¿Cómo realizar un inventario de activos de información?

Activos de información

Los activos de información son los recursos que utiliza un Sistema de Gestión de Seguridad de la Información para que las organizaciones funcionen y consigan los objetivos que se han propuesto por la alta dirección.

Los activos se encuentran asociados, de forma directa o indirectamente, con las demás entidades. Puede ser que le interese leer este artículo ISO 27001: ¿Cómo analizar y gestionar los riesgos en un SGSI?

Un proyecto de seguridad tiene el objetivo de controlar la seguridad de los activos de información que generan el dominio en el estudio de proyectos. El límite del conjunto de activos del dominio no imposibilita la consideración de las relaciones en materia de seguridad de dichos activos de información con el entorno.

Uno de los primeros pasos que debe seguir la entidad para adaptarse a la norma ISO 27001 es llevar a cabo un inventario de activos de información. Tendrán los activos de información que representan algún valor para la empresa y que quedan dentro del alcance del SGSI.

En principio puede parecer un poco abrumador para un principiante, por la gran cantidad de activos que se van ocurriendo. Por este motivo se decide comenzar por clasifícarlos de alguna forma. Entre las muchas formas que se encuentran podemos elegir la definida por los expertos. Parece la manera más completa. Muestra ejemplo de cada tipo y es válido para entidades de muy diferente naturaleza.

Debido a que los activos de información son cambiantes, mañana puede ser que la situación sea diferentes y mucho más distinta en unas semanas, meses o años. Así que es recomendable mantener vivo el inventario de activos que hagamos. Se debe incluir la revisión del Sistema de Gestión de Seguridad de la Información. Es necesario actualizar los procesos como parte de la mejora continua.

Activos de información pura

Datos digitales

• Personales
• Financieros
• Legales
• Investigación y desarrollo
• Estratégicos
• Comerciales
• Correo electrónico
• Contestadores automáticos
• Bases de datos
• Unidades lógicas
• Copias de seguridad

Activos tangibles

• Personales
• Financieros
• Legales
• Investigación y desarrollo
• Estratégicos y comerciales
• Correo electrónico
• Otro materiales de copia de seguridad
• Llaves de oficinas
• Otros medios de almacenamiento

Activos intangibles

• Conocimiento
• Relaciones
• Secretos comerciales
• Licencias
• Patentes
• Experiencia
• Conocimientos técnicos
• Imagen corporativa
• Marca
• Reputación comercial
• Confianza de los clientes
• Ventaja competitiva
• Ética
• Productividad

Software de aplicación

• Propietario desarrollo por la organización
• Cliente
• Planificación de recursos empresariales
• Gestión de la información
• Utilidades
• Herramientas de bases de datos
• Aplicaciones de comercio electrónico
• Middleware

Sistemas operativos

• Servidores
• Ordenadores de sobremesa
• Ordenadores contrales
• Dispositivos de red
• Dispositivos de mano e incrustados

Activos físicos

Infraestructura de TI

• Edificios
• Centros de datos
• Habitaciones de equipos y servidores
• Armarios de red
• Oficinas
• Escritorios
• Cajones
• Archivadores
• Salas de almacenamiento de medios físicos
• Cajas de seguridad
• Dispositivos de identificación
• Autentificación
• Control de acceso al personal
• Otros dispositivos de seguridad

Controles de entorno de TI

• Equipos de alarma
• Supresión contra incendio
• Sistemas de alimentación ininterrumpida
• Alimentación de potencia
• Acondicionadores
• Filtros
• Supresores de potencia
• Deshumificadores
• Refrigeradores
• Alarmas de aire
• Alarmas de agua

Hardware de TI

• Dispositivos de almacenamiento
• Ordenadores de mesa
• Estaciones de trabajo
• Ordenadores portátiles
• Equipos de mano
• Servidores
• Módems
• Líneas de terminación de red
• Dispositivos de comunicaciones
• Equipos multifunción

Activos de servicios de TI

• Servicios de autenticación de usuario
• Administración de procesos
• Enlaces
• Cortafuegos
• Servidores proxy
• Servicios de red
• Servicios inalámbricos
• Anti-spam
• Virus
• Spyware
• Detección y prevención de intrusiones
• Teletrabajo
• Seguridad
• Correo electrónico
• Mensajería instantánea
• Servicios web
• Contratos de soporte
• Mantenimiento de software

Activos humanos

Empleados

• Personal y directivos
• Participar los que tienen roles de gestión como altos cargos
• Arquitectos de software y desarrolladores
• Administradores de sistemas
• Administradores de seguridad
• Operadores
• Abogados
• Auditores
• Usuarios con poder
• Expertos en general

Externos

• Trabajadores temporales
• Consultores externos
• Asesores especialistas
• Contratistas especializados
• Proveedores
• Socios

En último lugar, la norma ISO 27001 persigue el objetivo de proteger los activos de la información de cualquier empresa. Toda empresa posee información importante que quiere proteger frente a cualquier situación que suponga un riesgo o amenaza. Esta información que resulta fundamental para la empresa es lo que se denomina activo de información.

Software ISO 27001

El Software  ISOTools Excellece le permite dar seguridad a la información contenida en su organización. Mediante la automatización que aporta, es posible agilizar la gestión del Sistema de Gestión de la Seguridad de la Información, viéndose incrementada la eficiencia del mismo.

Si se estás planteando implementar en su organización un SGSI según la norma ISO 27001, puede solicitar que nuestros consultores contacten con usted para ofrecerle el asesoramiento que necesite.