Cómo contratar una auditoría de seguridad sin que os cuelen un escaneo disfrazado

Casi ninguna empresa sabe del todo qué está comprando cuando pide una auditoría de seguridad. Sabe que la necesita, tiene un presupuesto y busca a alguien que se la haga. El problema llega después, cuando recibe un informe y no tiene forma de saber si le han hecho un trabajo serio o le han pasado la salida de una herramienta automática con el logotipo del proveedor en la portada.

Esa diferencia vale mucho dinero. Un escaneo cuesta una fracción de lo que cuesta una auditoría de verdad, así que a veces se vende lo primero con el nombre y el precio de lo segundo. Aquí tenéis el criterio para no caer, contado desde el lado de quien hace las auditorías.

Antes de pedir presupuesto, sabed qué queréis proteger

El primer error se comete antes de hablar con nadie. Muchas empresas piden “una auditoría” sin haber decidido qué quieren poner a prueba. Así es imposible comparar dos propuestas, porque cada proveedor entenderá una cosa distinta. No es lo mismo revisar una web de cara al público que la red interna donde trabajan vuestros empleados o la aplicación con la que facturáis.

Dedicad un rato a lo aburrido antes de pedir precio. Qué sistemas os importan de verdad, qué pasaría si cada uno cayera, qué es lo que no os podéis permitir perder. Con eso claro, la conversación cambia por completo. Ya no pedís “seguridad” en abstracto, pedís que alguien intente entrar en aquello que más os dolería perder.

El alcance es la primera señal

Cuando llega la propuesta, lo primero que os dice si tenéis delante a alguien serio es cómo está definido el alcance. Una propuesta buena es concreta. Deja claro qué sistemas entran y cuáles no, desde dónde se va a probar, si habrá credenciales o se empieza a ciegas, cuántos días de trabajo hay detrás y qué perfil los va a dedicar.

Una propuesta vaga es una señal de alarma. Si el documento habla de “análisis de seguridad integral” sin concretar sobre qué, o si el precio es el mismo sin importar si miráis una web o toda la empresa, casi seguro que detrás hay una herramienta que se lanza igual contra cualquier cosa. El trabajo manual se cotiza por tiempo y por alcance. Un precio plano que no depende de nada suele ser el precio de darle a un botón.

Las preguntas que destapan a un proveedor flojo

Hay un puñado de preguntas que no cuestan nada y que dicen muchísimo. Preguntad si la prueba es manual o automática y quién la hace en concreto, con qué experiencia detrás. Preguntad si van a explotar los fallos que encuentren o solo a listarlos, porque explotar es lo que separa una auditoría de un inventario de sospechas.

Pedid ver un informe de ejemplo, aunque venga anonimizado. Ahí se ve en dos minutos si entregan hallazgos trabajados o el volcado de una herramienta. Preguntad también por la comprobación posterior. Un proveedor serio vuelve a probar lo que habéis corregido para confirmar que quedó bien cerrado, no os deja con una lista de deberes y desaparece.

Qué tiene que incluir el informe

El informe es lo único que os queda cuando el trabajo termina, así que es donde de verdad se ve lo que habéis pagado. Uno bueno tiene dos capas. Por un lado, un resumen para quien decide, que explica en lenguaje claro cómo estáis y qué riesgo real corréis. Por otro, un detalle técnico para quien tiene que arreglarlo.

Cada hallazgo debería venir con tres cosas, cómo se reproduce paso a paso, qué impacto real tiene en vuestro negocio y una guía de corrección concreta. Ese impacto medido sobre lo vuestro, no sobre una escala de colores que sirve para cualquiera.

Si el informe es una tabla larguísima de vulnerabilidades ordenadas por un número de color, sin narración y sin que nadie haya comprobado cuáles son reales, tenéis delante la salida de un escáner. Un informe de verdad prioriza, descarta los falsos positivos y os dice por dónde empezar el lunes por la mañana.

Lo que dice el precio

El precio no miente tanto como parece. Una auditoría manual es trabajo de personas cualificadas durante días. Eso tiene un suelo por debajo del cual algo no cuadra.

Si un presupuesto es llamativamente más barato que el resto, no es una ganga, es otra cosa. Casi siempre significa que se ha automatizado lo que debería ser manual, que el alcance real es mucho menor del que creéis o que quien lo hará no tiene la experiencia que el trabajo pide.

Que sea caro tampoco garantiza nada por sí solo. Por eso las preguntas y el informe de ejemplo importan más que la cifra. El precio os dice por dónde sospechar, no por dónde decidir.

El escaneo disfrazado, el error que os quieren colar

Al final todo esto se resume en no confundir dos cosas que se parecen en la factura y no se parecen en nada más. Un escaneo automático os da una lista. Una auditoría os da a alguien que ha intentado entrar de verdad y os cuenta hasta dónde ha llegado.

Es la misma trampa de la que hablábamos en pentest, red team o escaneo de vulnerabilidades, cuál necesitáis de verdad. Lo barato vendido como caro tranquiliza igual de bien que lo caro, hasta el día en que alguien entra por donde el escáner ni miró. La forma de no llegar a ese día es saber qué preguntáis antes de firmar.

---

Si vais a pedir presupuesto para una auditoría y queréis contrastar qué os están ofreciendo, escribidnos a [email protected].