Durante el año, la operación de IT avanza por necesidad: se soluciona lo que se rompe, se compra lo que falta, se agregan usuarios, se cambian configuraciones. Cada cambio es razonable por sí solo. La suma, al final del año, es un sistema distinto al que había en enero, con cosas que dejaron de estar controladas, otras que se incorporaron sin proceso, y riesgos que se acumularon sin que nadie lleve la cuenta.
Una auditoría anual es el ejercicio de volver a revisar el conjunto con mirada ordenada. Se hace una vez por año, suele llevar entre dos y cinco jornadas según el tamaño de la empresa, y tiene un costo muy inferior al de un solo incidente mayor que detecta a tiempo.
Qué no es una auditoría anual
No es una certificación ISO. No es un pentest. No es una revisión fiscal del software. Es un ejercicio interno (o con proveedor externo) cuyo resultado queda en manos de la empresa y sirve para tomar decisiones de presupuesto y prioridades para el año siguiente.
Quien la hace, del propio equipo o externo, debe tener mirada técnica suficiente para entender lo que revisa y mirada de negocio para priorizar. El entregable es un informe con hallazgos, riesgos y acciones propuestas.
Checklist por áreas
Seis áreas, cada una con preguntas concretas que hay que responder con evidencia (no con intuición).
1. Accesos
– ¿Qué usuarios tienen acceso a cada sistema crítico (ERP, correo, servidor, banca online, panel de administración del sitio)?
– ¿Hay ex empleados que todavía tienen alguna cuenta activa?
– ¿Se usa 2FA en todas las cuentas con información sensible?
– ¿Existe un gestor de contraseñas compartido para accesos críticos?
– ¿Hay cuentas compartidas entre varios usuarios (“admin” que usan tres personas)?
– ¿Quién tiene permisos de administrador? ¿Cuántos son? ¿Se justifica cada uno?
2. Backups y continuidad
– ¿Se cumple la regla 3-2-1 (tres copias, dos soportes, una fuera del sitio)?
– ¿Cuándo fue la última vez que se probó una restauración real?
– ¿El backup incluye todo lo crítico, o se agregaron carpetas/sistemas que quedaron fuera?
– ¿Cuánto tiempo lleva una restauración completa? ¿Alguien lo midió?
– ¿Hay plan escrito de continuidad operativa? ¿Alguien del equipo lo leyó en el último año?
3. Seguridad técnica
– ¿El antivirus está activo en todos los equipos? ¿Hay alguno desactualizado o sin licencia?
– ¿Cuándo se aplicaron actualizaciones de sistema operativo por última vez? ¿Hay equipos con Windows sin parches críticos?
– ¿Qué puertos están abiertos al exterior en el firewall? ¿Se justifica cada uno?
– ¿Hay accesos remotos (RDP, VPN) bien configurados, o alguno quedó publicado sin 2FA?
– ¿Hay segmentación de red (VLANs) o todos los dispositivos (incluso cámaras, impresoras y WiFi de invitados) están en la misma red?
4. Licenciamiento
– ¿Qué software está instalado? ¿Qué licencias hay compradas y documentadas?
– ¿Cuántas licencias Microsoft 365 activas versus usuarios reales? ¿Hay licencias asignadas a personas que ya no trabajan?
– ¿El antivirus tiene la cantidad correcta de suscripciones para los equipos activos?
– ¿Hay software en uso sin respaldo de licencia (Office, Photoshop, Autocad)?
– ¿Las licencias vencen en los próximos 12 meses? ¿Cuáles?
5. Infraestructura y hardware
– ¿Qué edad tienen los equipos críticos (servidor, switches, firewall, UPS)? ¿Cuáles entran en zona de reemplazo este año?
– ¿El servidor tiene redundancia (RAID funcionando, fuente doble, disco de repuesto)?
– ¿Las baterías de la UPS tienen menos de 3 años? ¿Se probó que sostengan la carga?
– ¿El cableado de red está identificado y documentado, o es un plato de spaghetti?
– ¿Las condiciones ambientales donde vive el servidor son adecuadas (temperatura, humedad, acceso físico limitado)?
6. Documentación y proveedores
– ¿Existe inventario actualizado de hardware y software?
– ¿Hay mapa de red actualizado?
– ¿Están documentados los procedimientos críticos (backup, restauración, alta/baja de usuarios)?
– ¿Cuántos proveedores IT hay involucrados? ¿Hay acuerdos escritos con cada uno?
– ¿Se sabe quién es responsable de cada sistema, o hay zonas grises donde “todo el mundo” es el dueño?
Qué hacer con los hallazgos
Al terminar, el checklist va a tener una mezcla de respuestas: algunas en verde (“todo OK”), algunas en amarillo (“conviene mejorar pero no urgente”) y algunas en rojo (“riesgo real, atender ahora”).
Un entregable útil organiza todo eso en una matriz de riesgo: cada hallazgo rojo o amarillo entra con su impacto potencial y su probabilidad. Los que aparecen en el cuadrante “alto impacto + alta probabilidad” son los primeros a atender. Los de alto impacto pero baja probabilidad (incendio, por ejemplo) pueden tener plan de contingencia más que prevención. Los de bajo impacto pueden esperar.
Ese ejercicio de priorización es lo que convierte una lista larga de problemas en un plan de trabajo realizable para el año siguiente.
Quién lo hace
Tres opciones, según el tamaño de la empresa y la disponibilidad interna:
Autoevaluación con el referente IT interno. Funciona en empresas donde el referente tiene mirada técnica y tiempo. Es la opción más barata; su limitación es que lo mismo que uno hace todos los días puede costar verlo con ojos frescos.
Proveedor IT habitual. Es práctico porque ya conoce la empresa, pero tiene un conflicto de interés implícito: está auditando cosas que él mismo hizo. Funciona si existe confianza, pero pierde parte del valor.
Auditoría externa independiente. Un consultor que no trabaja habitualmente con la empresa revisa con mirada fresca. Es más caro pero detecta cosas que los otros dos no ven. Para empresas que están cambiando de proveedor, o que llevan varios años sin una mirada de afuera, suele rendir el costo.
Cuándo hacerla
El momento ideal es antes del cierre del presupuesto anual, para que los hallazgos se conviertan en partidas de inversión concretas. Octubre, noviembre o principios de diciembre funcionan bien en el calendario de la mayoría de las empresas argentinas.
Si nunca se hizo una auditoría IT completa en tu empresa, o si la última fue hace más de dos años, probablemente hay riesgos acumulados que no aparecen en el día a día. Un ejercicio de unas pocas jornadas, una vez por año, es la diferencia entre dirigir IT con información y dirigirlo con intuición.
