En una cooperativa de ahorro y crédito, la red no es un servicio de apoyo: es el canal por el que pasan las operaciones de los socios, la conexión con el sistema de pagos y los datos personales que la institución está obligada a proteger. Aun así, la mayoría de las redes que revisamos crecieron por acumulación: una sucursal nueva, un proveedor con soporte remoto, cámaras, un Wi-Fi para visitantes. Cada decisión fue razonable en su momento y nadie volvió a mirar el conjunto.
Una auditoría de redes empresarial mira ese conjunto. No busca culpables ni entrega una lista de productos por comprar: documenta cómo está construida la red, qué puede alcanzar qué y qué pasaría si un solo equipo quedara en manos ajenas. Este artículo recorre los siete frentes que se revisan y el hallazgo más frecuente de cada uno. Los casos son reales y van anonimizados.
¿Qué es una auditoría de redes empresarial?
Es la revisión documentada de la arquitectura, la configuración y los accesos de la red de una organización, contrastada contra un marco de control reconocido, que termina en un informe de hallazgos priorizados por riesgo con un plan de corrección y su reversa.
Dos aclaraciones. No se ejecutan ataques contra la infraestructura en producción: el trabajo es de verificación y configuración, con autorización escrita y en ventanas acordadas. Y la auditoría no es una certificación. Tomamos como referencia el NIST Cybersecurity Framework 2.0, los CIS Critical Security Controls y los controles de ISO/IEC 27001, pero Blue Nova no emite certificados ISO: eso requiere un organismo acreditado.
Cómo se ejecuta la auditoría
- Autorización, confidencialidad y alcance. Se firma qué se revisa, en qué ventana y bajo qué compromiso de confidencialidad. Sin eso no se inicia nada.
- Levantamiento del inventario real. Equipos de red, servidores, servicios en la nube, enlaces entre sedes y accesos de terceros. Casi siempre aparece algo que no constaba en el inventario oficial.
- Revisión frente por frente. Los siete bloques que detallamos abajo, con evidencia documental de lo encontrado.
- Clasificación por riesgo e impacto. Cada hallazgo se asocia a un control concreto del marco y se ordena por el daño que causaría al negocio.
- Plan de cambios con reversa. Cada corrección incluye cómo deshacerla. En una institución financiera, un cambio de red sin reversa documentada no se aprueba, y con razón.
- Presentación a la gerencia. Informe ejecutivo para quien decide el presupuesto y anexo técnico para quien ejecuta.
Los siete frentes de la revisión
1. Arquitectura y segmentación
Qué se mira. Cómo está dividida la red en zonas, qué reglas existen entre ellas y si el tráfico pasa por un punto de control: redes de usuarios, servidores, cajas, cámaras, visitantes y enlaces entre sedes.
Hallazgo típico. La red es plana: cámaras, Wi-Fi de visitantes y servidores conviven en el mismo dominio, así que un equipo comprometido alcanza todo lo demás sin cruzar ningún control. Es el hallazgo de mayor impacto y, casi siempre, el más barato de corregir.
2. Firewall
Qué se mira. El orden de las reglas, las que no se usan, las que permiten cualquier origen hacia cualquier destino, la última actualización del equipo, la vigencia del soporte del fabricante y si los registros salen del propio firewall.
Hallazgo típico. Reglas temporales que quedaron permanentes: un acceso abierto para una prueba de hace tres años, con el comentario original todavía puesto, que nadie se atrevió a eliminar por miedo a romper algo. También es frecuente el firewall sin registros exportados.
3. Accesos de terceros
Qué se mira. Qué proveedores entran, por qué vía, con qué credenciales, hacia qué sistemas, con qué privilegio, si queda registro de la sesión, si el acceso caduca y si el contrato tiene cláusulas de seguridad.
Hallazgo típico. Accesos permanentes sin caducidad y con cuentas compartidas entre varios técnicos del proveedor. En una cooperativa de ahorro y crédito encontramos dos proveedores así: el problema no era técnico sino de gobierno, porque era imposible saber qué persona hizo qué. En una entidad supervisada, eso es cumplimiento antes que tecnología.
4. Servicios expuestos a internet
Qué se mira. El inventario real de lo publicado hacia internet: paneles de administración, escritorios remotos, interfaces de gestión de equipos de red, sistemas de respaldo, consolas de cámaras y portales internos, y si cada exposición tiene justificación operativa.
Hallazgo típico. Servicios administrativos publicados sin necesidad, heredados de una migración. En una institución del sector público encontramos varios así: retirarlos redujo la superficie de ataque sin comprar una sola licencia.
5. Dispositivos finales
Qué se mira. Qué hay instalado en puestos y servidores, estado de actualizaciones, cifrado de disco en portátiles, privilegios de administrador local y, sobre todo, si existe detección por comportamiento o solo protección por firmas.
Hallazgo típico. Antivirus en todos los equipos y detección en ninguno. Una aseguradora con 170 usuarios en cinco sedes tenía firewall perimetral y antivirus corporativo, y la gerencia daba el riesgo por cubierto. Si un puesto se comprometía, nadie se enteraba hasta que el usuario reportaba algo raro.
6. Gestión de accesos
Qué se mira. El directorio de usuarios, las cuentas privilegiadas y de servicio, el segundo factor en accesos remotos y administrativos, la política de contraseñas y el procedimiento de salida de personal.
Hallazgo típico. Cuentas activas de personal que salió meses atrás, cuentas de administrador compartidas y segundo factor ausente justo en los accesos de mayor privilegio. El procedimiento de ingreso suele estar documentado; el de salida, casi nunca.
7. Registros de auditoría
Qué se mira. Qué eventos se registran en firewall, servidores, directorio y aplicaciones críticas; dónde se guardan; por cuánto tiempo; quién puede modificarlos; y si alguien los revisa.
Hallazgo típico. Los registros existen pero viven en el mismo equipo que los genera, con rotación corta y sin copia externa. Quien compromete el servidor borra su propio rastro, y sin registros fuera del equipo reconstruir el incidente pasa de difícil a imposible.
Resumen de los siete frentes
| Frente | Qué se revisa | Hallazgo más frecuente |
|---|---|---|
| Arquitectura y segmentación | Zonas, reglas entre zonas, enlaces | Red plana sin separación de zonas |
| Firewall | Reglas, versión, soporte, registros | Reglas temporales vueltas permanentes |
| Accesos de terceros | Vía, privilegios, caducidad, trazabilidad | Accesos sin caducidad, cuentas compartidas |
| Servicios expuestos | Inventario publicado y su justificación | Paneles de administración abiertos |
| Dispositivos finales | Actualizaciones, cifrado, detección | Firmas sin detección por comportamiento |
| Gestión de accesos | Directorio, privilegios, segundo factor | Cuentas activas de personal que ya salió |
| Registros de auditoría | Qué se guarda, dónde y por cuánto tiempo | Registros sin copia fuera del equipo |
Cuánto cuesta y qué servicios la acompañan
La auditoría de redes empresarial se entrega dentro del diagnóstico de ciberseguridad de Blue Nova Consulting. Precios verificados en octubre de 2026, sin IVA del 15%.
| Servicio | Precio en USD | Modalidad |
|---|---|---|
| Diagnóstico de ciberseguridad (incluye los siete frentes) | 850 | Precio cerrado, pago único |
| Intervención de servidor | Desde 500 | Por servidor, según alcance |
| Limpieza de incidente de malware o spam SEO | 600 a 1.200 | Según extensión del compromiso |
| Monitoreo de ciberseguridad continuo | Se cotiza tras el diagnóstico | Mensual |
| Hosting administrado | Desde 150 al año | Anual |
| Sistema de rondas de guardias | Desde 1.900 | Pago único |
La ejecución de los cambios no está incluida y se cotiza según el plan aprobado. Muchas correcciones de segmentación y de reglas las puede aplicar el equipo interno con el procedimiento documentado del informe.
Qué esperar semana a semana
- Semana 1. Autorización, confidencialidad e inventario con el responsable de tecnología.
- Semana 2. Arquitectura, firewall, servicios expuestos y accesos de terceros.
- Semana 3. Dispositivos finales, gestión de accesos y registros de auditoría.
- Semana 4. Informe, plan de cambios con reversa y presentación a la gerencia.
Más de cinco sedes o infraestructura repartida entre varios proveedores pueden requerir una semana adicional. Si aparece un compromiso activo, el trabajo se detiene, se informa por escrito y se pasa a atención de emergencia.
Preguntas frecuentes
¿Qué revisa exactamente una auditoría de redes empresarial?
Siete frentes: arquitectura y segmentación, firewall, accesos de terceros, servicios expuestos a internet, dispositivos finales, gestión de accesos y registros de auditoría. Cada uno produce hallazgos con evidencia documental, clasificados por riesgo, y una propuesta de corrección con su reversa.
¿Se interrumpe el servicio durante la revisión?
No. El trabajo es de verificación de configuraciones, inventario y registros, con accesos de solo lectura cuando es posible. Las comprobaciones que podrían afectar un servicio se coordinan en ventanas acordadas, que en una institución financiera suelen ser fuera del horario de atención.
¿Incluye pruebas de intrusión?
No. La auditoría no ejecuta ataques contra la infraestructura en producción: revisa arquitectura, configuración y accesos. Las pruebas de intrusión son un servicio distinto, con acuerdo específico de alcance y responsabilidades, y conviene contratarlas después de corregir lo que la auditoría ya encontró.
¿Sirve para el cumplimiento normativo de una entidad financiera?
Sirve como insumo. Los hallazgos se documentan para que puedan cruzarse con la normativa del organismo de control, que en el sector financiero popular y solidario publica la Superintendencia de Economía Popular y Solidaria. Al tratamiento de datos personales aplica la Ley Orgánica de Protección de Datos Personales, publicada por la Superintendencia de Protección de Datos Personales en spdp.gob.ec. Si se procesan datos de tarjetas, la segmentación se evalúa también frente a PCI DSS.
¿Cuál es el hallazgo más grave que aparece normalmente?
La ausencia de segmentación. Una red plana convierte cualquier equipo, incluido el teléfono de un visitante o una cámara con firmware antiguo, en una puerta hacia los servidores. Es además el hallazgo con mejor relación entre costo de corrección e impacto: suele resolverse reconfigurando equipos que la institución ya tiene.
¿Cada cuánto conviene repetirla?
Una vez al año, y después de cualquier cambio de arquitectura: apertura de una sucursal, migración de servidores, cambio de proveedor de enlaces o un sistema nuevo que maneje datos de socios.
Artículos relacionados
- Correo de extorsión con datos de la empresa: qué hacer: correo extorsión datos empresa: qué hacer en los primeros cinco minutos.
- Cuánto cuesta un diagnóstico de ciberseguridad en Ecuador: un diagnóstico de ciberseguridad cuesta usd 850 más iva en blue nova.
- Delegado de protección de datos en clínicas: qué exige: delegado protección datos clínicas: cuándo lo exige la lopdp.
Fuentes consultadas
- Center for Internet Security, los 18 CIS Critical Security Controls, versión 8.1. Controles 1 y 2, 6, 8, 12 y 15.
- NIST Cybersecurity Framework, versión CSF 2.0.
- Superintendencia de Protección de Datos Personales: Ley Orgánica de Protección de Datos Personales (26 de mayo de 2021) y Reglamento General (13 de noviembre de 2023).
- Superintendencia de Economía Popular y Solidaria, normativa del sector financiero popular y solidario.
- PCI Security Standards Council, PCI DSS, para entidades que manejan datos de cuentas de pago.
El siguiente paso
Si su institución no tiene documentada la arquitectura de su red, el punto de partida no es comprar equipos: es saber qué hay. Una auditoría de redes empresarial entrega ese mapa listo para decidir presupuesto.
Revise los valores en la página de precios y el alcance de cada línea de trabajo en servicios. Para agendar el levantamiento, escríbanos desde la página de contacto. La primera conversación es técnica, dura menos de treinta minutos y sirve para fijar el alcance antes de firmar.
Blue Nova Consulting
¿Quiere aplicar esto en su empresa?
Revisamos su situación y le decimos qué corresponde hacer primero y qué puede esperar.
Los valores que aparecen en este artículo son referenciales y no incluyen el IVA del 15 por ciento.
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.