Qué es la gestión de activos y por qué nada funciona sin ella

La gestión de activos es el proceso de identificar y mantener actualizado qué compone el entorno tecnológico de la empresa: equipos, servidores, aplicaciones, servicios en la nube, cuentas con privilegios, datos y los proveedores que tocan cualquiera de esas cosas.

Suena administrativo y por eso se salta. Pero es el paso del que dependen todos los demás: no se puede evaluar un riesgo sobre un sistema que nadie tenía identificado, ni parchar un servidor que no está en la lista, ni responder qué datos se comprometieron en un incidente si nunca se supo qué había ahí.

Qué cuenta como activo

La respuesta corta: todo lo que, si falla o queda expuesto, afecta la operación o la información. En la práctica el inventario cubre cuatro capas.

Equipos y servidores

Notebooks, escritorios, servidores propios y máquinas virtuales, con quién los usa y qué sistema operativo corren. Es la capa que la gente asume cuando escucha inventario, y es solo la primera.

Aplicaciones y servicios

El ERP, el CRM, el correo, las herramientas de nube, el sitio web. Incluye lo que alguien contrató por su cuenta con la tarjeta de la empresa, que casi nunca está registrado.

Datos

Qué información existe, de qué tipo, dónde vive y quién puede verla. Es la capa que la Ley 21.719 vuelve obligatoria, porque sin ella no hay forma de acreditar el tratamiento de datos personales.

Accesos y proveedores

Cuentas con privilegios, credenciales compartidas, y qué terceros tienen acceso a qué. Esta capa es la que más sorprende: suele aparecer gente que ya no trabaja en la empresa con accesos vigentes.

Por dónde se empieza

No con una herramienta. Se empieza con una planilla y tres preguntas por cada elemento: qué es, quién lo administra y qué pasa si se cae o se filtra. Esa tercera pregunta es la que convierte un listado en algo útil, porque introduce la criticidad.

El orden que rinde es de afuera hacia adentro: primero lo que está expuesto a internet, después lo que sostiene la operación diaria, después el resto. Intentar levantar todo con el mismo detalle desde el principio es la forma más común de abandonar el ejercicio a mitad de camino.

Un inventario razonable de una mediana empresa toma entre una y tres semanas de trabajo intermitente. Lo difícil no es armarlo: es mantenerlo. Por eso conviene atarlo a procesos que ya existen — cuando entra o sale una persona, cuando se contrata un servicio, cuando se da de baja un equipo.

Lo que aparece cuando se hace

El inventario casi siempre revela cosas que nadie sabía que seguían ahí: un servidor de un proyecto terminado, un servicio en la nube que sigue facturando, accesos de un proveedor con el que se dejó de trabajar, una base de datos con información de clientes en el equipo de alguien.

Esos hallazgos suelen ser los de mayor riesgo del diagnóstico, y también los más baratos de resolver. Apagar un servidor olvidado o revocar un acceso no cuesta nada; el problema era no saber que existían.

Cómo se conecta con la norma chilena

La Ley 21.719 exige poder acreditar qué datos personales se tratan, con qué finalidad y con qué medidas de seguridad. Sin inventario de datos esa acreditación no existe, y la carga de la prueba recae sobre la empresa.

Por el lado de la Ley 21.663, los plazos de reporte obligan a dimensionar rápido qué sistemas y qué información quedaron afectados. Con el inventario listo esa respuesta toma minutos; sin él, la empresa gasta en averiguarlo justo las horas que el plazo no le da.

Preguntas frecuentes

¿Necesito una herramienta para llevarlo?

Al principio no. Una planilla bien mantenida supera a una herramienta que nadie actualiza. Las herramientas ayudan cuando el volumen crece o cuando se quiere descubrimiento automático, pero comprarlas antes de tener el proceso es una forma habitual de gastar sin resolver.

¿Cada cuánto hay que revisarlo?

Idealmente se actualiza de forma continua, atado a los procesos de alta y baja. Además conviene una revisión completa trimestral o semestral para detectar lo que se escapó, que siempre es algo.

¿Incluye los equipos personales que la gente usa para trabajar?

Si acceden a información de la empresa, sí. Es una de las zonas grises más comunes y una de las que más expone: un notebook personal con el correo corporativo configurado es un activo, aunque la empresa no lo haya comprado.