Qué es una auditoría técnica de software y cuándo pedirla
Qué revisa una auditoría técnica de código, en qué situaciones merece la pena encargarla y qué informe deberías tener en la mano cuando termina.
Una auditoría técnica es una revisión independiente de una aplicación: cómo está construida, qué riesgos tiene y qué costará mantenerla. No arregla nada por sí misma. Sirve para decidir con información en lugar de con intuiciones.
Cuándo merece la pena una auditoría técnica
- Vas a comprar una empresa o entrar en ella, y parte de su valor es su software
- Has heredado una aplicación y necesitas saber qué tienes
- El proveedor actual dice que todo va bien y los fallos dicen otra cosa
- Estás pensando en rehacer una aplicación y quieres saber si hace falta
- Cada cambio pequeño cuesta cada vez más y nadie explica por qué
- Vas a tratar datos sensibles y quieres saber si están protegidos
Qué revisa una auditoría de código
- Seguridad: accesos, contraseñas, datos personales y dependencias con vulnerabilidades conocidas
- Mantenibilidad: si el código se puede entender y cambiar sin romper otras partes
- Dependencias: qué librerías usa, si siguen teniendo soporte y cuánto se han quedado atrás
- Infraestructura: cómo se despliega y si hay copias de seguridad que funcionen
- Rendimiento: dónde se atasca y por qué
- Pruebas: si existen, y si alguien se enteraría de que algo se ha roto
Qué deberías recibir al terminar la auditoría
Un buen informe de auditoría se entiende sin ser técnico. No es una lista interminable de avisos sacados de una herramienta automática: es una lista de riesgos ordenada por gravedad, con lo que significa cada uno para el negocio.
- Qué es urgente, qué es importante y qué puede esperar
- Qué pasa si no se hace nada con cada punto
- Una recomendación clara: mantener, arreglar por partes o rehacer
- Lo que está bien, que también es información útil
Auditoría y conflicto de intereses
Si quien audita es quien luego va a cobrar por arreglarlo, tiene un incentivo para encontrar problemas. No invalida la auditoría, pero conviene saberlo y pedir que cada hallazgo venga con su explicación y su prueba, para que cualquier otro técnico pueda comprobarlo.
Una auditoría no tiene que darte miedo. Tiene que decirte por dónde empezar.