Once auditorías que puedes contratar por separado o combinadas. Todas terminan en un informe con los hallazgos ordenados por riesgo y la medida concreta para corregir cada uno.
Si no sabes qué necesitas, empieza por la evaluación inicial: es una revisión general que te dice qué auditorías tienen sentido en tu caso y en qué orden.
Si ya sabes qué te preocupa, elige directamente las áreas. Las agrupamos en cuatro bloques.
Para tener una visión general y saber qué ve un atacante desde fuera.
Una visión de 360° en formato reducido: inventario, superficie externa, identidades y doble factor, parcheo, copias de seguridad, protección de equipos, formación y seguridad física básica.
Subdominios, puertos y servicios publicados, certificados caducados, paneles de administración accesibles, almacenamiento en la nube abierto y credenciales corporativas en filtraciones públicas.
Escaneo autenticado y sin autenticar de todo el parque, con descarte manual de falsos positivos y comprobación de los hallazgos críticos.
Lo que hay dentro de la oficina: red, servidores, cuentas y Wi-Fi.
Segmentación y VLAN, reglas del firewall, publicaciones, credenciales por defecto, firmware sin soporte, redes de invitados e IoT/OT y control de acceso a la red.
Revisión frente a los CIS Benchmarks: parcheo, servicios innecesarios, permisos en carpetas compartidas, cifrado, registros, cuentas de servicio, virtualización y bases de datos.
Rutas de escalada de privilegios, cuentas privilegiadas, delegaciones inseguras, GPO mal configuradas, cuentas obsoletas y política de contraseñas real frente a la declarada.
Cifrado y robustez de la clave, aislamiento real de la red de invitados, puntos de acceso no autorizados, WPA Enterprise y alcance de la señal fuera del edificio.
Correo, archivos en la nube y aplicaciones publicadas en internet.
Identidades y permisos, doble factor en administradores, acceso condicional, reglas de reenvío de correo, aplicaciones con consentimiento, compartición externa y registro de auditoría.
Revisión guiada por OWASP: autenticación, sesiones, autorización, inyecciones, subida de ficheros, cabeceras y lógica de negocio en los flujos críticos.
Poder volver a trabajar después de un incidente y proteger la sala técnica.
Que las copias existen, cubren lo que deben, están protegidas frente a borrado y cifrado y se restauran de verdad, con una prueba real de restauración.
Control de acceso a zonas restringidas y a la sala técnica, gestión de visitas, climatización, SAI, protección contra incendios, videovigilancia conforme al RGPD y tomas de red accesibles.
Antes de empezar firmamos el alcance, el acuerdo de confidencialidad y la autorización de pruebas. Sobre los hallazgos críticos y altos hacemos una validación de explotabilidad: comprobamos en la práctica que el riesgo es real, sin denegación de servicio ni modificación de datos y deteniéndonos en cuanto tenemos la prueba. Se planifica para minimizar el impacto, con una autorización específica, ventana horaria acordada y un procedimiento de parada inmediata.
Seguimos referencias reconocidas para que el resultado sea comparable y útil ante terceros:
En empresas de más de 250 usuarios proponemos trabajos acotados y en profundidad: auditorías monográficas (solo Directorio Activo, solo cloud, solo copias), auditoría de seguridad física en varias sedes con la misma metodología, una segunda opinión independiente sobre el trabajo de tu proveedor actual u horas de especialista para reforzar a tu equipo.
Depende de tu entorno y de tus riesgos. Las copias de seguridad suelen ser una prioridad habitual, porque son lo que te permite volver a trabajar tras un incidente, pero no sustituyen al resto de medidas. Si no tienes claro por dónde empezar, la evaluación inicial sirve precisamente para decidirlo.
Lo planificamos para minimizar el impacto. La mayor parte del trabajo es revisión de configuración. Las pruebas que podrían afectar se hacen con autorización, en ventanas acordadas contigo, sin denegación de servicio ni modificación de datos y con un procedimiento de parada inmediata.
No vendemos test de intrusión como producto. Hacemos auditorías técnicas con validación de explotabilidad sobre los hallazgos críticos, que en una pyme suelen encontrar más y con un alcance claro.
NIS2 fija requisitos de ciberseguridad para entidades de determinados sectores, principalmente medianas y grandes, aunque también puede alcanzar a algunas más pequeñas. Revisamos técnicamente tu situación y las medidas que pueden aplicarse.
Esta revisión técnica no sustituye al asesoramiento jurídico.
