Auditoría informática para pymes

Una de las primeras revisiones es el estado de las copias de seguridad. No alcanza con comprobar que existe un backup. Revisamos qué información incluye, cuándo terminó correctamente por última vez, dónde se almacena y si puede recuperarse. Una copia puede llevar meses fallando porque el destino se quedó sin espacio o porque las alertas llegan a una casilla que nadie consulta.

También importa cómo está aislada. Si la única copia permanece conectada permanentemente al mismo servidor, determinados incidentes pueden afectar tanto los archivos originales como su respaldo.

La continuidad incluye además elementos menos visibles, como la UPS que mantiene encendido el servidor durante un corte. Si sus baterías perdieron capacidad, una interrupción breve puede apagar el equipo de forma abrupta y afectar servicios o bases de datos.

En computadoras y servidores revisamos versiones, actualizaciones de seguridad, protección instalada y servicios que puedan haber quedado expuestos innecesariamente.

Un acceso remoto habilitado para resolver una urgencia puede seguir abierto meses después. Lo mismo ocurre con dispositivos que conservan contraseñas predeterminadas o configuraciones que nunca se revisaron después de la instalación.

La auditoría busca ese tipo de situaciones antes de que se conviertan en un incidente. También permite identificar equipos que ya no reciben actualizaciones y cuya continuidad debería planificarse.

Otra parte de la revisión consiste en saber quién puede entrar a qué.

Armamos el mapa de administradores, usuarios y accesos relevantes, y buscamos cuentas que sigan activas aunque la persona ya no trabaje en la empresa. También revisamos prácticas de riesgo, como credenciales compartidas entre varias personas o servicios importantes asociados a cuentas personales.

Hay casos frecuentes que no requieren acceder a información privada para detectar el problema. Si el número utilizado para atender clientes pertenece al teléfono personal de un vendedor, por ejemplo, no revisamos ese dispositivo ni sus conversaciones. El informe simplemente registra la dependencia que existe sobre un recurso que la empresa no controla directamente.

En las cuentas de correo pueden revisarse configuraciones como reglas de reenvío sin necesidad de leer los mensajes. Una derivación hacia una dirección desconocida puede ser una señal de acceso no autorizado.

Cuando existe una sospecha relacionada con un empleado y podría haber consecuencias legales, una auditoría general no sustituye una pericia informática. En esos casos conviene preservar el equipo y la información hasta que intervenga el profesional correspondiente.

Algunos servicios críticos pueden detenerse por algo tan simple como un vencimiento mal gestionado.

Por eso registramos quién figura como titular del dominio de la empresa y quién recibe los avisos de renovación. Si esa información quedó asociada a un proveedor anterior o a una cuenta que ya nadie utiliza, el riesgo puede afectar simultáneamente al sitio web y al correo.

También identificamos certificados, licencias y otros recursos con vencimiento que puedan afectar la operación.

El análisis no se limita a seguridad o fallas. Durante el relevamiento pueden aparecer tareas que dependen demasiado de una persona, información que se carga dos veces o procesos que podrían simplificarse. Si un dato se registra en un sistema y luego vuelve a copiarse en una planilla, por ejemplo, puede existir una oportunidad de automatización de procesos.

La auditoría identifica esas mejoras para que puedan evaluarse con contexto y prioridad, sin dar por hecho que todas deban implementarse.

El resultado es un informe que organiza los hallazgos y explica qué riesgo representa cada uno, cómo puede resolverse y con qué prioridad conviene tratarlo.

También puede incluir necesidades de equipos, licencias o cambios de configuración, además del mapa de accesos y los vencimientos detectados.

La auditoría no reemplaza certificaciones formales de seguridad cuando un cliente, aseguradora o entidad financiera exige una norma específica. Su objetivo es ofrecer una visión práctica del entorno tecnológico y una base para tomar decisiones.

Si Draxeus puede ejecutar alguna de las mejoras identificadas, ese trabajo se presenta por separado. El informe conserva su utilidad aunque la implementación la realice el equipo interno u otro proveedor.

Con el tiempo seguirán cambiando usuarios, sistemas, equipos y servicios. Cuando la necesidad ya no es una revisión puntual sino acompañar esas decisiones durante el año, ese trabajo forma parte de la consultoría informática.