¿Qué es una auditoría de seguridad informática?
Una auditoría de seguridad informática revisa, con evidencia, si tu nube, tus repositorios, tus servidores y tu aplicación están configurados para resistir un ataque y para recuperarte si ocurre. No es un examen para aprobar: es un inventario de lo que está abierto, ordenado por riesgo, con la corrección de cada hallazgo y la prueba de que quedó cerrado.
Muchas empresas creen que auditar es llenar un cuestionario o revisar que el antivirus esté al día. Hoy el riesgo vive en otro lado: en una llave de acceso olvidada en la nube, en un token de GitHub con más permisos de los necesarios, en un servidor con SSH abierto a todo internet o en un formulario de login sin límite de intentos. Una auditoría útil revisa todo eso y te dice qué corregir primero.
¿Qué revisa una auditoría de seguridad informática?
Cinco frentes, en el orden en que suele avanzar un ataque: la cuenta de nube, que es la llave de todo; el código y quién puede cambiarlo; los servidores que dan la cara a internet; la aplicación; y al final tu capacidad de recuperarte.
| Frente | Qué se revisa | Hallazgo típico |
|---|---|---|
| Nube (AWS) | Cuenta raíz, identidades y MFA, registro y detección, alertas de costo, almacenamiento, bases de datos, red, secretos, respaldos y políticas de organización | Llaves de acceso sin rotar desde hace años |
| Repositorios (GitHub) | Identidad y acceso, tokens y llaves de despliegue, visibilidad, secretos filtrados, integridad del código, webhooks y auditoría de actividad | Una contraseña de producción en el historial de commits |
| Código de la aplicación | Inyección SQL, fuerza bruta y autenticación, secretos en el código, XSS y CSRF, dependencias, manejo de errores, validación y subida de archivos | Un login sin límite de intentos |
| Servidores | Archivos expuestos, TLS/HTTPS, acceso SSH, firewall y red, actualizaciones, servicios y entornos, registros, respaldos y cabeceras de seguridad | Un archivo «.env» que se descarga desde internet |
| Continuidad | Respaldos inmutables, copia en otra región, tiempos de recuperación definidos y simulacros de restauración | Respaldos que nadie ha intentado restaurar |
Cada frente tiene su guía. La nube se detalla en qué revisa una auditoría de seguridad AWS, y los servidores en la guía de hardening de servidores. Recuerda el reparto que hace AWS en su modelo de responsabilidad compartida: el proveedor protege la infraestructura, pero tus usuarios, tus datos, tu red y el sistema operativo de tus servidores son tuyos.
Los marcos de referencia: NIST CSF 2.0 y CIS Controls v8.1
Una auditoría seria no inventa su propia lista. El NIST Cybersecurity Framework 2.0, publicado el 26 de febrero de 2024, está pensado para organizaciones de cualquier tamaño y ordena la seguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. Sirve para ver qué función tienes descuidada, no solo qué servidor.
Los CIS Controls v8.1 bajan eso a la práctica en 18 controles, del inventario de activos a la respuesta a incidentes. Su primer grupo de implementación, IG1, reúne 56 salvaguardas que el CIS llama higiene cibernética esencial: el mínimo para cualquier empresa. Si nunca has auditado, empieza por ahí.
¿En qué se diferencia de un pentest y de una certificación?
Se confunden mucho, pero responden preguntas distintas:
| Auditoría de seguridad | Pentest | Certificación (ISO 27001) | |
|---|---|---|---|
| Pregunta | ¿Qué tengo mal configurado y qué corrijo primero? | ¿Alguien puede entrar, y hasta dónde llega? | ¿Mi sistema de gestión cumple la norma? |
| Cómo se hace | Revisión control por control con acceso de solo lectura | Ataque simulado y autorizado | Auditoría de un organismo certificador a políticas, procesos y controles |
| Qué entrega | Hallazgos priorizados, correcciones y evidencia antes y después | Fallas explotadas y su impacto | Un certificado con vigencia |
No son excluyentes. Los propios CIS Controls ponen las pruebas de penetración como el último de sus 18 controles, después de tener lo básico en orden. Por eso conviene auditar y corregir primero, y hacer el pentest sobre un sistema ya limpio. Lo explicamos a fondo en pentest o auditoría de seguridad. Y si vas hacia ISO 27001, revisa cómo preparar la auditoría de ISO 27001: la parte técnica de los controles es justo lo que una auditoría de seguridad deja documentado.
¿Qué entregables debes exigir y cada cuánto hacerla?
- Un inventario de lo que se revisó: qué cuentas, repositorios, servidores y aplicaciones entraron, y qué quedó fuera.
- Hallazgos priorizados por riesgo real, no 300 alertas sin orden. Cada uno con qué es, por qué importa y dónde está.
- La corrección de cada hallazgo, preparada: qué se cambia, por qué y cómo se revierte si algo falla.
- Evidencia antes y después, control por control, del mismo motor de revisión. Es lo que prueba que algo se cerró.
- Una línea base para medir la siguiente revisión.
Sobre la frecuencia: una auditoría completa al año como mínimo, y otra después de cada cambio grande, como una migración a la nube, un sistema nuevo, la salida de alguien con acceso de administrador o un incidente. Entre una y otra, vigilancia continua, porque la configuración cambia cada semana. Un PDF describe cómo estaba todo el día que se hizo; una semana después alguien abre un puerto y nadie se entera.
¿Cómo hace Security OS una auditoría de seguridad informática?
Security OS es la plataforma de auditoría y corrección de seguridad de WITS. Sus agentes especializados recorren los cuatro módulos (nube, repositorios, código y servidores) y suman continuidad. Trabaja en tres fases, que son también sus planes:
- Diagnóstico: con acceso de solo lectura, el auditor de nube, el vigía de repositorios, el revisor de código y el escáner de servidor dejan tu línea base, los hallazgos priorizados y el plan de corrección.
- Corrección: el remediador prepara cada cambio con su reversa. Tú lo autorizas, se aplica y queda registrado, con el comparativo antes y después.
- Vigilancia: el motor vuelve a correr la misma auditoría, el analista de alertas traduce lo que reporta la nube y recibes un reporte mensual contra tu línea base.
Security OS no es un SOC 24/7 con analistas mirando pantallas, no otorga certificaciones y no hace pentest. Lee configuraciones y metadatos, no el contenido de tus bases de datos ni de tus archivos. Si quieres empezar por algo rápido, el chequeo gratis de PHP revisa en segundos lo que tu sitio anuncia, y las alertas de la semana te dicen qué vulnerabilidades importan hoy. Para el resto, conoce Security OS.
Cuéntanos qué nube, repositorios y servidores usas. Te respondemos con el alcance del diagnóstico y su precio antes de empezar.
Solicitar diagnósticoPreguntas frecuentes
¿Qué es una auditoría de seguridad informática?
Es una revisión con evidencia de tu nube, repositorios, servidores, aplicación y continuidad. Entrega hallazgos priorizados por riesgo, la corrección de cada uno y la prueba de que quedó cerrado.
¿Es lo mismo que un pentest?
No. La auditoría revisa la configuración control por control; el pentest simula un ataque para ver hasta dónde llega. Conviene auditar y corregir primero, y hacer el pentest sobre un sistema ya limpio.
¿Una auditoría de seguridad me da la certificación ISO 27001?
No. La certificación la otorga un organismo certificador. Una auditoría técnica te ayuda a preparar los controles y la evidencia que esa auditoría pide.
¿Cada cuánto debo hacer una auditoría de seguridad informática?
Al menos una vez al año y después de cada cambio grande o incidente. Entre una y otra, vigilancia continua, porque la configuración cambia cada semana.
¿Qué marco de referencia se usa?
Los más usados son el NIST Cybersecurity Framework 2.0, con sus seis funciones, y los 18 CIS Controls v8.1. Para empresas que empiezan, el grupo IG1 de CIS reúne 56 salvaguardas básicas.
¿Necesitan acceso de administrador a mis sistemas?
No. Security OS audita con permisos de solo lectura. Las correcciones se aplican una por una, con tu autorización y con su reversa preparada.
¿Qué pasa si ya tuve un incidente?
El agente forense de Security OS reconstruye la línea de tiempo y preserva la evidencia antes de que expire. Después se corrige lo que lo permitió.
Fuentes
- NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29 (26 de febrero de 2024)
- NIST Cybersecurity Framework
- CIS Critical Security Controls v8.1
- CIS Controls: lista de los 18 controles
- CIS Controls: Implementation Group 1
- AWS: Shared Responsibility Model
Escrita por Samuel Hinojosa y el equipo de seguridad de WITS · Actualizada el 25 oct 2026 · Markdown
