Inventario de activos de información: cómo crearlo y mantenerlo

No puedes proteger lo que no conoces. El inventario de activos de información es la base sobre la cual se construye la evaluación de riesgos y la implementación de controles en ISO 27001. El control A.5.9 del Anexo A exige un inventario de activos de información y otros activos asociados, incluyendo sus propietarios.

Tipos de activos de información

Información mínima por activo

Para cada activo documenta un identificador único, nombre y descripción, tipo/categoría, propietario (persona o rol responsable), custodio (quien lo gestiona operativamente), ubicación (física o lógica), clasificación de seguridad, criticidad para el negocio, y controles de seguridad aplicados.

Asignación de propietarios

ISO 27001 exige que cada activo tenga un propietario. El propietario no es necesariamente quien usa el activo sino quien es responsable de su protección. El propietario decide la clasificación, autoriza el acceso, revisa periódicamente los permisos, asegura que los controles apropiados están implementados, y acepta los riesgos residuales asociados.

Mantenimiento del inventario

Un inventario desactualizado es peor que no tener inventario, porque genera una falsa sensación de control. Revísalo cuando se adquieran o retiren activos, cuando cambien propietarios o responsables, durante las auditorías internas, y al menos una vez al año de forma completa.

Complementa con clasificación de información, evaluación de riesgos y control de acceso.