La revisión de seguridad empieza por conocer qué sistemas utiliza la empresa, quién accede a ellos y qué ocurre si dejan de funcionar. Comprar una herramienta no sustituye esa definición. Este artículo propone una revisión técnica; no determina obligaciones jurídicas ni certifica cumplimiento.
Inventario y responsables#
Enumera aplicaciones, dispositivos, cuentas, proveedores y datos críticos. Identifica una persona que pueda explicar el uso de cada sistema y aprobar cambios. Incluye servicios contratados fuera del departamento técnico: también pueden guardar información de la empresa.
Accesos y mantenimiento#
Revisa cuentas compartidas, privilegios administrativos, altas y bajas. Utiliza autenticación reforzada donde proceda y conserva un procedimiento de recuperación de acceso. Planifica actualizaciones con pruebas y una vuelta atrás; aplicar un cambio sin comprobar dependencias puede afectar a la actividad.
No basta con activar un control. Comprueba que se aplica en los sistemas relevantes y que alguien revisa sus excepciones. Las cuentas de servicio también necesitan responsables y permisos limitados.
Copias y respuesta#
Define qué datos se copian, con qué conservación y quién puede restaurarlos. Ensaya una recuperación representativa y registra qué pasos necesitan intervención. Una copia existente no demuestra que la aplicación pueda volver a operar.
Prepara contactos, responsabilidades y decisiones para una incidencia: aislar un equipo, mantener una evidencia, revisar una comunicación y recuperar servicios. Los plazos y obligaciones de notificación dependen del caso y deben revisarse con los responsables competentes.
Normativa sin atajos#
La Directiva NIS2 y la normativa aplicable requieren evaluar actividad, entidad y excepciones. No se puede decidir el encaje de una empresa solo con su plantilla ni afirmar cumplimiento por disponer de un conjunto de herramientas. Consulta además los recursos de la AEPD cuando haya tratamiento de datos personales.
Un entregable útil#
Pide inventario, riesgos priorizados, controles propuestos, responsables y pruebas realizadas. Diferencia lo implantado de lo recomendado y registra las incertidumbres. El soporte, la monitorización y la respuesta se acuerdan con un alcance concreto; no se presupone un SOC permanente ni una disponibilidad garantizada.
Revisar el alcance de seguridad técnica o describir tus sistemas.