Auditoría de ciberseguridad y pentesting: encuentra tus brechas antes que un atacante

Sí, porque no es un ataque libre: antes de empezar se firma una autorización formal con el alcance exacto, los sistemas incluidos y excluidos, las ventanas horarias y las reglas de actuación (rules of engagement). Las pruebas con riesgo de afectar al servicio se avisan y se pactan previamente, y cualquier hallazgo crítico se te comunica de inmediato, sin esperar al informe final. En años de auditorías, el riesgo real para producción es mínimo comparado con el de no conocer tus vulnerabilidades.

El análisis de vulnerabilidades detecta fallos conocidos de forma amplia y sistemática, normalmente con herramientas automatizadas; el pentesting va un paso más allá e intenta explotarlos de forma manual y controlada para demostrar hasta dónde llegaría un atacante real: qué datos vería, qué sistemas comprometería. El primero te da amplitud a buen coste; el segundo, profundidad y evidencias que convencen a una dirección o a un cliente. En la mayoría de auditorías combinamos ambos enfoques.

Dos documentos y una reunión. Un informe ejecutivo para gerencia —riesgo global, hallazgos principales y qué decisión tomar— y un informe técnico con cada vulnerabilidad, su evidencia, su gravedad según severidad estándar y las instrucciones para corregirla, todo ordenado en un plan de remediación priorizado. La reunión de presentación de resultados sirve para resolver dudas con tu equipo o tu proveedor IT, que puede ejecutar las correcciones: el informe está pensado para que cualquier técnico competente pueda actuar.

Sí. Adaptamos el alcance y el formato del informe al requisito que necesites cubrir: auditorías técnicas periódicas del Esquema Nacional de Seguridad, evidencias para la certificación o el mantenimiento de la ISO 27001, cuestionarios de ciberseguros o exigencias de seguridad de un cliente grande que audita a sus proveedores. Nos dices qué te piden —o nos pasas el cuestionario directamente— y dimensionamos la auditoría para responderlo sin pagar por pruebas que ese requisito no exige.

Depende del alcance: no cuesta lo mismo revisar la exposición externa de una pyme que auditar aplicaciones web, red interna y WiFi de varias sedes. Por eso empezamos con una reunión de alcance (scoping) sin coste, en la que definimos sistemas, objetivos y ventanas de trabajo, y sobre ella emitimos un presupuesto cerrado, sin sorpresas posteriores. La duración típica va de una a varias semanas entre pruebas e informe. Solicita el scoping y tendrás cifras concretas para decidir.

Con contrato y con procedimiento. Antes de la primera prueba firmamos acuerdo de confidencialidad y una autorización que delimita qué podemos hacer y con qué información. Las evidencias se almacenan cifradas, solo acceden a ellas los auditores asignados y los informes se entregan por canal seguro únicamente a las personas que designes. Terminado el trabajo y el re-test, eliminamos de nuestros sistemas los datos sensibles recopilados. El resultado de una auditoría es información crítica y la tratamos como tal.

Como norma general, una auditoría completa al año y una revisión adicional tras cambios importantes: nueva web o ERP, migración a la nube, apertura de accesos remotos o una fusión. Entre auditorías, un análisis de vulnerabilidades periódico mantiene la foto actualizada a menor coste. También ofrecemos re-test después de la remediación para verificar que los fallos corregidos han quedado realmente cerrados, que es lo que exigen cada vez más ciberseguros y clientes corporativos.