Lista de Verificación para Auditorías de Seguridad: Una Guía Práctica para Proteger Tus Sistemas

Una auditoría de seguridad es una evaluación sistemática de los sistemas de información, políticas y procedimientos de tu organización, con el objetivo de encontrar vulnerabilidades antes de que lo hagan los atacantes. A diferencia del pentesting, que simula ataques activos, una auditoría de seguridad examina toda tu postura de seguridad mediante revisión de documentación, análisis de configuraciones y verificación de cumplimiento normativo. Esta lista recorre las áreas críticas: autenticación, infraestructura de red, protección de datos y preparación ante incidentes.

Autenticación y Control de Acceso

La autenticación es tu primera línea de defensa. Comienza auditando cómo los usuarios verifican su identidad y a qué pueden acceder una vez dentro.

Revisa las políticas y el almacenamiento de contraseñas. Comprueba que las contraseñas cumplan los requisitos mínimos de complejidad: al menos 12 caracteres con mayúsculas, minúsculas, números y símbolos. Verifica que las contraseñas se almacenen con hash usando algoritmos modernos como Argon2, bcrypt o PBKDF2 con factores de trabajo adecuados. Nunca almacenes contraseñas en texto plano ni uses métodos obsoletos como MD5 o SHA-1 sin salt.

# Verificar el algoritmo de hash de contraseñas en un sistema Linux
sudo grep -E 'ENCRYPT_METHOD|SHA_CRYPT' /etc/login.defs

# Comprobar la configuración de calidad de contraseñas en PAM
sudo cat /etc/security/pwquality.conf | grep -v '^#' | grep -v '^$'

Audita la implementación de autenticación multifactor. El MFA requiere dos o más credenciales independientes: algo que sabes (contraseña), algo que tienes (teléfono o token hardware) o algo que eres (biométrico). Verifica que esté habilitado para todas las cuentas privilegiadas, accesos remotos e interfaces administrativas. Comprueba que se proporcionen códigos de recuperación y que estén almacenados de forma segura. En la medida de lo posible, evita el MFA por SMS; los ataques de SIM swapping lo hacen poco fiable. Las apps de autenticación o los tokens hardware como YubiKey son opciones mucho más robustas.

Examina las listas de control de acceso y los permisos. Revisa qué usuarios tienen privilegios administrativos. El principio de mínimo privilegio es sencillo: cada persona solo debe acceder a lo que su rol realmente necesita. Busca cuentas huérfanas de exempleados, credenciales compartidas o cuentas genéricas como "admin" o "webmaster" que usan varias personas — son señales de alerta en cualquier auditoría.

# Listar usuarios con privilegios sudo
sudo grep -Po '^sudo.+:\K.*$' /etc/group

# Buscar archivos con el bit SUID (posible escalada de privilegios)
find / -perm -4000 -type f 2>/dev/null

Seguridad de Red e Infraestructura

La seguridad de red controla cómo fluyen los datos entre sistemas y quién puede acceder a tu infraestructura.

Mapea y segmenta tu arquitectura de red. Documenta todos los segmentos de red, VLANs y límites de confianza. Los sistemas críticos, como bases de datos y procesadores de pagos, deben estar en segmentos aislados con reglas de firewall estrictas. La WiFi de invitados debe estar completamente separada de la red corporativa. Revisa las reglas del firewall para confirmar que siguen una política de denegación por defecto: bloquear todo excepto el tráfico explícitamente permitido.

Audita los servicios y puertos expuestos. Escanea todos los sistemas expuestos a internet para identificar puertos abiertos y servicios en ejecución. Los problemas más habituales incluyen servicios innecesarios activos, protocolos obsoletos como Telnet o FTP, y servidores web mal configurados que exponen listados de directorios o información de depuración a cualquiera que lo solicite.

# Escanear puertos abiertos en un sistema objetivo
nmap -sV -p- 192.168.1.100

# Verificar servicios en escucha en la máquina local
ss -tulpn | grep LISTEN

Revisa los mecanismos de acceso remoto. SSH debe usar autenticación por clave con la autenticación por contraseña deshabilitada. Comprueba que el login como root esté prohibido y que las sesiones inactivas expiren. Las configuraciones de VPN deben usar cifrado fuerte (AES-256), autenticación basada en certificados y políticas de split-tunneling que impidan que el tráfico no autorizado eluda tus controles de seguridad.

# Auditar la configuración de SSH
sudo grep -E 'PermitRootLogin|PasswordAuthentication|PubkeyAuthentication' /etc/ssh/sshd_config

Protección de Datos y Cifrado

Proteger los datos en reposo y en tránsito significa que, incluso cuando otros controles de seguridad fallen, la divulgación no autorizada no está garantizada.

Verifica el cifrado de datos en reposo. Todos los datos sensibles almacenados en servidores, bases de datos y medios de backup deben estar cifrados. Comprueba que el cifrado de disco completo esté habilitado en portátiles y dispositivos móviles. Para bases de datos, el cifrado transparente (TDE) funciona bien como protección general, pero los campos especialmente sensibles, como números de tarjetas de crédito o documentos de identidad, a menudo requieren también cifrado a nivel de aplicación.

“The only secure computer is one that's unplugged, locked in a safe, and buried 20 feet under the ground in a secret location.”

— Dennis Hughes

Audita la protección de datos en tránsito. Todas las aplicaciones web deben usar HTTPS con TLS 1.2 o superior. Verifica que los certificados TLS sean válidos, estén correctamente configurados y usen suites de cifrado robustas. Comprueba si hay advertencias de contenido mixto que puedan degradar la seguridad silenciosamente. Los servicios internos que se comunican entre servidores también deben usar cifrado — el tráfico interno no es seguro por defecto.

# Probar la configuración TLS y las suites de cifrado
nmap --script ssl-enum-ciphers -p 443 example.com

# Verificar los detalles del certificado
openssl s_client -connect example.com:443 -servername example.com < /dev/null | openssl x509 -noout -text

Revisa las implementaciones de seguridad en correo electrónico. PGP o S/MIME protege el contenido de los mensajes frente a interceptaciones. Desplegarlo a nivel organizacional es genuinamente complejo, pero las comunicaciones críticas sobre incidentes de seguridad, datos financieros o información personal deberían usarlo. Verifica también que los registros SPF, DKIM y DMARC estén correctamente configurados — estos tres juntos hacen mucho para prevenir el email spoofing.

Registros, Monitorización y Respuesta a Incidentes

Los controles de seguridad solo son eficaces si puedes detectar cuándo están siendo eludidos o atacados. Los logs son la forma en que te enteras.

Audita la cobertura y retención de logs. Verifica que todos los sistemas críticos generen logs de intentos de autenticación, escaladas de privilegios, cambios de configuración y accesos a datos. Los logs deben estar centralizados, cifrados en tránsito hacia el servidor de logs y almacenados durante al menos 90 días. Comprueba que las marcas de tiempo estén sincronizadas mediante NTP y que los logs sean de escritura única — si un atacante puede modificar tus logs, has perdido el rastro de evidencias.

# Verificar la sincronización NTP
timedatectl status

# Revisar la configuración de syslog
sudo cat /etc/rsyslog.conf | grep -v '^#' | grep -v '^$'

Revisa las reglas y umbrales de alertas. Las alertas automatizadas deben dispararse ante actividad sospechosa: múltiples intentos fallidos de login, escaladas de privilegios, transferencias de datos inusuales o cambios de configuración fuera de las ventanas de mantenimiento. Comprueba que las alertas llegan realmente a tu equipo de seguridad. El alert fatigue es un problema real — si todo es urgente, nada lo es.

Valida la preparación ante incidentes. ¿Sabe tu equipo exactamente qué hacer cuando algo sale mal? Tu auditoría debe confirmar que existe un plan de respuesta a incidentes, que ha sido probado mediante ejercicios de tabletop, y que incluye contactos de asesoría legal, fuerzas de seguridad y servicios forenses externos si fuera necesario. Comprueba que los backups del sistema se prueban periódicamente y se almacenan offline donde el ransomware no pueda alcanzarlos.

Gestión de Parches y Remediación de Vulnerabilidades

Los sistemas sin parchear son el vector de entrada más común para los atacantes. Tu auditoría debe evaluar con qué rapidez se identifican y corrigen las vulnerabilidades.

Inventaría todo el software y sus versiones. No puedes parchear lo que no sabes que existe. Documenta todos los sistemas operativos, aplicaciones, librerías y dependencias. Usa herramientas automatizadas para rastrear versiones de software y compararlas contra bases de datos de vulnerabilidades conocidas como la National Vulnerability Database (NVD).

Evalúa la gestión de parches