La auditoría de seguridad es algo cada vez más frecuente dentro de las empresas, debido a la obligatoriedad de la realización (en algunos casos) de una auditoría bianual impuesta por la Ley Orgánica de Protección de Datos (en su Reglamento de Medidas de Seguridad).

Al margen de ello, cualquier empresa, sobre todo si está presente en Internet, debería asegurarse de que su información no pueda caer en manos de desaprensivos.

Las auditorías de seguridad se pueden clasificar primeramente en técnicas, que se centran en los riesgos existentes en los sistemas de información de la organización y en la calidad técnica de las medidas de protección introducidas (correcta configuración de los equipos, etc.), y no técnicas o procedimentales, que habitualmente estudian el cumplimiento efectivo de la Política de Seguridad de la organización y de sus procedimientos.

Nosotros nos centramos en las auditorías técnicas, dependiendo de la profundidad de los trabajos, hablaremos de auditorías de vulnerabilidades, que tratan de localizar configuraciones erróneas o relajadas en exceso y agujeros de seguridad en el software directamente explotables, habitualmente con el apoyo de herramientas que automatizan parte del trabajo, y proyectos de hacking controlado, pruebas de intrusión o auditorías a nivel de aplicación, en la que los auditores de seguridad tratan de explotar errores de programación, la arquitectura de red y las relaciones de confianza, las debilidades de los protocolos de comunicación y los controles de acceso para simular los ataques a una infraestructura de red bajo los perfiles que se consideren de interés (atacante externo con distinto nivel de calificación, usuario interno, auditor, administrador, competencia...) bajo las mismas circunstancias y capacidades (información inicial, puntos de acceso, recursos disponibles...). Por otro lado, dependiendo de la aproximación que tomemos para realizar las auditorías técnicas, hablaremos de pruebas llamadas "de caja negra", que buscan las debilidades desde el exterior de los sistemas (habitualmente realizadas de forma remota, desde Internet), y pruebas de "caja blanca", que realizan una revisión de seguridad analizando la configuración del propio sistema, con acceso al mismo. Una auditoría de seguridad de caja negra normalmente comienza con trabajos desde el exterior, para encontrar puntos débiles y ganar algún tipo de acceso a los sistemas, y una vez conseguido este acceso, examinar el sistema para escalar privilegios y tomar control sobre él. Estas pruebas desde hace tiempo se vienen realizando basándose en el estándar OSSTMM (Open Source Testing Methodology Manual) o el documento SP 800-46 del NIST (instituto de estándares americano) que contemplan las pruebas a realizar para realizar una revisión de seguridad técnica completa.

En el caso de una auditoría de caja blanca el objetivo no es lograr el acceso (la empresa lo proporciona para realizarla) sino revisar las medidas de seguridad implementadas en el sistema y su conformidad, o no, con estándares reconocidos y guías de "buenas prácticas", como por ejemplo, los trabajos del instituto de
estándares norteamericanos, NIST, el CSI, Center of Internet Security, o del SANS Institute.