Una auditoría de ciberseguridad es una revisión ordenada de cómo protege una empresa su información: equipos, cuentas, web, copias de seguridad, proveedores y personas. El resultado es una foto de los riesgos y una lista de mejoras por orden de importancia.
Si un cliente grande te la pide, si has sufrido un susto o simplemente quieres saber dónde estás, esta guía te explica qué revisa, qué tipos hay y cómo prepararte.
Qué revisa una auditoría de ciberseguridad
- Inventario. Qué equipos, programas, servicios en la nube y datos tiene la empresa.
- Accesos. Quién entra en cada herramienta, con qué permisos, si hay doble factor y qué pasa cuando alguien deja la empresa.
- Actualizaciones. Sistemas operativos, programas, web y plugins al día.
- Copias de seguridad. Si existen, si están fuera de la oficina o del servidor y si se ha probado a restaurarlas.
- Red y correo. Wifi de invitados separado, cortafuegos, filtros contra phishing y configuración del dominio de correo.
- Web. Certificado HTTPS, formularios protegidos, versión del gestor de contenidos y permisos de usuarios.
- Proveedores. Qué empresas acceden a tus sistemas o datos y con qué garantías.
- Personas. Formación, contraseñas y cómo se avisa de un incidente.
- Protección de datos. Que el tratamiento de datos personales cumple el RGPD.
Tipos de auditoría
| Tipo | Qué es | Para quién |
|---|---|---|
| Diagnóstico o autoevaluación | Cuestionario y revisión básica de configuración | Cualquier pyme como primer paso |
| Auditoría técnica de vulnerabilidades | Análisis automático y manual de equipos, red y web | Empresas con web, tienda online o servidores propios |
| Prueba de intrusión (pentest) | Un especialista intenta entrar como lo haría un atacante | Empresas con datos sensibles o exigencia de clientes |
| Auditoría de cumplimiento | Comprueba que se cumple una norma (ENS, ISO 27001) | Proveedores del sector público o de grandes empresas |
Cuándo la necesita una pyme
- Un cliente o una administración te la exige para contratar.
- Vendes online o guardas datos de clientes (sobre todo de salud o pagos).
- Has tenido un incidente: correo suplantado, web hackeada, ransomware.
- Vas a cambiar de sistemas o pasar a la nube.
- Nadie en la empresa sabe responder a «¿qué pasaría si mañana se borra todo?».
Lista de comprobación para prepararla
Con esto resuelto, la auditoría se centrará en lo importante y no en lo evidente:
- Lista de herramientas y servicios que usáis, con su responsable.
- Doble factor activado en correo, banca, gestor de la web y redes sociales.
- Gestor de contraseñas en lugar de contraseñas repetidas o en una hoja.
- Copia de seguridad automática fuera del servidor y una restauración de prueba hecha.
- Equipos y web actualizados, sin plugins abandonados.
- Bajas de empleados con retirada de accesos el mismo día.
- Formularios de la web con consentimiento y datos guardados de forma segura.
- Un procedimiento sencillo de qué hacer y a quién avisar si hay un incidente.
Muchos de estos puntos se pueden dejar automatizados para que no dependan de la memoria de nadie. Lo explicamos en automatización del cumplimiento en ciberseguridad.
Lo que suele encontrar una auditoría en una pyme
Los fallos más habituales no son sofisticados. Casi siempre aparecen los mismos:
- Cuentas de antiguos empleados activas. Correo, programa de gestión o redes sociales a los que alguien que ya no está en la empresa puede seguir entrando.
- Copias que nunca se han probado. La copia existe, pero nadie sabe si se puede restaurar ni cuánto tardaría.
- Una contraseña para todo. La misma clave en el correo, el banco y la web, y a veces compartida por varias personas.
- Webs y plugins sin actualizar. Es una de las puertas de entrada más comunes, sobre todo en WordPress.
- Correo sin protección contra suplantación. Sin los registros SPF, DKIM y DMARC del dominio, cualquiera puede enviar correos que parecen tuyos.
- Nadie sabe qué hacer si pasa algo. No hay un responsable ni un teléfono al que llamar.
La buena noticia es que casi todos se corrigen en poco tiempo y sin gran inversión.
Qué hacer después del informe
El informe solo sirve si se actúa. Ordena las mejoras por riesgo y esfuerzo, empieza por lo crítico y barato (doble factor, copias, actualizaciones) y pon fecha a cada punto. Repite la revisión una vez al año o cuando cambien tus sistemas.
Dudas frecuentes
¿Cuánto dura una auditoría?
Un diagnóstico básico de una pyme puede hacerse en pocos días. Un pentest o una auditoría de cumplimiento llevan semanas.
¿Quién debe hacerla?
Para un diagnóstico, alguien con conocimientos técnicos de confianza. Para un pentest o una certificación, una empresa especializada e independiente.
¿Hacéis auditorías de ciberseguridad?
No hacemos pentests ni certificaciones. Sí nos ocupamos de que tu web esté actualizada, con copias y protegida (mantenimiento web), y de que los datos que entran por tus formularios y tu sistema de captación de clientes se guarden de forma segura.
Si quieres la visión completa, lee nuestra guía: Cómo automatizar pedidos en tu empresa: del mensaje del cliente a la factura.
Artículos relacionados
- Automatización del cumplimiento en ciberseguridad: qué puede automatizar una pyme
- Script para chatbot: cómo escribir el guion paso a paso (con ejemplo)
- Las mejores herramientas para analizar las citaciones de tu marca en motores de respuesta con IA
¿Revisamos tu web?
Si quieres saber cómo está tu web en seguridad, velocidad y Google, pide una revisión gratis de 30 minutos.
