El inventario de activos es uno de los primeros controles que revisa un auditor de la ISO 27001 y también uno de los que más incoherencias saca a la luz. Muchas organizaciones llegan a la auditoría con una hoja de cálculo que ya no refleja la realidad, con equipos que no están registrados, bajas sin procesar y propietarios que dejaron la empresa hace meses. Sin una lista fiable de lo que hay que proteger, el resto del sistema de gestión se sostiene sobre suposiciones.
En este artículo repasamos qué entiende la ISO 27001 por inventario de activos, qué exige la norma, qué activos y qué datos hay que recoger, y cómo construirlo y mantenerlo sin depender del trabajo manual.
¿Qué es un inventario de activos según la ISO 27001?
Un inventario de activos es el registro completo y actualizado de todo lo que tiene valor para la seguridad de la información en una organización, con un responsable asignado a cada elemento. La norma no habla solo de ordenadores o servidores. Un activo es cualquier cosa que la empresa necesita proteger porque su pérdida, robo o mal uso afectaría a la confidencialidad, la integridad o la disponibilidad de la información.
La ISO 27001 distingue dos grandes tipos:
- Activos de información: los datos en sí, con independencia del soporte. Bases de datos de clientes, contratos, código fuente, documentación técnica, propiedad intelectual.
- Activos asociados: todo lo que soporta, procesa, almacena o transmite esa información. Portátiles, móviles, servidores, aplicaciones, licencias de software, servicios en la nube e incluso las personas con acceso.
¿Por qué el inventario es la base del SGSI?
No se puede proteger lo que no se sabe que existe. Un dispositivo que no está en el inventario no se parchea, no se cifra y no se revoca cuando su usuario deja la empresa. Es exactamente el tipo de activo por el que entra un incidente.
El inventario condiciona directamente el resto del sistema de gestión de seguridad de la información (SGSI):
- Análisis de riesgos: evaluar riesgos exige conocer primero sobre qué se evalúan. Sin inventario, la evaluación se queda incompleta por definición.
- Clasificación de la información: no se puede decidir qué proteger con más rigor si antes no está identificado y catalogado.
- Control de accesos: saber quién debe acceder a qué presupone tener claro qué activos existen y quién es su responsable.
- Gestión de incidentes: ante un incidente, el inventario permite acotar el alcance y saber qué activos están implicados.
¿Qué exige la ISO 27001 sobre el inventario de activos?
El requisito está en el control 5.9 del Anexo A de la ISO/IEC 27001:2022, «Inventario de información y otros activos asociados» (equivalente al antiguo A.8.1.1 de la versión de 2013). La norma pide elaborar y mantener un inventario de los activos de información y activos asociados, incluyendo a sus propietarios.
Ese control no viaja solo. Va acompañado de otros dos que completan el ciclo de vida del activo:
- Control 5.10 (uso aceptable): definir reglas para el uso y manejo de la información y los activos asociados.
- Control 5.11 (devolución de activos): garantizar que, al finalizar la relación laboral o contractual, la persona devuelve los activos que tenía asignados.
De estos requisitos se desprenden tres condiciones que el auditor comprobará. El inventario debe ser completo, sin dejar fuera activos relevantes. Cada activo debe tener un propietario identificado. Y todo debe estar actualizado y ser coherente con lo que realmente está en uso. La ausencia de cualquiera de las tres suele traducirse en una no conformidad.
Conviene tener presente que este requisito no es exclusivo de la ISO 27001. La gestión de activos aparece también como medida mínima en la normativa NIS2 y como catálogo obligatorio en el Esquema Nacional de Seguridad, de modo que un inventario bien construido cubre varios marcos a la vez.
¿Qué activos hay que incluir en el inventario?
El error más común es limitar el inventario al hardware. La ISO 27001 abarca un espectro más amplio, porque la información se apoya en categorías muy distintas de activos:
- Hardware: portátiles, sobremesas, móviles, tablets, servidores, equipos de red y dispositivos de almacenamiento.
- Software: sistemas operativos, aplicaciones de escritorio, herramientas internas y licencias.
- Información y datos: bases de datos, ficheros, documentación, copias de seguridad y registros, con independencia de dónde residan.
- Servicios en la nube y SaaS: plataformas de correo, CRM, almacenamiento, herramientas de colaboración y cualquier servicio contratado que trate información de la empresa.
- Activos intangibles: propiedad intelectual, reputación, conocimiento y datos que no tienen un soporte físico único.
- Personas: empleados, colaboradores y proveedores con acceso a información o a otros activos, en la medida en que ese acceso hay que controlarlo.
El SaaS y los servicios en la nube merecen atención especial. Son la fuente habitual del shadow IT, con aplicaciones contratadas por un equipo sin pasar por IT que nunca llegan al inventario y quedan fuera de todo control.
¿Qué datos debe incluir cada activo del inventario?
Registrar solo el nombre del activo no basta para pasar una auditoría ni para gestionar la seguridad. Cada entrada del inventario debe recoger los datos que permiten identificarlo, ubicarlo y saber quién responde por él:
- Identificador único: un código o referencia que distinga el activo sin ambigüedad.
- Descripción y tipo: qué es y a qué categoría pertenece (hardware, software, servicio, dato).
- Propietario: la persona o rol responsable del activo y de las decisiones sobre su protección.
- Ubicación: dónde se encuentra físicamente o en qué entorno reside, en el caso de activos lógicos.
- Estado: si está activo, en reparación, en stock o dado de baja.
- Clasificación: el nivel de sensibilidad de la información que contiene o trata.
- Fechas de alta y de última revisión: para saber desde cuándo está registrado y cuándo se verificó por última vez.
¿Cómo hacer el inventario de activos paso a paso?
Construir el inventario desde cero es más llevadero si se aborda por fases en lugar de intentar catalogarlo todo de golpe. Estos seis pasos ordenan el trabajo y evitan que se quede a medias:
1. Definir el alcance
Antes de listar nada, delimita qué áreas, procesos y ubicaciones entran en el SGSI. A partir de ahí la regla es simple. Dentro del alcance, todo. Fuera, nada.
El problema aparece cuando el alcance está mal escrito. Si se queda corto, dejas activos sin registrar. Si se pasa de ancho, acabas manteniendo información que no aporta y que solo genera trabajo. Déjalo por escrito y úsalo como filtro cada vez que dudes si algo entra o no.
2. Identificar y descubrir los activos
Aquí es donde el inventario se gana o se pierde. Recorre cada categoría, hardware, software, datos, servicios y personas, y saca a la luz todo lo que exista dentro del alcance.
El shadow IT y el portátil olvidado en un cajón no aparecen preguntando, así que no lo fíes todo a la memoria de cada responsable. El descubrimiento automático es tu mejor aliado en este punto.
3. Asignar un propietario a cada activo
Ningún elemento debe quedar sin responsable. El propietario decide sobre la protección del activo y responde por él.
Cuando no tienes claro a quién asignar algo, esa duda es precisamente lo que toca resolver, no aparcar para más adelante. Un inventario con propietarios en blanco es una no conformidad esperando al auditor.
4. Clasificar cada activo
Pon a cada activo el nivel de sensibilidad que le corresponde según la información que maneja. Para eso necesitas una escala propia, y si todavía no existe, definirla es el paso previo, porque sin ella cada persona clasifica a su manera y la coherencia se pierde.
Con la escala en la mano, clasificar es rápido y te dice dónde conviene apretar y dónde no hace falta.
5. Documentar en una herramienta central
Todo lo anterior tiene que vivir en un único sitio del que puedas sacar evidencia. Una hoja de cálculo suelta se queda desfasada en semanas porque depende de que alguien la actualice a mano. Una plataforma conectada a las fuentes reales se alimenta sola. Esa diferencia no se nota en el día a día, pero sí el día de la auditoría, cuando te piden el estado actual y no una foto de hace medio año.
6. Revisar y mantener el inventario
Y llegamos al paso que casi todo el mundo descuida. Un inventario impecable el día que nace deja de valer enseguida si nadie lo mantiene vivo.
Hace falta una periodicidad de revisión y, sobre todo, un proceso que traslade altas, bajas y cambios de propietario en cuanto ocurren. La forma más fiable de conseguirlo es vincular el inventario con las altas y bajas de personal, porque así cada movimiento de la plantilla se refleja en el catálogo sin que nadie tenga que acordarse.
¿Cómo construir y mantener el inventario con Factorial IT?
Factorial IT resuelve el problema de raíz del inventario, que es la distancia entre lo que está documentado y lo que realmente está en uso. En lugar de mantener una hoja de cálculo a mano, la plataforma descubre y cataloga de forma automática los dispositivos y el software de la organización, y mantiene un inventario en tiempo real de cada activo.
Cada elemento del catálogo incluye la información que pide la ISO 27001 y que revisa el auditor:
- Propietario, estado y coste: quién responde por cada dispositivo, en qué situación está y cuánto cuesta, disponible en segundos.
- Trazabilidad de altas y bajas: cualquier cambio queda registrado, de modo que el histórico refleja la evolución real del parque.
- Ciclo de vida completo: desde la incorporación del equipo hasta su baja controlada, sin activos fuera de soporte que se pierdan del radar.
- Evidencia exportable: informes y registros que se generan solos y que sirven directamente como prueba de cumplimiento.
La diferencia de fondo está en la conexión con RRHH. Al vincular el inventario con las altas y bajas de personal, un empleado que se incorpora recibe su equipo registrado desde el primer día, y uno que se va deja el activo marcado para devolución sin pasos manuales. Ese vínculo es lo que evita que el inventario se desincronice, que es justo la causa por la que la mayoría de los inventarios fallan el día de la auditoría.
