en servidores y equipos, la segmentación de la red (si desde el ordenador de recepción se llega al servidor de contabilidad, eso es un hallazgo), los permisos sobre las carpetas compartidas, las cuentas de servicio con contraseñas que no caducan y las cuentas de personas que ya no trabajan contigo.

También se revisa qué se registra y quién lo mira. Un sistema que genera registros que nadie consulta ofrece la misma capacidad de detección que uno que no los genera.

La parte que la gente olvida: procesos

Buena parte de lo que falla en un incidente real es organizativo. Una auditoría completa comprueba si existe una respuesta clara a preguntas como: ¿quién decide desconectar un sistema? ¿A quién llama el primero que detecta algo raro, un domingo? ¿Cómo se valida un cambio de cuenta bancaria de un proveedor? ¿Qué pasa con los accesos de alguien el día que se marcha?

Estas respuestas cuestan poco dinero y evitan mucho daño. Si la auditoría que te ofrecen solo produce salidas de herramientas técnicas, este bloque no está incluido.

Qué recibes al terminar

El entregable es lo que separa una auditoría útil de un PDF caro. Deberías recibir tres documentos, no uno:

1. Un resumen para dirección, de una o dos páginas, sin jerga: cuál es la situación, cuáles son los tres riesgos principales expresados en términos de negocio, y qué se propone hacer con su coste asociado.
2. El informe técnico detallado: cada hallazgo con su descripción, cómo se ha comprobado, qué sistemas afecta, qué gravedad tiene y cómo se corrige, con instrucciones concretas para quien tenga que aplicarlas.
3. Un plan de acción priorizado: la lista ordenada por relación entre riesgo y esfuerzo, separando lo que se arregla esta semana de lo que requiere un proyecto y un presupuesto.

Un buen informe distingue además entre hallazgos verificados y observaciones de configuración, y explica por qué algo es grave en tu contexto concreto. Una vulnerabilidad crítica en un sistema aislado y sin datos puede importar menos que una configuración mediocre en el servidor donde vive tu facturación.

Qué haces con el informe la semana siguiente

Un informe sin fechas y sin responsables no cambia nada. La reunión de cierre debería terminar con cada hallazgo prioritario asignado a una persona y a una fecha, y con una decisión explícita sobre los que aceptas dejar como están.

Reserva también un momento para verificar. Corregir sin comprobar que la corrección funciona es una de las formas más habituales de arrastrar el mismo hallazgo de una auditoría a la siguiente. Y cuando termines, guarda el informe: es la evidencia que piden los cuestionarios de seguridad de clientes grandes, que preguntan si auditas tu seguridad, con qué frecuencia y qué haces con los resultados.

Cada cuánto conviene repetirla

Una auditoría retrata un momento concreto. Una revisión anual es un mínimo razonable para una pyme estable, con una adicional cuando cambia algo importante: una migración, un ERP nuevo, una adquisición o un cambio de proveedor de IT.

Si tu infraestructura o tu producto cambian cada pocas semanas, la foto anual envejece demasiado rápido y tiene más sentido complementarla con pruebas de seguridad continuas, que revisan cada despliegue en lugar de esperar al año siguiente.

Nuestra auditoría de seguridad informática cubre el alcance descrito arriba y entrega los tres documentos completos. Si lo que necesitas es traducir sus hallazgos a una decisión de inversión con impacto en euros, un análisis de riesgos de ciberseguridad es el paso natural que viene después.