Un servidor que responde lentamente, un puesto que se conecta a una dirección IP desconocida por la noche, un cortafuegos cuyas reglas nadie ha revisado en dos años. Estas señales débiles a menudo pasan desapercibidas, hasta el día en que una intrusión las transforma en crisis. La auditoría de seguridad de red existe para detectar estas fallas antes de que un atacante lo haga. Aún hay que saber qué se audita, con qué herramientas, y sobre todo en qué orden.
Cadena de suministro de red: el perímetro que la mayoría de las auditorías olvida
¿Ya has verificado quién gestiona realmente tus enlaces MPLS o tu acceso SD-WAN? La directiva NIS2, cuya transposición al derecho español afecta ahora a un amplio espectro de entidades, impone verificar las condiciones de seguridad contractuales y técnicas con los operadores de telecomunicaciones, los proveedores de gestión (MSP/MSSP) y los proveedores de nube o de equipos de red.
Leer también : Las últimas tendencias y consejos imprescindibles para triunfar en finanzas y bolsa
Concretamente, una auditoría de red conforme a NIS2 ya no se limita a escanear tus propias máquinas. También debe examinar los accesos remotos de tus subcontratistas, las actualizaciones de firmware de tus routers de operador, y las cláusulas de notificación de incidentes en tus contratos. Auditar la cadena de suministro de red se ha vuelto obligatorio, no opcional.
Para estructurar este enfoque, la auditoría de seguridad de red con E-novateur detalla un marco metódico que integra estos requisitos de proveedores desde la fase de definición.
Leer también : Las mejores plataformas de aprendizaje en línea para potenciar tus habilidades en 2024
Definición técnica de la auditoría de red: definir qué se está probando realmente
Antes de lanzar cualquier escaneo, hay que responder a una pregunta simple: ¿cuál es el perímetro exacto? Una red empresarial, incluso modesta, presenta capas heterogéneas. Wi-Fi de invitados, VLAN de negocio, acceso VPN de los colaboradores en teletrabajo, API expuestas en internet. Cada uno de estos segmentos presenta vulnerabilidades diferentes.
Inventario de activos y mapeo
La primera acción concreta consiste en elaborar un inventario exhaustivo. Se contabiliza cada equipo activo (conmutadores, cortafuegos, puntos de acceso Wi-Fi, servidores), cada enlace externo y cada servicio expuesto. Sin este mapeo, el resto de la auditoría se basa en suposiciones.
- Listar las direcciones IP públicas y privadas activas, cruzando los datos DNS, DHCP y las tablas ARP de los conmutadores.
- Identificar los equipos no gestionados (shadow IT): impresoras de red, cámaras IP, objetos conectados conectados sin validación.
- Documentar los flujos intersitios y los túneles VPN, incluidos aquellos abiertos puntualmente y que nunca se cerraron.
Un inventario incompleto produce una auditoría incompleta. Si un segmento de red escapa al perímetro, sus fallas permanecerán invisibles en el informe final.
Establecer objetivos medibles
Una auditoría puede tener como objetivo la conformidad regulatoria (NIS2, RGPD), la preparación para una prueba de intrusión, o simplemente la evaluación del nivel de protección tras un cambio de infraestructura. Mezclar estos objetivos en un mismo ejercicio diluye los resultados. Es mejor una auditoría centrada en la segmentación de red que un repaso de todo el sistema de información.
Análisis de vulnerabilidades de red: escanear no es suficiente
Las herramientas de escaneo automatizado (Nessus, OpenVAS, Qualys) detectan las fallas conocidas comparando las versiones de software con bases de datos de vulnerabilidades. Es un paso necesario, pero insuficiente si se mantiene aislado.
Un escaneo de vulnerabilidades detecta las fallas conocidas, no los errores de configuración. Un cortafuegos actualizado puede permitir tráfico saliente no filtrado hacia cualquier destino. Un conmutador puede tener el protocolo SNMP activado con la comunidad por defecto “public”. Estos errores no siempre se reflejan en un informe de escaneo clásico.
Revisión manual de configuraciones
Aquí es donde la auditoría toma su valor. Un auditor examina las reglas de filtrado del cortafuegos línea por línea, verifica la segmentación VLAN, controla las listas de control de acceso (ACL) y se asegura de que los protocolos obsoletos (Telnet, SNMPv1, FTP no cifrado) estén desactivados.
NIS2 añade una dimensión adicional: la auditoría también debe evaluar la capacidad de detección de incidentes. ¿Los registros están centralizados? ¿Las alertas de correlación funcionan? Una prueba simple consiste en simular un comportamiento anormal (conexión desde una geolocalización inusual) y verificar si el SIEM o la herramienta de supervisión genera una alerta.
Informe de auditoría de red y plan de remediación: transformar los hallazgos en acciones
Un informe de auditoría que enumera vulnerabilidades sin priorización termina en un cajón. El verdadero valor del entregable radica en la jerarquización de los riesgos y la hoja de ruta correctiva.
- Clasificar cada vulnerabilidad por criticidad cruzando su severidad técnica (puntuación CVSS cuando esté disponible) y su exposición real en la arquitectura de red.
- Proponer acciones correctivas con un calendario realista: primero las fallas críticas expuestas en internet, luego las mejoras de gobernanza.
- Identificar los parches que dependen de terceros (operador de telecomunicaciones, editor de firmware) y anticipar los plazos contractuales.
- Prever una fecha de contra-auditoría para verificar que las remediaciones se han aplicado, no solo planificado.
Una auditoría sin seguimiento de remediación no reduce el riesgo. La análisis de brechas NIS2 exige, además, una reevaluación regular de la efectividad de las medidas, lo que implica programar auditorías recurrentes, no solo puntuales.
Gobernanza y responsabilidades internas
¿Quién asume la responsabilidad de los parches tras la auditoría? En muchas pymes, la respuesta sigue siendo difusa. El informe debe nombrar a un responsable por acción correctiva y establecer un circuito de validación. Sin esta gobernanza, las recomendaciones permanecen en el aire, incluso cuando son técnicamente pertinentes.
La auditoría de seguridad de red no es un ejercicio puntual que se marca en una lista de conformidad. Es un proceso que comienza con el mapeo del perímetro real (incluidos los proveedores), pasa por un análisis técnico que combina escaneos automatizados y revisión manual, y solo produce resultados si el plan de remediación se sigue hasta el final. La próxima fecha límite regulatoria NIS2 se acerca: es mejor auditar ahora que remediar después de un incidente.