El primer control de seguridad: saber qué tienes y quién lo mantiene

Un servidor olvidado puede seguir expuesto mucho después de terminar el proyecto que justificó su compra. Una cuenta cloud de pruebas puede conservar datos reales. Al comenzar 2025, merece la pena revisar una pregunta sencilla: si mañana aparece una vulnerabilidad importante, ¿podemos localizar todos los equipos afectados? El inventario de seguridad sirve para responder con evidencias y responsables, sin depender de la memoria de una sola persona.

Un registro que permita actuar

Una lista de nombres e IP resulta insuficiente cuando hay que decidir qué desconectar, parchear o investigar. Cada activo necesita una función, un responsable y una referencia al servicio que sostiene. También conviene registrar su exposición a Internet, el tipo de información que procesa y el estado de soporte. Estos campos convierten un hallazgo técnico en una decisión operativa.

CIS sitúa el inventario y control de activos como su primer control de seguridad. El alcance incluye equipos físicos, virtuales, remotos y cloud. La idea útil para una pyme es empezar por lo que existe realmente, aunque la documentación esté incompleta. Después se podrá mejorar la clasificación; esperar a tener una herramienta perfecta suele retrasar el descubrimiento de los puntos ciegos.

Buscar en varias fuentes

El listado de compras explica qué se adquirió, pero no garantiza qué sigue conectado. Contrasta la plataforma de gestión de dispositivos, el directorio de identidades, las consolas cloud y las concesiones de red. Añade dominios, certificados y paneles de administración contratados por departamentos. Las diferencias entre fuentes son una cola de investigación: un equipo presente en la red y ausente en gestión necesita atención.

El descubrimiento debe estar autorizado y adaptado al entorno. En equipos industriales o dispositivos antiguos, una exploración activa puede provocar problemas. Empieza por información pasiva o por las herramientas del fabricante cuando exista esa sensibilidad. Registra de dónde procede cada dato y cuándo se comprobó; una IP reutilizada no demuestra que siga siendo el mismo equipo que aparecía en el informe anterior.

Asignar propiedad antes de exigir correcciones

Cuando nadie reconoce un sistema, enviarlo a un buzón genérico no resuelve el problema. Define quién investiga los activos sin dueño y en qué plazo debe decidirse su destino. El responsable de negocio explica la necesidad del servicio; el responsable técnico identifica dependencias y propone el tratamiento. Ambos papeles pueden recaer en la misma persona, pero deben quedar explícitos.

• Prioriza activos accesibles desde Internet, cuentas privilegiadas y repositorios con datos sensibles.
• Comprueba si tienen soporte, actualizaciones, protección y registros de seguridad disponibles.
• Asigna una fecha de revisión a cada excepción y documenta quién acepta mantenerla.
• Retira un activo solo después de verificar dependencias, conservación de datos y posibilidad de recuperación.

Incluir lo que no tiene una etiqueta física

Las identidades de servicio, las claves de integración y los recursos temporales también forman parte de la superficie que proteger. Un contenedor puede durar minutos y usar una credencial válida durante años. El inventario debería relacionar ese acceso con su propietario, su finalidad y su alcance. No almacenes el secreto dentro de la ficha; guarda una referencia al sistema que lo custodia.

Un ejemplo práctico es una integración creada para un piloto. El proyecto termina, se apaga la máquina, pero permanecen una aplicación autorizada y un token con permisos de lectura. El cierre correcto incluye revisar esas dependencias, revocar lo que ya no se utiliza y dejar evidencia. Así, el inventario acompaña el ciclo de vida completo y no termina en la recepción del equipo.

Mantenerlo como parte del trabajo diario

Añade la actualización del inventario a las altas, cambios y bajas existentes. Cuando se publique un servicio, debe conocerse su propietario antes de abrirlo al exterior. Cuando un empleado salga, hay que recuperar equipos y revisar accesos asociados. Una conciliación periódica permite detectar las excepciones que escapan a esos procesos, especialmente cuando aparecen herramientas contratadas directamente por diferentes áreas.

Medir cobertura con honestidad

Contar activos registrados puede premiar un inventario grande y desactualizado. Resulta más útil medir cuántos recursos detectados carecen de responsable, cuántos no tienen soporte y cuánto tarda en resolverse una discrepancia. Diferencia además la cobertura de descubrimiento de la cobertura de protección: conocer un equipo no significa que esté correctamente protegido. Un primer resultado valioso es poder responder, con fecha y evidencia, qué activos críticos siguen pendientes.