La gestión de activos es el proceso de identificar y mantener actualizado qué compone el entorno tecnológico de la empresa: equipos, servidores, aplicaciones, servicios en la nube, cuentas con privilegios, datos y los proveedores que tocan cualquiera de esas cosas.
Suena administrativo y por eso se salta. Pero es el paso del que dependen todos los demás: no se puede evaluar un riesgo sobre un sistema que nadie tenía identificado, ni parchar un servidor que no está en la lista, ni responder qué datos se comprometieron en un incidente si nunca se supo qué había ahí.
Qué cuenta como activo
La respuesta corta: todo lo que, si falla o queda expuesto, afecta la operación o la información. En la práctica el inventario cubre cuatro capas.
- Equipos y servidores
- Notebooks, escritorios, servidores propios y máquinas virtuales, con quién los usa y qué sistema operativo corren. Es la capa que la gente asume cuando escucha inventario, y es solo la primera.
- Aplicaciones y servicios
- El ERP, el CRM, el correo, las herramientas de nube, el sitio web. Incluye lo que alguien contrató por su cuenta con la tarjeta de la empresa, que casi nunca está registrado.
- Datos
- Qué información existe, de qué tipo, dónde vive y quién puede verla. Es la capa que la Ley 21.719 vuelve obligatoria, porque sin ella no hay forma de acreditar el tratamiento de datos personales.
- Accesos y proveedores
- Cuentas con privilegios, credenciales compartidas, y qué terceros tienen acceso a qué. Esta capa es la que más sorprende: suele aparecer gente que ya no trabaja en la empresa con accesos vigentes.
Por dónde se empieza
No con una herramienta. Se empieza con una planilla y tres preguntas por cada elemento: qué es, quién lo administra y qué pasa si se cae o se filtra. Esa tercera pregunta es la que convierte un listado en algo útil, porque introduce la criticidad.
El orden que rinde es de afuera hacia adentro: primero lo que está expuesto a internet, después lo que sostiene la operación diaria, después el resto. Intentar levantar todo con el mismo detalle desde el principio es la forma más común de abandonar el ejercicio a mitad de camino.
Un inventario razonable de una mediana empresa toma entre una y tres semanas de trabajo intermitente. Lo difícil no es armarlo: es mantenerlo. Por eso conviene atarlo a procesos que ya existen — cuando entra o sale una persona, cuando se contrata un servicio, cuando se da de baja un equipo.
Lo que aparece cuando se hace
El inventario casi siempre revela cosas que nadie sabía que seguían ahí: un servidor de un proyecto terminado, un servicio en la nube que sigue facturando, accesos de un proveedor con el que se dejó de trabajar, una base de datos con información de clientes en el equipo de alguien.
Esos hallazgos suelen ser los de mayor riesgo del diagnóstico, y también los más baratos de resolver. Apagar un servidor olvidado o revocar un acceso no cuesta nada; el problema era no saber que existían.
Cómo se conecta con la norma chilena
La Ley 21.719 exige poder acreditar qué datos personales se tratan, con qué finalidad y con qué medidas de seguridad. Sin inventario de datos esa acreditación no existe, y la carga de la prueba recae sobre la empresa.
Por el lado de la Ley 21.663, los plazos de reporte obligan a dimensionar rápido qué sistemas y qué información quedaron afectados. Con el inventario listo esa respuesta toma minutos; sin él, la empresa gasta en averiguarlo justo las horas que el plazo no le da.
Dónde suele aparecer primero
Un caso que se repite
Una empresa recibe un cuestionario de seguridad y una de las preguntas es cuántos proveedores tienen acceso a sus sistemas.
Nadie tiene el dato. Al levantarlo aparecen once, no los cuatro que la gerencia estimaba, y dos de ellos son de contratos terminados hace más de un año.
La empresa no tenía un problema de seguridad más grave que otras. Tenía un problema de visibilidad, y ese es el que hacía imposible responder la pregunta y, sobre todo, cerrar los dos accesos que sobraban.
Lo que la gerencia tiene que decidir
El inventario se levanta con trabajo técnico, pero se mantiene con decisiones de gestión. Estas cuatro definen si sobrevive al primer trimestre.
- 01
¿Quién es el dueño del inventario?
Necesita un responsable único de que esté actualizado. Repartido entre varias áreas, cada una asume que la otra lo mantiene y en tres meses ya no refleja la realidad.
- 02
¿A qué procesos se ata su actualización?
Ingreso y salida de personal, contratación de servicios, baja de equipos. Si actualizar el inventario es una tarea aparte, no ocurre; si está dentro de procesos que ya se ejecutan, se sostiene.
- 03
¿Qué se hace con lo que aparezca de más?
Van a surgir sistemas y accesos que nadie reconoce. Definir de antemano quién autoriza apagarlos evita que queden ahí por si acaso, que es como se quedan para siempre.
- 04
¿Quién decide la criticidad de cada activo?
Cuánto duele que un sistema se caiga lo sabe el negocio, no el área técnica. Sin esa clasificación el inventario es una lista larga sin orden de prioridad.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
El inventario de activos es el primer componente de la Evaluación Integral Brumaz, y es lo que después alimenta el dashboard: sin esa base, los riesgos y las vulnerabilidades no se pueden priorizar por impacto real. Su mantención queda dentro del seguimiento mensual.
Ver la Evaluación Integral BrumazRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Necesito una herramienta para llevarlo?
¿Cada cuánto hay que revisarlo?
¿Incluye los equipos personales que la gente usa para trabajar?
Fuentes
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo
- RiesgoQué es la gestión de riesgos y cómo se decide qué va primero
- RiesgoQué es el riesgo de terceros y por qué te alcanza aunque no seas el objetivo
- RiesgoPriorización de vulnerabilidades: qué son CVE, CVSS, EPSS, KEV y SSVC
- BlogEl 55% de los ataques en Chile se origina en una brecha de seguridad ya conocida: qué hacer primero