Gestión de dispositivos y activos
Casi todos los incidentes de seguridad graves que he presenciado se remontan, en algún momento, a un activo cuya existencia nadie conocía: un servidor olvidado que aún ejecuta un sistema operativo obsoleto, un ordenador portátil que salió del edificio y nunca se dio de baja, un programa de «TI en la sombra» al que un empleado se suscribió con un correo electrónico de la empresa. La gestión de activos puede parecer aburrida en comparación con la detección de amenazas o la respuesta a incidentes, pero es la base sobre la que se sustenta todo lo demás. No se puede aplicar un parche, supervisar ni proteger un sistema cuya existencia se desconoce.
Si se lleva a cabo correctamente, la gestión de activos es un inventario preciso y actualizado de todos los dispositivos y programas de software que forman parte de su entorno —no una hoja de cálculo de hace dieciocho meses, sino algo que refleje la realidad actual—, incluyendo el ordenador portátil que alguien compró con su tarjeta personal y la herramienta SaaS a la que un equipo se suscribió sin consultar a nadie.
Donde suele fallar esto
A la mayoría de las organizaciones no les faltan herramientas de inventario, sino un proceso que garantice la veracidad del mismo. Los nuevos activos se añaden rápidamente (adquisiciones, BYOD, TI en la sombra) y se retiran lentamente, si es que llegan a hacerlo. La responsabilidad de «¿a quién le corresponde mantener esto actualizado?» suele recaer en nadie, lo que significa que el inventario se deteriora en el momento en que la persona que lo creó originalmente pasa a otro proyecto.
Cómo lo abordaría yo
Yo empezaría por determinar cómo es realmente una referencia completa y precisa para su entorno —hardware, software, recursos en la nube y cualquier elemento con acceso a la red—, cotejándola con lo que sus herramientas actuales creen saber, ya que la brecha entre ambos suele ser donde reside el riesgo. A partir de ahí, se trata de crear un proceso, no solo un recuento puntual: una responsabilidad clara para mantener el inventario actualizado, criterios de ciclo de vida para la incorporación y la retirada de activos, y detección automatizada siempre que sea viable, para que el inventario no quede obsoleto como ocurrió con el anterior. Yo también vincularía el inventario directamente con sus tareas de aplicación de parches, gestión de vulnerabilidades y cumplimiento normativo, ya que un inventario de activos que no alimente esos procesos no es más que un documento.
Si realmente desconoce qué dispositivos están conectados a su red en este momento —y la mayoría de las organizaciones no lo saben con total certeza—, Contacte conmigo y elaboremos juntos un inventario en el que pueda confiar plenamente.