Un análisis inicial de riesgo informático no certifica que una empresa esté segura. Sirve para identificar qué actividades dependen de sistemas digitales, qué podría interrumpirlas y qué medidas deben revisarse primero. Esta guía ayuda a ordenar una revisión operativa; no sustituye una auditoría especializada.
Empieza por la actividad que no puedes detener
Lista facturación, pedidos, agenda, correo y archivos esenciales. Para cada actividad, identifica sistemas, responsables y dependencia del proveedor. Pregunta cuánto tiempo podría funcionar el negocio sin ella y cómo trabajaría temporalmente si falla.
Busca señales concretas de exposición
- Cuentas compartidas o accesos de personas que ya no trabajan contigo.
- Equipos sin inventario o actualizaciones sin responsable.
- Copias cuya restauración nunca se ha ensayado.
- Permisos amplios sin relación con las tareas del puesto.
- Ausencia de un contacto y procedimiento ante incidentes.
Una señal es una pregunta que investigar, no prueba de una intrusión. No ejecutes archivos sospechosos ni atribuyas un ataque a alguien a partir de un nombre de archivo o una fecha aislada.
Prioriza por consecuencia y recuperación
Valora interrupción, pérdida de información y dificultad de recuperación. Separa medidas rápidas de cambios que requieran ventana de mantenimiento. Documenta qué riesgo reduce cada acción y qué dependencia queda pendiente.
Entrega un registro verificable
El resultado debe incluir hallazgo, evidencia, responsable, plazo y prueba de cierre. No guardar contraseñas en ese documento. Si hay sospecha de compromiso, conserva evidencias y pide revisión especializada antes de limpiar indiscriminadamente.
En IT y servicios digitales podemos empezar por ese inventario. El alcance debe acordarse antes de revisar accesos, dispositivos o proveedores.
Prioriza por interrupción del negocio
Una revisión de riesgos no debería empezar por una lista interminable de productos de seguridad. Pregunta qué actividad dejaría de funcionar si se pierde una cuenta, un equipo o una carpeta. Identifica qué información es necesaria para operar y quién puede autorizar su recuperación. Una incidencia en el buzón comercial y otra en un ordenador de pruebas pueden tener consecuencias diferentes aunque compartan origen técnico.
Para cada riesgo, describe una situación concreta, los activos afectados, las medidas existentes y la evidencia pendiente. Si nadie ha probado la restauración de una copia, anota que la recuperación está sin verificar; no la marques como garantizada porque un panel diga que la copia terminó correctamente. Tampoco confundas tener antivirus con haber revisado permisos, accesos y continuidad.
Una salida útil del diagnóstico
- Riesgo: cuenta administrativa compartida.
- Consecuencia posible: cambios sin atribución individual.
- Medida propuesta: usuarios identificados y permisos por tarea.
- Verificación: acceso necesario permitido y acceso innecesario rechazado.
- Responsable: persona que revisa altas, bajas y excepciones.
Este ejemplo es ilustrativo, no una evaluación de tu empresa. Clasifica lo que puede resolverse con organización, lo que necesita intervención técnica y lo que requiere asesoramiento especializado. Una buena propuesta explica qué se ha comprobado y qué permanece fuera de alcance. No promete ausencia de incidentes ni declara seguros todos los sistemas tras una visita breve.
Consulta la lista de continuidad y recuperación para documentar responsables y pruebas. Una revisión de sistemas y soporte IT debe acotar qué se comprueba y qué evidencia queda pendiente. Revisión editorial: Equipo DataFlow Elegance.