Qué debería cubrir una auditoría útil
- Identidades y accesos: cuentas privilegiadas, MFA, segregación y permisos heredados.
- Endpoints, correo y colaboración: exposición en Microsoft 365, phishing y controles básicos.
- Infraestructura y nube: redes, almacenamiento, configuraciones críticas y servicios expuestos.
- Procesos mínimos: respaldo, respuesta a incidentes, gestión de cambios y proveedores críticos.
- Cumplimiento aplicable: normas, contratos y obligaciones como ISO 27001 o legislación chilena cuando corresponda.
Qué entregables deberías exigir
Una auditoría seria debería dejar tres salidas distintas. Primero, una lectura ejecutiva del riesgo para negocio. Segundo, hallazgos priorizados con impacto y recomendación concreta. Tercero, un plan de remediación accionable con responsables y secuencia.
Si el informe no te ayuda a responder qué corregir primero, cuánto riesgo reduce y qué área debe actuar, el entregable está incompleto aunque el análisis técnico haya sido correcto.
Cómo se diferencia de un pentest
La auditoría busca entender postura general. El pentesting busca validar explotación real sobre un alcance controlado. Muchas empresas necesitan ambos, pero en distinto momento. Si hoy no tienes línea base, una auditoría puede ordenar prioridades. Si ya conoces la superficie crítica y quieres validar impacto real, conviene sumar pentesting.
Para cobertura continua entre una revisión y otra, conviene agregar gestión de vulnerabilidades para monitoreo, priorización y seguimiento.
Qué señales indican que la auditoría debe incluir cloud y Microsoft 365
- La empresa opera sobre Azure, AWS o Microsoft 365 como base del negocio.
- Hay identidades compartidas entre correo, dispositivos, SharePoint, Teams y aplicaciones.
- Existen integraciones, pipelines o repositorios conectados a la nube.
- La mayor parte del riesgo ya no está en servidores on-premise, sino en permisos y configuraciones.
En ese caso la auditoría general debería conectarse con una auditoría de seguridad cloud más profunda.
Qué evita una mala contratación
- No comprar una auditoría “genérica” sin alcance claro.
- No mezclar en un mismo paquete auditoría, monitoreo y pentest sin distinguir objetivos.
- No evaluar solo por precio. Evalúa por claridad de hallazgos, remediación y criterio técnico.