Qué se revisa en un conmutador y cómo se pide

Cuando se revisa un equipo de red se mira siempre lo mismo, en este orden: cómo se segmenta (VLAN y troncales), cómo se controla quién se conecta a un puerto (802.1X y seguridad de puertos), cómo se administra el equipo (SSH, Telnet, SNMP y AAA), qué cuentas locales quedan y cómo se respalda la configuración. Cada área es una lista de líneas de la configuración que se comparan con una referencia, y no con una impresión.

El método de esta revisión es de solo lectura: el administrador del cliente exporta la configuración y la entrega. El auditor no entra al equipo, no prueba contraseñas y no cambia nada. Eso no es una cortesía: es lo que la carta autoriza, y lo que permite que la evidencia se repita igual en otra mano.

La cláusula de método y alcance responde cuatro preguntas: quién autorizó, cómo se obtiene la evidencia, de qué fecha deben ser las exportaciones y qué equipo queda fuera. Se lee primero, igual que la carta de una captura de tráfico: sin ella una configuración leída es una configuración que no se debió leer.

Un equipo excluido suele serlo porque lo administra un tercero, y el cliente no puede autorizar lo que no es suyo. Si su configuración llegó en el paquete, no se analiza.

Abre el laboratorio y lee la carta.

Una configuración exportada es una fotografía. Si es de hace dos meses, muestra cómo estaba el equipo, no cómo está: puede haber cambiado en cualquiera de las dos direcciones. Por eso la carta fija un corte y por eso, antes de sacar un hallazgo, se compara la fecha de cada exportación con el corte.

Busca los equipos en alcance cuya exportación es anterior al corte.

El número de equipos revisados abre el informe y fija el denominador de todo lo demás: «dos de cinco tienen Telnet» dice algo; «dos de seis» dice otra cosa. El número sale de la columna de alcance de la carta, no del inventario completo que tenga el cliente.

Cuenta los equipos que la carta deja dentro.

No se puede dar un hallazgo firme sobre una configuración que quizá ya no existe. Tampoco se descarta el equipo: está en alcance y hay que revisarlo. Lo que se hace es pedir una exportación nueva, dejar escrito qué se pidió y, mientras llega, no afirmar nada de ese equipo.