La paraula 'auditoria' agrupa serveis molt diferents. Una anàlisi de vulnerabilitats automatitzada no és el mateix que un test de penetració manual, i cap dels dos és el mateix que una revisió d'arquitectura. Saber què estàs contractant abans de signar evita expectatives incorrectes i pressupostos mal dimensionats.
Els tres tipus principals d'auditoria i quan aplica cadascun
- Anàlisi de vulnerabilitats automatitzada: escàner de xarxa i sistemes que identifica versions desactualitzades, configuracions febles i ports exposats. Baix cost, ràpid, però sense validació manual. Ideal com a punt de partida anual.
- Test de penetració manual: un analista intenta explotar les vulnerabilitats trobades per demostrar cadenes d'atac reals. Més temps, més cost, però amb impacte de negoci demostrat. Recomanat per a sistemes crítics cada 1-2 anys.
- Revisió d'arquitectura: anàlisi del disseny de seguretat de sistemes i aplicacions. Sense exploits, orientat al disseny. Útil en projectes nous o abans de migracions importants.
- Auditoria de compliment: verifica si els controls existents compleixen amb ISO 27001, ENS, RGPD o altres marcs regulatoris aplicables al sector.
Timeline real i què esperar de l'informe final
El timeline real d'una auditoria per a una empresa de 50–200 empleats sol ser: dos dies de recopilació d'informació, tres a cinc dies d'anàlisi activa depenent de l'abast, i dos dies d'elaboració de l'informe. En total, entre una i dues setmanes. Si un proveïdor promet menys, probablement sigui una anàlisi automatitzada amb poca o cap feina manual.
- Secció executiva: tres a cinc riscos prioritaris explicats en llenguatge de negoci, no tècnic
- Classificació de troballes per impacte de negoci real, no només per CVSS tècnic
- Evidències adjuntes: captures, logs o proves de concepte que demostren cada troballa
- Pla de remediació prioritzat amb finestres temporals realistes per tipus de troballa
- Diferenciació entre mitigar (solució tècnica), transferir (assegurança o tercer) i acceptar (risc residual documentat)
El valor d'una auditoria es realitza en les setmanes posteriors al lliurament: quan les troballes entren al backlog de seguretat, s'assignen responsables i es verifiquen les correccions. Sense aquest seguiment, fins i tot el millor informe tècnic es converteix en un document oblidat en una carpeta compartida.
Si estàs avaluant quin tipus d'auditoria necessites o com interpretar els resultats d'una anterior, podem ajudar-te a prendre la decisió correcta.
Veure servei de ciberseguretat