Servicios de auditoría de TI
Entienda su tecnología antes de invertir en más tecnología
Una evaluación estructurada de sus usuarios, accesos, correo, equipos, respaldos y proveedores, entregada como hallazgos, riesgos y una hoja de ruta priorizada sobre la que puede actuar con o sin nosotros.
Para empresas que sospechan que algo anda mal con su tecnología pero aún no pueden decir qué, ni dónde está realmente el riesgo.
- Entregable
- Un informe escrito, no una conversación de venta
- Compromiso
- Trabajo independiente — sin obligación de continuar
- Alcance
- Acordado por escrito antes de comenzar
| Impacto bajo | Impacto medio | Impacto alto | |
|---|---|---|---|
| Probable | Monitorear | Programar | Actuar ya |
| Posible | Aceptar | Monitorear | Programar |
| Improbable | Aceptar | Aceptar | Monitorear |
Independiente por diseño
La auditoría es un entregable en sí. Puede actuar internamente, con otro proveedor o con nosotros.
Evidencia, no opinión
Los hallazgos citan lo observado en su entorno, así cada uno puede verificarse.
Priorizado, no exhaustivo
Una lista de 80 problemas no sirve. Los hallazgos se ordenan por riesgo e impacto en el negocio.
El problema de negocio
La mayoría de las decisiones de gasto tecnológico se toma sin conocer el estado actual.
Se compra una herramienta nueva para resolver un problema que nadie midió. Se plantea una preocupación de seguridad y nadie puede decir si aplica. Mientras tanto, exempleados aún tienen acceso en algún sistema, los respaldos nunca se restauraron como prueba y la única persona que conocía la configuración del dominio se fue el año pasado.
Estado actual desconocido
Nadie puede producir una lista de sistemas, cuentas y quién tiene acceso a qué.
Riesgo que se siente, no se mide
Una sensación general de exposición, sin forma de priorizarla.
Gasto en la capa equivocada
Software nuevo comprado mientras los problemas de acceso y respaldo siguen ahí.
Puntos únicos de falla
Una persona guarda el conocimiento y no hay documentación detrás.
Dispersión de proveedores
Dominios, hosting, correo, equipos y conectividad repartidos entre proveedores que nadie controla.
Respaldos sin verificar
Respaldos configurados en algún momento y nunca probados con una restauración real.
Áreas de auditoría
Qué se revisa.
La auditoría cubre las áreas siguientes. El alcance se confirma por escrito antes de comenzar, y lo excluido se indica en lugar de quedar ambiguo.
Identidad y acceso
- Usuarios y cuentas
- Niveles de acceso y privilegios
- Accesos de exempleados
- Autenticación multifactor
- Credenciales compartidas
Sistemas y datos
- Configuración y seguridad de correo
- Equipos y endpoints
- Almacenamiento y compartición en la nube
- Respaldos y pruebas de restauración
- Inventario de software existente
Infraestructura y riesgo
- Dominios y DNS
- Conectividad
- Configuración de seguridad
- Documentación
- Dependencias de proveedores
- Riesgos operativos
Entregables
Qué recibe.
Cinco documentos, escritos para dos audiencias: un resumen que un dueño no técnico puede accionar y el detalle que una persona técnica puede implementar.
Evaluación del estado actual
Un inventario de sistemas, cuentas, equipos, proveedores y cómo están configurados hoy.
Resumen de riesgos
Qué está expuesto, a qué afectaría y cuál sería la consecuencia realista.
Matriz de prioridades
Hallazgos ubicados por probabilidad e impacto, para que el orden no sea cuestión de opinión.
Mejoras recomendadas
Acciones específicas por hallazgo, con el esfuerzo y las dependencias de cada una.
Hoja de ruta tecnológica
Una secuencia por trimestres, separando qué corregir ahora de qué planificar.
Sesión de traspaso
Una reunión para recorrer los hallazgos, para que el informe se entienda y no se archive.
El informe
Cómo es el documento en realidad.
Cada hallazgo se escribe igual: qué se observó, por qué importa, cuál es el riesgo y qué hacer. Ningún hallazgo se incluye sin recomendación, y ninguna recomendación se incluye sin motivo.
Escrito para quien decide
El resumen es legible por un dueño o director sin traducción de una persona técnica.
Suyo para conservar
El informe y su inventario le pertenecen, incluso si nunca vuelve a trabajar con nosotros.
- 1. Resumen ejecutivo No técnico
- 2. Inventario del estado actual Sistemas y cuentas
- 3. Hallazgos por área Evidencia e impacto
- 4. Matriz de riesgo y prioridad Ordenada
- 5. Acciones recomendadas Con estimación de esfuerzo
- 6. Hoja de ruta tecnológica Secuenciada por trimestre
- 7. Anexo Detalle de configuración
Encaje
Para quién es este servicio.
Buen encaje cuando
- Está considerando TI administrada y quiere conocer el estado actual antes de comprometerse.
- Se planteó una pregunta de seguridad o cumplimiento y necesita una respuesta con hechos.
- La TI se ha manejado de forma informal por años y nadie la ha documentado.
- Está por invertir en sistemas nuevos y quiere ordenar la secuencia con criterio.
- Una persona técnica clave se va, o ya se fue.
Probablemente no es el servicio cuando
- Ya conoce el problema y solo necesita corregirlo — eso es un proyecto o un servicio administrado.
- Necesita una certificación regulatoria formal; la auditoría informa ese trabajo pero no reemplaza a un organismo certificador.
Proceso
Cómo se ejecuta una auditoría.
Alcance
Acordamos qué entra y qué no, qué accesos se requieren y cuáles serán los entregables.
Descubrimiento
Entrevistas con quienes usan y administran los sistemas, y revisión de configuración en modo lectura.
Análisis
Los hallazgos se documentan con evidencia y se ordenan por probabilidad e impacto en el negocio.
Informe
Los cinco entregables se redactan y se revisan internamente antes de llegar a usted.
Recorrido
Una sesión para revisar hallazgos y prioridades, y responder las preguntas que abre el informe.
Modelos de contratación
Cómo se contrata.
Auditoría independiente
Una evaluación única con alcance fijo y un conjunto fijo de entregables.
- Sin compromiso recurrente
- El informe es suyo
- Ideal antes de cualquier decisión
Auditoría y luego remediación
Primero la auditoría, después un proyecto cotizado aparte para las correcciones que apruebe.
- Hallazgos cotizados individualmente
- Usted elige qué avanza
- Ideal cuando se esperan problemas
Auditoría hacia TI administrada
La auditoría se convierte en la línea base de incorporación para la cobertura continua.
- Sin descubrimiento duplicado
- Alcance construido desde los hallazgos
- Ideal si ya quiere un proveedor
Por qué ZitDevs
Cómo mantenemos creíble la auditoría.
Sin urgencia fabricada
Los hallazgos se ordenan con honestidad. Cuando algo es de bajo riesgo, el informe lo dice en lugar de inflarlo.
Sin obligación adjunta
Recomendarnos para la remediación es opcional, y el informe se escribe para que otro proveedor pueda ejecutarlo.
Modo lectura cuando es posible
El descubrimiento usa acceso de lectura donde puede, y cualquier cambio se acuerda antes de hacerse.
Confidencialidad primero
Los términos se acuerdan por escrito antes del descubrimiento y el acceso se limita a quienes ejecutan la auditoría.
Preguntas frecuentes
Preguntas sobre auditorías de TI.
Las respuestas están escritas para este servicio. Cuando una cifra depende de su situación, lo decimos en lugar de publicar un promedio.
¿Qué es una auditoría de TI?
Una revisión estructurada de la tecnología de la que depende una empresa — usuarios y accesos, correo, equipos, almacenamiento en la nube, dominios, conectividad, respaldos, configuración de seguridad, documentación y dependencias de proveedores — entregada como hallazgos, riesgos ordenados y una hoja de ruta priorizada.
¿Cuánto tarda una auditoría?
Depende del número de usuarios, sistemas y proveedores, y de cuánta documentación ya exista. Damos una duración junto con el alcance, antes de comenzar, en lugar de publicar un promedio que quizá no aplique.
¿Debemos darles acceso administrativo?
Cuando la revisión completa lo requiere, sí, y se acuerda por escrito de antemano. Donde el acceso de lectura es suficiente, es lo que pedimos. Cualquier cambio en su entorno durante la auditoría se propone y se aprueba primero.
¿Es una auditoría de ciberseguridad?
Incluye una evaluación de seguridad de configuración, accesos y protección de correo, que es lo que la mayoría de las empresas necesita primero. No es una prueba de penetración ni una certificación regulatoria; si necesita alguna, lo diremos y se cotiza aparte.
¿Pueden auditar específicamente Microsoft 365 o Google Workspace?
Sí. Una auditoría específica de plataforma que cubra usuarios, licencias, grupos, compartición, flujo de correo, ajustes de seguridad y retención puede contratarse por sí sola.
¿Quedamos obligados a contratar a ZitDevs después?
No. La auditoría es trabajo independiente. El informe se escribe para que su propio equipo u otro proveedor pueda implementarlo.
¿Quién lee el informe?
Está escrito para dos audiencias: un resumen ejecutivo para el dueño o director y hallazgos detallados para quien los implemente.
¿Y si encuentran algo grave?
Lo urgente se comunica en cuanto se encuentra, sin esperar el informe, junto con lo que recomendamos hacer de inmediato.
Averigüe qué está operando realmente.
Cuéntenos cuántas personas tiene y qué plataformas usa. Volveremos con un alcance de auditoría, una duración y los entregables que recibiría.
El formulario llega preseleccionado para auditorías de TI y pregunta por sus plataformas y el tamaño del equipo.