Auditoría de ciberseguridad

Objetivos de una auditoría de ciberseguridad

Una auditoría de ciberseguridad mide la distancia entre la seguridad que crees tener implantada y la que está realmente en servicio. No busca entrar: comprueba que las medidas existen, que están bien parametrizadas y que alguien las aplica también cuando no hay nadie delante. Según lo que haya disparado tu consulta, un proyecto persigue uno o varios de estos objetivos.

• Dejar un estado de situación fechado y firmado: un documento que presentas a un cliente grande, a tu aseguradora, a tu consejo o a quien vaya a auditarte después.
• Localizar las desviaciones antes de que sean incidentes: cuentas de administración compartidas, copias de seguridad que nunca se han restaurado, una segmentación correcta sobre el papel que una regla temporal dejó abierta y nadie volvió a cerrar.
• Preparar una conformidad con fecha: la auditoría regular del art. 31 del ENS, la revisión previa a la certificación de la ISO/IEC 27001 o una exigencia contractual de un cliente del sector público.
• Ordenar la inversión: cada desviación va valorada en riesgo y en esfuerzo, que es lo que convierte una lista de hallazgos en una decisión de presupuesto defendible.
• Responder a una pregunta concreta: un cuestionario de seguridad recibido de un cliente, una observación de quien te audita, una empresa recién adquirida que hay que integrar.
• Comprobar lo que hace tu proveedor: quién administra tus sistemas, con qué privilegios y con qué trazabilidad.

Una auditoría no sustituye a un test de intrusión, y lo contrario también es cierto: la primera da amplitud y prueba documental, el segundo da profundidad y evidencia de explotación. Cuéntanos qué ha provocado la pregunta y te decimos honestamente cuál de los dos la responde.

Tipos de auditoría: arquitectura, configuración, código fuente y organización

El mercado español ordena las auditorías de seguridad en cuatro actividades que reconocen igual un CISO, un responsable de sistemas y un departamento de compras. Las vendemos por separado o combinadas, y el presupuesto dice cuál de ellas has contratado.

Auditoría de arquitectura

Revisamos el diseño: segmentación de las zonas de red, flujos autorizados entre ellas, interconexiones con tus proveedores y con internet, caminos de administración, ubicación de los directorios, publicación de servicios y redundancia. El objeto del trabajo es el esquema y la realidad que describe, todavía no la vulnerabilidad concreta. El hallazgo más repetido es siempre el mismo: una segmentación correcta en el diagrama, atravesada por una regla de cortafuegos abierta «mientras dure el proyecto» y nunca cerrada.

Auditoría de configuración

Contrastamos la configuración real de tus sistemas con una línea base de bastionado: sistemas operativos, hipervisores, Active Directory y Entra ID, bases de datos, equipos de red y cortafuegos, puestos de trabajo, suscripciones de AWS, Azure y GCP, y tu tenant de Microsoft 365. Las desviaciones se levantan sobre exportaciones de configuración y después se comprueban por muestreo contra las máquinas. Es la auditoría que más correcciones inmediatas produce: buena parte se aplica en la misma semana.

Auditoría de código fuente

Leemos el código de los componentes que soportan el riesgo: autenticación, gestión de sesión, control de acceso, tratamiento de la entrada, gestión de secretos y cadena de dependencias. La herramienta sirve para acotar y la lectura manual para concluir: en nuestros últimos proyectos, más de la mitad de los hallazgos de criticidad alta no los había levantado ningún analizador estático. El alcance se define por componente y no por número de líneas.

Auditoría organizativa

Evaluamos lo que sostiene todo lo anterior: política de seguridad, altas y bajas de personal y gestión de privilegios, gestión de parches, copias de seguridad y pruebas de restauración, registro de actividad y detección, respuesta ante incidentes, continuidad de negocio y seguridad de los proveedores. El método es la entrevista y el muestreo de evidencias: un procedimiento del que nadie puede enseñar la última ejecución real se anota como tal, porque es exactamente lo que vendrá a comprobar quien te audite después.

Si lo que necesitas es poner a prueba una aplicación concreta, eso ya no es una auditoría: es un pentesting de aplicaciones web, y lo decimos antes de cifrarlo.

Qué obliga realmente en España

Aquí es donde el mercado se equivoca más: se anuncian obligaciones de NIS2 que todavía no existen en derecho español y se pasa por alto lo que sí está en vigor y es literal. Esto es lo aplicable hoy, con el artículo delante.

El ENS: Real Decreto 311/2022

El Esquema Nacional de Seguridad es la norma que más pesa sobre el comprador español y no deja margen de interpretación. El art. 31 somete los sistemas de categoría MEDIA y ALTA a una auditoría regular ordinaria al menos cada dos años, y el art. 38 separa los dos caminos de conformidad: autoevaluación para categoría BÁSICA y certificación para MEDIA y ALTA.

En el Anexo II, el refuerzo R6 del control [op.mon.3] desarrolla el ciclo de supervisión continua, y su subrequisito [op.mon.3.r6.3] se titula literalmente «Pruebas de penetración» para categoría ALTA. Hay además una puerta menos conocida: op.nub.1.2 a) exige, ya desde categoría BÁSICA, una «Auditoría de pruebas de penetración (pentesting)» cuando el servicio en la nube lo presta un tercero que no acredita conformidad con el ENS. Traducido: tu proveedor cloud puede obligarte a encargar pruebas técnicas aunque tu sistema sea BÁSICA.

Lo que aportamos es la revisión técnica y organizativa que alimenta esa auditoría. La conformidad la declara o la certifica quien corresponde: no somos entidad de certificación acreditada por ENAC y no expedimos ni certificados de conformidad con el ENS ni el Distintivo de Conformidad. Lo desarrollamos en qué exige realmente el ENS sobre pentesting y en quién puede auditar el ENS.

NIS2 todavía no es derecho español

La Directiva (UE) 2022/2555 debía estar transpuesta el 17 de octubre de 2024. En España, el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad tuvo su primera lectura en el Consejo de Ministros el 14 de enero de 2025 y no ha llegado a las Cortes; el 9 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por esa falta de transposición (procedimiento INFR(2024)0270). Quien te facture hoy una auditoría «de cumplimiento NIS2 en España» te está facturando un texto que aún no existe.

Lo que sí obliga ahora mismo es lo anterior: el Real Decreto-ley 12/2018 y su reglamento de desarrollo, el Real Decreto 43/2021, para operadores de servicios esenciales y proveedores de servicios digitales. Y una pieza que no depende de ninguna ley española, porque es un reglamento y se aplica de forma directa: el Reglamento de Ejecución (UE) 2024/2690, cuyo Anexo, en el punto 6.5 «Pruebas de seguridad», exige una política de pruebas documentada, un alcance y una frecuencia fijados en función del riesgo, una metodología y unos resultados documentados, y la corrección de los hallazgos críticos. Si tu entidad presta servicios en la nube, centros de datos, redes de distribución de contenidos, servicios gestionados o de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales o servicios de confianza, esa obligación ya te alcanza. Más detalle en pentesting para NIS2 y en NIS2 en España: qué obliga hoy y qué no.

RGPD

El art. 32.1.d) del Reglamento (UE) 2016/679 incluye entre las medidas apropiadas «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento». Una auditoría periódica documentada es la forma más directa de sostener ese artículo, y por eso el informe recoge alcance, fechas, método, hallazgos y qué se volvió a comprobar después de corregir: es el expediente que se enseña ante la AEPD o ante quien te audite.

ISO/IEC 27001

La norma exige auditorías internas del sistema de gestión (cláusula 9.2) y una revisión por la dirección (cláusula 9.3). Podemos realizar esa auditoría interna o la revisión previa al paso ante el organismo de certificación, y contrastamos los controles del Anexo A uno a uno. El certificado, en cambio, lo expide siempre una entidad de certificación acreditada —AENOR, Bureau Veritas o EQA, entre otras—, y las reglas de imparcialidad impiden que quien asesora certifique a su propio cliente. Cómo encaja con nuestro trabajo está en pentesting para ISO 27001.

DORA y el sector financiero

El Reglamento (UE) 2022/2554 se aplica desde el 17 de enero de 2025. Sus arts. 24 y 25 obligan a un programa de pruebas de resiliencia digital, y el art. 26 añade, para las entidades que designe la autoridad competente, ejercicios TLPT al menos cada tres años. Esos ejercicios exigen proveedores que cumplan el art. 27 y no son un servicio que prestemos; lo decimos más abajo, con todas las letras.

PCI DSS

Si tratas datos de tarjeta, el requisito 11.4 de PCI DSS 4.0.1 te obliga a tests de intrusión externos e internos anuales y el requisito 12.4 a revisiones periódicas que confirmen que las tareas de seguridad se están ejecutando de verdad. Entregamos la revisión de configuración y segmentación con el nivel de detalle que espera tu QSA.

Alcance y planificación

Lo que decide el valor de una auditoría es la planificación, mucho más que el número de jornadas vendidas. Ocupa aproximadamente una hora y deja cerrado esto.

• Los sistemas incluidos: entornos, dominios, suscripciones cloud, sedes, aplicaciones y, si procede, repositorios de código. Cuando la auditoría prepara una conformidad con el ENS, el alcance parte de la categoría del sistema y de su declaración de aplicabilidad.
• Las exclusiones: sistemas de terceros, filiales fuera de alcance y todo lo que no se va a revisar. Lo que queda fuera se escribe, no se sobreentiende.
• La ventana de trabajo y una persona de contacto localizable por tu parte mientras dure el proyecto.
• Las reglas de la revisión: qué comprobaciones se ejecutan contra sistemas vivos, cómo se tratan los datos reales que aparezcan y qué hacemos ante un hallazgo crítico, que es avisarte en el momento.
• La documentación esperada y las personas a entrevistar, con nombre y duración, para que la reunión no aparezca en la agenda la víspera.
• El tamaño de la muestra cuando se audita por muestreo, porque el informe tendrá que decir sobre cuántos equipos o cuántos expedientes se ha concluido.

La auditoría es documental y de configuración: no explota vulnerabilidades ni intenta entrar. Si durante la revisión aparece algo que merece demostrarse, te lo decimos y lo llevamos a un test de intrusión acotado, con su propia autorización por escrito.

El presupuesto sale de esa planificación: jornadas, persona asignada, fecha de entrega y plazo de la verificación posterior. Y si lo que nos describes no justifica una auditoría —porque lo que necesitas es un análisis de vulnerabilidades recurrente, o porque ya tienes la respuesta y lo que falta es ejecutarla—, te lo decimos antes de cifrarlo.

Entregables: informe, plan de acción, sesión de resultados y seguimiento

Lo que compras no es un número de jornadas, sino lo que queda después. Cuatro entregables, ninguno opcional y todos en español.

El informe

Abre un resumen ejecutivo de dos páginas para la dirección: nivel de madurez observado, desviaciones principales y decisiones que hay que tomar, sin jerga. Después viene el análisis de desviaciones (el análisis GAP), con una ficha por hallazgo: descripción, evidencia, medida del marco que incumple, valoración del riesgo en tu contexto, esfuerzo estimado y corrección recomendada. Los anexos recogen el alcance auditado, el método seguido y los puntos comprobados sin desviación, que suele ser la parte más útil delante de quien te audita después. Se entrega en PDF, con una tabla de seguimiento importable a tu gestor de incidencias.

El plan de acción

Las desviaciones se ordenan en tres olas: lo que se corrige en unos días, lo que pide un proyecto trimestral y lo que es una decisión de inversión. Cada línea lleva su esfuerzo estimado, de modo que el documento se lleva tal cual al comité de dirección sin que nadie tenga que rehacerlo en una hoja de cálculo.

La sesión de presentación de resultados

Una hora por videoconferencia, o presencial si lo prefieres, dirigida por la persona que ha hecho la auditoría y no por un comercial. Tu equipo pregunta, justificamos cada valoración y corregimos el informe si se nos había escapado un dato de contexto que cambia la criticidad.

La auditoría de seguimiento

Cuando hayas desplegado las correcciones, volvemos a comprobar las desviaciones registradas y emitimos un informe de seguimiento que acredita qué está cerrado y qué sigue abierto. Va incluido en el precio, sin coste adicional, dentro de los 90 días siguientes a la entrega del informe inicial: es exactamente la partida que el mercado suele facturar aparte por jornadas, y es el documento que nuestros clientes acaban enviando a su cliente final.

Lo que no hacemos

En una auditoría, la frontera importa tanto como el servicio. Decirla en voz alta es lo que hace creíble el resto de la página, y hay cuatro cosas que en España no podemos ofrecerte.

• Auditamos, no certificamos. No somos entidad de certificación acreditada por ENAC y no expedimos certificados de conformidad con el ENS, el Distintivo de Conformidad ni el certificado de la norma ISO/IEC 27001. Producimos la evaluación independiente y el expediente de evidencias en los que se apoya la certificación, incluida la revisión previa al paso ante el organismo que sí la expide.
• No realizamos TLPT. Los ejercicios guiados por amenazas del marco TIBER-ES, coordinado por el Banco de España, exigen proveedores que cumplan el art. 27 del Reglamento (UE) 2022/2554. Un ejercicio de Red Team nuestro puede servirte de preparación previa, pero no lo sustituye.
• No trabajamos con información clasificada. El acceso a esa información exige habilitación de seguridad de la Oficina Nacional de Seguridad; no la tenemos y no nos presentamos a esos pliegos.
• No somos una empresa de seguridad privada. Prestamos servicios de seguridad informática; esta actividad no figura entre las reservadas del art. 5.1 de la Ley 5/2014 y no requiere autorización del Ministerio del Interior. Nuestro reconocimiento a partir de fuentes abiertas se limita a la superficie de exposición de la organización, dentro del alcance contratado y sin investigar a personas concretas.

Y una quinta, menos jurídica: tampoco implantamos lo que nosotros mismos hemos encontrado. Te acompañamos, resolvemos dudas de tu equipo y revisamos el resultado, pero no vendemos la remediación de nuestros propios hallazgos. Esa separación es justo lo que hace que el informe valga algo delante de quien te audita.

Tratamiento de datos y soberanía

Una auditoría toca material sensible: exportaciones de configuración, esquemas de red, extractos de registro, a veces código. Conviene saber dónde acaba todo eso. Haxoris es una empresa establecida en la Unión Europea, con oficinas en Bratislava y Praga. El equipo trabaja desde la Unión Europea y lo que se genera durante el proyecto se almacena y se respalda en la Unión Europea.

La consecuencia se nota en cuanto tu departamento jurídico abre el contrato: el RGPD se nos aplica de forma directa, así que no hay transferencia internacional del capítulo V que justificar, ni cláusulas contractuales tipo que negociar, ni evaluación de impacto de transferencias que redactar. Actuamos como encargado del tratamiento en el sentido del art. 28 y el contrato lo recoge; la relación de subencargados y sus países se te comunica antes de firmar y cualquier cambio se te notifica. Al no estar sujetos a la jurisdicción de Estados Unidos, no nos alcanza la CLOUD Act.

Las evidencias van cifradas en reposo y en tránsito, solo acceden a ellas las personas asignadas a tu proyecto y se borran en el plazo pactado en el contrato, por defecto al vencer el plazo de la auditoría de seguimiento. El informe es tuyo: no lo reutilizamos y no citamos tu nombre sin tu autorización por escrito.

Si la duda es si tiene sentido contratar esto fuera de España, la respondemos con números y con derecho aplicable en contratar una empresa de pentesting no española.

Última revisión: 12 de septiembre de 2026.