Un firewall mal configurado en un VLAN de producción, una regla ACL olvidada tras una migración de servidor, un acceso VPN aún activo para un proveedor que se fue hace seis meses: son estos puntos ciegos los que transforman una red empresarial en un terreno de juego para un atacante. La auditoría de seguridad de red sirve para identificarlos antes de que un incidente lo haga por usted.
Segmentación de red y flujos autorizados: el primer punto de fricción en el terreno
Sobre el papel, la mayoría de las empresas cuentan con una segmentación de red. En la práctica, a menudo se observa que las reglas de filtrado entre zonas no se han revisado desde su puesta en marcha. Flujos temporales abiertos para un proyecto se convierten en permanentes por olvido.
Para profundizar : Cómo vender rápidamente una casa después de un divorcio: consejos para atraer a los compradores
Antes de lanzar un escaneo de vulnerabilidades, comenzamos por mapear los flujos realmente activos entre cada segmento. Luego comparamos esta fotografía con el esquema teórico proporcionado por el equipo de infraestructura. La discrepancia entre ambos revela las primeras fallas: puertos abiertos sin justificación, protocolos no cifrados que transitan entre la red de oficina y la DMZ, máquinas de prueba accesibles desde el Wi-Fi de invitados.
Este trabajo de confrontación entre lo declarado y lo real se detalla en esta guía sobre la auditoría de seguridad de red, que describe la lógica de priorización a aplicar una vez identificadas las discrepancias.
También recomendado : Cómo evitar el rechazo de embarque para una mujer casada: nombre a indicar en el billete de avión
Los comentarios varían en este punto según el tamaño del parque, pero una red de unos cientos de puestos ya genera suficientes flujos como para que el ejercicio tome varios días.
Inventario de activos de red: por qué las herramientas automáticas no son suficientes
Un escáner de red recupera direcciones IP, nombres de máquinas, servicios expuestos. Lo que no dice: a quién pertenece este equipo, cuál es su función en el negocio y quién es responsable de él. Sin esta capa de información, obtenemos una lista, no un inventario explotable.
La auditoría impone cruzar el descubrimiento automático con entrevistas a los equipos de TI y de negocio. Se busca en particular:
- Los equipos no gestionados (shadow IT): impresoras conectadas, sensores IoT, NAS personales conectados a la red local sin validación del DSI
- Las cuentas de servicio con privilegios elevados cuyo uso exacto y contraseña ya nadie conoce
- Las interconexiones con socios o proveedores, a menudo configuradas a través de túneles VPN site-a-site cuyas reglas de filtrado del lado remoto escapan al control de la empresa
Un activo no inventariado es un activo no protegido. Es una regla simple, pero condiciona toda la continuación de la auditoría.
Análisis de vulnerabilidades y pruebas de intrusión en red: dos enfoques complementarios
El escaneo de vulnerabilidades identifica las fallas conocidas (CVE publicadas, versiones obsoletas, configuraciones por defecto). Se ejecuta en todo el perímetro definido, programando los escaneos intensivos fuera del horario de producción para limitar el impacto en el rendimiento.
La prueba de intrusión va más allá. Un auditor intenta explotar las vulnerabilidades detectadas para medir la profundidad de acceso realmente alcanzable. La pregunta ya no es “¿está abierto este puerto?”, sino “desde este punto de entrada, ¿hasta dónde se puede llegar en el sistema de información?”.
Concretamente, se distinguen dos enfoques:
- La prueba en caja negra, donde el auditor no dispone de ninguna información previa y simula un atacante externo
- La prueba en caja gris, donde el auditor recibe una cuenta de usuario estándar para evaluar las posibilidades de elevación de privilegios y movimiento lateral dentro de la red
- La prueba en caja blanca, más rara, donde el auditor accede a la documentación completa y al código fuente para una revisión en profundidad
El escaneo detecta las fallas, la prueba de intrusión mide su impacto real. Ambos son necesarios para producir un informe de auditoría que supere la simple lista de correcciones.
Conformidad NIS2 y capacidad de detección: un criterio de auditoría ahora central
La directiva NIS2 impone a las entidades afectadas una notificación de incidente en un plazo de 24 horas a la ANSSI. Esta restricción cambia la naturaleza misma de la auditoría de red. Ya no se verifica solo si los sistemas están actualizados: se evalúa si la empresa es capaz de detectar una intrusión, de registrarla y de elevar la alerta en este plazo.
Por lo tanto, la auditoría debe examinar toda la cadena de detección: recopilación de logs (firewall, servidores, directorio Active Directory), centralización en un SIEM o herramienta equivalente, reglas de correlación activas y procedimiento de notificación formalizado. Sin registro centralizado, la notificación en 24 horas sigue siendo teórica.
La conformidad regulatoria va más allá de NIS2. Según el sector, también se verifica la alineación con el RGPD para el tratamiento de datos personales que transitan por la red, o con referencias como la ISO 27001 si la empresa busca una certificación.
Del informe de auditoría al plan de remediación: transformar los hallazgos en acciones
Un informe que lista vulnerabilidades clasificadas por nivel de criticidad (crítica, alta, media, baja) sin priorización operativa termina en un cajón. El entregable útil es aquel que jerarquiza las correcciones en función del riesgo real del negocio, no solo del puntaje CVSS.
Una falla crítica en un servidor aislado sin datos sensibles pasa después de una falla media en el controlador de dominio Active Directory. La priorización se hace por el impacto en el negocio, no solo por el puntaje técnico.
El plan de remediación especifica para cada hallazgo: la acción correctiva, el responsable, el plazo y el medio de verificación. También se integran indicadores de seguimiento (tasa de correcciones aplicadas, cobertura MFA, tiempo medio de detección) para medir el progreso a lo largo del tiempo.
La auditoría puntual sigue siendo una fotografía. Las empresas que sacan el mejor partido de este ejercicio lo inscriben en un ciclo continuo: evaluar, corregir, supervisar, reevaluar. Este paso de un control anual a una postura gestionada de forma continua es la tendencia de fondo que separa a las organizaciones reactivas de aquellas que realmente anticipan las amenazas en su red.