NexoLab Blog
14 de agosto de 2026

Auditoría de accesos: guía práctica para auditores de TI

Descubre cómo realizar una auditoría de accesos efectiva para garantizar la seguridad de tu sistema. Aprende a definir el alcance, revisar cuentas y...

Auditoría de accesos: guía práctica para auditores de TI

Una persona conecta un dispositivo de seguridad en una consulta médica

Una auditoría de accesos verifica quién puede hacer qué dentro de un sistema y si ese permiso sigue justificado por su función actual. No es un ejercicio técnico aislado: es un control de gobernanza que compara lo que la organización cree que tiene autorizado con lo que realmente existe en producción.

Si acabas de recibir el encargo o estás preparando la primera ronda del año, hay tres acciones que debes ejecutar antes de tocar una sola consola:

  • Define el alcance: qué sistemas, cuentas y periodos entran en la revisión.
  • Obtén el listado completo de cuentas activas y crúzalo contra la nómina o el organigrama vigente.
  • Revisa las políticas críticas de control de accesos: quién aprueba, quién revoca y con qué frecuencia se certifica.

La comparación entre el inventario de cuentas activas y la nómina oficial detecta accesos huérfanos que un registro aislado de TI casi nunca revela. Ese cruce, no la revisión de configuraciones, es el primer indicador real de riesgo en cualquier auditoría de control de accesos.

A partir de ahí, la evidencia técnica (logs de autenticación, registros de IAM/PAM, exportaciones de SIEM) y el mapeo contra estándares como ISO 27001 o el marco NIST son lo que convierte una revisión superficial en una auditoría defendible ante un comité o un regulador.

Puntos clave

Una auditoría de accesos efectiva depende de cruzar el inventario de cuentas contra la nómina, exigir evidencia documentada del ciclo de vida completo del acceso y revisar con una frecuencia proporcional al riesgo.

Punto Detalles
Cruce cuentas contra nómina Compara siempre el listado de usuarios activos con la nómina oficial, nunca solo con registros internos de TI.
Revocación el mismo día Automatiza la baja de accesos en la fecha exacta de desvinculación para eliminar accesos residuales.
Evidencia por cada etapa Documenta solicitud, aprobación, asignación y revisión de cada acceso conforme al enfoque de ISO 27001.
Frecuencia según riesgo Revisa anualmente los sistemas críticos y trimestral o semestralmente los de mayor exposición.
Segmentación desde el diseño Plataformas como Nexolab limitan el acceso por espacio privado de cada médico, facilitando la segregación de funciones sin configuración manual adicional.

Tabla de contenidos

Metodología paso a paso para una auditoría de accesos

Una auditoría de accesos rigurosa sigue una secuencia fija: alcance, inventario, revisión de políticas, pruebas técnicas y cierre con hallazgos documentados. Saltarse un paso no ahorra tiempo, solo traslada el riesgo a la fase de remediación, cuando resulta más caro corregirlo.

  1. Definir el alcance y los dueños de proceso. Decide qué sistemas críticos entras a auditar (ERP, historia clínica, banca interna, repositorios de código) y quién es el propietario funcional de cada uno. El dueño del proceso de negocio, no el equipo de TI, debe autorizar los accesos, porque es quien conoce qué rol necesita qué permiso.
  2. Levantar el inventario de cuentas y mapearlo contra nómina. Extrae el listado completo de usuarios activos por sistema y compáralo línea por línea con la nómina o el registro de contratistas vigente. Cualquier cuenta activa sin dueño identificable es un hallazgo desde el primer día.
  3. Revisar políticas, roles y segregación de funciones. Analiza la matriz de roles y detecta combinaciones peligrosas: la misma persona no debería poder crear un proveedor y aprobar su pago, por ejemplo.
  4. Ejecutar pruebas técnicas y analizar logs. Verifica intentos de acceso fallidos, elevaciones de privilegio no autorizadas y sesiones activas fuera de horario habitual.
  5. Documentar hallazgos, asignar severidad y definir seguimiento. Cada hallazgo necesita evidencia (captura, exportación de log, hash de archivo), un responsable de remediación y una fecha límite.

Algunos puntos de control que conviene fijar antes de empezar la ronda de pruebas:

  • Umbral de tolerancia para cuentas huérfanas (idealmente cero, en la práctica cualquier número debe tener plan de cierre).
  • Criterio de muestreo: ¿revisarás el 100 % de cuentas privilegiadas o una muestra estadística de cuentas estándar?
  • Ventana de retención de evidencia acordada con el área legal o de cumplimiento.

Revisión de registros: qué logs pedir y cómo validarlos

Los registros de auditoría son la columna vertebral de cualquier revisión de accesos: sin ellos, no hay forma de reconstruir quién hizo qué y cuándo. Un log útil para auditoría necesita al menos cinco campos: identidad del usuario, marca de tiempo, IP o dispositivo de origen, recurso accedido y resultado de la operación (éxito, fallo, denegado).

  • Logs de autenticación, para detectar intentos fallidos repetidos o inicios de sesión fuera de horario.
  • Registros de IAM, que muestran cuándo se creó, modificó o eliminó cada cuenta.
  • Registros de PAM, específicos para sesiones con privilegios elevados, incluyendo grabación de comandos cuando la herramienta lo permite.
  • Exportaciones de SIEM, que correlacionan eventos entre sistemas y ayudan a identificar patrones de escalada de privilegios.
  • Registros de acceso físico, cuando el alcance incluye salas de servidores o áreas restringidas.

Una consulta de muestra sencilla pero efectiva: filtra todas las cuentas que iniciaron sesión en los últimos 90 días y compáralas contra la lista de empleados activos. Cualquier coincidencia con personal desvinculado es un accesos huérfano confirmado, no una sospecha.

Para que la evidencia técnica sea aceptable en un informe formal, verifica que cumpla con lo mínimo: exportación en formato no editable, hash de integridad del archivo, fecha de extracción y periodo de retención acordado (habitualmente doce meses como mínimo para sistemas críticos).

Equipo digital equipado con un sello de seguridad holográfico

Consejo profesional: no aceptes capturas de pantalla como única evidencia de un log. Pide siempre la exportación nativa del sistema con su hash correspondiente; una captura se puede editar, un archivo con hash verificado no.

Cómo mapear la auditoría de accesos a ISO 27001 y otros marcos

ISO 27001 exige trazar el ciclo de vida completo del acceso, desde la solicitud inicial hasta la revocación final, y conservar evidencia documentada de cada etapa. No basta con que el control esté bien configurado técnicamente: si no hay registro de que alguien lo aprobó y lo revisó periódicamente, el control se considera fallido en la práctica.

El control A.9 de ISO 27001, dedicado a control de accesos, se traduce en preguntas muy concretas durante una auditoría:

  • ¿Existe una política formal de control de accesos aprobada por la dirección?
  • ¿Cada asignación de acceso tiene una solicitud y una aprobación documentadas?
  • ¿Se revisan los accesos privilegiados con una frecuencia definida y registrada?
  • ¿Existe evidencia de que las cuentas se revocan al momento de la desvinculación?

Trazar el ciclo completo (solicitud, aprobación, asignación, autenticación, elevación, supervisión, revisión y revocación) con evidencia en cada eslabón es lo que separa una auditoría defendible de una simple revisión de pantallas de configuración.

Además de ISO 27001, el marco NIST ofrece catálogos de controles de acceso equiparables (familia AC), útiles cuando el sistema auditado sirve a clientes en Estados Unidos o maneja datos bajo marcos federales. Las auditorías de seguridad en general suelen clasificarse en tres tipos con objetivos distintos: auditorías de cumplimiento normativo, auditorías de vulnerabilidades y pruebas de penetración, y conviene dejar claro en el alcance cuál de los tres estás ejecutando, porque la evidencia que exige cada una es diferente.

Hallazgos más comunes y cómo corregirlos

Casi todas las auditorías de accesos, sin importar el sector, terminan encontrando el mismo puñado de problemas. Priorizarlos por riesgo real, no por facilidad de corrección, es lo que distingue un informe útil de una lista genérica.

  1. Accesos huérfanos. Cuentas de personal desvinculado que siguen activas. Corrección: revocación inmediata y, si es posible, automatización de la baja el mismo día del cese laboral.
  2. Acumulación de privilegios. Usuarios que han cambiado de rol varias veces y conservan permisos de puestos anteriores. Corrección: aplicar el principio de mínimo privilegio y recertificar accesos en cada cambio de puesto, no solo en la contratación.
  3. Falta de segregación de funciones. La misma persona puede iniciar y aprobar una transacción crítica. Corrección: rediseñar la matriz de roles para separar creación, aprobación y ejecución.
  4. Credenciales compartidas. Varias personas usan la misma cuenta, lo que hace imposible atribuir una acción a un individuo. Corrección: eliminar cuentas genéricas y forzar identidad individual.
  5. Ausencia de autenticación multifactor en cuentas privilegiadas. Corrección: exigir MFA como condición no negociable para cualquier cuenta con permisos elevados; puedes revisar los criterios técnicos de implementación en esta guía sobre autenticación de dos factores.

Para clasificar la severidad de cada hallazgo, usa un criterio simple pero consistente:

  • Crítico: acceso huérfano en sistema financiero o de historia clínica, sin evidencia de revisión en más de un año.
  • Alto: acumulación de privilegios en cuenta con acceso a datos sensibles.
  • Medio: falta de MFA en cuentas sin privilegios elevados.
  • Bajo: documentación incompleta pero control técnico funcionando correctamente.

Cada hallazgo necesita un responsable nombrado y una fecha de cierre. Un hallazgo sin dueño ni plazo simplemente no se corrige, se archiva.

Checklist de campo y pruebas de muestra ejecutables

Una checklist de auditoría de accesos solo sirve si se puede ejecutar en campo con datos reales, no como lista de buenas intenciones. Estas son las pruebas de muestra que un auditor puede correr en una jornada de trabajo, sin depender de herramientas especializadas caras:

  • Extraer el listado de cuentas con privilegios administrativos y verificar que cada una tenga una justificación de negocio documentada.
  • Seleccionar una muestra aleatoria de 20 a 30 usuarios estándar y confirmar que su nivel de acceso corresponde a su cargo actual.
  • Revisar los últimos tres casos de desvinculación laboral y verificar la fecha exacta de revocación de accesos frente a la fecha de salida.
  • Analizar los logs de acceso remoto (VPN, escritorio remoto, APIs) de los últimos 30 días en busca de conexiones desde ubicaciones inusuales.
  • Probar manualmente si un usuario de bajo privilegio puede escalar permisos mediante rutas alternativas (menús ocultos, endpoints de API sin restricción).

Documentar los resultados en una tabla estructurada facilita tanto el seguimiento interno como la presentación ante comités de auditoría:

Prueba realizada Resultado Evidencia recolectada Severidad
Cruce cuentas activas vs. nómina 4 cuentas huérfanas detectadas Exportación de sistema IAM con hash Crítico
Revisión de MFA en cuentas privilegiadas 2 cuentas sin MFA Captura de configuración + log de política Alto
Revocación tras desvinculación Retrasos en la revocación de accesos observados en varios casos Comparación de fechas en registros de RR. HH. y TI Alto
Segregación de funciones en compras Sin hallazgos Matriz de roles revisada Bajo

Infografía con los puntos clave del checklist para la auditoría de accesos

Con qué frecuencia auditar y cómo estructurar el informe final

La frecuencia de revisión debe fijarse según el nivel de riesgo del sistema, no según un calendario fijo aplicado por igual a todo. Como referencia práctica: revisión anual mínima para sistemas críticos, y semestral o incluso trimestral cuando el entorno tiene alta exposición externa o maneja datos sensibles de terceros.

Al definir el tamaño de la muestra por área, prioriza donde el impacto de un error es mayor:

  1. Tesorería y pagos: revisión exhaustiva, idealmente el 100 % de las cuentas con capacidad de aprobar transacciones.
  2. Compras y proveedores: muestreo amplio, especialmente en cuentas que pueden crear o modificar proveedores.
  3. Nómina y recursos humanos: revisión completa de quién puede modificar sueldos o datos bancarios de empleados.
  4. Sistemas operativos generales: muestreo estadístico estándar, salvo hallazgos previos que justifiquen ampliarlo.

Un informe final de auditoría de accesos que resista escrutinio externo necesita, como mínimo, estas secciones:

  • Resumen ejecutivo con los tres o cuatro riesgos más relevantes en lenguaje no técnico.
  • Alcance exacto: sistemas, periodo y cuentas cubiertas.
  • Metodología aplicada, incluyendo criterios de muestreo.
  • Hallazgos detallados con evidencia adjunta y nivel de severidad.
  • Recomendaciones concretas, no genéricas, con responsable y plazo asignados.
  • Plan de seguimiento con fecha de la próxima revisión.

Este esquema coincide con la secuencia que siguen la mayoría de las auditorías de ciberseguridad estructuradas: preparación, identificación de amenazas, análisis de vulnerabilidades, evaluación de cumplimiento y documentación final con recomendaciones.

Caso práctico: auditar accesos en un consultorio médico

Un consultorio médico digitalizado maneja tres tipos de información especialmente sensible: historia clínica, agenda de pacientes y facturación. El alcance de una auditoría de accesos aquí debe cubrir quién puede ver, editar o exportar cada uno de esos tres bloques, y bajo qué rol.

Los roles típicos que hay que mapear incluyen al médico titular (acceso total a su propio espacio de pacientes), personal administrativo (agenda y facturación, sin acceso clínico completo) y personal temporal o de reemplazo (acceso limitado y con fecha de expiración definida).

Las verificaciones específicas que un auditor debería ejecutar en este entorno son:

  • Revisar los logs de acceso a historia clínica y confirmar que cada consulta quede registrada con usuario, fecha y paciente consultado.
  • Verificar quién tiene permiso para generar o modificar recetas e informes médicos, y si ese permiso corresponde solo a personal clínico autorizado.
  • Comprobar que las cuentas de personal temporal (suplencias, practicantes) tengan fecha de expiración automática, no revocación manual.
  • Confirmar que los documentos digitalizados mediante OCR conserven metadatos de quién los subió y cuándo, útil para trazabilidad en revisiones sobre gestión documental como la de indexar PDFs médicos.

Un consultorio que centraliza esta información en plataformas como las descritas en esta guía sobre historia clínica electrónica facilita enormemente esta revisión, porque el acceso queda segmentado por médico desde el diseño del sistema.

Consejo profesional: cruza siempre el listado de cuentas activas del sistema de gestión clínica contra la planilla de personal vigente del consultorio, incluyendo suplentes y practicantes. Es el mismo principio que aplica en auditorías corporativas grandes, solo que aquí la planilla suele tener cinco o diez nombres, no quinientos, así que no hay excusa para no hacerlo en cada revisión.

La auditoría de accesos como ejercicio de riesgo, no de configuración

El error más común que veo en equipos de TI es tratar la auditoría de accesos como una tarea de revisión de pantallas: entrar al sistema, ver qué permisos tiene cada usuario y marcar una casilla. Eso produce informes técnicamente correctos y prácticamente inútiles, porque ignoran la pregunta que realmente importa: ¿este acceso sigue siendo necesario para la función que la persona desempeña hoy?

La gestión de riesgos por encima del detalle técnico significa aceptar que un sistema perfectamente configurado, con MFA activo y logs impecables, puede seguir siendo un riesgo si nadie revisa periódicamente si esos permisos corresponden al rol actual del usuario. La trazabilidad del ciclo de vida completo del acceso (desde la solicitud inicial hasta la revocación final) importa más que cualquier configuración puntual, porque es ahí donde se acumulan los errores silenciosos: el ascenso que nunca actualizó permisos, el cambio de área que dejó accesos viejos activos, la suplencia que se volvió permanente sin que nadie lo notara.

Por eso insisto en que la evidencia documentada de revisiones periódicas no es un trámite burocrático, es la única forma de demostrar que el control funciona en el tiempo y no solo el día que se configuró. Un sistema sin esa evidencia no está fallando técnicamente, pero tampoco está siendo auditado de verdad.

Cómo una plataforma especializada facilita la auditoría de accesos en consultorios

Auditar accesos en un consultorio pequeño se complica cuando la información de pacientes vive repartida entre carpetas compartidas, correos y planillas sueltas, porque ahí no existe un registro único de quién entró a qué expediente. Nexolab resuelve esa fragmentación creando un espacio privado por cada médico, de modo que los datos de pacientes de un profesional nunca se mezclan con los de otro, y cada acceso queda naturalmente segmentado desde el diseño.

Nexolab

Esa segmentación por espacio privado es exactamente lo que un auditor busca al revisar segregación de funciones: acceso limitado por diseño, no por configuración manual que alguien puede olvidar mantener. La plataforma añade además herramientas que facilitan directamente el trabajo de campo descrito en esta guía: OCR para digitalizar y trazar documentos como recetas e informes, un directorio de búsqueda rápido por nombre o cédula que agiliza el cruce de cuentas contra pacientes reales, y almacenamiento centralizado de archivos que simplifica la conservación de evidencia durante una revisión.

Este artículo lo publica Nexolab, y si gestionas un consultorio y quieres empezar a ordenar el acceso a la información de tus pacientes antes de tu próxima revisión, puedes crear tu espacio privado en Nexolab y registrar hasta cinco pacientes de forma gratuita para probar cómo funciona la segmentación de accesos en la práctica.

Fuentes

Para profundizar en metodología, evidencia técnica y mapeo normativo más allá de lo cubierto aquí, estas referencias ofrecen plantillas y definiciones útiles para el trabajo diario de un auditor:

Recomendación