Auditoría informática, pentest o ISO 27001: cuál necesita tu empresa

Una auditoría informática mide si la operación de TI está bajo control, un pentest busca por dónde entraría un atacante e ISO 27001 es un sistema de gestión de seguridad que se puede certificar. Se piden como si fueran lo mismo y no lo son: cada uno responde una pregunta distinta.

La tabla los compara criterio por criterio:

La primera columna es el trabajo que se detalla en el artículo sobre auditoría de sistemas: qué revisa y cuándo la necesita una empresa. Las otras dos responden preguntas que conviene hacerse después de ese punto de partida.

Cuál pedir primero

Si no sabes dónde está tu inventario, quién es dueño del dominio o si el respaldo restaura, empieza por la auditoría informática. Un pentest sobre una operación sin control encuentra cosas, pero no te dice qué arreglar primero ni por qué pasó. Y ninguna empresa llega a ISO 27001 sin saber primero qué tiene.

Con esa lógica, el orden razonable es este:

1. Auditoría informática: estado actual y prioridades.
2. Corregir lo crítico: respaldo, MFA y cuentas privilegiadas.
3. Pentest, cuando la base está en orden, para probar las defensas.
4. ISO 27001, solo si un cliente o el negocio la exige.

En CLOUP.CO el primer paso es la auditoría de sistemas para empresas; y si lo que buscas son vulnerabilidades explotables, está la auditoría en ciberseguridad.

Si antes de contratar nada prefieres un primer barrido interno, el checklist de auditoría de TI para pymes recorre los 11 frentes con una pregunta y una evidencia por cada uno. Y para presupuestar, cuánto cuesta una auditoría de sistemas explica de qué depende el valor.

Errores comunes

Tres errores de elección conviene evitar:

• Pedir un pentest para “saber cómo estamos”. El pentest mira la puerta. No te dice si el inventario existe.
• Contratar una “auditoría ISO” sin necesitar la certificación. Es un proyecto largo y caro para responder una pregunta que una auditoría interna resuelve en días.
• Creer que una auditoría interna certifica. Sirve como insumo para una certificación, pero no la reemplaza.

En los tres casos se pide un trabajo para responder una pregunta que le toca a otro. No certificamos ISO ni ninguna norma: si la necesitas, la auditoría interna te deja el punto de partida para trabajar con un ente certificador.