Auditoría de ciberseguridad: qué tipos hay y cuál le toca a tu empresa

Una auditoría de ciberseguridad es una revisión independiente que comprueba si una parte concreta de tu empresa resiste un ataque o cumple una norma: la web, la red interna, el correo en la nube o el sistema de gestión de la seguridad.

No existe una auditoría que lo mire todo a la vez con la misma profundidad. Existen tipos, cada uno con su alcance y su precio, y la decisión útil es cuál pedir primero según lo que tienes y lo que te están exigiendo.

Esta guía va de tu situación al tipo que conviene, qué revisa cada uno y en qué momentos se hace. Lo que mueve la cifra de un presupuesto a otro está aparte, en el precio de una auditoría de ciberseguridad.

Qué es una auditoría de ciberseguridad y qué no es

Una auditoría de ciberseguridad se distingue de una revisión informal por tres cosas: un alcance cerrado por escrito antes de empezar, pruebas que otra persona podría repetir y un informe con la evidencia de cada hallazgo. Si falta alguna, lo que tienes es una opinión, por bien informada que esté.

Tampoco es ninguna de estas cosas, con las que se confunde a menudo al pedir presupuesto:

• ›Un escaneo automático de vulnerabilidades. Detecta versiones desactualizadas y fallos conocidos, pero no comprueba si dos fallos menores se pueden encadenar ni sabe qué debería poder hacer cada usuario. Sirve entre auditorías, no en su lugar.
• ›Una certificación. La auditoría que da el certificado de ISO 27001 la hace una entidad de certificación; la que se contrata antes sirve para llegar a ella preparado.
• ›Una vigilancia continua. Es una foto con fecha de un alcance concreto: lo que cambie después queda fuera.
• ›Una garantía. Reduce el riesgo en lo que se ha probado y dice qué corregir. No asegura que no vaya a haber incidentes.

La diferencia con un escaneo, explicada fase a fase, está en qué es una auditoría de pentesting.

Los tipos que existen: técnicas y de cumplimiento

Los tipos de auditoría de ciberseguridad se agrupan en dos familias: las técnicas, que intentan entrar en un activo o revisan su configuración real, y las de cumplimiento, que comprueban si los controles que exige una norma existen y funcionan. Una empresa mediana rara vez necesita todas a la vez.

Auditorías técnicas

Cada una mira un activo distinto, y a veces desde un sitio distinto: desde internet, desde dentro de la red o desde la consola de administración.

• ›Superficie externa: todo lo que tu empresa expone a internet, visto como lo vería alguien sin credenciales.
• ›Aplicación web: la aplicación en la que tus clientes o tu equipo inician sesión, probada con usuarios de cada rol.
• ›Web corporativa o tienda online: el gestor de contenidos, sus complementos y lo que queda accesible desde fuera.
• ›Red interna: qué consigue alguien que ya está dentro, por un equipo infectado o una toma de red libre en una sala de reuniones.
• ›Active Directory: el directorio que decide quién es quién en una red Windows y quién puede administrarla.
• ›WiFi: cifrado, autenticación, aislamiento de la red de invitados y cuánta señal sale del edificio.
• ›Firewall: si las reglas dejan pasar lo que deberían y nada más.
• ›Microsoft 365 o Google Workspace: la configuración del correo y los documentos en la nube, empezando por la verificación en dos pasos.

Quien desarrolla su propio producto tiene además auditorías específicas para APIs, aplicaciones móviles y software de escritorio.

Auditorías de cumplimiento

Revisan el sistema de gestión de la seguridad de la información (SGSI), es decir, las políticas, el análisis de riesgos y los controles con los que la empresa gobierna su seguridad, frente a una norma: ISO 27001, el Esquema Nacional de Seguridad (ENS) en España o la directiva europea NIS2. No buscan una puerta abierta. Buscan el control que está escrito y no se aplica.

Las dos familias se apoyan entre sí. ISO 27001 incluye entre sus controles la gestión de las vulnerabilidades técnicas, y el informe de una auditoría técnica es una de las formas más directas de demostrarla. Cómo se usa ese informe delante del auditor está en pentesting e ISO 27001.

Cuál te toca según tu situación

La forma práctica de elegir es partir de lo que tienes y de lo que te piden, no del catálogo. Esta tabla cruza las situaciones más habituales en una pyme o una mediana empresa con la auditoría que responde a cada una y su precio de partida publicado.

Son precios de partida en euros. El alcance definitivo, cuántas aplicaciones, cuántos roles de usuario o cuántas sedes, mueve la cifra, y por qué la mueve está en el artículo de precios enlazado arriba. Con Google Workspace en lugar de Microsoft 365, la auditoría equivalente parte de la misma cifra.

Qué revisa en una empresa, tipo por tipo

Para decidir no hace falta conocer cada prueba: basta con saber qué pregunta responde cada auditoría y qué deja fuera. Estos son los tipos de la tabla anterior, con lo que miran de verdad.

Superficie externa

Parte de tu dominio y de lo que se sabe de tu empresa en fuentes abiertas para encontrar todo lo que responde desde internet: subdominios que nadie recuerda, servicios abiertos, versiones con vulnerabilidades conocidas y contraseñas de tu personal filtradas en brechas de otros servicios. Se hace en remoto y no hay que instalar nada. Lo que hay detrás de un inicio de sesión queda fuera.

Aplicación web

Se prueba a mano con una cuenta de cada rol, siguiendo la guía de pruebas de OWASP. El trabajo típico es cambiar un identificador en una petición y ver si devuelve la factura de otro cliente, o saltarse un paso de un proceso de compra. Son fallos de lógica que un escáner no reconoce, porque no sabe qué debería poder hacer cada usuario.

Red interna y Active Directory

La auditoría de infraestructura interna empieza desde un punto de la red, como si un equipo ya estuviera comprometido, y mide hasta dónde se llega: qué servidores se alcanzan, qué contraseñas se recogen por el camino y si se acaba con permisos de administrador del dominio. Cuando lo que preocupa es quién tiene privilegios de más, Active Directory se puede auditar por separado.

Microsoft 365 o Google Workspace

Aquí no hay intento de intrusión: es una revisión de configuración contra los CIS Benchmarks, las guías de configuración segura del Center for Internet Security. Se mira si la verificación en dos pasos es obligatoria para todos, qué aplicaciones de terceros tienen permiso para leer el correo y qué documentos están compartidos con cualquiera que tenga el enlace.

SGSI frente a ISO 27001, ENS o NIS2

Compara lo que la empresa tiene escrito con lo que hace en el día a día: análisis de riesgos, gestión de accesos, copias de seguridad, respuesta a incidentes. El resultado es la lista de diferencias frente a la norma y un plan de acción ordenado por prioridad, para llegar a la auditoría de certificación sabiendo qué falta.

Las auditorías de intrusión siguen metodologías públicas, OWASP para aplicaciones y PTES y OSSTMM para el resto, así que puedes saber qué se supone que hay que probar antes de leer el informe.

Cuándo se realiza: los cuatro momentos

Una auditoría de seguridad se realiza en cuatro momentos: antes de lanzar algo nuevo, después de un cambio grande, cuando lo exige una norma y después de un incidente. Fuera de ellos, la referencia habitual es una vez al año.

1. 01Antes de lanzar algo nuevo. Una aplicación, un portal de clientes o una tienda online se auditan antes de abrirlos, cuando corregir todavía no obliga a avisar a nadie.
2. 02Después de un cambio grande. Una migración a la nube, un proveedor nuevo con acceso remoto o un cambio en cómo se inicia sesión cambian lo que se puede atacar, y el informe anterior deja de describir la empresa real.
3. 03Cuando lo exige una norma. En España, el artículo 31.1 del Esquema Nacional de Seguridad obliga a una auditoría ordinaria al menos cada dos años y a una extraordinaria tras modificaciones sustanciales, y el artículo 38.1 exige auditoría para certificar la conformidad en categoría media y alta. Afecta a la administración pública y a las empresas que le prestan servicios. En Latinoamérica cada país tiene su marco, como Chile con la Ley 21.663.
4. 04Después de un incidente, aunque se haya contenido. Si alguien entró, hay que saber por dónde y qué más sigue abierto antes de dar el asunto por cerrado.

La frecuencia según el tipo de activo, y qué cambios obligan a repetir, están en cada cuánto hacer un pentest o auditoría de seguridad.

Auditoría de seguridad web o de la empresa entera

Una auditoría de seguridad web mira una sola cosa, tu aplicación o tu web, y la mira a fondo. Una auditoría de seguridad de la empresa recorre varias capas y, con el mismo presupuesto, dedica menos horas a cada una. Cuál conviene depende de dónde está lo que perderías.

Si el negocio vive en la web, con los pedidos, los datos de clientes o los pagos dentro, la web va primero y no comparte presupuesto con nada. Si la web es un escaparate y lo que importa está en los servidores de la oficina y en el correo, una auditoría de la web no lo va a tocar. Ahí se empieza por la superficie externa, que de paso revisa la web desde fuera, y se sigue por la red interna.

Dentro de lo web hay una distinción que confunde: la web corporativa, la que te representa y suele montarse sobre un gestor de contenidos, y la aplicación web, donde tus clientes inician sesión y operan. No se prueban igual. En la primera pesan los complementos y la configuración; en la segunda, lo que cada rol de usuario puede hacer. Cómo se trabaja la segunda está en pentesting web.

Cómo pedir presupuesto sin comprar una auditoría 360 vacía

Una «auditoría 360» a precio cerrado y sin alcance escrito promete mirarlo todo y no dice qué va a probar, así que no hay forma de compararla con otra. Para que un presupuesto se pueda comparar, pide que diga por escrito al menos esto:

• ›Qué activos entran, con nombre: dominios, aplicaciones, rangos de red, número de usuarios.
• ›Qué tipo de pruebas se hacen, con qué metodología y cuánto del trabajo es manual.
• ›Qué se entrega: si el informe trae la evidencia de cada hallazgo y los pasos para reproducirlo, y si alguien lo explica a dirección.
• ›Si la comprobación de las correcciones está incluida y hasta cuándo se puede pedir.
• ›Las fechas del trabajo, antes de empezar.

En Pentesting Team el alcance se cierra por escrito antes de empezar y el precio de partida de cada tipo está publicado en su ficha. El presupuesto suele llegar en unas 24 horas y el informe en unos 10 días, según el alcance. Incluye la presentación de resultados a dirección y un retest que puedes pedir cuando hayas corregido, dentro de los seis meses siguientes a la entrega.

Si no sabes por dónde empezar, empieza por la auditoría de superficie externa: parte de 450 €, se hace en remoto y su resultado dice qué conviene auditar después. Si ya sabes lo que necesitas, en servicios están los trece tipos con su alcance y su precio de partida.