Se trata de un trabajo de campo en el que se despliegan una serie de herramientas de auditoría, se realizan entrevistas con los responsables de la empresa y se efectúan revisiones exhaustivas sobre protocolos, servicios, aplicaciones, sistemas operativos, redes de comunicación, servidores, estaciones de trabajo, dispositivos móviles, etc.

Todos los datos recogidos son minuciosamente analizados y son trasladados en un informe final expresado en un lenguaje no demasiado complejo y en el que se recogen los siguientes aspectos:

• Inventario de activos informáticos instalados, servidores, programas, sistemas operativos asociados a usuarios/departamentos/tareas.
• Procedimientos en el tratamiento de los activos informáticos.
• Análisis de Seguridad y vulnerabilidad en los activos y en la red tanto física como inalámbrica.
• Análisis de la eficiencia y gestión de los sistemas, protocolos, servicios y aplicaciones informáticas en materia de seguridad informática.
• Compatibilidad de los sistemas y procesos con el cumplimiento de la Normativa vigente R.G.P.D.
• Comprobación y análisis sobre la web de la empresa y cuentas de correo corporativas que pudieran estar comprometidas.
• Explicación de los posibles efectos a las amenazas halladas y remediación o bastionado sobre los activos a vulnerabilidades encontradas.

Una vez que el informe está concluido, éste se envía y se fija un día con la empresa para que el consultor pueda exponerlo y resolver posibles dudas bien in situ o por videoconferencia.

El informe final de auditoría debe servir de guía para que tanto los responsables de sistemas como los propietarios de la empresa sepan qué problemas deben priorizar para reducir las posibilidades de ser víctimas de un ataque que provoque pérdidas a la empresa, tanto económicas como a nivel de reputación).

En este sentido, la empresa deberá adoptar medidas ejecutivas para resolver los problemas detectados y que ya se están produciendo y prevenir los riesgos que se podrían producir.

Una vez que la empresa ha implementado las medidas preventivas que el informe ha reflejado en un momento determinado es importante entender que los sistemas informáticos de la empresa requieren de un proceso de análisis periódico y continuo que permita detectar nuevas vulnerabilidades debidas bien por la aparición de fallos de seguridad en el software utilizado o bien por la implementación continua de nuevos servicios en la empresa.

En este sentido, Security Lab propone un servicio mensual de alerta temprana para la detección y remediación de posibles brechas de seguridad.