Auditoría de ciberseguridad para empresas

Qué revisa una auditoría de ciberseguridad y por qué empezar por aquí

La mayoría de incidentes en pymes no empiezan con un ataque sofisticado, sino con algo sencillo: una contraseña reutilizada sin doble factor, un servidor sin parchear expuesto a Internet, un antiguo empleado que conserva acceso, una copia de seguridad que nunca se ha probado o un dominio sin SPF, DKIM ni DMARC que permite suplantar vuestro correo. Una auditoría sirve para ver todo eso de una vez, con criterio técnico, antes de que lo vea otro.

Qué revisamos

• Vulnerabilidades. Análisis de los sistemas expuestos a Internet y de la red interna: versiones sin soporte, parches pendientes, servicios abiertos que no deberían estarlo y configuraciones por defecto.
• Configuración. Servidores, puestos de trabajo, firewall, wifi, VPN y la configuración de seguridad de Microsoft 365 o Google Workspace.
• Accesos e identidades. Quién entra a qué, cuentas de administrador, cuentas huérfanas, doble factor, contraseñas y permisos en carpetas compartidas.
• Copias de seguridad. Qué se copia, dónde, con qué frecuencia, si hay una copia fuera del alcance de un ransomware y, sobre todo, si se ha probado a restaurar.
• Correo. Autenticación del dominio, filtrado antispam y antiphishing, reglas de reenvío sospechosas y riesgo de suplantación.
• Protección del puesto. Antivirus o EDR, cifrado de discos, actualizaciones y control de dispositivos.
• Organización. Procedimientos básicos: altas y bajas de personal, gestión de incidentes, inventario de activos y proveedores con acceso.

Cómo trabajamos

Empezamos con una reunión para entender vuestra actividad y qué es crítico: no es lo mismo una asesoría que vive del correo que una tienda online o una empresa con producción. Acordamos el alcance por escrito, con lo que entra y lo que no. Después combinamos herramientas de análisis con revisión manual de configuraciones y entrevistas cortas con la persona que lleva la informática. Trabajamos en remoto: no hacemos visitas presenciales, y lo que necesita estar dentro de vuestra red se resuelve con un acceso controlado y temporal.

El informe: priorizado, no infinito

Cada hallazgo lleva su nivel de riesgo, por qué importa en vuestro caso concreto y cómo se corrige. El plan de acción separa las medidas rápidas que reducen mucho riesgo con poco esfuerzo (doble factor, cerrar puertos, revisar cuentas) de los proyectos que requieren presupuesto o planificación (renovar un servidor, segmentar la red, desplegar copias inmutables). Añadimos un resumen ejecutivo pensado para dirección, sin jerga.

Auditoría no es pentest

La auditoría mira el conjunto de vuestra seguridad: configuración, procesos, copias y accesos. Un pentest es un ataque controlado sobre un objetivo concreto, como una web o una aplicación, para demostrar hasta dónde llegaría un atacante. Son complementarios y a menudo el informe de auditoría indica dónde merece la pena un pentest.

Y después, qué

Podéis aplicar el plan con vuestro propio equipo o con nosotros. Si queréis que la seguridad no dependa de una revisión puntual, SysSecure 360 mantiene EDR gestionado, parches, copias y vigilancia de forma continua. Si la auditoría responde a una exigencia normativa, la enlazamos con NIS2, ENS o las medidas técnicas del RGPD.

El plazo depende del número de equipos, sedes y servicios en la nube; os lo damos cerrado junto con la propuesta.