La palabra auditoría genera resistencia. En la práctica, lo que hace una auditoría de infraestructura es responder tres preguntas que la dirección suele no poder contestar con precisión: cuánto estamos pagando y por qué, qué tan expuestos estamos, y hasta dónde podemos crecer con lo que ya tenemos.
Cuándo conviene auditar
Hay cuatro momentos donde el retorno es más claro:
- Antes de aprobar un upgrade importante o una migración de proveedor.
- Cuando la factura de cloud u hosting creció y nadie puede explicar el aumento partida por partida.
- Después de un incidente de disponibilidad o de seguridad.
- Cuando la persona que construyó la infraestructura ya no está en la empresa. Es el escenario más común y el más riesgoso.
Las seis dimensiones que se revisan
- Inventario y trazabilidad. Qué existe, dónde está, quién lo administra y qué proceso de negocio sostiene. Es la base de todo lo demás y suele ser el primer hallazgo incómodo.
- Rendimiento. Consumo real de recursos, cuellos de botella, consultas lentas y capacidad disponible frente a los picos de operación.
- Costo. Desglose del gasto mensual por recurso y por área, identificación de partidas sin dueño y estimación del gasto evitable.
- Seguridad. Superficie expuesta, gestión de accesos y credenciales, estado de actualizaciones, cifrado en tránsito y aislamiento entre servicios.
- Continuidad. Respaldos existentes y, sobre todo, si alguien los probó alguna vez. Un respaldo no verificado no es un respaldo, es una suposición.
- Escalabilidad. Qué límite tiene la arquitectura actual y qué habría que cambiar para soportar dos o cinco veces la carga de hoy.
Qué se entrega al final
El entregable no debería ser un archivo de doscientas páginas que nadie lee. Lo útil es un paquete corto y accionable:
- Resumen ejecutivo de dos páginas, en lenguaje de negocio, con los tres hallazgos que importan y su impacto en dinero y en riesgo.
- Inventario completo con dueño, costo y criticidad de cada recurso.
- Lista priorizada de acciones ordenada por retorno y por riesgo de ejecución, con esfuerzo estimado.
- Línea base de métricas para poder demostrar la mejora después de intervenir.
- Plan de implementación con fases, ventanas de mantenimiento y plan de reversión.
Cuánto dura y qué necesita de tu equipo
Para una infraestructura mediana, el diagnóstico toma entre dos y cuatro semanas. La mayor parte es observación con el sistema funcionando normalmente, sin intervenciones.
De parte de la empresa se necesita poco: acceso de solo lectura a los sistemas y a la facturación, y entre dos y tres horas de conversación con quien conoce la operación. Ese último punto es el que más valor agrega y el que más se subestima.
Cómo se mide si valió la pena
Una auditoría se justifica sola si el gasto evitable identificado supera varias veces su costo, cosa que ocurre en la mayoría de los casos. Pero el retorno más importante suele ser otro: pasar de una infraestructura que solo una persona entiende a una infraestructura documentada, con dueños asignados y decisiones justificadas.
Eso no aparece en la factura del mes siguiente. Aparece el día que algo se cae y el equipo sabe exactamente qué mirar.
Quiero una auditoría de infraestructura
