En la entrada anterior planteé que la gestión de activos de TI comienza por conocer y verificar qué existe en el entorno tecnológico. Los capítulos 3 y 7 de Rethinking Information Technology Asset Management, de Jeremy L. Boerger, llevan esta idea un paso más allá: descubrir activos no es suficiente si no existe un equipo, reglas y procesos que mantengan esa información útil con el tiempo.
El capítulo 3 se enfoca en el descubrimiento y la validación. Su idea principal es que no debemos dar por cierto un registro solo porque aparece en una herramienta o en una hoja de inventario. Boerger propone contrastar tres fuentes de evidencia: inventario electrónico, inspección visual y documentación de respaldo. Al comparar estas fuentes, podemos identificar coincidencias, pero también discrepancias que requieren investigación. Un activo visible para una herramienta de seguridad, pero ausente del inventario oficial, puede ser un equipo no registrado, un activo retirado de manera incorrecta, una falla en el proceso de alta o incluso un falso positivo. En todos los casos, representa información que no debemos ignorar.
Esta postura resulta especialmente relevante para ciberseguridad. Si no conocemos un activo, difícilmente podremos confirmar si tiene una versión de sistema operativo soportada, configuraciones de endurecimiento aplicadas, parches vigentes o monitoreo de seguridad. La visibilidad debe entenderse como una capacidad de control: nos permite identificar la superficie tecnológica que debe ser protegida y relacionar cada activo con el servicio o ecosistema que soporta.
He podido observar esta relación en una organización donde fui responsable de equipos de comunicación. El reto no consistía únicamente en inventariar cientos de dispositivos de red, sino en conservar una relación útil entre cada equipo y el ecosistema al que prestaba servicio. Establecimos una política para que todo dispositivo fuera registrado antes de entrar a producción. El registro incluía información estructurada: nombre homologado, tipo de dispositivo, número de serie, marca, modelo, ubicación física, dirección IP, versión de sistema operativo, ecosistema atendido y responsable del activo. También se mantuvieron respaldos de configuración.
Este esquema convirtió el inventario en una herramienta operativa. Ante una falla, podíamos identificar con mayor rapidez qué ecosistema podía verse afectado, qué equipo era responsable de un punto de conexión y quién debía participar en la atención. A la vez, disponer de versiones de sistema operativo y configuraciones respaldadas facilitó la integración con sistemas de ciberseguridad y la automatización de validaciones de cumplimiento, incluido el hardening de los dispositivos.
Aquí es donde el capítulo 7 complementa al capítulo 3. Para Boerger, un programa de gestión de activos sostenible necesita una infraestructura organizacional: personas con responsabilidades definidas, capacitación, políticas, estándares y procedimientos. Una herramienta puede descubrir dispositivos, pero no puede decidir por sí sola si un registro es confiable, si un activo debe entrar a producción o si una discrepancia representa un riesgo. Esas decisiones requieren roles claros y una forma acordada de trabajar.
La diferencia entre política, estándar y procedimiento ayuda a aterrizar esta idea. Una política define la regla y el objetivo; por ejemplo, que ningún equipo debe entrar a producción sin estar registrado. Un estándar establece cómo se medirá el cumplimiento, como exigir campos obligatorios y una identidad única. Un procedimiento describe los pasos: quién registra el equipo, quién revisa la información, cómo se incorpora el respaldo de configuración y qué sucede si falta algún dato. Esta estructura reduce ambigüedades y evita que el control dependa solo de la memoria o buena voluntad de una persona.
La lección práctica de ambos capítulos es clara: necesitamos combinar descubrimiento técnico y gobierno de datos. Las herramientas de inventario, monitoreo y seguridad producen evidencia; las políticas y procedimientos determinan cómo se valida, utiliza y mantiene esa evidencia. Cuando estas partes trabajan juntas, se reducen los activos no registrados, se acelera el análisis de impacto, se detectan configuraciones fuera de estándar y se facilitan las auditorías.
La gestión de activos, por tanto, no debe quedarse en contar dispositivos. Su verdadero valor aparece cuando convierte datos técnicos en decisiones confiables para la operación y la ciberseguridad. En las siguientes entradas profundizaré en otros elementos del ciclo de vida de los activos y en los controles que permiten conservar esta visibilidad a largo plazo.
Referencias
Boerger, J. L. (2021). Rethinking information technology asset management. Business Expert Press.