Antes de lanzar o de escalar
Un sistema que va a recibir más usuarios, más datos o pagos conviene revisarlo antes, cuando corregir todavía es barato.
Auditoría de seguridad
Auditoría de seguridad informática
para saber qué tan expuesta está tu empresa
Revisamos tus aplicaciones, tu nube, tus accesos y lo que conectaste a la IA. Al terminar tienes un informe con cada riesgo, su gravedad y los pasos concretos para corregirlo, en el orden en que conviene hacerlo.
Cuándo conviene
Los momentos en que una auditoría de seguridad se paga sola
No hace falta esperar a un incidente. Estos son los casos en los que más se pide.
Después de un incidente o de un susto
Un acceso que nadie reconoce, una cuenta comprometida o un correo sospechoso. Sirve para saber qué pasó y qué más está abierto.
Cuando un cliente o un socio lo exige
Cada vez más contratos piden evidencia de que tus sistemas fueron revisados. El informe te da esa evidencia y la lista de lo que falta.
Al conectar IA a tus datos
Un agente con acceso al CRM, al correo o a la base de datos abre puertas nuevas. Conviene saber qué puede leer y qué puede ejecutar.
Qué revisamos
Las seis áreas de la auditoría
El alcance se ajusta a tu caso: puede cubrir las seis o concentrarse en las que más te preocupan.
Accesos y autenticación
Quién entra a qué: contraseñas, doble factor, cuentas de personas que ya no están y permisos que sobran.
Aplicaciones y APIs
Las fallas más comunes en web, apps y APIs: control de acceso roto, inyección, datos expuestos y sesiones mal manejadas.
Nube e infraestructura
Configuración de Google Cloud, AWS o Firebase: almacenamiento público, puertos abiertos, reglas permisivas y registros de actividad.
Datos y respaldos
Dónde viven los datos sensibles, cómo se protegen, si hay copias de seguridad y si de verdad se pueden restaurar.
Código, dependencias y secretos
Librerías con vulnerabilidades conocidas, claves guardadas en repositorios y quién puede desplegar a producción.
Agentes de IA e integraciones
Qué puede leer y ejecutar cada agente, cómo responde a instrucciones maliciosas y qué datos salen hacia proveedores externos.
Cómo trabajamos
De la reunión de alcance al plan de corrección
Alcance y autorización
Se acuerda por escrito qué sistemas se revisan, con qué accesos y en qué horario. No se toca nada que no esté autorizado.
Revisión
Combinamos herramientas automáticas con revisión manual de configuración, código y permisos. Lo crítico se avisa en el momento, sin esperar al informe.
Informe priorizado
Cada hallazgo llega con su evidencia, su gravedad y la corrección recomendada, ordenado por lo que conviene resolver primero.
Sesión de resultados
Repasamos el informe con tu equipo técnico y con quien decide, para que quede claro qué hacer, quién lo hace y en qué orden.
Si quieres, después de corregir volvemos a revisar los hallazgos para confirmar que quedaron cerrados.
Qué recibes
Lo que queda en tus manos al terminar
- Un resumen para gerencia: qué tan expuesta está la empresa y qué decisiones hay que tomar.
- La lista de hallazgos con evidencia, gravedad y sistema afectado.
- La corrección recomendada para cada hallazgo, con el esfuerzo estimado.
- Un plan de corrección ordenado por prioridad.
- Una sesión con tu equipo para resolver dudas sobre el informe.
Lo que no es
Los límites de una auditoría de seguridad
Para que sepas exactamente qué estás contratando.
No es una certificación
El informe no reemplaza una certificación como ISO 27001 ni una auditoría regulatoria. Sí sirve para llegar a ellas con el trabajo adelantado.
No garantiza que nunca pase nada
Ninguna auditoría lo hace. Lo que sí hace es cerrar las puertas conocidas y dejar claro qué riesgo decides aceptar.
No incluye corregir los hallazgos
La auditoría termina en el informe y el plan. Si quieres que el equipo de Alaz haga las correcciones, se cotiza aparte.
No se hace sin autorización
Solo revisamos sistemas de los que eres dueño o sobre los que tienes permiso por escrito. No auditamos a terceros a pedido.
Inversión
Qué determina el costo
No publicamos un precio único porque depende del alcance. Estos son los factores que lo mueven.
Cuántos sistemas entran
No es lo mismo una aplicación web que una web, una app, tres integraciones y la nube que las sostiene.
Qué tan a fondo se revisa
Una revisión de configuración y accesos es más corta que una que además incluye código y pruebas sobre la aplicación.
Qué accesos y documentación hay
Con acceso al código y a la consola de la nube se avanza más rápido que revisando solo desde fuera.
Si se verifica después de corregir
La revisión posterior a las correcciones es opcional y se incluye en la propuesta solo si la pides.
Preguntas frecuentes
Lo que se pregunta antes de contratar una auditoría
Depende de cuántos sistemas entren y de qué tan a fondo se revisen. El plazo se fija en la propuesta, después de la reunión de alcance, y no empieza a correr hasta tener los accesos acordados.
La revisión se planifica para no afectar el servicio. Las pruebas que podrían generar carga o bloqueos se hacen en el horario que acuerdes, o en un ambiente de pruebas si lo tienes.
Los mínimos para el alcance acordado: por lo general lectura sobre la consola de la nube y el repositorio, y un usuario de prueba en la aplicación. Se listan por escrito antes de empezar y se retiran al terminar.
Se usa solo para la auditoría. Los términos de confidencialidad se firman antes de recibir cualquier acceso, y los hallazgos se comparten únicamente con las personas que tú indiques.
No exactamente. Una prueba de penetración intenta explotar las fallas como lo haría un atacante. Una auditoría es más amplia: revisa también configuración, permisos, código y respaldos. Si necesitas pruebas de explotación sobre un sistema concreto, se define en el alcance.
Si quieres, sí: construimos software y operamos nube, así que podemos hacer las correcciones. Es un trabajo aparte de la auditoría, con su propio alcance, y también puede hacerlo tu equipo o tu proveedor con el informe en la mano.
Empieza por definir qué se revisa
En una reunión corta vemos qué sistemas tienes, qué te preocupa y qué alcance tiene sentido. De ahí sale una propuesta con plazo y precio.
