Un switch apilado en un rack de distribución que responde de manera intermitente, tickets de usuarios que mencionan lentitudes en un solo VLAN, un enlace WAN saturado en ciertas horas: a menudo es este tipo de síntoma operativo el que desencadena la decisión de realizar una auditoría de red informática. Antes de desplegar una metodología, necesitamos entender lo que la red ya está comunicando, a través de sus logs, sus alertas y sus cuellos de botella visibles.
Diagnóstico en el terreno antes de la auditoría de red: lo que los síntomas revelan
En el terreno, se observa que la mayoría de las auditorías de red comienzan demasiado rápido. El equipo técnico lanza escaneos, recopila configuraciones, produce tablas. El problema es que sin haber analizado primero los incidentes recientes y las quejas de los usuarios, se pasa por alto el ángulo de ataque pertinente.
Para profundizar : Las etapas clave para lograr una mudanza tranquila y sin estrés
Una auditoría efectiva comienza con una lectura de los tickets de soporte de los últimos tres a seis meses. Se buscan patrones: un sitio remoto que acumula desconexiones, un servicio en la nube cuyas prestaciones se degradan en los mismos horarios, un segmento de red donde las impresiones fallan regularmente. Estas señales débiles orientan el perímetro mucho mejor que un pliego de condiciones genérico.
Concretamente, se cruzan estas informaciones con los datos SNMP o NetFlow ya disponibles en los equipos activos. Si su supervisión de red existe pero nadie consulta sus paneles de control, la auditoría comienza ahí: entender por qué las alertas no se están aprovechando. Encontrará una descripción detallada de las etapas de una auditoría de red informática que formaliza este enfoque secuencial.
Ver también : Aumenta la visibilidad de tu empresa con una estrategia web efectiva
Cartografía de red e inventario: ir más allá de un simple listado de equipos
La cartografía es la columna vertebral de toda auditoría de red informática. Los competidores hablan todos de inventario, pero la verdadera dificultad radica en la discrepancia entre la documentación existente y la realidad física.
El shadow IT distorsiona su cartografía
Regularmente se descubren switches no gestionados colocados bajo un escritorio, puntos de acceso Wi-Fi personales conectados a tomas de red de la empresa, o túneles VPN montados por un proveedor olvidado. Un inventario de red que ignora el shadow IT es incompleto por definición.
Para fiabilizar la cartografía, se combinan varias fuentes:
- Un escaneo activo (tipo Nmap o equivalente) que identifica cada dirección IP que responde, los puertos abiertos y los servicios expuestos en cada segmento
- Una extracción de las tablas ARP y de las bases MAC de los switches, que revela los equipos conectados incluso si no responden al ping
- Un cruce con el repositorio CMDB o la hoja de cálculo de gestión de parque, para detectar las discrepancias entre lo declarado y lo constatado
Este cruce produce una lista de anomalías concretas: equipos desconocidos, direcciones IP duplicadas, VLANs configurados pero vacíos. Cada anomalía se convierte en un punto de investigación para el resto de la auditoría.
Integrar la nube y el SaaS en el perímetro
Las auditorías de red que se limitan a la LAN y al WAN interno pasan por alto una parte creciente del tráfico. Los entornos en la nube (IaaS, PaaS) y los servicios SaaS como Microsoft 365 generan flujos que transitan por su infraestructura. Auditar la red sin incluir las configuraciones en la nube equivale a controlar solo la mitad del tráfico.
Aquí se verifican las reglas de flujos salientes, la activación del MFA en las consolas de administración en la nube, y la registración de las conexiones. Las respuestas varían en este punto según la madurez de la empresa, pero la ausencia total de visibilidad sobre los flujos en la nube es una señal de alerta frecuente.
Análisis de seguridad de red y cumplimiento NIS2
El análisis de seguridad va más allá del simple escaneo de vulnerabilidades. En el terreno, se observan tres puntos críticos que los informes automatizados no siempre captan.
El primero se refiere a los firmwares. Un switch o un cortafuegos cuyo firmware no se ha actualizado en varios años acumula vulnerabilidades conocidas. Se verifica sistemáticamente las versiones en uso y se comparan con los boletines de seguridad del fabricante. Un equipo de red con un firmware obsoleto es una puerta abierta documentada.
El segundo se refiere a las reglas de filtrado. Los cortafuegos acumulan reglas a lo largo de los años, a menudo sin limpieza. Frecuentemente se encuentran reglas “any-any” creadas de urgencia durante una reparación y nunca eliminadas. La auditoría las identifica, las clasifica por riesgo y recomienda su eliminación o reemplazo.
El tercer punto se refiere al cumplimiento normativo. Desde la transposición de la directiva europea NIS2, las auditorías de red deben integrar una revisión de los controles de seguridad relacionados con los servicios considerados importantes: registración, gestión de incidentes, copias de seguridad, continuidad de negocio. La trazabilidad de las pruebas recopiladas se convierte en un requisito para las autoridades competentes o los auditores externos.
Informe de auditoría de red: estructurar las recomendaciones por prioridad operativa
Un informe de auditoría que lista doscientos puntos sin jerarquía termina en un cajón. El objetivo del entregable es que el equipo de TI pueda actuar desde la semana siguiente sobre los riesgos más expuestos.
Se estructuran las recomendaciones en tres niveles:
- Acciones inmediatas (dentro de quince días): corregir las vulnerabilidades críticas, eliminar los accesos huérfanos, actualizar los firmwares que están al final de su soporte
- Acciones a medio plazo (de uno a tres meses): reformular el plan de direccionamiento IP, segmentar los VLANs según los usos empresariales, desplegar una supervisión de red aprovechada
- Acciones estructurales (más allá de tres meses): migración de arquitectura, reemplazo de equipos obsoletos, cumplimiento completo de NIS2
Cada recomendación debe estar vinculada a un riesgo identificado durante la auditoría. Sin este vínculo explícito, la dirección no arbitrará el presupuesto. Se asocia a cada punto un nivel de criticidad, el equipo o segmento concernido, y una estimación de carga.
El informe también incluye la cartografía actualizada, que se convierte en el repositorio de la empresa. Este documento vivo será la base de comparación para la próxima auditoría, permitiendo medir el progreso real de la seguridad y del rendimiento de la red.
Una auditoría de red informática bien realizada no termina con la entrega del informe. El último entregable útil es un cuadro de seguimiento compartido entre la DSI y la dirección, con fechas de vencimiento y un responsable nombrado para cada acción. Sin este seguimiento, las mismas vulnerabilidades reaparecerán en el próximo diagnóstico.