Una cuenta de correo que conserva acceso tras la salida de un empleado, un portátil sin cifrar o una carpeta compartida con permisos excesivos pueden detener una operación sin que nadie haya vulnerado el perímetro. Saber cómo auditar seguridad informática interna permite detectar esos fallos cotidianos antes de que se conviertan en una fuga de datos, un fraude o una interrupción costosa.
Para una pyme, una auditoría interna no debe ser un ejercicio burocrático ni una revisión técnica que termine en un informe incomprensible. Debe responder a preguntas de negocio muy concretas: quién puede acceder a la información crítica, si los sistemas se pueden recuperar, qué controles fallan en la práctica y qué riesgo merece atención primero.
Qué debe revisar una auditoría interna de seguridad
La seguridad interna abarca tanto la tecnología como las personas y los procesos. Un antivirus actualizado ayuda, pero no compensa contraseñas compartidas, accesos administrativos sin control o copias de seguridad que nunca se han probado.
El alcance debe adaptarse al tamaño y actividad de la empresa. Una asesoría, un despacho profesional o una empresa comercial no protegen exactamente los mismos activos, aunque todas suelen manejar información de clientes, datos financieros, correo corporativo y documentos operativos. El objetivo es identificar dónde reside esa información, quién la utiliza y qué ocurriría si se perdiera, se alterara o quedara expuesta.
Antes de empezar, defina el periodo de revisión, las áreas implicadas y el responsable que validará los hallazgos. Conviene incluir dirección, administración, recursos humanos y responsables de cada área que gestione datos relevantes. La seguridad no es solo responsabilidad del departamento de TI.
Cómo auditar seguridad informática interna paso a paso
1. Inventarie activos, sistemas y datos críticos
No se puede proteger lo que no se conoce. El primer paso es construir un inventario actualizado de equipos, servidores, dispositivos móviles, aplicaciones, cuentas en la nube, licencias y conexiones de red. Debe indicar quién es responsable de cada activo, dónde se encuentra y si contiene información sensible.
Clasifique también los datos. Por ejemplo, los expedientes de clientes, nóminas, facturas, contratos y credenciales requieren un nivel de protección mayor que un material comercial público. Esta clasificación facilita tomar decisiones proporcionadas: no todos los activos justifican el mismo control ni el mismo gasto.
Una revisión útil debe detectar, entre otros, estos puntos:
- Equipos personales utilizados para tareas de empresa sin una política definida.
- Aplicaciones contratadas directamente por departamentos sin validación de TI.
- Carpetas compartidas cuyos propietarios ya no trabajan en la organización.
- Cuentas genéricas para acceder a correo, software de gestión o banca empresarial.
- Dispositivos y licencias sin soporte o sin actualizaciones de seguridad.
El inventario no tiene que ser perfecto desde el primer día. Pero sí debe ser suficientemente fiable para revelar las zonas sin propietario y los sistemas que operan fuera del control habitual.
2. Revise identidades, permisos y accesos privilegiados
Los accesos son uno de los focos principales de una auditoría. Revise todas las cuentas activas: empleados, proveedores, personal temporal, cuentas de servicio y administradores. Compare el listado con los registros de recursos humanos para localizar usuarios inactivos, duplicados o que mantienen permisos tras un cambio de puesto.
Aplique el principio de mínimo privilegio: cada persona debe tener acceso únicamente a lo necesario para desempeñar su función. Un responsable de ventas puede necesitar consultar datos de clientes, pero no modificar nóminas ni administrar el servidor. Cuando una misma cuenta tiene permisos excesivos, un error humano o una credencial robada tiene mayor impacto.
Compruebe que la autenticación multifactor está activada, especialmente en correo, VPN, plataformas cloud y cuentas administrativas. También revise cómo se almacenan las contraseñas. Compartirlas por mensajes, hojas de cálculo o notas adhesivas no es un problema menor: impide atribuir acciones y dificulta retirar accesos de forma segura.
Los privilegios de administrador merecen una revisión separada. Deben estar limitados, documentados y utilizarse solo cuando sea necesario. En algunas pymes, la rapidez parece justificar que varias personas tengan control total. El ahorro inicial puede convertirse en un riesgo alto cuando no existe trazabilidad sobre cambios, instalaciones o eliminaciones de información.
3. Verifique la configuración técnica y las actualizaciones
Una auditoría interna debe comprobar si los controles técnicos están activos y correctamente configurados, no solo si se han adquirido. Revise el estado de actualizaciones de sistemas operativos, aplicaciones, firmware de dispositivos de red y herramientas de protección. Las versiones sin soporte son una prioridad porque dejan vulnerabilidades conocidas sin corrección.
Examine la red interna: separación entre equipos de trabajo, invitados y dispositivos críticos; configuración del cortafuegos; accesos remotos; y registro de conexiones. Una red plana puede facilitar que una incidencia en un ordenador alcance rápidamente al servidor, las copias de seguridad o los sistemas de facturación.
El cifrado de portátiles y dispositivos móviles también debe comprobarse. Si un equipo se pierde durante un desplazamiento, la contraseña de inicio no siempre basta para impedir el acceso a sus datos. Del mismo modo, valide que las soluciones antimalware, filtrado de correo y supervisión de eventos estén gestionadas de forma centralizada y generen alertas que alguien revise.
4. Ponga a prueba las copias de seguridad y la recuperación
Una copia de seguridad solo es fiable cuando puede restaurarse en el tiempo previsto. Solicite evidencia de las últimas ejecuciones, pero no se quede ahí. Seleccione archivos, bases de datos o una aplicación esencial y realice una recuperación controlada. Documente cuánto tarda, qué pasos exige y si los datos recuperados son completos.
La auditoría debe confirmar que existen copias separadas del entorno principal y protegidas frente a borrados o cifrado malicioso. Mantenerlas conectadas permanentemente al mismo sistema reduce su valor ante un ransomware. También es recomendable revisar quién puede eliminar copias, cambiar políticas de retención o acceder a los repositorios.
El criterio no es disponer de una gran cantidad de respaldos, sino poder reanudar la actividad. Para ello, acuerde con dirección cuánto tiempo puede estar parada cada función crítica y cuánta información se acepta perder como máximo. Esas dos decisiones orientan la frecuencia de copia y el diseño de recuperación.
5. Evalúe procesos, personas y respuesta ante incidentes
Los controles técnicos fallan si el proceso de altas y bajas de empleados no funciona. Revise qué ocurre cuando entra una persona, cambia de departamento o abandona la empresa. Debe haber un flujo claro para aprobar accesos, retirar permisos, recuperar equipos y desactivar cuentas sin demoras.
Hable con una muestra de usuarios. No se trata de buscar culpables, sino de comprobar si saben reconocer un correo sospechoso, dónde reportar una incidencia y qué hacer ante la pérdida de un móvil o un documento. Una formación breve y recurrente suele ser más eficaz que una sesión anual extensa que nadie recuerda.
También conviene comprobar que existe un procedimiento de respuesta ante incidentes. Debe indicar quién toma decisiones, cómo se aísla un equipo, cuándo se comunica a clientes o proveedores y cómo se preservan evidencias. No todas las empresas necesitan un equipo interno especializado, pero todas necesitan evitar la improvisación durante las primeras horas de una incidencia.
Cómo documentar los hallazgos sin paralizar el negocio
El resultado de la auditoría debe ser un plan de acción priorizado, no una lista interminable de problemas. Para cada hallazgo, describa el activo afectado, la evidencia observada, el posible impacto, la probabilidad de que ocurra y el responsable de corregirlo. Asigne una fecha objetivo realista.
Priorice primero los riesgos que combinan alta exposición y gran impacto: cuentas de exempleados activas, falta de copias recuperables, accesos administrativos compartidos, sistemas sin soporte o ausencia de multifactor en el correo. Después aborde mejoras de madurez, como perfeccionar el inventario o formalizar revisiones periódicas.
No toda corrección requiere comprar una herramienta nueva. A veces el mayor avance procede de depurar permisos, activar funciones ya incluidas en una plataforma, definir responsables o aplicar actualizaciones pendientes. En otros casos, como la supervisión continua, la respuesta a incidentes o la protección de entornos híbridos, contar con un socio especializado puede reducir carga operativa y aportar una visión independiente. LaNet trabaja este tipo de revisión conectando las medidas de seguridad con la continuidad real del negocio.
Convierta la auditoría en una práctica recurrente
La seguridad cambia cuando cambia la empresa: se incorpora personal, se abre una nueva sede, se adopta una aplicación cloud o un proveedor obtiene acceso remoto. Por eso, una auditoría anual puede ser suficiente para algunos entornos estables, pero resulta escasa para organizaciones que modifican con frecuencia sus sistemas o manejan información especialmente sensible.
Establezca revisiones trimestrales de accesos, actualizaciones y copias de seguridad, y repita la evaluación completa al menos una vez al año o tras un incidente relevante. Mida el avance con indicadores sencillos: porcentaje de equipos actualizados, cuentas con multifactor, restauraciones probadas y hallazgos cerrados dentro del plazo.
Una buena auditoría no pretende demostrar que la empresa es invulnerable. Su valor está en ofrecer claridad para decidir qué proteger primero, qué riesgos aceptar de forma consciente y qué acciones permiten que la operación siga funcionando cuando algo falla.