Evaluación integral
Auditoría de seguridad informática
Revisamos cómo está protegida realmente tu empresa: accesos, sistemas, red, copias de seguridad, nube, proveedores y procedimientos. Obtienes hallazgos verificados, priorizados por riesgo y con una solución concreta para cada uno.
Una fotografía fiel, no un listado de alarmas
Muchas auditorías terminan en un informe de cientos de páginas generado por herramientas automáticas, imposible de priorizar. Nuestro enfoque es distinto: cada hallazgo está verificado, explicado en términos de impacto para el negocio y acompañado de una recomendación concreta, con su esfuerzo estimado.
Cómo se desarrolla
- Alcance y autorización: definimos qué se revisa, qué pruebas se hacen y con qué límites. Todo queda firmado antes de empezar.
- Revisión documental y entrevistas: políticas, inventarios, contratos con proveedores y conversaciones con las personas clave.
- Revisión técnica: configuración de sistemas, identidades, red, nube y copias, con herramientas y comprobaciones manuales.
- Análisis y priorización: clasificamos los hallazgos según su probabilidad e impacto.
- Presentación: explicamos los resultados a dirección y a IT, cada uno en su lenguaje.
Qué no hacemos
No realizamos pruebas sobre sistemas que no estén dentro del alcance autorizado, no utilizamos técnicas que puedan dañar datos y no publicamos ni compartimos los hallazgos con terceros. La información de la auditoría se trata como confidencial desde el primer momento.
Después de la auditoría
El plan de acción puede ejecutarlo tu equipo, tu proveedor o nosotros. Si prefieres que alguien dirija su implantación y la mantenga en el tiempo, el siguiente paso natural es el servicio de CISO externo.
Alcance
Qué incluye
-
Identidades y accesos
Cuentas privilegiadas, doble factor, cuentas huérfanas, contraseñas y accesos remotos.
-
Sistemas y red
Configuración de servidores y equipos, segmentación, exposición a Internet y estado de actualizaciones.
-
Copias y recuperación
Diseño de las copias, aislamiento frente a ransomware y prueba real de restauración.
-
Nube y correo
Configuración de Microsoft 365, Google Workspace u otros servicios, protección del correo y registros.
-
Organización y proveedores
Políticas, roles, gestión de terceros, formación y capacidad de respuesta a incidentes.
-
Pruebas técnicas acotadas
Cuando se acuerda, análisis de vulnerabilidades y pruebas de intrusión dentro de un alcance y unas reglas firmadas.
Resultado
Lo que recibes
- Informe ejecutivo con el nivel de riesgo global
- Informe técnico con hallazgos y evidencias
- Plan de acción priorizado por riesgo y esfuerzo
- Sesión de resultados con dirección e IT
- Revisión de verificación tras las correcciones (opcional)
Método
Cómo trabajamos
-
01Conocer
Diagnóstico
Entrevistas con dirección e IT y revisión técnica y documental. Obtienes una fotografía clara de tu nivel de seguridad y de las obligaciones que te afectan.
-
02Priorizar
Hoja de ruta
Convertimos los hallazgos en un plan ordenado por riesgo, esfuerzo y coste, con responsables y plazos que tu organización puede asumir.
-
03Implantar
Implantación
Ejecutamos o coordinamos las medidas: accesos, copias, configuraciones, políticas y formación. Sin imponer herramientas que no necesitas.
-
04Sostener
Acompañamiento continuo
Revisiones periódicas, indicadores comprensibles, gestión de incidentes y adaptación a nuevos riesgos y obligaciones. La seguridad deja de ser un proyecto y se convierte en un hábito.
Preguntas frecuentes
Dudas habituales sobre Auditoría de seguridad
¿La auditoría interrumpe la actividad de la empresa?
No debería. Las pruebas técnicas se planifican con tu equipo, se ejecutan con cuidado y, si alguna puede afectar a un servicio, se hace en el horario que acordemos.
¿Es lo mismo que un test de intrusión?
No exactamente. Una prueba de intrusión simula a un atacante sobre un objetivo concreto. La auditoría es más amplia: incluye aspectos técnicos y organizativos, y puede incorporar pruebas de intrusión acotadas si aportan valor.
¿La auditoría sirve para certificar ISO 27001 o el ENS?
Sirve para preparar la certificación, porque identifica las carencias frente a la norma. La auditoría de certificación debe realizarla una entidad certificadora acreditada e independiente.
Auditoría de seguridad
Solicitar una auditoría
Indícanos el tamaño aproximado de tu infraestructura y qué te gustaría revisar. Te enviaremos una propuesta con alcance y calendario.