Activo de información

Un activo de información es cualquier dato, recurso o componente de un entorno digital que tiene un valor significativo para una organización, sea ese valor financiero, estratégico, operativo o reputacional.

Los activos pueden ser tangibles, como archivos, bases de datos, hardware y software, o intangibles, como la propiedad intelectual, los secretos comerciales, la información confidencial de clientes o la estrategia comercial.

Están expuestos a un abanico de amenazas, del ataque y el robo de datos al acceso no autorizado, la pérdida accidental y el desastre físico, y por eso identificarlos, evaluarlos y clasificarlos es el cimiento de la gestión de la seguridad de la información, y no un paso previo a ella.

Un ejemplo

En una empresa de servicios financieros, los activos de información podrían incluir las bases de datos de clientes, los números de tarjeta, los registros de transacciones, el propio software de gestión financiera y las políticas de seguridad que gobiernan todo eso.

El robo de esa información tendría consecuencias para la reputación y para la continuidad del negocio, y por eso el cifrado, la autenticación multifactor y el control de acceso se aplican específicamente sobre ella, en vez de aplicarse de manera uniforme.

Esa última palabra es la clave. Poner la misma protección en todas partes cuesta más y protege menos que poner la protección adecuada donde está el valor, y no puedes hacer lo segundo sin saber qué tienes.

El activo y el inventario

Esta ficha define qué es un activo. El inventario de activos es la lista donde están apuntados, y tener activos no es lo mismo que tenerlos inventariados.

La frase útil del inventario es que no se puede defender lo que no está en la lista: el alcance de una auditoría, el parcheo, la monitorización y la respuesta a incidentes se resuelven todos contra ella.

Y lo que se encuentra al medirlo: casi ninguna organización tiene una lista, tiene varias que no coinciden. La hoja de cálculo de la última auditoría, la consola del proveedor de cloud, la del agente del endpoint, el directorio y la factura. Cada una es completa en su dominio y ciega fuera de él, y los huecos entre ellas son justo donde vive el shadow IT y donde están las cosas sin parchear.

Lo que hace que un inventario sirva para seguridad no es cuántos campos tiene. Es que cada entrada tenga un dueño con nombre y una fecha en la que algo automático la confirmó. Lo que solo actualiza una persona envejece desde el primer día.

La clasificación es el paso siguiente: no todos los activos valen lo mismo, y esa diferencia es la que decide qué se protege primero.

El activo es también la unidad con la que se mide el riesgo. Un análisis de riesgos empieza identificándolos, y un modelo de riesgo empieza definiendo cuáles cuentan.

Dónde leer más

ISO/IEC 27001: la norma para un sistema de gestión de la seguridad de la información, en la que la identificación y la clasificación de activos son requisitos explícitos.

La guía del NIST sobre categorización de la información y de los sistemas de información, que es el enfoque equivalente en el marco federal de EE. UU.