Auditoría de seguridad técnica
Un diagnóstico independiente de lo que un atacante encontraría, priorizado por riesgo real y con un plan de corrección concreto.
El problema
Casi ninguna organización sabe con precisión qué tiene expuesto. No por dejadez, sino porque la exposición se acumula: un puerto que se abrió para una prueba, un servicio publicado por un proveedor que ya no trabaja con la empresa, un entorno de pruebas accesible desde Internet, una interfaz de administración que quedó accesible tras una migración.
Lo mismo ocurre con los privilegios. Se conceden por una necesidad puntual y no se retiran. Al cabo de unos años hay usuarios con derechos de administrador que nadie recuerda haber concedido y cuentas de servicio con permisos muy superiores a lo que su función requiere.
Y luego está la pregunta que casi nunca se hace: si mañana toda la plataforma estuviera cifrada, ¿desde dónde se recuperaría, cuánto se tardaría y quién lo haría? Una auditoría de seguridad que no responda a eso está incompleta.
Qué hace IT Encore
Realizamos auditorías técnicas de seguridad con un alcance acordado por escrito y un entregable concreto: un informe de hallazgos priorizados por riesgo real en ese entorno, con recomendación y estimación de esfuerzo para cada uno.
La auditoría se contrata como trabajo cerrado y no obliga a nada. El cliente se queda con el informe y decide qué hacer con él, incluida la opción de ejecutar las correcciones con otro proveedor. Esa independencia es lo que da valor al diagnóstico.
Cuando el cliente lo autoriza, ampliamos el alcance a pruebas de intrusión —internas o externas— para verificar de forma práctica si los hallazgos son explotables. Esa parte se realiza siempre con autorización expresa y con las ventanas acordadas.
Ámbitos que se revisan
- Exposición. Qué está publicado hacia Internet: servicios, puertos, paneles de administración y superficies olvidadas.
- Infraestructura. Servidores, hipervisores, almacenamiento y equipamiento de red, con sus versiones y su estado de soporte.
- Configuración. Endurecimiento de sistemas, servicios activos innecesarios y valores por defecto sin revisar.
- Sistemas. Actualizaciones pendientes, software fuera de soporte y vulnerabilidades conocidas.
- Redes. Segmentación, reglas de firewall, accesos remotos y separación entre entornos.
- Privilegios. Cuentas administrativas, cuentas de servicio, permisos heredados y accesos de terceros.
- Identidad. Política de contraseñas, segundo factor, cuentas inactivas y accesos desde ubicaciones inhabituales.
- Correo. SPF, DKIM, DMARC, reglas de reenvío sospechosas y protección frente a suplantación.
- Backup. Qué está protegido, con qué retención, dónde reside y quién podría borrarlo.
- Recuperación. Capacidad real de reconstruir la plataforma, contrastada mediante pruebas cuando se autoriza.
- Microsoft 365. Configuración del tenant, privilegios, compartición externa y políticas de seguridad.
Cómo se desarrolla
- 1
Alcance y autorización
Qué se revisa, con qué profundidad, en qué ventanas y con qué autorizaciones expresas.
- 2
Reconocimiento externo
Qué se ve de la organización desde fuera: dominios, servicios publicados y superficie expuesta.
- 3
Revisión interna
Configuración, privilegios, segmentación, actualizaciones y estado de la copia.
- 4
Verificación
Comprobación práctica de los hallazgos y, si está autorizado, pruebas de intrusión acotadas.
- 5
Análisis de riesgo
Cada hallazgo se valora por impacto y probabilidad en ese entorno concreto.
- 6
Informe
Hallazgos priorizados, con evidencia, recomendación y estimación de esfuerzo.
- 7
Presentación
Sesión de revisión con el equipo del cliente para ordenar el plan de acción.
Sobre el alcance y la autorización
Toda actividad de auditoría se realiza con autorización expresa y por escrito del responsable de los sistemas, y limitada a los activos incluidos en el alcance acordado.
Las pruebas que pueden tener impacto sobre el servicio —comprobaciones intrusivas, pruebas de denegación o pruebas de conmutación— sólo se ejecutan si el cliente las autoriza específicamente y en la ventana que determine.
Preguntas frecuentes
¿En qué se diferencia de un escaneo de vulnerabilidades?
Un escaneo automatizado produce una lista de hallazgos técnicos sin contexto. Una auditoría interpreta esa información: descarta lo que no es explotable en ese entorno, incorpora lo que ninguna herramienta detecta —privilegios, segmentación, estado del backup— y prioriza según el impacto real para el negocio.
¿Incluye pruebas de intrusión?
Puede incluirlas, como alcance ampliado y siempre con autorización expresa. Realizamos pentesting interno y externo desde 2017. Hay clientes que empiezan por la auditoría de configuración y añaden las pruebas de intrusión en una segunda fase.
¿Afecta a la producción?
La revisión de configuración es de sólo lectura y no tiene impacto. Las pruebas que sí podrían tenerlo se realizan únicamente con autorización específica y en ventanas acordadas.
¿Sirve para responder a un cuestionario de cliente o de seguro?
Habitualmente sí. El informe aporta la evidencia técnica que suelen requerir esos cuestionarios y las auditorías externas. No emitimos certificaciones de norma, pero documentamos el estado real, que es lo que después hay que poder sostener.
Servicios relacionados
Servicios gestionados de ciberseguridad
Hardening, revisión continua, gestión de vulnerabilidades, perímetro, endpoint, identidad y correo.
Ver servicioAuditoría de infraestructura TI
Servidores, virtualización, almacenamiento, red, backup, HA, obsolescencia y riesgos.
Ver servicioSeguridad de Microsoft 365
MFA, Entra ID, acceso condicional, privilegios, protección de correo y auditoría del tenant.
Ver servicioSolicite una auditoría de seguridad
Alcance cerrado, entregable concreto y sin compromiso de continuidad.