Auditoría del parque informático: la checklist en 8 bloques

Una fotografía legible de lo que posee la empresa (hardware, programas, cuentas y conexiones), del estado de cada elemento y de lo que falta para operar sin riesgo. No sustituye a un análisis técnico de vulnerabilidades. Es la base para decidir dónde invertir. Cuando la respuesta sea «no lo sé», anótelo tal cual: es información valiosa.

• Inventario completo Cada puesto, portátil, servidor, impresora, firewall, switch y punto de acceso, con ubicación, fabricante, modelo y n.º de serie.
• Antigüedad Como regla práctica, los puestos y portátiles de más de 5 años y los servidores de más de 6 entran en sustitución planificada, no en reparación urgente.
• Garantías Qué cubre el fabricante y cuándo termina.
• Fantasmas El equipo que existe físicamente y no figura en ninguna lista. Siempre hay alguno.

• Sistemas operativos Versión en cada puesto y servidor. Windows 10 dejó de recibir actualizaciones de seguridad de serie en octubre de 2025; qué hacer está en Windows 10 sin soporte: opciones para empresas.
• Servidores Windows Server 2012 o anterior ya sin soporte; 2016 lo pierde en enero de 2027.
• Licencias Microsoft 365, antivirus, ERP y otras: total, asignadas y las que se pagan sin que nadie las use.
• Instalaciones por cuenta propia Acceso remoto, nubes personales de archivos, conversores online instalados sin autorización.

• Alcance Servidores, puestos, buzones de correo y archivos en la nube de Microsoft, y la base de datos del ERP.
• Frecuencia, destino y versiones Una única copia en el mismo edificio equivale a ninguna.
• Última restauración correcta Si nunca la hubo, este es el punto número uno.
• Alertas Quién recibe el aviso de una copia fallida, y si alguien lo lee.

¿Respuestas débiles en este bloque? Empiece por aquí, con copias de seguridad gestionadas y restauraciones probadas.

• Usuarios activos Cuentas del dominio y de Microsoft 365 cruzadas con los empleados actuales. Cada diferencia es una cuenta que desactivar hoy.
• Administradores En puestos, servidores y Microsoft 365. Pocos e identificados.
• MFA Activo en todas las cuentas con correo y archivos, administración incluida, sin excepciones.
• Cuentas compartidas «recepción», «tienda»: ¿quién conoce esas contraseñas?
• Terceros Qué proveedores entran en la red, con qué credenciales y si ese acceso sigue justificado.

• Esquema Aunque sea a mano: rack, switches, entrada de internet, cobertura Wi-Fi.
• Rack ¿ordenado y etiquetado, o una maraña que nadie toca? Eso determina cuánto dura cada avería.
• Segmentación Invitados aislados de la red interna; servidores, cámaras y TPV en segmentos propios.
• Internet Operador, caudal, si hay conexión de respaldo y cuántas horas aguanta el negocio sin ella.

• Firewall Modelo, actualización, quién lo gestiona y fecha de la última revisión de las reglas.
• Endpoints Producto utilizado, presente en todos los equipos, destinatario de las alertas.
• Correo Filtrado de phishing y de facturas manipuladas, el fraude más frecuente en las empresas portuguesas.
• Plan de incidentes Si el ransomware cifra un puesto un lunes a las 9:00, ¿quién hace qué en la primera media hora?

Para profundizar, use la checklist de ciberseguridad para pymes en Portugal.

• Credenciales de administración Del router del operador, servidores, switches y firewall: guardadas en lugar seguro y conocidas por más de una persona.
• Contratos Internet, licencias, soporte: plazos, permanencias, inclusiones y exclusiones.
• Proveedor externo ¿hay un SLA por escrito? ¿Y si cierra mañana? Consulte el SLA que debe exigir a un socio de IT.

• Punto de contacto Quién se ocupa del IT internamente y quién le sustituye en vacaciones.
• Concienciación Fecha de la última formación sobre phishing. «Nunca» significa que esta es la inversión más barata y rentable de la lista.
• Altas y bajas Creación y desactivación de cuentas, recogida de equipos, revocación de accesos.

Sepárelos en tres grupos:

1. Riesgo de parada: copias nunca probadas, servidor sin soporte, una sola conexión a internet.
2. Riesgo de ataque: sin MFA, cuentas de exempleados aún activas, firewall que nadie gestiona.
3. Coste sin retorno: licencias de más, equipos que se reparan cuando deberían sustituirse.

Los grupos 1 y 2 se cierran en cuestión de semanas; el ahorro del grupo 3 paga el resto. Si quiere hacer el análisis con nosotros, esto es lo que entrega nuestra consultoría de IT para empresas: primero la visita, después el informe escrito con prioridades y solo al final, si tiene sentido, una propuesta.

Vamos a su empresa, recorremos la lista junto a usted y le dejamos por escrito los riesgos y el orden de resolución, sin compromiso. Más información sobre la auditoría y consultoría de IT de DataRoad.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. +351 211 459 950 * · sales@dataroad.pt

*Llamada a la red fija portuguesa.