Una auditoría de infraestructura útil responde cuatro preguntas: qué ejecutamos, quién puede acceder o modificarlo, qué pruebas demuestran que los controles funcionan y qué debemos corregir primero. Trata PaaS, IaaS, redes, firewalls y sistemas operativos como un único sistema conectado. Empieza con autorización escrita, alcance acordado, responsables identificados, horario y contacto de emergencia. Usa acceso de solo lectura siempre que puedas y no pruebes sistemas sin permiso.
Antes de probar, dibuja el entorno: cuentas y suscripciones cloud, regiones, proyectos, entornos de producción y pruebas, puntos públicos, cargas de trabajo, almacenes de datos, identidades y proveedores externos. Representa los flujos de datos y límites de confianza. Para cada activo, registra propietario, propósito, sensibilidad de los datos, exposición, dependencias e importancia para la recuperación. Compara el inventario con facturación, DNS, exportaciones de la consola cloud, gestión de endpoints e Infrastructure as Code para detectar recursos olvidados y cambios manuales.
Define primero el límite de responsabilidad compartida. En IaaS, el proveedor suele operar las instalaciones físicas y el servicio base; tu equipo suele hacerse cargo de los sistemas operativos invitados, cargas, identidades, reglas de red y datos. En PaaS el proveedor gestiona más del entorno de ejecución, pero tu equipo sigue siendo responsable del código, accesos, datos, secretos y ajustes específicos del servicio. Revisa las condiciones de cada servicio: que sea «gestionado» no significa que el proveedor cubra todos los controles de seguridad.
En IaaS, revisa límites de cuentas y proyectos, roles de administrador, MFA, identidades de cargas, cuentas de servicio, almacenamiento de claves y secretos, IP públicas, exposición del almacenamiento, copias de seguridad, cifrado, parches y desviaciones de configuración. Prioriza credenciales temporales y limitadas y vías privadas de administración. En PaaS, revisa aislamiento de tenants, autenticación y autorización, conectividad privada, orígenes permitidos, permisos de despliegue, variables de entorno, referencias a secretos, retención y registros de auditoría. Confirma que los registros de diagnóstico estén activados, retenidos, protegidos y sean útiles ante incidentes.
En la red informática, verifica las rutas reales entre usuarios, entrada de Internet, balanceadores, capas de aplicación, bases de datos, interfaces de administración y destinos de salida. Revisa subredes y rutas, segmentación, DNS, VPN o acceso privado, administración remota, restricciones de salida y resiliencia. Compara el diagrama con registros de flujo y exportaciones de configuración. Investiga rutas inesperadas, redes planas, bases de datos expuestas directamente, interfaces sin uso y tráfico que evita controles. Un escáner autorizado ayuda a encontrar servicios accesibles; acuerda horario y velocidad, y valida los resultados: un escaneo no es una auditoría completa.
Revisa conjuntamente las reglas de grupos de seguridad cloud, ACL de red, firewalls de host y dispositivos dedicados. Para cada regla, identifica responsable, propósito, origen, destino, protocolo, puerto, dirección, entorno y fecha de revisión o caducidad. Busca orígenes de Internet sin restricciones, rangos amplios de puertos, reglas de permitir todo, duplicados, accesos temporales obsoletos y puertos de administración públicos. Comprueba la denegación predeterminada y el registro. Prueba cambios de forma segura y elimina una regla solo tras confirmar sus dependencias y preparar la reversión.
En cada sistema operativo que administres, revisa versión y parches soportados, configuración segura base, cuentas locales y de directorio, grupos privilegiados, MFA para administración, exposición de SSH o escritorio remoto, autenticación, firewall del host, protección de endpoints, cifrado de disco, Secure Boot cuando aplique, sincronización horaria, servicios y tareas de inicio. Comprueba el envío centralizado de registros, alertas, copias y restauración y gestión de configuración. Compara los ajustes con la guía vigente del proveedor o el CIS Benchmark aplicable y documenta excepciones justificadas. En PaaS, revisa solo los controles de host disponibles y centra tu revisión en la aplicación y el servicio.
Conserva evidencias reproducibles: activo y cuenta, hora, herramienta o vista de consola, captura de configuración, estado esperado y observado, auditor y limitaciones. Protege exportaciones y capturas, pues pueden contener identificadores, topología o secretos; oculta valores sensibles y limita el acceso. Clasifica hallazgos por impacto, probabilidad, activos afectados, exposición, explotabilidad y controles compensatorios. Separa debilidades confirmadas de observaciones que requieren más pruebas y asigna responsables técnicos y de negocio.
Convierte los hallazgos en un plan de corrección con prioridad, responsable, fecha límite, registro del cambio, reversión y validación. Corrige primero el acceso administrativo expuesto y los privilegios excesivos; después, brechas de segmentación, sistemas vulnerables o sin soporte, lagunas de registros y copias débiles. Vuelve a probar el control tras el cambio y conserva evidencias de antes y después. Eleva el riesgo residual a quien pueda aceptarlo. La auditoría termina cuando los responsables entienden el riesgo y las acciones verificadas lo reducen.
Usa las guías reconocidas como base, no como sustituto del contexto: NIST SP 800-115 describe cómo planificar y realizar evaluaciones técnicas; CIS Benchmarks ofrece recomendaciones de configuración específicas para plataformas cloud, dispositivos de red y sistemas operativos. Elige el benchmark del proveedor y versión exactos, adáptalo con decisiones de riesgo documentadas y utiliza solo técnicas permitidas por las reglas del encargo. Fuentes: https://csrc.nist.gov/pubs/sp/800/115/final y https://www.cisecurity.org/cis-benchmarks-overview
Dale al próximo producto alguien que se quede.
¿Listo para empezar? Envíame un mensaje: puedo comenzar ahora y quedarme. Colaboraciones a largo plazo, no una entrega de dos semanas. Hablemos de tu proyecto, requisitos y la mejor forma de avanzar.