Preparar correctamente una auditoría de seguridad ayuda a que la evaluación tenga un alcance claro, se centre en los sistemas relevantes y genere resultados que puedan convertirse en acciones concretas.
Una organización puede tener servidores, aplicaciones, redes, servicios cloud, dispositivos y datos que deben revisarse. Sin una preparación previa, es fácil olvidar activos, no disponer de la documentación necesaria o plantear una evaluación demasiado amplia o demasiado limitada.
Esta guía explica cómo preparar una auditoría de seguridad paso a paso, qué información conviene reunir, cómo definir el alcance y qué aspectos deberían revisarse antes de comenzar.
Cuando ya tienes claro qué quieres evaluar, puedes consultar nuestra auditoría de seguridad informática para conocer el enfoque del servicio.
¿Por qué es importante preparar una auditoría de seguridad?
Una buena preparación permite aprovechar mejor el tiempo y evitar problemas durante la evaluación.
Antes de comenzar conviene conocer:
- qué sistemas existen;
- cuáles son los activos más importantes;
- qué elementos estarán dentro del alcance;
- qué información debe facilitarse;
- qué responsables participarán;
- qué restricciones deben tenerse en cuenta;
- qué objetivos se quieren conseguir.
La preparación también ayuda a diferenciar una revisión orientada a un objetivo concreto de una evaluación mucho más amplia.
1. Definir el objetivo de la auditoría
El primer paso es determinar qué quieres conocer o comprobar.
No es lo mismo querer revisar una aplicación web que evaluar una infraestructura completa.
Algunos objetivos habituales pueden ser:
- conocer el estado de seguridad de determinados sistemas;
- identificar vulnerabilidades;
- revisar configuraciones;
- evaluar controles de acceso;
- comprobar determinados servicios expuestos;
- preparar una auditoría externa;
- revisar cambios realizados recientemente;
- analizar una parte concreta de la infraestructura.
Cuanto más claro sea el objetivo, más fácil será definir el alcance.
2. Definir el alcance
El alcance establece qué sistemas, aplicaciones y activos podrán evaluarse.
Puede incluir, según el proyecto:
- dominios;
- aplicaciones web;
- APIs;
- servidores;
- redes;
- dispositivos;
- servicios cloud;
- sistemas internos;
- determinadas cuentas o entornos.
También es importante definir qué queda fuera.
Por ejemplo, una empresa puede incluir su aplicación web y sus servidores, pero excluir sistemas de terceros que no estén bajo su control.
Un alcance bien definido evita confusiones y facilita la planificación.
3. Crear un inventario de activos
No puedes evaluar correctamente aquello que no sabes que existe.
Antes de la auditoría conviene elaborar un inventario de los principales activos tecnológicos.
Para cada activo puede resultar útil registrar:
- nombre;
- tipo de sistema;
- responsable;
- ubicación;
- función;
- importancia para el negocio;
- datos que gestiona;
- proveedor;
- estado de actualización.
El inventario también puede ayudar a identificar activos olvidados o que ya no deberían estar expuestos.
4. Identificar los sistemas críticos
No todos los activos tienen la misma importancia.
Determina qué sistemas son esenciales para la actividad de la empresa.
Por ejemplo:
- servidores que alojan aplicaciones críticas;
- bases de datos;
- sistemas de gestión;
- correo corporativo;
- plataformas de clientes;
- servicios cloud esenciales;
- aplicaciones expuestas a Internet.
Esta clasificación ayuda a establecer prioridades durante la evaluación.
5. Revisar los accesos y permisos
Antes de la auditoría conviene conocer quién tiene acceso a los sistemas incluidos en el alcance.
Revisa:
- cuentas activas;
- cuentas administrativas;
- permisos;
- accesos de terceros;
- cuentas antiguas;
- usuarios que ya no trabajan en la organización.
Una revisión previa puede ayudar a detectar accesos que ya no deberían mantenerse.
6. Reunir la documentación disponible
La documentación puede facilitar considerablemente la evaluación.
Según el proyecto, puede ser útil reunir:
- diagramas de red;
- inventarios;
- documentación de aplicaciones;
- procedimientos internos;
- políticas de seguridad;
- documentación de infraestructura;
- información sobre servicios cloud;
- registros de cambios.
No toda auditoría necesita la misma documentación.
Lo importante es proporcionar la información relevante para el alcance definido.
7. Identificar las obligaciones aplicables
La empresa debe determinar si existen requisitos legales, regulatorios o contractuales relacionados con el sistema que se va a evaluar.
Dependiendo del caso pueden resultar relevantes:
- protección de datos;
- requisitos sectoriales;
- contratos con clientes;
- requisitos de proveedores;
- determinados estándares de seguridad.
El hecho de realizar una auditoría técnica no significa automáticamente que una organización cumpla una normativa. Las obligaciones dependen de las circunstancias concretas.
8. Revisar configuraciones básicas antes de la auditoría
Preparar una auditoría no significa ocultar problemas.
Sin embargo, sí puede ser útil comprobar que los elementos básicos están correctamente gestionados.
Por ejemplo:
- sistemas actualizados;
- cuentas innecesarias revisadas;
- servicios que ya no se utilizan deshabilitados;
- copias de seguridad disponibles;
- configuraciones documentadas;
- certificados revisados;
- activos correctamente identificados.
El objetivo es llegar a la evaluación con un entorno correctamente documentado y con las condiciones de trabajo claras.
9. Revisar la seguridad de una aplicación web
Cuando la auditoría incluye una aplicación web, conviene recopilar previamente información como:
- dominios;
- URLs relevantes;
- funcionalidades;
- perfiles de usuario;
- APIs;
- entornos de prueba y producción;
- mecanismos de autenticación;
- integraciones externas.
También conviene identificar qué partes forman parte del alcance y cuáles no.
Una evaluación web puede requerir información diferente a la necesaria para revisar una infraestructura interna.
10. Preparar las cuentas y accesos de prueba
Cuando la evaluación necesita usuarios de prueba, conviene prepararlos con antelación.
Dependiendo del proyecto pueden ser necesarios diferentes perfiles:
- usuario estándar;
- usuario con determinados permisos;
- usuario administrador;
- cuentas asociadas a funcionalidades concretas.
Las cuentas deben crearse de acuerdo con el alcance y las condiciones de la evaluación.
11. Definir las condiciones de las pruebas
Antes de comenzar deben establecerse claramente las condiciones de trabajo.
Por ejemplo:
- fechas;
- horarios;
- sistemas autorizados;
- sistemas excluidos;
- restricciones;
- contactos técnicos;
- procedimiento de comunicación de incidencias;
- condiciones para pruebas sobre producción.
Esta planificación es especialmente importante cuando una evaluación puede afectar a sistemas utilizados diariamente.
12. Identificar los responsables
Una auditoría suele requerir coordinación entre diferentes áreas.
Conviene identificar previamente a las personas responsables de:
- sistemas;
- infraestructura;
- aplicaciones;
- seguridad;
- protección de datos cuando corresponda;
- operaciones;
- negocio.
También debe existir un canal de contacto para comunicar incidencias o dudas durante el proyecto.
13. Preparar copias de seguridad y procedimientos de recuperación
Antes de determinadas evaluaciones conviene comprobar que existen procedimientos adecuados de recuperación.
Esto puede incluir:
- copias de seguridad;
- procedimientos de restauración;
- información de contacto;
- documentación de sistemas críticos;
- mecanismos de recuperación.
La necesidad concreta dependerá del tipo de prueba y del entorno.
14. Preparar los registros y evidencias disponibles
Los registros pueden proporcionar información útil para comprender el estado del entorno y analizar determinados eventos.
Según el proyecto pueden resultar relevantes:
- registros de acceso;
- logs de sistemas;
- registros de aplicaciones;
- eventos de seguridad;
- historial de cambios;
- información de incidentes anteriores.
No siempre será necesario entregar todos los registros. Deben seleccionarse aquellos relacionados con el objetivo de la evaluación.
15. Revisar incidentes anteriores
Si la empresa ha sufrido incidentes previamente, conviene documentarlos.
Puede resultar útil registrar:
- qué ocurrió;
- cuándo ocurrió;
- qué sistemas estuvieron implicados;
- qué medidas se aplicaron;
- qué problemas fueron detectados;
- qué cambios se realizaron posteriormente.
Esta información puede ayudar a contextualizar la evaluación.
16. Preparar una autoevaluación interna
Una autoevaluación sencilla puede ayudar a detectar problemas evidentes antes de iniciar el proyecto.
Algunas preguntas útiles son:
- ¿Tenemos un inventario de activos actualizado?
- ¿Se revisan periódicamente las cuentas y permisos?
- ¿Se mantienen actualizados los sistemas?
- ¿Existen copias de seguridad?
- ¿Se han probado los procedimientos de recuperación?
- ¿Tenemos procedimientos para responder ante incidentes?
- ¿Está documentada la infraestructura?
- ¿Sabemos qué servicios están expuestos a Internet?
La autoevaluación no sustituye una auditoría profesional.
Sirve para llegar al proyecto con una visión más ordenada del entorno.
17. Preparar al equipo que participará
Las personas responsables de cada área deberían conocer:
- el objetivo;
- las fechas;
- el alcance;
- sus responsabilidades;
- la documentación que deben facilitar;
- el canal de comunicación.
Una buena coordinación ayuda a reducir retrasos y facilita la evaluación.
18. Definir los entregables
Antes de contratar o comenzar el trabajo conviene saber qué documentación se recibirá.
Según el proyecto, pueden existir:
Resumen ejecutivo
Una visión general para dirección.
Informe técnico
Información detallada sobre hallazgos, evidencias y recomendaciones.
Priorización
Clasificación de problemas según su importancia.
Recomendaciones
Medidas que pueden valorarse para reducir los riesgos detectados.
Retest
Cuando está incluido, una comprobación posterior de determinadas correcciones.
19. Preparar el presupuesto y los recursos
La auditoría requiere recursos técnicos, humanos y de tiempo.
Antes de comenzar conviene definir:
- alcance;
- número aproximado de activos;
- profundidad;
- calendario;
- entregables;
- servicios adicionales.
De esta forma resulta más sencillo comparar propuestas y entender qué trabajo incluye cada una.
20. Preparar un plan de acción posterior
La auditoría no debería terminar cuando se entrega el informe.
Antes de comenzar el proyecto puedes establecer cómo se gestionarán los resultados.
Por ejemplo:
- registrar los hallazgos;
- priorizarlos;
- asignar responsables;
- establecer plazos;
- aplicar las correcciones;
- comprobar los resultados.
Esto ayuda a convertir la auditoría en un proceso de mejora y no simplemente en un documento.
¿Qué errores conviene evitar al preparar una auditoría?
No definir el alcance
Sin límites claros es difícil saber qué se está evaluando.
No identificar los activos
Un inventario incompleto puede dejar sistemas relevantes fuera del proyecto.
No preparar la documentación
La falta de información puede retrasar algunas fases.
No identificar responsables
Las dudas y solicitudes de información pueden quedar sin respuesta.
No establecer condiciones
Antes de realizar pruebas sobre sistemas reales deben definirse las reglas de actuación.
Comparar presupuestos sin revisar el alcance
Dos propuestas pueden tener precios diferentes porque el trabajo incluido también es diferente.
Pensar que la auditoría es el final
Los resultados deben convertirse en acciones de mejora y, cuando corresponda, comprobarse posteriormente.
Checklist para preparar una auditoría de seguridad
Antes de comenzar, puedes utilizar esta lista:
- Objetivo definido.
- Alcance documentado.
- Activos identificados.
- Sistemas críticos localizados.
- Accesos revisados.
- Documentación disponible.
- Responsables identificados.
- Condiciones de las pruebas definidas.
- Copias y recuperación revisadas cuando corresponda.
- Registros relevantes disponibles.
- Entregables definidos.
- Plan de corrección preparado.
¿Cuándo está preparada una empresa para una auditoría?
Una empresa está mejor preparada cuando puede responder con claridad a cuatro preguntas:
¿Qué queremos evaluar?
¿Qué sistemas forman parte del alcance?
¿Quién debe participar?
¿Qué queremos hacer con los resultados?
No es necesario tener todos los problemas solucionados antes de una auditoría.
Precisamente uno de los objetivos de la evaluación es identificar aquellos aspectos que necesitan atención.
Lo importante es que el entorno, el alcance y las condiciones estén suficientemente definidos para obtener un resultado útil.
Conclusión
Preparar una auditoría de seguridad consiste principalmente en definir objetivos, delimitar el alcance, identificar activos, reunir información y organizar a las personas que participarán en el proceso.
Una buena preparación facilita la evaluación, reduce retrasos y ayuda a que los resultados sean más útiles para la empresa.
Después de recibir el informe, el siguiente paso debe ser priorizar los hallazgos, aplicar las correcciones necesarias y comprobar los resultados cuando corresponda.
La auditoría no debería entenderse como un proceso aislado, sino como parte de una estrategia continua de revisión y mejora de la seguridad.