Un cliente corporativo envía un cuestionario de cuarenta preguntas antes de renovar el contrato, y la mitad empieza igual: "adjunte evidencia de la última auditoría". Así llega a muchas pymes de Quito o Guayaquil la primera auditoría de seguridad informática, no por convicción sino por exigencia de un tercero. Bien hecha, igual sirve, y mucho.
El problema es que la palabra se usa para cosas muy distintas, y conocer los tipos de auditoría de seguridad informática ahorra sorpresas. Un escaneo automático, una prueba de intrusión de tres días y una revisión de cumplimiento de la ley de datos se venden con el mismo nombre. Saber qué se compra evita pagar doscientas páginas que nadie leerá.
Auditoría de seguridad informática: qué revisa y qué no es
Una auditoría de seguridad informática es una revisión sistemática, independiente y documentada de los controles que protegen la información, comparados con un criterio explícito. Ese criterio puede ser ISO/IEC 27001:2022, NIST CSF 2.0, los CIS Controls, la Ley Orgánica de Protección de Datos Personales o la política interna. Sin criterio declarado, lo que hay es una opinión técnica.
Conviene separar tres servicios. La evaluación de vulnerabilidades usa escáneres para listar fallos conocidos y su gravedad. La prueba de intrusión, o pentest, simula a un atacante y demuestra hasta dónde llega. La auditoría abarca ambas cosas si hace falta, pero también revisa procesos, contratos con proveedores, copias de seguridad, permisos y formación del personal.
Tipos de auditoría de seguridad informática
Los tipos de auditoría de seguridad informática se cruzan, y una revisión puede ser a la vez externa, de caja gris y de cumplimiento. La primera distinción es quién la hace: la interna la ejecuta personal propio o un área de auditoría ajena a tecnología; una externa la hace un tercero, que aporta independencia y una mirada sin costumbres heredadas.
La segunda es cuánta información recibe el auditor. En caja negra parte de cero, como un atacante externo, y gasta tiempo en reconocimiento. En caja blanca tiene diagramas, configuraciones y credenciales, y encuentra más fallos por hora. La caja gris, con un usuario estándar y algo de documentación, suele dar el mejor equilibrio para una pyme con presupuesto limitado.
La tercera es el objetivo. La auditoría técnica busca fallos explotables en redes, servidores y aplicaciones. La de cumplimiento verifica que existan y funcionen los controles que exige una norma o una ley, con evidencia documental. Una empresa que trata datos personales en Ecuador necesita las dos miradas, porque la LOPDP pide medidas técnicas y organizativas demostrables.
| Tipo | Pregunta que responde | Entregable típico | Cuándo encaja |
|---|---|---|---|
| Evaluación de vulnerabilidades | ¿Qué fallos conocidos hay y qué tan graves son? | Lista priorizada de vulnerabilidades | Cada trimestre, tras cambios |
| Prueba de intrusión | ¿Hasta dónde llega un atacante real? | Cadena de ataque demostrada con evidencias | Antes de publicar un sistema, una vez al año |
| Auditoría técnica | ¿Están bien configurados red, servidores y nube? | Hallazgos por activo con recomendación | Revisión anual |
| Auditoría de cumplimiento | ¿Se cumple ISO 27001, la LOPDP o un contrato? | Matriz de controles con evidencia | Certificación, clientes, regulador |
Está también la auditoría de aplicaciones, que revisa el código o el comportamiento de un sistema web o móvil propio. Combina revisión de código y pruebas dinámicas. Si su empresa vende por internet o tiene un portal de clientes desarrollado a medida, es el tipo que más hallazgos graves suele producir por hora de trabajo.
Fases de una auditoría, de la planificación al seguimiento
Las fases de una auditoría de seguridad informática bien hecha son estables, aunque cada metodología les ponga otro nombre. La norma ISO 19011:2018, referencia para auditar sistemas de gestión, describe en su cláusula 6 un ciclo que va de la preparación a la ejecución, el informe, el cierre y el seguimiento. Para las pruebas técnicas, PTES propone siete secciones parecidas.
1. Planificación y alcance
Aquí se decide qué entra y qué no: sedes, redes, aplicaciones, servicios en la nube, proveedores. También el criterio, las fechas, las personas de contacto y las reglas de las pruebas técnicas, como horarios permitidos o sistemas intocables. Esa autorización debe quedar por escrito y firmada por quien tiene poder para darla, no por el técnico que contrató el servicio.
2. Recopilación de información
El auditor reúne inventarios, diagramas, políticas, configuraciones exportadas y listas de usuarios, y entrevista a quienes operan los sistemas. En las pruebas externas incluye el reconocimiento de lo que la empresa expone en internet: dominios, servicios publicados, correos filtrados. Esta fase suele destapar el primer hallazgo: nadie tenía una lista completa de equipos.
3. Análisis y pruebas
Se contrastan los controles con el criterio y se ejecutan las pruebas técnicas acordadas: escaneos de vulnerabilidades, revisión de reglas del cortafuegos, permisos en el directorio activo, intentos controlados de explotación. Cada hallazgo se documenta con evidencia reproducible, como una captura, un registro o un comando, y se valora por probabilidad e impacto, no por lo llamativo que resulte.
4. Informe
El informe traduce lo técnico en decisiones. Abre con un resumen que la gerencia lea en cinco minutos y sigue con el detalle por hallazgo. La reunión de cierre, que ISO 19011 incluye como parte de la ejecución, sirve para discutir los hallazgos antes de que el documento sea definitivo y corregir malentendidos de alcance.
5. Seguimiento de la remediación
Es la fase que más se omite y la que da valor a todo lo anterior. Con el plan de remediación aprobado, el auditor vuelve a comprobar, normalmente entre uno y tres meses después, que los hallazgos críticos se corrigieron de verdad. Un informe archivado sin seguimiento es, en la práctica, una lista de deberes firmada por un tercero.
Un apunte sobre cuánto duran las fases de una auditoría de seguridad informática. Una pyme de veinte puestos, un local y servicios en la nube no necesita semanas de campo; varios días bien planificados suelen bastar para la parte técnica. La alargan la falta de información previa y los cambios de alcance, casi nunca la complejidad real.
Marcos de referencia: ISO 27001, NIST CSF 2.0, CIS Controls y OWASP
ISO/IEC 27001:2022 es la norma certificable de sistemas de gestión de seguridad de la información. Su anexo A trae 93 controles en cuatro temas: 37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos, frente a 114 en la edición de 2013. Cada organización elige cuáles aplica según su análisis de riesgos.
El NIST Cybersecurity Framework 2.0, publicado el 26 de febrero de 2024, organiza la seguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. La función de gobierno es la novedad respecto a la versión anterior, y el propio NIST aclara que el marco se dirige a cualquier organización, no solo a infraestructura crítica.
Para una empresa pequeña, el criterio más práctico suele ser CIS Controls v8.1, con 18 controles y 153 salvaguardas repartidas en tres grupos de implementación. El grupo IG1 reúne 56 salvaguardas de higiene básica y es un buen punto de partida para la primera auditoría. Si hay aplicaciones web propias, la lista OWASP Top 10:2025 completa la parte de desarrollo.
Para la parte web, la lista OWASP Top 10:2025 es el criterio común. Mantiene en primer lugar el control de acceso roto e incorpora como novedades los fallos en la cadena de suministro de software, en el puesto A03, y el manejo incorrecto de condiciones excepcionales, en el A10. Pida que cada hallazgo web indique a qué categoría pertenece.
Qué auditar en una pyme: red, acceso remoto, servidores, nube y personas
La red empieza en el perímetro: cortafuegos, VPN y cualquier servicio publicado. Según Verizon, la explotación de vulnerabilidades fue el primer vector inicial, con el 31 % de las brechas analizadas en su informe de 2026, por delante del phishing. Revise versiones, reglas que nadie recuerda haber creado y puertos abiertos sin justificación documentada.
El acceso remoto merece un capítulo propio: quién se conecta, desde dónde, con qué factor de autenticación y a qué recursos. El escritorio remoto expuesto a internet sigue siendo una puerta frecuente de ataques de ransomware contra empresas, y la guía de acceso remoto seguro explica la configuración que el auditor esperará encontrar.
En servidores y nube, el foco está en parches, cuentas privilegiadas, registros y copias de seguridad que realmente se restauran. Una cuenta global de Microsoft 365 o de AWS sin autenticación multifactor es un hallazgo crítico por sí solo. Y en las personas se revisan altas y bajas de usuarios, formación y la capacidad de reconocer un engaño.
El correo y las copias de seguridad completan la lista mínima. En correo se revisan los registros SPF, DKIM y DMARC del dominio, el filtrado de adjuntos y las reglas de reenvío automático, una técnica clásica para espiar buzones. En copias, el auditor no debería conformarse con ver que existen: debe pedir una restauración de prueba delante de él.
Cómo hacer una auditoría en una pyme de Ecuador: preparación y LOPDP
La pregunta de cómo hacer una auditoría útil se responde casi siempre antes de que llegue el auditor. Tenga listo el inventario de equipos y servicios, la lista de cuentas con privilegios, los contratos con proveedores que tratan datos y las últimas pruebas de restauración. Cada documento que falta se convierte en días facturados de búsqueda.
La Ley Orgánica de Protección de Datos Personales da un argumento legal. Su artículo 37 exige al responsable un proceso de verificación, evaluación y valoración continua y permanente de la eficacia de sus medidas de seguridad, y el artículo 40 pide una metodología de análisis de riesgos. Una auditoría documentada es la forma más directa de demostrarlo.
Si la auditoría incluye pruebas de intrusión, la autorización escrita importa por partida doble. La Ley Orgánica para el Fortalecimiento de la Ciberseguridad reconoce que la evaluación de vulnerabilidades y el hacking ético no constituyen infracción administrativa siempre que cuenten con autorización previa y escrita del titular, persigan fines de seguridad y los realicen profesionales habilitados.
Si la duda es cómo hacer una auditoría con un presupuesto ajustado, funciona bien hacerla por etapas. Primero, una autoevaluación interna contra el grupo IG1 de CIS; después, un escaneo externo autorizado; y solo entonces, con lo básico resuelto, una auditoría externa completa. Pagar a un tercero para que descubra que no hay copias de seguridad es caro.
Qué debe contener un buen informe
Un informe de auditoría se juzga por si permite actuar el lunes siguiente. Debe decir qué se revisó, contra qué criterio, qué se encontró, con qué evidencia, cuánto riesgo supone y qué hacer, en ese orden. La tabla resume las secciones que conviene exigir en la propuesta antes de firmar el contrato.
| Sección | Qué debe incluir | Señal de mala calidad |
|---|---|---|
| Resumen ejecutivo | Riesgos principales en lenguaje de negocio, una o dos páginas | Jerga técnica y gráficos sin explicación |
| Alcance y criterio | Sistemas incluidos y excluidos, norma o marco usado, fechas | Alcance vago como "toda la infraestructura" |
| Metodología | Tipo de prueba, herramientas, limitaciones | No dice cómo se obtuvieron los resultados |
| Hallazgos | Evidencia reproducible, riesgo, activo afectado, recomendación | Salida de escáner copiada sin validar |
| Plan de remediación | Prioridad, responsable, plazo, costo aproximado | Recomendaciones genéricas como "mejorar la seguridad" |
Cómo elegir auditor: CISA, ISO 27001 Lead Auditor y OSCP
Las certificaciones ayudan a filtrar, siempre que se sepa qué acredita cada una. CISA, de ISACA, es la referencia para auditoría y control de sistemas de información, con un examen de cinco dominios y requisito de experiencia demostrada. Es la credencial que conviene pedir cuando el objetivo es evaluar gobierno, procesos y cumplimiento.
ISO/IEC 27001 Lead Auditor no es una sola certificación sino un tipo de curso acreditado que forma para dirigir auditorías de sistemas de gestión según ISO 19011. Tiene sentido exigirla si la empresa busca certificarse en ISO 27001. En España, el módulo MF0487_3 del certificado IFCT0109 cubre en 90 horas la auditoría de seguridad informática.
OSCP, de OffSec, acredita habilidad técnica práctica: se obtiene con un examen supervisado de 24 horas en el que hay que comprometer máquinas reales y un entorno de directorio activo. Es lo que conviene pedir a quien hará la prueba de intrusión. Desde su reforma, la variante OSCP+ caduca a los tres años si no se renueva.
Hay señales que deberían hacerle desconfiar. Un proveedor que promete dejar la empresa segura al cien por cien, que no pide autorización firmada antes de probar nada, o que entrega como prueba de intrusión la salida sin revisar de un escáner automático. También es mala señal que el mismo proveedor que vende y administra el cortafuegos sea quien lo audita.
Más allá de los títulos, pida un informe de ejemplo anonimizado, nombres de las personas que trabajarán en su caso y una propuesta con alcance cerrado. La comparativa de empresas de ciberseguridad en Ecuador recoge proveedores locales y los servicios que publican, y la guía de herramientas de seguridad informática para empresas ayuda a entender qué podrían instalar después.