# Auditoría de seguridad informática: qué revisa, qué entrega y cada cuánto hacerla

> Qué revisa una auditoría de seguridad informática en nube, repositorios, servidores, código y continuidad; en qué se distingue de un pentest y qué entrega.

Autor: Samuel Hinojosa (CEO & Founder, WITS) · Actualizada: 2026-10-25 · https://security.wits.mx/guias/auditoria-seguridad-informatica/

## ¿Qué es una auditoría de seguridad informática?

Una auditoría de seguridad informática revisa, con evidencia, si tu nube, tus repositorios, tus servidores y tu aplicación están configurados para resistir un ataque y para recuperarte si ocurre. No es un examen para aprobar: es un inventario de lo que está abierto, ordenado por riesgo, con la corrección de cada hallazgo y la prueba de que quedó cerrado.

Muchas empresas creen que auditar es llenar un cuestionario o revisar que el antivirus esté al día. Hoy el riesgo vive en otro lado: en una llave de acceso olvidada en la nube, en un token de GitHub con más permisos de los necesarios, en un servidor con SSH abierto a todo internet o en un formulario de login sin límite de intentos. Una auditoría útil revisa todo eso y te dice qué corregir primero.

## ¿Qué revisa una auditoría de seguridad informática?

Cinco frentes, en el orden en que suele avanzar un ataque: la cuenta de nube, que es la llave de todo; el código y quién puede cambiarlo; los servidores que dan la cara a internet; la aplicación; y al final tu capacidad de recuperarte.

| Frente | Qué se revisa | Hallazgo típico |
|---|---|---|
| Nube (AWS) | Cuenta raíz, identidades y MFA, registro y detección, alertas de costo, almacenamiento, bases de datos, red, secretos, respaldos y políticas de organización | Llaves de acceso sin rotar desde hace años |
| Repositorios (GitHub) | Identidad y acceso, tokens y llaves de despliegue, visibilidad, secretos filtrados, integridad del código, webhooks y auditoría de actividad | Una contraseña de producción en el historial de commits |
| Código de la aplicación | Inyección SQL, fuerza bruta y autenticación, secretos en el código, XSS y CSRF, dependencias, manejo de errores, validación y subida de archivos | Un login sin límite de intentos |
| Servidores | Archivos expuestos, TLS/HTTPS, acceso SSH, firewall y red, actualizaciones, servicios y entornos, registros, respaldos y cabeceras de seguridad | Un archivo «.env» que se descarga desde internet |
| Continuidad | Respaldos inmutables, copia en otra región, tiempos de recuperación definidos y simulacros de restauración | Respaldos que nadie ha intentado restaurar |

Cada frente tiene su guía. La nube se detalla en [qué revisa una auditoría de seguridad AWS](https://security.wits.mx/guias/auditoria-seguridad-aws/), y los servidores en la [guía de hardening de servidores](https://security.wits.mx/guias/hardening-servidores/). Recuerda el reparto que hace AWS en su [modelo de responsabilidad compartida](https://aws.amazon.com/compliance/shared-responsibility-model/): el proveedor protege la infraestructura, pero tus usuarios, tus datos, tu red y el sistema operativo de tus servidores son tuyos.

### Los marcos de referencia: NIST CSF 2.0 y CIS Controls v8.1

Una auditoría seria no inventa su propia lista. El [NIST Cybersecurity Framework 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf), publicado el 26 de febrero de 2024, está pensado para organizaciones de cualquier tamaño y ordena la seguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. Sirve para ver qué función tienes descuidada, no solo qué servidor.

Los [CIS Controls v8.1](https://www.cisecurity.org/controls/v8-1) bajan eso a la práctica en [18 controles](https://www.cisecurity.org/controls/cis-controls-list), del inventario de activos a la respuesta a incidentes. Su primer grupo de implementación, [IG1](https://www.cisecurity.org/controls/implementation-groups/ig1), reúne 56 salvaguardas que el CIS llama higiene cibernética esencial: el mínimo para cualquier empresa. Si nunca has auditado, empieza por ahí.

## ¿En qué se diferencia de un pentest y de una certificación?

Se confunden mucho, pero responden preguntas distintas:

|  | Auditoría de seguridad | Pentest | Certificación (ISO 27001) |
|---|---|---|---|
| Pregunta | ¿Qué tengo mal configurado y qué corrijo primero? | ¿Alguien puede entrar, y hasta dónde llega? | ¿Mi sistema de gestión cumple la norma? |
| Cómo se hace | Revisión control por control con acceso de solo lectura | Ataque simulado y autorizado | Auditoría de un organismo certificador a políticas, procesos y controles |
| Qué entrega | Hallazgos priorizados, correcciones y evidencia antes y después | Fallas explotadas y su impacto | Un certificado con vigencia |

No son excluyentes. Los propios CIS Controls ponen las pruebas de penetración como el último de sus 18 controles, después de tener lo básico en orden. Por eso conviene auditar y corregir primero, y hacer el pentest sobre un sistema ya limpio. Lo explicamos a fondo en [pentest o auditoría de seguridad](https://security.wits.mx/guias/pentest-vs-auditoria/). Y si vas hacia ISO 27001, revisa [cómo preparar la auditoría de ISO 27001](https://security.wits.mx/guias/iso-27001-auditoria/): la parte técnica de los controles es justo lo que una auditoría de seguridad deja documentado.

> **Dónde está Security OS** No somos una empresa de pentest: protegemos. Preparamos el sistema antes del pentest y corregimos lo que encuentre, con evidencia. Tampoco certificamos: te ayudamos a preparar los controles técnicos y la evidencia para tu auditoría de ISO 27001 o SOC 2.

## ¿Qué entregables debes exigir y cada cuánto hacerla?

1. Un inventario de lo que se revisó: qué cuentas, repositorios, servidores y aplicaciones entraron, y qué quedó fuera.
2. Hallazgos priorizados por riesgo real, no 300 alertas sin orden. Cada uno con qué es, por qué importa y dónde está.
3. La corrección de cada hallazgo, preparada: qué se cambia, por qué y cómo se revierte si algo falla.
4. Evidencia antes y después, control por control, del mismo motor de revisión. Es lo que prueba que algo se cerró.
5. Una línea base para medir la siguiente revisión.

Sobre la frecuencia: una auditoría completa al año como mínimo, y otra después de cada cambio grande, como una migración a la nube, un sistema nuevo, la salida de alguien con acceso de administrador o un incidente. Entre una y otra, vigilancia continua, porque la configuración cambia cada semana. Un PDF describe cómo estaba todo el día que se hizo; una semana después alguien abre un puerto y nadie se entera.

## ¿Cómo hace Security OS una auditoría de seguridad informática?

Security OS es la plataforma de auditoría y corrección de seguridad de WITS. Sus agentes especializados recorren los cuatro módulos (nube, repositorios, código y servidores) y suman continuidad. Trabaja en tres fases, que son también sus planes:

1. Diagnóstico: con acceso de solo lectura, el auditor de nube, el vigía de repositorios, el revisor de código y el escáner de servidor dejan tu línea base, los hallazgos priorizados y el plan de corrección.
2. Corrección: el remediador prepara cada cambio con su reversa. Tú lo autorizas, se aplica y queda registrado, con el comparativo antes y después.
3. Vigilancia: el motor vuelve a correr la misma auditoría, el analista de alertas traduce lo que reporta la nube y recibes un reporte mensual contra tu línea base.

Security OS no es un SOC 24/7 con analistas mirando pantallas, no otorga certificaciones y no hace pentest. Lee configuraciones y metadatos, no el contenido de tus bases de datos ni de tus archivos. Si quieres empezar por algo rápido, el [chequeo gratis de PHP](https://security.wits.mx/chequeo-php/) revisa en segundos lo que tu sitio anuncia, y [las alertas de la semana](https://security.wits.mx/alertas/) te dicen qué vulnerabilidades importan hoy. Para el resto, conoce [Security OS](https://security.wits.mx/).

Cuéntanos qué nube, repositorios y servidores usas. Te respondemos con el alcance del diagnóstico y su precio antes de empezar. [Solicitar diagnóstico](https://security.wits.mx/guias/auditoria-seguridad-informatica/#contacto)

## Preguntas frecuentes

**¿Qué es una auditoría de seguridad informática?**

Es una revisión con evidencia de tu nube, repositorios, servidores, aplicación y continuidad. Entrega hallazgos priorizados por riesgo, la corrección de cada uno y la prueba de que quedó cerrado.

**¿Es lo mismo que un pentest?**

No. La auditoría revisa la configuración control por control; el pentest simula un ataque para ver hasta dónde llega. Conviene auditar y corregir primero, y hacer el pentest sobre un sistema ya limpio.

**¿Una auditoría de seguridad me da la certificación ISO 27001?**

No. La certificación la otorga un organismo certificador. Una auditoría técnica te ayuda a preparar los controles y la evidencia que esa auditoría pide.

**¿Cada cuánto debo hacer una auditoría de seguridad informática?**

Al menos una vez al año y después de cada cambio grande o incidente. Entre una y otra, vigilancia continua, porque la configuración cambia cada semana.

**¿Qué marco de referencia se usa?**

Los más usados son el NIST Cybersecurity Framework 2.0, con sus seis funciones, y los 18 CIS Controls v8.1. Para empresas que empiezan, el grupo IG1 de CIS reúne 56 salvaguardas básicas.

**¿Necesitan acceso de administrador a mis sistemas?**

No. Security OS audita con permisos de solo lectura. Las correcciones se aplican una por una, con tu autorización y con su reversa preparada.

**¿Qué pasa si ya tuve un incidente?**

El agente forense de Security OS reconstruye la línea de tiempo y preserva la evidencia antes de que expire. Después se corrige lo que lo permitió.

## Fuentes

- [NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29 (26 de febrero de 2024)](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf)
- [NIST Cybersecurity Framework](https://www.nist.gov/cyberframework)
- [CIS Critical Security Controls v8.1](https://www.cisecurity.org/controls/v8-1)
- [CIS Controls: lista de los 18 controles](https://www.cisecurity.org/controls/cis-controls-list)
- [CIS Controls: Implementation Group 1](https://www.cisecurity.org/controls/implementation-groups/ig1)
- [AWS: Shared Responsibility Model](https://aws.amazon.com/compliance/shared-responsibility-model/)