Auditoría de sistemas: qué revisa y cuándo la necesita una empresa

Una auditoría de sistemas responde una pregunta simple: ¿la operación de TI de la empresa está bajo control, y hay evidencia de eso?

No busca culpables ni reemplaza al área de sistemas o al proveedor. Deja por escrito qué está bien, qué es un riesgo y en qué orden conviene atenderlo.

Qué revisa una auditoría de sistemas

Una auditoría seria no se queda en una encuesta: revisa frentes concretos y pide evidencia de cada uno. En CLOUP.CO son 11 frentes agrupados en 4 áreas, que se resumen así:

1. Gobierno y evidencia. Documentación y procesos, inventario de hardware, software y licencias, contratos con terceros y cumplimiento de datos personales (Ley 1581).
2. Identidad, correo y personas. Quién es dueño del dominio y del correo, si hay segundo factor (MFA), quién tiene cuentas de administrador y si el equipo sabe reconocer un phishing.
3. Defensa en operación. Políticas de seguridad que de verdad están activas, cobertura del antivirus o EDR en los equipos, firewall, red y VPN.
4. Soporte y continuidad. Monitoreo, registro de incidentes y un respaldo que se haya restaurado de verdad, no solo programado.

Todo el recorrido se rige por una sola regla: lo que la empresa no puede mostrar no se da por cumplido, y lo que solo está en manos del proveedor tampoco cuenta como evidencia suya.

Para hacer ese ejercicio por tu cuenta, el checklist de auditoría de TI para pymes recorre los frentes uno por uno. Y si la duda es si tu proveedor actual cumple, ocho preguntas para tu proveedor de TI explican cómo pedir esa evidencia.

Qué entrega

El resultado de la auditoría se organiza en tres partes:

• Un puntaje por frente y uno global. Cada punto se califica como cumple, cumple parcial, no cumple o no aplica.
• Hallazgos verificados, separados de lo que queda pendiente de terceros. Lo que no se pudo verificar se declara no verificado.
• Prioridades 1, 2 y 3, para saber qué atender primero.

No es un plan de implementación ni un dictamen de certificación. Es el estado actual, con evidencia.

Cuándo la necesita una empresa

Estas son las cinco situaciones en las que una empresa suele necesitarla:

• Antes de cambiar de proveedor de TI. Para saber qué estás entregando y qué te deben devolver.
• Cuando la gerencia no puede verificar lo que se ejecuta sobre su propia infraestructura.
• Después de un incidente: una caída larga, un correo comprometido o un respaldo que no restauró.
• Cuando todo depende de una persona. Si esa persona falta, nadie sabe dónde están las claves, el inventario ni las licencias.
• Cuando la empresa creció y la TI sigue funcionando como cuando eran cinco personas.

Con cualquiera de ellas sobre la mesa, el primer paso es el mismo: tener el estado actual por escrito.

Auditoría de sistemas no es lo mismo que un pentest

Un pentest simula un ataque para encontrar vulnerabilidades explotables. Una auditoría de sistemas mide si la operación está bajo control: inventario, accesos, respaldo y monitoreo. Son trabajos distintos, y si el problema es de gobierno, un pentest no lo resuelve.

La comparación completa, con ISO 27001 incluida y el orden en que conviene pedirlos, está en auditoría informática, pentest o ISO 27001.

Cómo se hace sin frenar la operación

El trabajo avanza en cuatro pasos:

1. Entrevista con quien responde por tecnología y con administración.
2. Revisión de los documentos que la empresa tiene en su poder.
3. Verificación técnica en sitio, en consolas y en una muestra de equipos. No se cambian configuraciones ni datos, y no se piden claves de administrador: se verifica acompañado.
4. Consolidación del puntaje, el semáforo por frente y los hallazgos.

El tiempo típico es una jornada en sitio más la consolidación. En CLOUP.CO ese ejercicio es la auditoría de sistemas para empresas. De qué depende su valor lo explica cuánto cuesta una auditoría de sistemas.