Del inventario al riesgo, ¿realmente sabemos qué estamos protegiendo?
Durante las primeras tres semanas del curso de Configuración de Activos y Gestión de la Vulnerabilidad, hemos tenido la oportunidad de reflexionar sobre un aspecto de la ciberseguridad: conocer realmente los activos tecnológicos que se poseen, comprender su valor y determinar los riesgos que representan para el negocio.
Al comenzar el módulo 1, la gestión de activos parecía más una actividad principalmente administrativa. Sin embargo, el inventario es mucho más que una lista de computadoras, servidores o aplicaciones. Es una fuente de información indispensable para tomar decisiones sobre seguridad, continuidad operativa, inversiones tecnológicas y gestión de vulnerabilidades.
Semana 1.
Uno de los aprendizajes clave de la primer semana fue entender que no basta con registrar los activos; también debemos conocer cómo se relacionan entre sí y qué procesos de negocio dependen de ellos.
“Assets Key” flickr photo by CreditDebitPro https://www.flickr.com/photos/157270154@N05/ shared under a Creative Commons (BY-NC-SA) license
Las lecturas y las propuestas de Jeremy Boerger (2021) me permitieron reconocer que una organización puede contar con numerosas herramientas tecnológicas y, aun así, desconocer aspectos fundamentales de su infraestructura. Existe la necesidad de cuestionar la información que consideramos confiable. Su metodología “Pragmatic ITAM” propone verificar los datos y no asumir que un registro es correcto simplemente porque aparece en una base de datos.
Esto me llevó a una pregunta que considero importante para cualquier profesional de TI: ¿qué tan confiables son realmente los inventarios sobre los que tomamos nuestras decisiones?.
Semana 2.
Durante la segunda semana profundizamos en esta idea al revisar los mecanismos de descubrimiento y validación de activos. Podemos deducir que utilizar una sola herramienta no garantiza tener una visión completa de la infraestructura. Es necesario contrastar diferentes fuentes, como herramientas de descubrimiento, registros de red, inspecciones físicas y documentación administrativa.
“Information Security Wordle: RFC2196 – Site Security Handbook” flickr photo by purpleslog https://flickr.com/photos/purpleslog/2870445260/in/photostream/ shared under a Creative Commons (BY-NC-SA) license
La calidad de la información depende de las personas y los procesos que la mantienen. Podemos implementar una plataforma sofisticada de gestión de activos, pero si no existen responsables, procedimientos de actualización y mecanismos de validación, con el tiempo tendremos nuevamente información incompleta o desactualizada.
Semana 3.
La tercera semana nos permitió relacionar directamente los activos con la gestión del riesgo. Uno de los conceptos que considero más valiosos es que el precio de adquisición de un equipo no determina necesariamente su importancia para la organización.
Un servidor relativamente económico podría sostener una aplicación indispensable para la operación, mientras que un equipo mucho más costoso podría tener un impacto limitado si deja de funcionar.
Por eso, debemos valorar los activos considerando las consecuencias de comprometer su confidencialidad, integridad o disponibilidad, así como las dependencias que mantienen con otros sistemas y procesos.
“Risk Assessment” flickr photo by ISMS Online https://flickr.com/photos/194306271@N05/52063934239/ shared under a Creative Commons (BY-NC-SA) license
Esta perspectiva también modifica la manera de entender la gestión de vulnerabilidades. Antes de decidir qué corregir, necesitamos saber dónde se encuentra la vulnerabilidad, qué activo afecta, cuál es su exposición y qué consecuencias tendría su explotación.
Una vulnerabilidad con calificación técnica elevada no siempre debe atenderse antes que otra de menor severidad. El contexto operativo, la existencia de explotación conocida, los controles implementados y el impacto potencial pueden cambiar completamente esa prioridad.
El caso de Equifax.
Este caso, presentado durante el módulo, me pareció especialmente representativo de las consecuencias de no contar con una visibilidad adecuada de los activos tecnológicos.
La organización sufrió una brecha de seguridad en 2017 relacionada con una vulnerabilidad conocida en Apache Struts. Entre las deficiencias señaladas en el material del curso se encontraba la falta de un inventario suficientemente confiable para identificar todos los sistemas afectados y verificar su corrección.
“Equifax stock photo” flickr photo by LendingMemo https://flickr.com/photos/lendingmemo_com/46462447612/ shared under a Creative Commons (BY-NC-SA) license
Los problemas de ciberseguridad no comienzan cuando un atacante explota una vulnerabilidad, sino mucho antes, cuando la organización desconoce qué sistemas tiene, cómo funcionan o quién es responsable de mantenerlos. La gestión de vulnerabilidades comienza antes de ejecutar un escaneo y no termina simplemente cuando instalamos un parche. Necesitamos conocer el entorno, identificar las dependencias, evaluar los riesgos de realizar cambios y comprobar que las medidas implementadas realmente redujeron la exposición.
Aplicaciones prácticas.
Uno de los principales beneficios de este módulo es que los conocimientos adquiridos pueden aplicarse en organizaciones de prácticamente cualquier sector.
Por ejemplo, en una empresa dedicada a distribuir y mantener equipos médicos, sería indispensable conocer no solamente los dispositivos tecnológicos, sino también las plataformas de soporte remoto, las aplicaciones de mantenimiento, los contratos, los responsables y los servicios que dependen de esa infraestructura.
En ese contexto, una vulnerabilidad podría afectar no solamente información corporativa, sino también la continuidad de un servicio importante para un hospital. Por ello, cualquier medida correctiva tendría que considerar tanto la seguridad como la estabilidad operativa de los sistemas.
También considero importante incorporar indicadores que permitan conocer la cobertura del inventario, su confiabilidad y el tiempo que permanecen expuestas las vulnerabilidades de mayor riesgo. Esto ayudaría a evaluar los avances con base en resultados y no solamente en la cantidad de actividades realizadas.
Reflexión final.
Después de completar este primer módulo, sabemos que la gestión de activos no debería tratarse como una actividad que se realiza únicamente durante una auditoría o cuando se implementa una nueva herramienta. Debe convertirse en un hábito permanente de revisión, verificación y actualización, integrado a las actividades cotidianas de los equipos de tecnología y ciberseguridad.
La seguridad no consiste en proteger todos los activos de la misma manera, sino en entender cuáles son verdaderamente importantes, qué amenazas enfrentan y cómo podemos utilizar nuestros recursos para reducir los riesgos más significativos.
Me quedo con una visión mucho más amplia de la gestión de activos. Ahora la considero una práctica que conecta la operación tecnológica con los objetivos del negocio, que permite justificar decisiones y que proporciona una base confiable para desarrollar programas de ciberseguridad más efectivos.
Antes de preguntarnos qué herramientas de seguridad necesitamos implementar, deberíamos preguntarnos si realmente conocemos aquello que pretendemos proteger. Y quizá la pregunta más importante sea: ¿podríamos demostrarlo con evidencia?
Fuentes consultadas
- Boerger, J. L. (2021). Rethinking information technology asset management. Business Expert Press.
- Hobbs, M. (2011). IT asset management: A pocket survival guide. IT Governance Publishing.
- Calder, A., & Watkins, S. (2007). Risk assessment for asset owners. IT Governance Publishing.
- Chaudhary, S. K. (2025). Inside the Equifax Breach: A Case Study On What Went Wrong. https://medium.com/@shajalapsdel/inside-the-equifax-breach-a-case-study-on-what-went-wrong-84c4edf50536
