Qué significa el término
Un inventario de componentes del sistema de información es la lista autoritativa de las partes que, en conjunto, forman un sistema: los servidores y estaciones de trabajo donde se ejecuta, los dispositivos de red que los conectan, los sistemas operativos y aplicaciones instalados, y el firmware que está debajo. El término viene de la gestión de configuración. En NIST SP 800-53, el catálogo de controles detrás de FISMA, FedRAMP y gran parte de la política de seguridad federal y de contratistas de EE. UU., se formaliza como el control CM-8, Information System Component Inventory. La misma idea aparece en otros lugares con otros nombres, como un inventario de activos en ISO/IEC 27001 o una lista de elementos de configuración en la gestión de configuración basada en ITIL.
Lo que define al inventario es la precisión y la vigencia, no la existencia de una lista. Una hoja de cálculo elaborada una sola vez para una auditoría y nunca actualizada no cumple el requisito. Su valor depende de que refleje el sistema tal como está hoy, incluidos los componentes que alguien agregó la semana pasada sin consultar a nadie.
Qué registra el inventario
Un inventario de componentes que cumple la intención del control va mucho más allá de una lista de nombres. Para cada componente, el registro suele incluir estos atributos:
| Atributo | Qué abarca |
|---|---|
| Identidad | Nombre de host, número de serie o etiqueta de activo, para que ningún elemento se cuente dos veces |
| Hardware | Servidores, estaciones de trabajo, laptops, dispositivos de red y periféricos, con marca y modelo |
| Software y firmware | Sistemas operativos, aplicaciones, versiones de firmware y nivel de parches |
| Responsable y ubicación | La persona o el equipo responsable y dónde está el componente |
| Función y límite | El papel del componente y el límite del sistema al que pertenece |
Por qué existe el control
Un inventario de componentes es requisito previo de casi cualquier otro control de seguridad. La gestión de vulnerabilidades no puede parchear software que no sabe que está instalado. La respuesta a incidentes no puede delimitar un compromiso si no sabe qué sistemas existen y qué ejecutan. El control de acceso no puede verificarse como completo si algunos componentes nunca fueron revisados. Cada una de estas actividades asume en silencio que el inventario está completo y es correcto.
El mismo requisito aparece en otros marcos con nombres distintos. FedRAMP hereda CM-8 directamente. PCI DSS exige un inventario de los componentes del sistema dentro del alcance de los datos de tarjetas. ISO/IEC 27001 exige un inventario de activos con responsables asignados. La redacción cambia, pero la exigencia central es la misma: saber qué se tiene antes de intentar protegerlo.
Construir y mantener el inventario
Los programas maduros combinan el registro manual con el descubrimiento automatizado y luego revisan los resultados según un calendario:
- 1
Registro manual
Los componentes se ingresan al momento de comprarse e implementarse, con un responsable asignado desde el primer día.
- 2
Descubrimiento automatizado
Agentes o escaneos de red detectan de forma continua los componentes conectados, incluidos el hardware y el software que el proceso manual no captó o que llegaron por fuera de él.
- 3
Conciliación
Los resultados del descubrimiento se comparan con el inventario registrado en un calendario definido. Todo componente visto en la red y ausente del registro se investiga, no se agrega en silencio.
- 4
Frecuencia de revisión
NIST SP 800-53 deja el intervalo exacto a cada organización, pero espera que se defina en la política y se cumpla. Los ciclos trimestrales y mensuales son comunes, según el riesgo del sistema.
Cómo se ve en Anexet
El inventario de hardware de Anexet construye este registro a partir del descubrimiento. Cada ficha de dispositivo guarda tipo, número de serie, responsable y ubicación, y la lista de aplicaciones de cada computadora muestra el inventario de software con versiones y fechas de instalación.
1 / 2
Brechas comunes y modos de fallo
La distancia entre un inventario nominal y uno confiable aparece en algunos patrones recurrentes. Un registro que solo se actualiza durante las auditorías queda obsoleto en pocas semanas. Los componentes que agregan los usuarios fuera de compras, como dispositivos personales, software no aprobado o un router de repuesto conectado a un switch, nunca entran en el registro. Ese es el problema de shadow IT y de dispositivos no autorizados que el inventario debe revelar. Los campos de responsable también caducan cuando el personal cambia de equipo, y quedan componentes listados pero sin responsable. Los inventarios que cubren solo una parte del entorno dejan el resto desprotegido en silencio y generan una falsa sensación de completitud.
La prueba de auditoría
Los auditores y los equipos de seguridad aplican la misma prueba que define el control. ¿Puede la organización presentar, cuando se le pida, una lista precisa de lo que tiene, quién es responsable de cada elemento y cuándo se verificó por última vez? La respuesta debe salir de un registro que se mantiene al día como parte de la rutina, no de la memoria ni de una suposición.
Lectura recomendada: Automatización de la seguridad de la información.
Un inventario vale lo que valga la última vez que alguien lo revisó. Mantén la lista al día y todos los demás controles tendrán una base sólida.
Anexet TeamCómo lo resuelve Anexet
El módulo Anexet Inventory construye y mantiene el inventario de componentes de forma automática, en lugar de depender del registro manual. Es precisamente en el registro manual donde los inventarios tienden a quedar desactualizados.
Como la plataforma se despliega on-premise, los registros de componentes resultantes, su historial de cambios y cada desviación detectada permanecen dentro de la propia infraestructura de la organización.
Detección continua de hardware
Los agentes detectan PC, portátiles, servidores y dispositivos conectados, incluidos monitores, unidades de almacenamiento, equipos de red y periféricos. Los registran automáticamente, de modo que el inventario refleja lo que realmente está conectado y no lo último que se anotó a mano.
Inventario de software
Para cada equipo detectado, las aplicaciones instaladas se registran con editor, versión, fecha de instalación y ubicación. El lado del software del inventario se mantiene actualizado junto al del hardware.
Configuración de referencia y detección de desviaciones
Se puede fijar una configuración base para cada equipo. Cuando se conecta un componente fuera de esa base, o desaparece uno esperado, el módulo marca la desviación y avisa al responsable de seguridad. Así se cierra la brecha donde suelen esconderse los componentes no registrados.
Campos de propiedad y ubicación
Cada ficha de componente incluye persona responsable, departamento, puesto de trabajo y estado. Los campos de identidad y propiedad que exige un inventario conforme se completan en el momento de la detección, no después.
Anexet Inventory
Saber más