Qué revisa de verdad una auditoría de red en una empresa

Cuando alguien pide una auditoría de red suele imaginarse a un técnico pasando un antivirus. No es eso. Una auditoría no busca virus: busca entender qué tienes antes de que alguien te venda algo. Y en casi todas las empresas donde hemos entrado, lo que encontramos no es un ataque sofisticado. Es un switch de 100 megas que estrangula toda la oficina, o un respaldo que lleva meses sin correr y nadie lo sabía.

Por qué se audita antes de comprar

La secuencia normal en las PyMEs es al revés: primero se compra, después se descubre que el problema era otro. Se cambia el internet porque "va lento" y el cuello de botella estaba en un cable mal ponchado. Se compra un servidor nuevo porque el sistema tarda, y el sistema tardaba por una consulta mal hecha.

Ordenar primero, ejecutar después. Automatizar un desorden solo consigue que el desorden vaya más rápido.

Una auditoría cuesta una fracción de lo que cuesta comprar mal.

Lo que se revisa, en orden

1. Inventario real, no el que está en la hoja de Excel

Cuántos equipos hay, cuáles siguen encendidos, qué sistema operativo corren y cuáles ya no reciben actualizaciones. Aquí aparece siempre alguna sorpresa: la computadora de la recepción que sigue con un sistema sin soporte desde hace años, conectada a la misma red que la contabilidad.

2. Topología y direccionamiento

Cómo está armada la red de verdad: qué se conecta con qué, cuántos switches en cascada hay, si existen VLANs o todo el mundo vive en la misma red plana. Se revisa el direccionamiento IP, el rango del DHCP y las reservas.

Los hallazgos típicos son bastante concretos: IPs duplicadas que tiran equipos de forma intermitente, un pool de DHCP agotado que deja gente sin conexión a media mañana, o dispositivos críticos —cámaras, checadores, la impresora de facturas— con IP dinámica, así que un día cambian de dirección y "dejan de funcionar solos".

3. Los switches y el cableado

Modelo, velocidad y estado de los puertos. Un switch de 100 Mbps en el punto equivocado limita a toda la red, aunque el internet contratado sea de un giga. Se revisa si hay STP bien configurado, porque un bucle en la red no se anuncia con un mensaje: se anuncia con todo el mundo llamando a soporte a la vez.

Y el cableado físico: si está etiquetado, si el rack está ordenado o es un nido, si hay tramos improvisados. El cableado es lo que más dura y lo que peor se documenta.

4. WiFi

Cobertura real medida en el sitio, no la del folleto. Canales y solapamiento con los vecinos —en una plaza comercial esto es media guerra—, potencia de los puntos de acceso, si hay roaming entre ellos o el celular se queda pegado al AP de la entrada mientras caminas al fondo.

También si la red de invitados está de verdad separada de la red interna, o solo tiene otro nombre y la misma puerta.

5. Salida a internet y firewall

Qué enlace hay contratado, si existe respaldo para cuando se caiga, y cómo está configurado el firewall. Se revisan las reglas: cuáles se crearon "temporalmente" hace tres años y siguen ahí, qué puertos están abiertos hacia afuera y si alguien todavía sabe por qué.

La administración del firewall es capítulo aparte: contraseña por defecto, acceso remoto abierto a todo internet, firmware sin actualizar. Son los tres de siempre.

6. Respaldos: la pregunta incómoda

No "¿tienes respaldo?" sino "¿cuándo fue la última vez que restauraste uno?". Un respaldo que nunca se ha probado no es un respaldo, es una carpeta con esperanza dentro.

Se revisa qué se respalda, con qué frecuencia, dónde queda la copia, y si existe una copia fuera del mismo edificio. Porque un respaldo en el mismo cuarto que el servidor no protege del incendio ni del robo, que son las dos cosas de las que más nos gusta pensar que estamos protegidos.

7. Usuarios, accesos y permisos

Quién tiene acceso a qué, cuántas cuentas siguen activas de gente que ya no trabaja ahí, cuántos usuarios son administradores sin necesitarlo, y si las contraseñas son gestionadas o compartidas en un papel bajo el teclado.

8. Lo físico

El rack, la ventilación, si hay no-break y si sus baterías todavía sirven. Un UPS con las baterías muertas es un mueble. Y la seguridad física del cuarto de comunicaciones: si cualquiera puede entrar y desconectar algo, el resto de las medidas son decorativas.

Qué se entrega

No un PDF de doscientas páginas que nadie lee. Lo útil es:

• Los hallazgos clasificados por riesgo real: lo que te puede tirar la operación mañana, lo que hay que resolver este trimestre y lo que puede esperar.
• Qué se arregla sin gastar, que casi siempre es más de lo que la gente espera: configuraciones, permisos, orden.
• Qué sí requiere inversión, con el porqué y en qué orden conviene gastarlo.
• Un plan por fases, para que no haya que parar la empresa ni firmar todo de golpe.

Cuánto tarda y cómo estorba

La parte de campo se hace en sitio, en horario acordado, y no requiere parar la operación salvo momentos puntuales que se avisan antes. El informe se entrega después, por escrito, y se explica en una llamada — porque un informe que se manda sin explicar es un informe que no se lee.

Lo que casi siempre aparece

Después de varias auditorías, la lista se repite con una regularidad casi aburrida: respaldos que no corren, contraseñas por defecto en equipos de red, redes planas sin segmentar, equipos con sistemas sin soporte, cableado sin etiquetar, y cero documentación de cómo está armado nada.

Ninguno de esos problemas es exótico. Todos son baratos de arreglar comparados con lo que cuestan el día que revientan.