Qué cuenta como activo
Un activo es cualquier cosa cuya pérdida, daño o compromiso perjudicaría a la organización. La definición va más allá de las computadoras: una base de datos de clientes, una clave de firma o una cuenta de administrador pueden ser activos, y cada uno necesita un responsable designado. La gestión de activos de TI parte de esta lista.
Lo difícil es el límite. Algo entra en el registro cuando la organización es responsable de ello, así que una cuenta personal en la nube usada para archivos de clientes queda fuera hasta que alguien la incorpore. Los datos que guarda un activo determinan cuánta protección necesita, por eso cada registro debe incluir la clasificación de datos de lo que almacena.
Cinco grupos de activos
La mayoría de los registros combina cinco grupos:
| Grupo | Ejemplos |
|---|---|
| Hardware | Estaciones de trabajo, laptops, servidores, equipos de red e impresión, dispositivos móviles |
| Software | Sistemas operativos, aplicaciones de negocio, herramientas de desarrollo y sus licencias |
| Datos e información | Bases de datos, repositorios de documentos, credenciales, claves criptográficas |
| Personas | Empleados y contratistas, con sus habilidades y derechos de acceso |
| Servicios e instalaciones | Servicios en la nube, oficinas, energía y conectividad |
Activos tangibles e intangibles
La división más común es por forma física. Los activos tangibles, como computadoras, dispositivos, cables, racks y medios impresos, tienen número de serie, se pueden etiquetar y su desaparición se nota en una auditoría.
Los activos intangibles, como licencias, datos, propiedad intelectual y reputación, no tienen forma física. Se siguen mediante registros, claves de licencia y etiquetas de clasificación, y son más fáciles de copiar sin que se note que de perder. El software y sus licencias son una disciplina propia, cubierta por la gestión de activos de software.
Los activos también se clasifican por criticidad: críticos para la misión, importantes o de soporte. El presupuesto de protección es finito, así que el registro muestra qué activos justifican los controles más fuertes.
El ciclo de vida del activo
Los activos se gestionan a lo largo de un ciclo de vida, no como registros estáticos. Un modelo típico tiene cinco etapas:
- 1
Planificación y compra
Define lo que necesita la organización, compra o arrienda el activo y regístralo.
- 2
Despliegue
Pon en servicio el activo y asigna responsable, estado y ubicación. En computadoras, fija una configuración de referencia.
- 3
Operación
Sigue el uso, el monitoreo, el mantenimiento y las actualizaciones. En software, controla versiones y cobertura de licencias.
- 4
Cambios
Registra traslados entre puestos y departamentos, reasignaciones y cambios de estado, como en uso o dado de baja.
- 5
Baja
Retira el activo, borra sus datos de forma segura y dalo de baja. El registro se cierra sin perder su historial.
Cómo se ve el inventario en Anexet
El módulo de inventario de TI mantiene una ficha por cada computadora con su estado, responsable, organización, departamento y puesto de trabajo. Cada cambio en la ficha queda en el registro de auditoría, así el inventario se puede verificar después.
Responsabilidad y control
Varios controles convierten una lista de objetos en una base de activos gobernada. En entornos grandes, el registro crece hasta convertirse en una base de datos de gestión de configuración (CMDB), que también registra cómo dependen los activos entre sí. Tres roles mantienen el registro exacto:
| Rol | Responsabilidad | Acceso |
|---|---|---|
| Dueño del activoJefe de la unidad de negocio | Responde por el estado, el uso y la seguridad del activo | Aprueba traslados y bajas |
| Custodio del activoAdministrador de TI | Mantiene el registro al día y la configuración del equipo | Edita la ficha de inventario |
| Responsable de seguridadEquipo de seguridad | Actúa sobre las alertas de desviación respecto a la configuración base | Lee las alertas y el registro de auditoría |
Errores comunes
El registro falla de formas previsibles. La mayoría de los huecos vienen del shadow IT, es decir, herramientas que funcionan bien y nunca se registran. Otros tres errores se repiten:
Un activo que no está en el registro no puede parchearse, monitorearse ni cubrirse con la respuesta a incidentes.
- Cargar los activos a mano una sola vez y no actualizarlos, de modo que el registro se aleja de la realidad tras la primera reorganización.
- Tratar el descubrimiento como una auditoría puntual. Un dispositivo no autorizado que se conecta después de la auditoría queda invisible hasta la siguiente.
- Borrar el registro al dar de baja en lugar de cerrarlo, lo que elimina el historial que necesita la auditoría.
Por dónde empezar
Empieza por los activos cuya pérdida dañaría más y luego añade a cada uno responsable, ubicación y estado. El descubrimiento automático mantiene la lista al día entre revisiones, y las personas que usan el equipo corrigen los detalles que conocen.
Revisa el registro según un calendario, no solo después de un incidente, porque solo sirve mientras coincide con el entorno real.
Lectura recomendada: Seguridad de la información: definición, requisitos, modelos y etapas.
Un activo que no se ve no se puede proteger.
Anexet TeamCómo lo resuelve Anexet
Anexet aborda los activos como algo que debe contabilizarse automáticamente y no teclearse a mano. Su módulo Inventory construye la base de activos a partir de los datos recopilados por los agentes de los endpoints, de modo que los registros de hardware y software aparecen y se mantienen vigentes sin introducción manual de datos:
Como la plataforma se despliega on-premise, el registro de activos, su historial de auditoría y los datos de configuración recopilados permanecen dentro de la infraestructura propia de la organización.
Computadoras y dispositivos
los agentes descubren estaciones de trabajo, PC, portátiles, servidores, y sus componentes, y un asistente de importación transfiere el hardware descubierto al inventario. Cada ficha contiene estado (en uso, sin uso, en servicio, para baja), responsable, departamento y puesto. Se admiten unos veinte tipos de dispositivos, desde monitores y discos hasta equipos de red e impresoras, y varios componentes pueden unirse en un dispositivo compuesto con un número de inventario compartido.
Inventario de software
para cada computadora, el módulo registra las aplicaciones instaladas con fabricante, fecha de instalación, tamaño, versión y ubicación, los datos necesarios para el control de licencias y actualizaciones.
Detección de desviaciones
para cada computadora puede fijarse una configuración de referencia; cuando se conecta un dispositivo ajeno a la configuración, o un dispositivo configurado no aparece entre los conectados, el módulo marca la desviación y notifica al responsable de seguridad en tiempo real.
Mapa de oficinas
puede cargarse un plano y situar en él los equipos, de modo que las computadoras, sus usuarios activos y los indicadores de desviación sean visibles en sus ubicaciones físicas.
Gestor de dispositivos
una herramienta dedicada vincula los dispositivos a las fichas de computadoras y gestiona la composición de las configuraciones.
Pista de auditoría y exportación
cada operación, alta, eliminación, traslado, configuración, cambio de estado o propietario, queda en el registro de auditoría; las listas de computadoras, de dispositivos y el mapa de oficinas pueden exportarse a xlsx o pdf.
Anexet Inventory
Saber más