Checklist de auditoría de TI para pymes: los 11 frentes

Este checklist sirve para un primer barrido interno de la operación de TI. Son once frentes repartidos en cuatro áreas y, para cada uno, una pregunta y la evidencia que la empresa debería tener en su poder. Si no hay evidencia, el punto no cumple.

El recorrido es el mismo que sigue una auditoría de sistemas; la diferencia es que aquí lo haces tú, con lo que tienes a mano.

Gobierno y evidencia

Esta área reúne lo que la empresa debe poder mostrar por escrito: procesos, inventario, contratos y cumplimiento de datos personales.

Documentación y gestión operativa

La pregunta es si los procesos están escritos o viven solo en la cabeza de alguien:

• ¿Hay procesos escritos de altas y bajas de usuarios y de administración de servidores?
• Evidencia: documento vigente y diagrama de red (topología).

Activos y recursos de TI

Aquí se cruza lo que hay con lo que se paga:

• ¿Sabemos cuántos equipos, qué software y qué licencias tenemos, y cuándo vence cada contrato?
• Evidencia: inventario actualizado en poder de la empresa y contratos con terceros.

Cumplimiento y legal

El foco es la protección de datos personales:

• ¿Tenemos política de tratamiento de datos personales (Ley 1581) y la aplicamos?
• Evidencia: política publicada y autorizaciones de tratamiento.

Identidad, correo y personas

Esta área revisa quién controla las puertas de entrada: el dominio, las cuentas, el correo y las personas.

Identidad y nube

Este frente decide quién manda sobre las cuentas de la empresa:

• ¿El dominio está a nombre de la empresa? ¿Quién tiene cuentas de administrador? ¿Hay MFA?
• Evidencia: titularidad del dominio y lista de cuentas privilegiadas con nombre.

Correo electrónico

El correo se revisa por su protocolo, su autenticación y quién lo administra:

• ¿Qué protocolo usa el correo, tiene autenticación fuerte y alguien interno ve su administración?
• Evidencia: acceso interno de solo lectura a la consola del correo.

Personas y capacitación

Aquí la pregunta es sobre las personas, no sobre las máquinas:

• ¿El equipo sabe reconocer un phishing? ¿Los roles de acceso coinciden con los cargos?
• Evidencia: registro de capacitaciones y matriz de roles.

Defensa en operación

Esta área mira si las defensas están activas en la práctica: políticas, antivirus o EDR, firewall, red y VPN.

Seguridad de la información

Importa lo que está configurado, no lo que dice el manual:

• ¿Las políticas de seguridad están activas en la práctica, no solo en papel?
• Evidencia: configuración aplicada (contraseñas, bloqueos, accesos).

Seguridad de endpoint

Se contrasta lo que reporta la consola con lo que dice el inventario:

• ¿Todos los equipos tienen antivirus o EDR reportando a una consola, y alguien atiende las alertas?
• Evidencia: cobertura de la consola contra el inventario.

Seguridad perimetral y red

Este frente cubre el firewall, la red de invitados y el acceso remoto:

• ¿Hay firewall administrado, red separada para invitados y VPN para trabajo remoto?
• Evidencia: reglas vigentes y lista de accesos remotos.

Soporte y continuidad

Aquí se revisa si te enteras a tiempo de una falla y si puedes volver a operar: monitoreo, registro de incidentes y respaldo.

Monitoreo y soporte

Aquí cuentan el aviso temprano y el historial de lo que ya pasó:

• ¿Nos enteramos de una caída antes que el usuario? ¿Hay registro de incidentes y escalamiento?
• Evidencia: alertas activas e historial de incidentes del último trimestre.

Backup y continuidad

Lo que cuenta es haber restaurado, no solo haber respaldado:

• ¿Hay política de respaldo, destino fuera de la oficina y prueba de restauración? ¿Cuánto tiempo y cuántos datos podemos perder (RTO/RPO)?
• Evidencia: registro de la última restauración exitosa.

Cómo leer el resultado

Al terminar, califica cada frente con una de estas cuatro categorías:

• Cumple: hay evidencia en poder de la empresa.
• Cumple parcial: existe, pero está desactualizado o incompleto.
• No cumple: no hay evidencia, o la tiene solo el proveedor.
• No aplica: el frente no corresponde a la operación. No suma ni resta.

Si tres o más frentes salen en “no cumple”, el riesgo ya no es teórico. Y si la evidencia que falta la tiene solo tu proveedor, cómo saber si tu proveedor de TI está haciendo su trabajo explica cómo pedir copia.

Lo que salga en “no cumple” se confirma en sitio con la auditoría de sistemas de CLOUP.CO, que verifica los mismos frentes con puntaje por frente y hallazgos priorizados.