Inventario de activos (Asset inventory)
Un inventario de activos es la lista canónica y al día de los sistemas, servicios, cuentas y datos que posee una organización. En seguridad es el control del que dependen todos los demás, porque el alcance, el parcheo, la monitorización y la respuesta a incidentes se resuelven contra él: no se puede defender lo que no está en la lista.
Las dos palabras que hacen el trabajo son canónica y al día. La mayoría de las organizaciones tiene varias listas parciales que se contradicen entre sí: una hoja de cálculo de la última auditoría, la consola del proveedor cloud, la del agente de endpoint, el directorio y el informe de facturación. Cada una es completa en su propio dominio y ciega fuera de él, y los huecos que quedan entre ellas son exactamente donde viven el shadow IT y los equipos olvidados.
Lo que hace que un inventario sirva para seguridad no es el número de campos, sino la propiedad y la frescura. Cada entrada necesita un responsable con nombre y apellidos, una criticidad para el negocio, un estado de exposición y una fecha en la que algo automático la confirmó por última vez. Las entradas que solo actualiza una persona se degradan de inmediato.
El inventario es también lo primero que queda desmentido en un encargo. Es rutinario que el descubrimiento externo devuelva equipos que no figuran en ninguna lista, y que esos equipos sean los más débiles, precisamente porque nada de lo que se ejecuta contra el inventario los ha tocado nunca. Esa contradicción es el hallazgo, y se escribe contra el proceso y no contra el equipo. Lo que la cierra es devolver al registro los resultados del attack surface management, y reconstruir un registro defendible es tarea fija en el trabajo de due diligence donde el inventario es lo primero que reconstruimos.