Auditoría de seguridad para pymes

El encargo más completo y el punto de partida natural si nunca has pasado por una revisión de seguridad. Combina pruebas ofensivas reales con una revisión defensiva de la configuración, porque cada una ve cosas que la otra no.

Metodología en dos frentes

Frente ofensivo, de caja negra. Empiezo sin información previa sobre tu infraestructura y simulo posiciones de atacante concretas, no genéricas: alguien conectado a la red WiFi de invitados, un equipo de oficina que ha sido comprometido, o alguien que desde internet solo ve lo que expones al exterior. Desde cada una de esas posiciones intento avanzar tanto como pueda y documento el camino exacto.

Frente defensivo, de revisión. Con acceso a los sistemas reviso la configuración de dentro afuera: permisos y control de accesos, política de contraseñas, estado de las copias de seguridad y si de verdad se pueden restaurar, actualizaciones pendientes, segmentación de la red y exposición de servicios.

Cruzar los dos frentes es lo que hace útil el resultado. El frente ofensivo demuestra que un fallo es explotable de verdad y no solo teórico; el defensivo explica por qué existe ese fallo y qué más hay configurado igual de mal que todavía no ha explotado.

Qué incluye

  • Reunión inicial para acordar alcance, sistemas incluidos y ventana de pruebas.
  • Reconocimiento y mapeo de lo que tienes expuesto, dentro y fuera.
  • Explotación controlada de los fallos encontrados, hasta donde permita el alcance acordado.
  • Revisión de configuración de red, sistemas, accesos y copias de seguridad.
  • Reunión final para repasar los hallazgos y resolver dudas.

Qué se entrega

  • Informe ejecutivo. Pensado para quien toma decisiones y no es técnico. Qué riesgos hay, qué podría pasar en la práctica, qué cuesta arreglarlo y por dónde empezar.
  • Informe técnico. Cada hallazgo con su descripción, los pasos para reproducirlo, las evidencias, la puntuación CVSS y la corrección recomendada.
Para quién es: pymes, comercio local y pequeñas oficinas que dependen de sus sistemas para trabajar y nunca han comprobado si aguantan.

Test de intrusión

Más acotado que la auditoría completa. Aquí el objetivo no es revisar todo, sino responder a una pregunta concreta: hasta dónde puede llegar alguien que lo intente.

Alcance típico

  • Red interna. Movimiento lateral, escalada de privilegios y, si hay dominio Windows, todo lo que se puede hacer contra Active Directory desde una cuenta sin privilegios.
  • WiFi. Separación real entre la red de invitados y la de trabajo, robustez de la autenticación y qué se alcanza desde una posición de invitado.
  • Perímetro externo. Lo que se ve de ti desde internet: servicios publicados, paneles de administración accesibles, credenciales por defecto y fugas de información.

Siempre bajo autorización previa por escrito. Antes de lanzar una sola prueba se firma un documento que fija el alcance, los sistemas incluidos y excluidos, la ventana temporal y los datos de contacto para parar la prueba en cualquier momento. Sin ese documento firmado no se empieza. No es una formalidad, es lo que separa un test de intrusión de un delito.

Para quién es: negocios con infraestructura propia, dominio Windows o varias sedes, que ya tienen una idea de sus riesgos y quieren comprobarla.

Mantenimiento y hardening para pequeños negocios

No todo el mundo necesita una auditoría. A veces lo que hace falta es que alguien deje los sistemas bien configurados y explique cómo mantenerlos así. Esto es trabajo de configuración, no de auditoría, y suele ser el siguiente paso lógico después de una.

  • Redes. Segmentación entre la red de trabajo, la de invitados y los dispositivos que no deberían hablar con nadie, como cámaras, TPV o pantallas.
  • Copias de seguridad. Que existan, que estén fuera del alcance de un cifrado por ransomware y, sobre todo, que se haya probado restaurarlas alguna vez.
  • Control de accesos. Un usuario por persona, permisos mínimos, revisión de cuentas de gente que ya no está y segundo factor donde se pueda.
  • WiFi. Autenticación en condiciones, red de invitados de verdad aislada y contraseñas que no lleven tres años escritas en un papel junto al mostrador.
Para quién es: comercio local, hostelería, clínicas y oficinas pequeñas sin personal técnico, que gestionan sus equipos como pueden.

Precios

No hay tarifas publicadas porque el alcance manda: no cuesta lo mismo revisar una oficina con cinco equipos y un router que tres sedes con dominio Windows y servidores propios. Escríbeme contando qué tienes y te paso un presupuesto cerrado, sin compromiso, antes de empezar nada.