Auditoría de seguridad informática para empresas
Una auditoría de seguridad no es pasar un antivirus ni ejecutar un escáner y entregar el listado. Es sentarse a mirar cómo está montada su empresa de verdad —qué hay, quién entra, por dónde y qué pasaría si algo fallara— y salir con una lista de cosas por hacer ordenada por lo que más riesgo quita.
La hacemos igual tanto si nos contrata el mantenimiento después como si no. El informe es suyo.
Qué miramos
- Inventario real. Equipos, servidores, servicios contratados y licencias. Casi siempre aparecen máquinas encendidas que nadie recordaba y suscripciones que se siguen pagando.
- Accesos y permisos. Quién puede entrar a qué, con qué contraseña y desde dónde. Incluida la gente que ya no trabaja en la empresa, que es el hallazgo más repetido.
- Perímetro. Qué tiene expuesto a internet sin saberlo: escritorios remotos, paneles de administración, cámaras, impresoras.
- Actualizaciones. Sistemas fuera de soporte y parches pendientes. Por ahí entra la mayoría de los incidentes que atendemos, y ninguno era un ataque dirigido.
- Copias de seguridad. Si existen, qué incluyen y —la pregunta que casi nadie sabe responder— cuándo se restauró una por última vez para comprobar que funciona.
- Correo. Configuración antisuplantación, reglas de reenvío sospechosas y buzones con acceso de terceros.
- El factor humano. Qué formación tiene la plantilla y qué haría si le llega una factura falsa de un proveedor conocido.
Qué recibe al terminar
Un informe con tres partes: lo que está bien —que también hay que decirlo—, lo que corre riesgo y en qué orden conviene arreglarlo. Sin jerga innecesaria, porque la mitad de las decisiones las toma alguien que no es técnico.
Cada hallazgo lleva su impacto y su esfuerzo estimado, para que pueda decidir con criterio qué hace ya, qué deja para el trimestre siguiente y qué asume conscientemente. Asumir un riesgo sabiendo que existe es una decisión legítima; no saberlo, no.
Auditoría y pentesting no son lo mismo
Se confunden a menudo. La auditoría mira el conjunto desde dentro y con acceso: configuración, procesos, permisos, copias. El test de intrusión hace lo contrario, ataca desde fuera para demostrar hasta dónde se llega.
Son complementarios y el orden importa: primero la auditoría, que suele encontrar lo evidente y sale más barata, y después el pentesting cuando ya no hay fruta baja que recoger. Encargar un pentesting a una empresa que no ha hecho los deberes básicos es pagar por que le confirmen lo que ya se sabía.
Cuándo tiene sentido
Los momentos en que más se aprovecha: cuando entra un proveedor informático nuevo y hay que saber de dónde se parte; cuando un cliente grande o una licitación empieza a exigir requisitos de seguridad; después de un susto, para saber si quedó algo abierto; y como revisión periódica en empresas que ya tienen las cosas razonablemente bien y quieren que sigan así.
Preguntas frecuentes
¿Interrumpe el trabajo de la empresa?
No. La auditoría es de observación: se recoge información, se revisan configuraciones y se habla con quien lleva los sistemas. Nadie deja de trabajar mientras tanto.
¿Hace falta darles acceso a todo?
Hace falta acceso de lectura a lo que se audita. Se acuerda antes por escrito qué se mira y qué no, y se firma confidencialidad. Sin acceso solo se puede ver el perímetro, que es una parte pequeña del problema.
¿Y si sale mal parada?
Sale mal parada casi siempre la primera vez, y no pasa nada: para eso se hace. El objetivo no es aprobar, es saber por dónde empezar.
Empecemos por saber cómo está
Cuéntenos cuántos equipos y servidores tiene y qué le preocupa. Con eso acotamos el alcance de la auditoría y le decimos qué cuesta. Llámenos al 911 599 883 o escríbanos desde el formulario de contacto.
Forma parte de nuestra ciberseguridad gestionada.