Una auditoría informática no es un examen. Es una foto del punto de partida: qué tecnología hay, en qué estado, quién la usa y qué pasaría si algo de eso fallara mañana. Sirve exactamente igual cuando todo va bien, y de hecho es cuando más se aprovecha.
Estos son los bloques que revisa.
Quién tiene acceso a qué
Suele ser el apartado que más sorpresas da, y no por malicia de nadie.
Los accesos crecen por acumulación. Alguien entra en la empresa y se le dan permisos para trabajar. Cambia de departamento y se le añaden los nuevos, pero rara vez se le quitan los antiguos. Se va, y su cuenta se queda ahí por si acaso hay que recuperar algo. Un proveedor externo necesitó acceso puntual hace dos años y nadie cerró la puerta después.
Ninguna de esas decisiones fue un error en su momento. El problema es la suma.
Una auditoría pone sobre la mesa qué cuentas existen, cuáles siguen activas, qué permisos tiene cada una y cuántas de ellas ya no debería estar ahí. También si hay credenciales compartidas entre varias personas, que es la forma más rápida de que nadie sea responsable de nada.
Si las copias de seguridad se han probado alguna vez
Casi todas las empresas tienen copias de seguridad. Bastantes menos las han restaurado alguna vez para comprobar que funcionan.
Es una diferencia importante. Un sistema de copias puede estar ejecutándose cada noche, generando archivos, ocupando espacio y enviando confirmaciones, y aun así no servir cuando llegue el momento: porque lleva meses copiando una carpeta que ya no es la buena, porque el proceso falla en silencio desde una actualización, o porque la restauración completa tardaría tanto que la empresa no puede permitírselo.
Lo que se revisa aquí no es si hay copias. Es qué se está copiando exactamente, con qué frecuencia, dónde se guarda, cuánto se tardaría en volver a la normalidad y cuándo fue la última vez que alguien lo comprobó de verdad.
Qué software se está pagando y quién lo usa
Este bloque suele tener retorno inmediato, y no siempre en la dirección que uno espera.
Por un lado aparecen licencias que se siguen pagando por herramientas que ya nadie abre, suscripciones duplicadas que hacen lo mismo contratadas por departamentos distintos, y renovaciones automáticas de servicios que se probaron una vez.
Por otro, y esto es lo que más conviene mirar, aparecen programas que sí se usan a diario pero que nadie contrató formalmente: aplicaciones instaladas por iniciativa propia, cuentas gratuitas de servicios en la nube donde acaba habiendo información de la empresa, herramientas que alguien encontró útiles y compartió con el resto del equipo.
No es un problema de disciplina. Es lo que pasa cuando la gente intenta trabajar mejor. Pero conviene saber qué hay, porque cada una de esas herramientas está tocando datos de la organización.
Qué equipos sostienen la operativa y en qué estado están
La pregunta clave de este apartado no es cuántos ordenadores hay. Es cuáles no pueden fallar.
En cualquier empresa hay uno o dos elementos de los que depende todo lo demás: un servidor, una aplicación concreta, un equipo con una configuración particular que costó mucho dejar funcionando. A menudo son también los más antiguos, porque tocarlos da respeto.
Se revisa qué antigüedad tienen, si siguen recibiendo actualizaciones de seguridad, si hay alguien que sepa cómo están montados, y qué ocurriría exactamente si uno de ellos dejara de arrancar un lunes por la mañana.
Para qué sirve el resultado
Una auditoría no arregla nada por sí sola. Lo que entrega es una lista de cosas ordenadas por urgencia y por impacto, que es justo lo que suele faltar para tomar decisiones.
Con esa lista delante, tres conversaciones que antes eran difíciles se vuelven sencillas. La de presupuesto, porque dejas de justificar inversiones en abstracto y pasas a señalar riesgos concretos. La de prioridades, porque ves qué hay que resolver este trimestre y qué puede esperar al año que viene. Y la de responsabilidades, porque queda claro quién se encarga de cada cosa.
La mayoría de los puntos que salen no son graves. Son cosas pequeñas que llevaban tiempo ahí porque nadie se había parado a mirarlas. El valor está precisamente en eso: mirar antes de que la realidad te obligue a hacerlo con prisa.
En Iberiza llevamos más de veinte años analizando infraestructuras tecnológicas de empresas de todos los tamaños. Si quieres saber de qué punto parte la tuya, hablamos.