Auditoría Técnica de Ciberseguridad: Metodología, Alcance y Entregables

Por qué auditar es inevitable

Toda organización que maneje sistemas de informacion conectados enfrenta riesgos de ciberseguridad. La cuestion no es si existen vulnerabilidades, sino cuantas, donde estan y cual es su impacto potencial. Una auditoria tecnica de ciberseguridad responde exactamente a esas preguntas: evalua de forma sistematica el estado de seguridad de una organizacion, identifica debilidades y proporciona un plan de remediacion priorizado.

No se trata de cumplir un tramite. Una auditoria bien ejecutada puede evitar un incidente que cueste millones en perdidas, sanciones regulatorias y dano reputacional. Para organizaciones sujetas a ENS, ISO 27001, NIS2 o DORA, la auditoria es ademas un requisito legal con plazos y formatos especificos.

Este articulo cubre el ciclo completo: desde los tipos de auditoria y la definicion de alcance hasta las herramientas, la clasificacion de hallazgos y los entregables profesionales que un equipo de seguridad necesita producir.

Tipos de auditoría: no todas evaluan lo mismo

Antes de planificar una auditoria, hay que definir que tipo se necesita. Cada modalidad tiene objetivos, metodologia y profundidad diferentes.

Tipo	Objetivo	Enfoque	Profundidad	Ejemplo de entregable
Auditoría de cumplimiento	Verificar adherencia a un marco normativo	Controles documentales + evidencias	Amplia, poco tecnica	Informe de conformidad ENS/ISO
Auditoría técnica	Evaluar configuraciones, vulnerabilidades y arquitectura	Escaneos + revision manual + pruebas	Profunda, tecnica	Informe de vulnerabilidades con CVSS
Test de intrusión (pentest)	Simular ataques reales para medir explotabilidad	Hacking etico controlado	Muy profunda, focalizada	Informe de explotacion con PoC
Red Team	Evaluar capacidad de deteccion y respuesta (personas + procesos + tecnologia)	Simulacion adversarial completa	Maxima, realista	Informe narrativo de campaña con TTPs
Auditoría forense	Investigar un incidente ocurrido	Analisis post-mortem de evidencias	Variable, reactiva	Timeline del incidente + root cause

En la practica, una auditoria completa combina varias modalidades. Lo habitual es que una auditoria tecnica incluya escaneo de vulnerabilidades y un pentest acotado sobre los sistemas mas criticos.

Auditoría interna vs. externa

La auditoria interna la realiza personal de la organizacion (equipo de seguridad, compliance, auditoria interna). Tiene la ventaja del conocimiento del entorno, pero el riesgo de sesgo y falta de independencia.

La auditoria externa la ejecuta un tercero independiente. Es obligatoria para certificaciones (ISO 27001, ENS) y aporta credibilidad ante reguladores, clientes y socios. El auditor externo no puede haber participado en la implementacion de los controles que audita.

Metodología de auditoría: las cinco fases

Una auditoria tecnica de ciberseguridad sigue un proceso estructurado que garantiza cobertura, reproducibilidad y calidad de los hallazgos.

Fase 1: Planificacion y alcance

Esta fase define que se audita, como y con que restricciones. Es la mas importante: un alcance mal definido produce resultados inutiles o peligrosos.

Actividades clave:

• Reunion de kickoff con el cliente o responsable de sistemas
• Definicion del alcance: redes, aplicaciones, sistemas cloud, OT, endpoints
• Identificacion de restricciones: ventanas de prueba, sistemas excluidos, entornos productivos
• Firma del acuerdo de confidencialidad (NDA) y autorizacion formal de pruebas
• Definicion de reglas de engagement: horarios, contactos de emergencia, limites de explotacion
• Entrega de cuestionarios previos para recopilar informacion inicial

Documento entregable: Plan de Auditoria (scope, cronograma, equipo, metodologia, criterios de evaluacion).

Fase 2: Recopilacion de informacion

El auditor recopila toda la informacion necesaria para entender el entorno antes de ejecutar pruebas tecnicas.

Informacion pasiva (OSINT):

• Dominios, subdominios, rangos IP publicos
• Registros DNS, WHOIS, certificados TLS
• Informacion publica en redes sociales, ofertas de empleo (revelan tecnologias), repositorios de codigo
• Busqueda de credenciales filtradas en fuentes publicas

Informacion activa (con autorizacion):

• Inventario de activos: servidores, endpoints, dispositivos de red, IoT, OT
• Topologia de red: segmentacion, VLANs, DMZ, accesos remotos
• Revision de politicas: contraseñas, accesos, backup, parcheo
• Entrevistas con administradores de sistemas, red y aplicaciones
• Revision de configuraciones: firewalls, WAF, IDS/IPS, SIEM, EDR

Fase 3: Pruebas tecnicas

El nucleo de la auditoria. Se ejecutan escaneos automatizados y pruebas manuales sobre los sistemas en alcance.

Escaneo de vulnerabilidades:

• Escaneo de red (puertos, servicios, versiones)
• Escaneo de vulnerabilidades conocidas (CVE matching)
• Analisis de configuraciones inseguras (hardening baselines: CIS Benchmarks, STIG)
• Escaneo de aplicaciones web (OWASP Top 10)
• Revision de cifrado (TLS, certificados, protocolos obsoletos)

Pruebas manuales:

• Verificacion de falsos positivos del escaner
• Pruebas de autenticacion y autorizacion
• Inyecciones (SQL, XSS, LDAP, command injection)
• Escalada de privilegios (local y de dominio)
• Movimiento lateral entre segmentos de red
• Exfiltracion controlada de datos de prueba

Pruebas especificas por entorno:

• Infraestructura cloud: revision de IAM, buckets publicos, security groups, logging, cifrado en reposo
• Aplicaciones web: OWASP Testing Guide v4, revision de API REST/GraphQL
• OT/ICS: protocolos industriales (Modbus, OPC UA), segmentacion IT/OT, accesos remotos
• Active Directory: Kerberoasting, AS-REP roasting, GPO misconfigurations, delegacion no restringida

Fase 4: Analisis y clasificacion

Los hallazgos en bruto se analizan, se eliminan falsos positivos, se correlacionan con el contexto del negocio y se clasifican por severidad.

Criterios de clasificacion:

Cada hallazgo se evalua en dos dimensiones: probabilidad de explotacion e impacto en el negocio. La combinacion produce la severidad final.

	Impacto Bajo	Impacto Medio	Impacto Alto	Impacto Critico
Probabilidad Alta	Medio	Alto	Critico	Critico
Probabilidad Media	Bajo	Medio	Alto	Critico
Probabilidad Baja	Info	Bajo	Medio	Alto

Para vulnerabilidades tecnicas, se usa CVSS v3.1 (o v4.0) como metrica estandar:

CVSS Score	Severidad	Ejemplo
9.0 - 10.0	Critica	RCE sin autenticacion, SQLi con acceso a DB completa
7.0 - 8.9	Alta	Escalada de privilegios, SSRF con acceso a red interna
4.0 - 6.9	Media	XSS almacenado, falta de rate limiting en login
0.1 - 3.9	Baja	Cabeceras de seguridad ausentes, informacion de version expuesta
0.0	Informativa	Buenas practicas no implementadas, hallazgos sin impacto directo

Fase 5: Informe y presentacion

El entregable final es el informe de auditoria. Es el documento que justifica toda la inversion, el que lee la direccion, el que revisa el regulador.

Definicion de alcance: que incluir y que excluir

El alcance determina el valor de la auditoria. Un alcance demasiado amplio diluye la profundidad. Uno demasiado estrecho deja riesgos sin evaluar.

Categorias de alcance

Infraestructura de red:

• Firewalls, routers, switches, balanceadores
• Segmentacion de red y DMZ
• VPN y accesos remotos
• WiFi corporativa y de invitados
• DNS interno y externo

Servidores y endpoints:

• Servidores Windows/Linux (hardening, parcheo, servicios)
• Active Directory y gestion de identidades
• Estaciones de trabajo y politicas de grupo
• Dispositivos moviles (MDM, cifrado)

Aplicaciones:

• Aplicaciones web internas y publicas
• APIs REST/GraphQL
• Aplicaciones moviles
• Aplicaciones legacy

Cloud:

• IaaS/PaaS/SaaS (AWS, Azure, GCP)
• Configuracion de IAM y permisos
• Almacenamiento y cifrado
• Logging y monitorizacion

OT/IoT (si aplica):

• Sistemas SCADA/ICS
• PLCs y RTUs
• Redes industriales
• Dispositivos IoT corporativos

Exclusiones comunes

Algunos elementos se excluyen del alcance por razones operativas o legales:

• Sistemas de terceros sin autorizacion del propietario
• Entornos de produccion criticos sin ventana de mantenimiento
• Pruebas de denegacion de servicio (DoS) en sistemas productivos
• Ingenieria social sobre personal sin consentimiento previo

Herramientas del auditor

El arsenal de herramientas de un auditor combina escaneres automatizados con utilidades de prueba manual. Ninguna herramienta sustituye el criterio del auditor: los escaneres generan falsos positivos y falsos negativos que solo un profesional experimentado puede filtrar.

Escaneo de vulnerabilidades

Herramienta	Tipo	Licencia	Uso principal
Nessus Professional	Escaner de vulnerabilidades	Comercial	Escaneo de red, compliance checks, CIS benchmarks
OpenVAS (Greenbone)	Escaner de vulnerabilidades	Open source	Alternativa libre a Nessus, buena cobertura CVE
Qualys VMDR	Escaner cloud	Comercial	Gestion continua de vulnerabilidades, agente ligero
Nuclei	Escaner basado en plantillas	Open source	Deteccion rapida con templates comunitarios

Pruebas de aplicaciones web

Herramienta	Tipo	Licencia	Uso principal
Burp Suite Professional	Proxy de intercepcion	Comercial	Pruebas manuales y automatizadas de aplicaciones web
OWASP ZAP	Proxy de intercepcion	Open source	Alternativa libre a Burp, buena para CI/CD
SQLMap	Explotacion SQL injection	Open source	Deteccion y explotacion automatizada de SQLi
Nikto	Escaner web	Open source	Deteccion rapida de misconfigurations en servidores web

Pruebas de infraestructura y pentest

Herramienta	Tipo	Licencia	Uso principal
Metasploit Framework	Framework de explotacion	Open source (Community)	Verificacion de explotabilidad (solo con autorizacion)
Nmap	Escaner de red	Open source	Descubrimiento de hosts, puertos, servicios, versiones
BloodHound	Analisis de AD	Open source	Mapeo de rutas de ataque en Active Directory
CrackMapExec / NetExec	Post-explotacion AD	Open source	Enumeracion y movimiento lateral en entornos Windows
Responder	Captura de credenciales	Open source	Envenenamiento LLMNR/NBT-NS en redes Windows

Cloud y contenedores

Herramienta	Tipo	Licencia	Uso principal
ScoutSuite	Auditoria multi-cloud	Open source	Revision de configuracion AWS/Azure/GCP
Prowler	Auditoria AWS	Open source	Checks de seguridad y compliance (CIS, ENS)
Trivy	Escaner de contenedores	Open source	Vulnerabilidades en imagenes Docker, IaC, SBOM
kube-bench	Auditoria Kubernetes	Open source	CIS Kubernetes Benchmark

Requisitos de auditoría ENS

El Esquema Nacional de Seguridad (RD 311/2022) establece requisitos especificos para las auditorias de seguridad en su Anexo III.

Frecuencia

• ENS Basico: autoevaluacion periodica (no se exige auditoria formal externa)
• ENS Medio: auditoria al menos cada 2 años, o tras cambios significativos
• ENS Alto: auditoria al menos cada 2 años, obligatoriamente por entidad externa independiente

Contenido obligatorio del informe ENS

El informe de auditoria ENS debe incluir:

1. Identificacion del sistema: nombre, responsables, categoria asignada, dimensiones DICAT
2. Alcance de la auditoria: medidas del Anexo II evaluadas
3. Criterios de auditoria: guias CCN-STIC aplicadas
4. Metodologia: procedimientos de evaluacion utilizados
5. Hallazgos: no conformidades clasificadas por gravedad (mayor, menor, observacion)
6. Evidencias: capturas, logs, configuraciones que soportan cada hallazgo
7. Conclusion: opinion sobre el grado de cumplimiento
8. Plan de accion: medidas correctivas con plazos

Herramientas CCN

El Centro Criptologico Nacional proporciona herramientas especificas para auditorias ENS:

• PILAR/PILAR Basic: analisis y gestion de riesgos segun MAGERIT
• INES: herramienta de evaluacion del cumplimiento ENS
• ANA: plataforma de analisis de vulnerabilidades del CCN
• LUCIA: sistema de gestion de ciberincidentes
• CLAUDIA: plataforma de deteccion y respuesta (CERT del CCN)

El resultado de la auditoria se comunica al CCN a traves de INES, que asigna una puntuacion de cumplimiento y permite el seguimiento de las medidas correctivas.

Auditoría ISO 27001: especificidades

ISO 27001 establece un sistema de gestion de seguridad de la informacion (SGSI) basado en el ciclo PDCA (Plan, Do, Check, Act). La auditoria es parte del "Check".

Tipos de auditoria ISO 27001

Tipo	Quien la hace	Frecuencia	Proposito
Auditoria interna	Equipo propio o consultora	Anual (minimo)	Verificar funcionamiento del SGSI
Auditoria de certificacion (Fase 1)	Organismo acreditado	Inicial	Revision documental del SGSI
Auditoria de certificacion (Fase 2)	Organismo acreditado	Inicial	Verificacion de implementacion real
Auditoria de vigilancia	Organismo acreditado	Anual	Verificar mantenimiento del SGSI
Auditoria de recertificacion	Organismo acreditado	Cada 3 años	Renovacion del certificado

Controles del Anexo A (ISO 27001:2022)

La version 2022 reorganizo los controles en 4 categorias (antes eran 14 dominios):

Categoria	Controles	Ejemplos
Organizacionales	37	Politicas, roles, clasificacion de informacion, gestion de proveedores
De personas	8	Screening, formacion, responsabilidades, terminacion
Fisicos	14	Perimetro, control de acceso, proteccion de equipos, cableado
Tecnologicos	34	Autenticacion, cifrado, logging, gestion de vulnerabilidades, backup

El auditor evalua cada control aplicable contra la Declaracion de Aplicabilidad (SoA), verificando que existe evidencia de implementacion efectiva, no solo documentacion.

Hallazgos ISO 27001

Los hallazgos se clasifican en:

• No conformidad mayor: ausencia o fallo total de un control requerido. Impide la certificacion hasta su correccion.
• No conformidad menor: implementacion parcial o debilidad en un control. Se puede certificar con plan de accion.
• Oportunidad de mejora: sugerencia que no afecta a la conformidad pero mejoraria el SGSI.
• Observacion: nota informativa sin impacto en la evaluacion.

Entregables de una auditoría profesional

Una auditoria tecnica produce tres documentos principales, cada uno dirigido a una audiencia diferente.

1. Resumen ejecutivo

Dirigido a la direccion (CISO, CIO, CEO, comite de seguridad). Maximo 3-5 paginas.

Contenido:

• Estado general de seguridad (semaforo o puntuacion)
• Numero de hallazgos por severidad (critica, alta, media, baja, info)
• Top 5 riesgos con impacto en negocio (no tecnico)
• Comparativa con auditoria anterior (si existe)
• Recomendaciones estrategicas priorizadas
• Inversion estimada para remediacion

2. Informe tecnico detallado

Dirigido al equipo de seguridad y administradores de sistemas. Sin limite de paginas.

Para cada hallazgo:

• Identificador unico (e.g., AUDIT-2026-001)
• Titulo descriptivo
• Severidad (CVSS + matriz de riesgo del negocio)
• Sistemas afectados (IPs, URLs, componentes)
• Descripcion tecnica detallada
• Evidencia (capturas, logs, respuestas HTTP, comandos ejecutados)
• Impacto potencial (que podria hacer un atacante)
• Remediacion especifica (pasos concretos, no genericos)
• Referencias (CVE, CWE, OWASP, CIS Benchmark)

3. Plan de remediacion

Documento accionable que traduce hallazgos en tareas con responsable, plazo y criterio de verificacion.

ID	Hallazgo	Severidad	Responsable	Plazo	Verificacion
REM-001	SQL injection en /api/login	Critica	Equipo desarrollo	7 dias	Re-test del endpoint
REM-002	TLS 1.0 habilitado	Alta	Sysadmin	15 dias	Escaneo SSL Labs
REM-003	Falta MFA en VPN	Alta	IT/IAM	30 dias	Verificar configuracion
REM-004	Parches Windows pendientes	Media	Sysadmin	30 dias	Escaneo Nessus
REM-005	Cabeceras HTTP ausentes	Baja	DevOps	60 dias	Escaneo headers

Frecuencia y disparadores de auditoría

Ademas de los ciclos regulatorios (ENS cada 2 años, ISO 27001 anual), existen situaciones que justifican una auditoria ad-hoc:

• Post-incidente: despues de un breach, ransomware o compromiso confirmado
• Cambios significativos: migracion a cloud, nuevo ERP, fusion o adquisicion
• Nuevos requisitos regulatorios: entrada en vigor de NIS2, DORA, AI Act
• Pre-lanzamiento: antes de poner en produccion un sistema critico
• Due diligence: proceso de inversion, adquisicion o partnership
• Cambio de proveedor critico: nuevo MSSP, nuevo proveedor cloud, nuevo integrador

Como elegir un auditor

La calidad de la auditoria depende directamente del equipo que la ejecuta. Criterios clave:

Certificaciones relevantes

Certificacion	Emite	Valida para
CISA	ISACA	Auditoria de sistemas de informacion
OSCP	Offensive Security	Pentest (examen practico de 24h)
GPEN	SANS/GIAC	Pentest (metodologia estructurada)
OSWE	Offensive Security	Pentest de aplicaciones web
ISO 27001 Lead Auditor	BSI, AENOR, TUV	Auditorias de certificacion ISO
CEH	EC-Council	Hacking etico (mas teorico que OSCP)
CISSP	ISC2	Gestion de seguridad (menos tecnica, mas estrategica)

Criterios de seleccion

• Independencia: el auditor no puede haber implementado los controles que evalua
• Experiencia sectorial: un auditor de banca conoce PCI DSS y DORA; uno de administracion publica conoce ENS
• Equipo, no individuo: verificar que el equipo asignado (no solo la empresa) tiene las certificaciones
• Metodologia documentada: pedir la metodologia antes de contratar
• Referencias verificables: hablar con clientes anteriores
• Seguro de responsabilidad civil: obligatorio para cubrir danos potenciales durante las pruebas
• Capacidad de retest: el contrato debe incluir verificacion de remediacion

Hallazgos mas comunes

Despues de cientos de auditorias publicadas por CERTs, consultoras y organismos reguladores, los patrones se repiten:

Gestion de parches:

• Sistemas operativos y aplicaciones sin actualizar (el hallazgo mas frecuente a nivel global)
• Firmware de dispositivos de red obsoleto
• Dependencias de terceros con CVEs conocidos

Autenticacion y accesos:

• Falta de MFA en accesos criticos (VPN, correo, paneles de administracion)
• Contraseñas por defecto en dispositivos de red, impresoras, IoT
• Cuentas con privilegios excesivos (principio de minimo privilegio no aplicado)
• Cuentas de servicio con contraseñas que no rotan

Configuracion de red:

• Segmentacion insuficiente (red plana donde un compromiso permite movimiento lateral total)
• Servicios innecesarios expuestos a Internet
• Protocolos obsoletos habilitados (SMBv1, TLS 1.0, FTP sin cifrar)

Aplicaciones web:

• Inyecciones SQL y XSS (siguen en el top de OWASP tras 20 años)
• APIs sin autenticacion o con autenticacion debil
• Exposicion de informacion sensible en mensajes de error

Logging y monitorizacion:

• Ausencia de logging centralizado (sin SIEM o con SIEM sin reglas)
• Logs que no se revisan (se generan pero nadie los analiza)
• Retencion insuficiente (logs borrados antes de poder investigar un incidente)

Backup y recuperacion:

• Backups no cifrados
• Backups no probados (existen pero nunca se ha verificado la restauracion)
• Backups accesibles desde la misma red que los sistemas productivos

Recursos y referencias

Marcos y estandares:

• OWASP Testing Guide v4 para pruebas de aplicaciones web
• PTES (Penetration Testing Execution Standard) para metodologia de pentest
• NIST SP 800-115 guia tecnica de pruebas y evaluacion de seguridad
• CIS Benchmarks para baselines de hardening
• CVSS v3.1 Calculator para clasificacion estandarizada de vulnerabilidades

Normativa española:

• CCN-STIC 802 guia de auditoria del ENS
• CCN-STIC 804 guia de implantacion del ENS
• INES herramienta de evaluacion de cumplimiento ENS

Normativa internacional:

• ISO/IEC 27001:2022 requisitos del SGSI
• ISO/IEC 27002:2022 controles de seguridad de referencia
• Directiva NIS2 (2022/2555) obligaciones de ciberseguridad en la UE

Herramientas open source:

• OpenVAS/Greenbone escaner de vulnerabilidades
• OWASP ZAP proxy de pruebas web
• BloodHound analisis de Active Directory
• Prowler auditoria de seguridad cloud (AWS, Azure, GCP)

La auditoria tecnica de ciberseguridad no es un evento puntual, sino un proceso ciclico que debe integrarse en la gestion de riesgos de la organizacion. Cada ciclo de auditoria, remediacion y verificacion eleva el nivel de madurez de seguridad y reduce la superficie de ataque real. El informe de auditoria es el punto de partida, no el destino.