“Diagnóstico” es una palabra que suele generar confusión. Algunos la asocian a una auditoría formal de varios meses, otros a una visita de un técnico que “revisa que todo esté bien”. Lo que hace falta en una PyME sin área IT propia está entre esos dos extremos.
Un diagnóstico de infraestructura es un ejercicio acotado, de una a dos semanas de trabajo, que deja tres cosas en la mano del dueño o el gerente: una foto del estado actual, una lista priorizada de riesgos y un plan de trabajo con costos y tiempos para atender esos riesgos. Lo importante es que el entregable sea entendible sin conocimiento técnico: un gerente tiene que poder leerlo, entenderlo y decidir.
Qué se revisa
Aunque cada diagnóstico se adapta al caso, hay siete áreas que aparecen siempre.
Inventario de equipos y software. Qué computadoras, servidores, dispositivos de red, impresoras y UPS tiene la empresa. Qué sistema operativo corre cada uno, qué versión, qué edad tiene. Qué software crítico usa el negocio (ERP, correo, gestión de facturación) y en qué equipos está instalado.
Licenciamiento. Qué se compró, qué se está usando, qué falta. Documentación disponible y riesgos legales si hay faltantes. Incluye revisión de licencias de Windows, Office/Microsoft 365, antivirus, software específico del rubro.
Seguridad. Antivirus instalado y actualizado, estado del firewall, políticas de contraseñas, estado de 2FA en las cuentas críticas, antigüedad de los parches del sistema operativo, presencia de accesos remotos inseguros. Exposición a internet: puertos abiertos, servicios expuestos, accesos publicados sin necesidad.
Backups. Qué se respalda, dónde, con qué frecuencia. Si existe copia fuera del sitio. Si alguien probó alguna vez una restauración. Ajuste contra la regla 3-2-1 básica.
Redes. Topología (cómo está armada la red), calidad del cableado, configuración del router/firewall, segmentación (si existe), calidad de la conexión WiFi, dependencia del enlace de internet (un solo proveedor o varios).
Gestión de accesos. Quién tiene usuario y contraseña para cada sistema crítico. Si hay cuentas compartidas, si hay accesos de ex empleados que no se revocaron, si hay gestor de contraseñas.
Documentación existente. Qué está por escrito (procedimientos, inventarios, configuraciones, contratos). Qué vive solo en la cabeza de una persona. Dependencia operativa de esa persona.
En dos semanas de trabajo, las siete áreas se pueden cubrir para una empresa de entre 10 y 80 empleados.
Cómo se hace
La metodología combina tres fuentes:
Entrevistas con el dueño, el referente interno, personas de administración y quien resuelve cosas informalmente. Se pregunta qué funciona, qué no funciona, qué incidentes aparecieron en el último año, qué preocupa y qué no.
Revisión técnica en sitio o remota: acceso a los equipos, al servidor, al firewall, al panel de correo. Herramientas de relevamiento automáticas (Nmap para red, Belarc para equipos, revisión manual de configuraciones críticas) para no depender de lo que “dicen” las máquinas sino ver lo que realmente está.
Contraste con buenas prácticas: las prácticas sectoriales (ISO 27001 a escala PyME, recomendaciones del CERT, reglas de 3-2-1, requisitos específicos del rubro) sirven como vara contra la que se compara el estado actual.
Las tres fuentes juntas evitan puntos ciegos: lo que la empresa no cuenta, lo que los equipos ocultan, lo que los encargados no saben.
El entregable
El informe final, típicamente de 15 a 30 páginas, tiene estas secciones:
Resumen ejecutivo (1-2 páginas). Dirigido al dueño y gerencia. Estado general, riesgos más graves detectados, inversiones prioritarias. Sin vocabulario técnico.
Inventario y hallazgos detallados (la mayor parte del informe). Cada área de las siete revisadas, con los hallazgos concretos. Fotos, capturas, referencias específicas. Acá sí puede haber vocabulario técnico, porque esta sección es para que, si la empresa cambia de proveedor, el próximo tenga una base.
Matriz de riesgos. Tabla con cada riesgo detectado, clasificado por probabilidad y por impacto en el negocio. Permite priorizar: primero los de alto impacto y alta probabilidad.
Plan de trabajo. Para cada riesgo relevante, una acción propuesta con estimación de tiempo y de costo. Organizado por prioridad: qué conviene hacer en los próximos 30 días, qué en los próximos 3 meses, qué en los próximos 12.
Anexos. Inventario completo en formato digital (planilla), diagramas de red, evidencias de auditoría de licencias, capturas de configuraciones críticas. Esto queda en manos del cliente y es suyo: si mañana contrata a otro proveedor, el diagnóstico entregado le sirve.
Ese último punto es importante: la documentación generada pertenece al cliente, no al consultor. Un diagnóstico bien hecho es portable.
Qué no es un diagnóstico
Tres malentendidos frecuentes conviene aclarar:
No es una venta disfrazada. El diagnóstico se cobra como trabajo profesional. El que lo hace tiene que poder recomendar cosas que él no hace (por ejemplo, reemplazar un producto que el consultor no distribuye) si esa es la mejor opción para el cliente. Si todas las recomendaciones terminan siendo “contratar al consultor”, el diagnóstico no es un diagnóstico, es una propuesta comercial.
No es una auditoría formal. Una auditoría ISO 27001, por ejemplo, requiere mucho más trabajo, metodología acreditada y auditores externos certificados. El diagnóstico es más ágil y se paga una fracción, pero no certifica para clientes que requieren ISO.
No es pentesting. El diagnóstico revisa la configuración y las buenas prácticas. Un pentest (prueba de penetración) intenta efectivamente explotar vulnerabilidades. Son dos ejercicios complementarios, no sinónimos.
Cuándo conviene hacerlo
Tres momentos típicos en los que un diagnóstico rinde:
– Empresas que nunca tuvieron un proceso de revisión y no saben en qué estado están.
– Empresas que están por invertir en IT (nuevo ERP, nueva oficina, renovación de equipos) y quieren decidir con información.
– Empresas en cambio de proveedor IT, para tener una foto independiente antes y después.
¿Cuándo fue la última vez que alguien, desde afuera, revisó la infraestructura de tu empresa con mirada completa y entregó un informe por escrito? Si la respuesta es “nunca”, probablemente hay riesgos acumulados que conviene ver antes de que uno se convierta en incidente.
