El punto de partida
La dirección sabía que el marco regulatorio del sector iba a exigirle más — resiliencia operativa, gestión de riesgo, controles demostrables — y no quería llegar a esa conversación a ciegas. La petición fue clara: «decidnos dónde estamos de verdad, sin maquillaje, y en qué orden arreglarlo». No buscaban un certificado todavía, sino una línea base fiable sobre la que construir.
El alcance dejó fuera deliberadamente la parte industrial/OT en esta primera fase — documentado como tal — y se centró en la exposición externa y en la red corporativa interna, donde estaba la mayor parte del riesgo inmediato y donde la remediación era más accionable a corto plazo.
Cómo lo abordamos
Dos frentes en paralelo:
- Auditoría externa — descubrimiento de la superficie de ataque real (dominios, subdominios, servicios expuestos, activos olvidados), contraste con lo que el equipo creía tener publicado y validación de la exposición. Aparecieron servicios expuestos que ya nadie recordaba, un panel de administración accesible desde Internet y credenciales corporativas en filtraciones públicas de terceros.
- Auditoría interna — desde la red corporativa, revisión de segmentación, revisión de configuración y de la seguridad de Active Directory (rutas de escalada de privilegios, cuentas de servicio con permisos excesivos, políticas de contraseñas, delegaciones), hardening de sistemas y gestión de parches.
El hallazgo de fondo fue estructural: la red interna era prácticamente plana — un equipo comprometido en una sede podía alcanzar sistemas críticos en otra — y Active Directory acumulaba años de permisos concedidos y nunca revocados. Nada de esto se entregó como una lista de 200 líneas, sino agrupado por riesgo y por causa raíz.
Resultados
2
frentes auditados en paralelo: exposición externa y red interna corporativa
3
fases de remediación priorizadas por riesgo y esfuerzo, con responsables
1
cuadro de riesgo único que dirección y técnicos comparten y entienden
El entregable no fue solo el informe: fue un plan por fases que el equipo interno pudo empezar a ejecutar la semana siguiente, con las medidas de contención rápida (cerrar lo expuesto, rotar credenciales filtradas, aislar el panel de administración) separadas de las estructurales (segmentar la red, sanear Active Directory), que requieren proyecto. La empresa afrontó después su hoja de ruta regulatoria sabiendo exactamente de dónde partía.
Claves del caso
- La superficie de ataque real casi nunca coincide con la que la organización cree tener: lo primero es descubrir lo olvidado.
- En interno, la red plana y un Active Directory sin higiene son el patrón que más veces convierte un incidente menor en uno grave.
- Un plan priorizado por riesgo y ejecutable vale más que un informe exhaustivo que nadie sabe por dónde empezar.
Preguntas frecuentes
¿Qué diferencia hay entre una auditoría de seguridad y un pentest?
El pentest responde a «¿se puede entrar por aquí?»: intenta explotar vulnerabilidades en un alcance concreto. La auditoría responde a «¿dónde estoy y qué arreglo primero?»: evalúa de forma amplia la exposición, la configuración y los controles, y prioriza. Si llevas años sin una evaluación seria, la auditoría suele ser el primer paso; el pentest tiene más sentido cuando ya hay una base sobre la que probar.
¿Qué incluye una auditoría de seguridad interna y externa?
La parte externa cubre el descubrimiento de la superficie de ataque real — dominios, subdominios, servicios expuestos, activos olvidados, credenciales en filtraciones — y la validación de esa exposición. La interna, desde la red corporativa: segmentación, configuración y seguridad de Active Directory (rutas de escalada, cuentas de servicio, delegaciones), hardening y gestión de parches. El alcance se pacta por escrito, incluyendo lo que queda fuera.
¿Cuánto dura una auditoría de este tipo?
Para una organización mediana — varias sedes, unos cientos de empleados — una auditoría interna y externa suele llevar entre tres y seis semanas, trabajando ambos frentes en paralelo. En este caso fueron cuatro semanas. El tamaño de la red, el número de sedes y la profundidad de la revisión de Active Directory son lo que más mueve el plazo.
¿Qué se hace con los hallazgos después de la auditoría?
No entregamos una lista plana de 200 hallazgos: se agrupan por riesgo y causa raíz y se convierten en un plan de remediación por fases, con las medidas de contención rápida separadas de las estructurales que requieren proyecto, y con responsables asignados. El objetivo es que tu equipo pueda empezar a ejecutar la semana siguiente, no archivar un informe.
Servicios relacionados
¿Sabes cuál es tu exposición real?
Una auditoría interna y externa te da la línea base honesta antes de cualquier proyecto de cumplimiento. Te decimos dónde estás y en qué orden arreglarlo.