¿Qué es una segunda opinión informática y cuándo la necesita tu empresa?

¿Qué revisa exactamente una segunda opinión informática?

Revisa lo que de verdad existe en tu empresa, no lo que dice el contrato o la factura. En el Diagnóstico IT de Firmaltus miro seis áreas:

• Seguridad y accesos. Quién puede entrar, si quedan cuentas de antiguos empleados y si se usa la doble verificación.
• Copias y recuperación. No si están configuradas, sino si de verdad podrías recuperar tus datos.
• Licencias y costes. Lo que pagas frente a lo que de verdad se usa.
• Equipos e infraestructura. Qué está viejo y qué puede tumbarlo todo si falla.
• Documentación. Si mañana se va tu proveedor, si alguien podría seguir.
• Proveedores y contratos. Renovaciones automáticas y si el dominio y las cuentas están a tu nombre.

La revisión es de solo lectura. Hablo con las personas responsables y reviso sistemas, Microsoft 365, copias, accesos, red, contratos y facturas de tecnología. No cambio nada mientras reviso.

No hace falta que sepas de tecnología. Mi trabajo es traducirla a decisiones.

¿En qué se diferencia de una auditoría de seguridad, una prueba de intrusión o una certificación?

Son trabajos distintos y conviene no mezclarlos. Cada uno responde a una pregunta diferente.

El Diagnóstico IT no es una prueba de intrusión, ni una opinión legal, ni una certificación. Si durante la revisión veo que necesitas algo así, te lo digo y te explico por qué.

¿Y si lo que te preocupa es cumplir una norma? Lo explico en ¿Te afecta NIS2 si tienes una pyme?.

¿Cuándo tiene sentido pedirla?

Hay cuatro momentos en los que una mirada externa te evita decidir a ciegas:

1. Antes de firmar un presupuesto o renovar un contrato con tu proveedor. Es cuando más margen tienes para pedir cambios.
2. Después de un susto: una caída, un correo sospechoso, un archivo perdido. Toca saber si fue mala suerte o un aviso.
3. Cuando se va (o se va a ir) la persona que lo sabía todo. Mejor revisar mientras sigue ahí.
4. Cuando el gasto en tecnología sube y nadie sabe explicar en qué.

Si no estás en ninguno de estos momentos, quizá todavía no la necesitas. Te lo diré con claridad en la primera llamada.

¿Qué preguntas debería poder responder tu empresa?

Estas son las nueve preguntas que respondo por escrito en cada diagnóstico. No necesitas conocer todas las respuestas. Necesitas saber que alguien las tiene bajo control.

Riesgo y continuidad

• Si mañana pierdes los datos de tu empresa, ¿sabes si podrás recuperarlos? Lo desarrollo en cómo comprobar tus copias de seguridad.
• Si tus sistemas dejan de funcionar, ¿cuánto tiempo puedes permitirte estar parado? Lo explico en tiempo de recuperación y datos que puedes perder.
• ¿Sabes quién tiene acceso a la información más importante de tu negocio? Empieza por los accesos que deben estar a nombre de la empresa.

Dependencias y control

• Si mañana se marcha la persona que lleva la informática, ¿quién podría hacerse cargo? Lo cuento en si se va quien lleva tu informática.
• ¿Sabes exactamente qué estás pagando a tu proveedor informático y qué está haciendo por ti? Mira cómo comprobar si tu proveedor cumple.
• Cuando algo falla, ¿hay alguien que se responsabiliza de solucionarlo o todos se pasan la pelota? Lo trato en quién responde cuando algo falla.

Tiempo y dinero

• ¿Estás pagando por herramientas, licencias o servicios que ya no necesitas? Te explico cómo detectar licencias que nadie usa.
• ¿Cuántas horas pierde tu equipo cada semana haciendo tareas que podrían automatizarse? Lo reviso en el diagnóstico, con las personas que hacen esas tareas.
• ¿Tu empresa depende de programas antiguos que nadie se atreve a tocar? Forma parte de la revisión de equipos e infraestructura.

Si estás pensando en cambiar de proveedor, antes lee qué revisar antes de cambiar.

¿Qué recibes al final?

Al final recibes un informe por escrito con pruebas, un plan priorizado, una reunión de revisión con la dirección y una llamada de seguimiento. En concreto:

• Una visión clara de tu tecnología: qué sistemas son importantes y de quién dependen.
• Riesgos respaldados por pruebas: qué problemas he identificado y por qué importan.
• Oportunidades de mejora: dónde conviene revisar costes, procesos o proveedores.
• Un plan de acción priorizado: qué corregir primero, con qué urgencia y por qué.

Puedes ver un ejemplo de informe ejecutivo en la página del Diagnóstico IT. Antes de empezar acordamos por escrito el alcance: áreas, sedes, personas y fecha de entrega.

Si tu informática está bien, también te lo digo. Con las pruebas.

¿Por qué importa que sea independiente?

Porque quien te revisa no debería ganar nada con lo que te recomienda.

No cobro comisiones de fabricantes ni de proveedores. No te vendo equipos ni licencias. Así puedo decirte que algo sobra, o que algo está bien y no hace falta tocarlo.

INCIBE recomienda hacer revisiones y auditorías de los servicios que contratas a terceros y acordar cómo actuar ante cualquier incidente con ellos. Una revisión independiente es una forma sencilla de hacerlo sin romper la relación con tu proveedor.

Después del diagnóstico, la ejecución la hace quien tú decidas: tu proveedor, otra empresa o yo. Te explico cómo trabajo, paso a paso.