Activos

Ningún auditor, fiscalizador ni evaluador de riesgos parte preguntando por tus políticas. Parte preguntando qué tienes. Y esa es justamente la pregunta que la mayoría de las organizaciones responde con una planilla que alguien actualizó por última vez hace dieciocho meses.

Activos (/assets, en la sección Gestión de activos) es el inventario que sostiene todo lo demás en la plataforma: los escenarios de riesgo se declaran sobre activos, los controles aplicados protegen activos y el análisis de impacto al negocio se calcula sobre activos. Si el inventario está flojo, todo lo que se apoya en él queda flojo.

Primarios y de soporte

Preceptix distingue dos tipos de activo, y la distinción no es burocrática: cambia por completo la conversación de riesgo.

Un activo Primario es algo que le importa al negocio por sí mismo: un proceso, un servicio, un conjunto de información. Un activo de Soporte es la máquina, el sistema o la persona que hace posible ese activo primario. Un activo de soporte se cuelga de uno o varios primarios mediante el campo Activos principales, y se pueden encadenar entre sí (un servidor de base de datos que sostiene una aplicación que sostiene un proceso).

En Generadora Cordillera Marco Zúñiga declara Generación en Central Cordillera Norte como activo primario. Debajo cuelga los de soporte: el SCADA de Cordillera Norte, los servidores del centro de control, el enlace de telemetría con la central y las estaciones de trabajo de operación. El riesgo se conversa sobre la generación; los controles se aplican sobre el SCADA.

Clase, propiedades y responsable

Cada activo lleva una Clase, tomada de una taxonomía jerárquica que ya viene cargada: Servidores, Dispositivos de Red, Dispositivos de Usuario Final, Cuentas de Usuario, Cuentas de Administrador, Cuentas de Servicio, Aplicaciones, Software, Datos, Datos Sensibles, SaaS, Instalaciones, Fuerza Laboral y varias decenas más. La clase es lo que después te permite responder “muéstrame todas las cuentas de administrador” sin haber inventado una convención de nombres.

Además puedes fijar las Propiedades de seguridad del activo —Confidencialidad, Integridad, Disponibilidad, Prueba, Autenticidad, Privacidad y Seguridad— habilitando solo las que apliquen y puntuando cada una. Para los activos que entran en tus planes de continuidad están los Objetivos de Recuperación ante Desastres (RTO, RPO y MTD). Y siempre conviene completar el Titular: es lo que hace que el activo aparezca en la pantalla Mis tareas de la persona correcta.

Las integraciones mantienen el inventario por ti

Esta es la parte que cambia la economía del inventario. Cuando conectas una integración, cada sincronización crea y actualiza activos sola: las cuentas de tu directorio de identidades, los equipos de tu consola de gestión de dispositivos, los repositorios de tu plataforma de desarrollo, los servidores de tu nube.

El comportamiento es siempre el mismo, y conviene conocerlo:

La integración busca el activo por su identificador dentro del dominio de la conexión. Si ya existe, lo actualiza; nunca duplica.
Los activos que llegan así se crean como tipo Soporte y reciben la Clase que les corresponde según lo que sean: las cuentas quedan como Cuentas de Usuario o Cuentas de Administrador, los equipos como Dispositivos, los repositorios como Aplicaciones.
Se les agregan dos Etiquetas: una con el nombre de la integración de origen y otra común a todo lo que llega automáticamente (integration-generated). Filtrando por esas etiquetas distingues en un segundo lo que declaraste a mano de lo que llegó solo.
Si un activo desaparece del sistema de origen, no se borra. Queda en el inventario con su última fecha de sincronización, que es exactamente lo que necesitas para una revisión de accesos: la cuenta que dejó de aparecer es la cuenta que alguien dio de baja.

Lo que la sincronización no hace es adivinar el contexto de negocio. Los activos que llegan de las integraciones son de soporte y no saben a qué proceso pertenecen: eres tú quien los cuelga del activo primario correcto. Ese trabajo se hace una vez y sobrevive a todas las sincronizaciones siguientes.

En Generadora Cordillera Carolina Prat conecta el directorio de identidades y la consola de dispositivos. A la mañana siguiente hay 240 cuentas y 190 equipos en el inventario, sin que nadie escribiera una fila. Marco cuelga los equipos del centro de control bajo Generación en Central Cordillera Norte y deja el resto bajo los procesos administrativos.

Qué mirar después

Con el inventario en pie, lo siguiente es decidir qué puede salir mal con él: eso se hace en Riesgos. Si quieres que las integraciones hagan el trabajo pesado, parte por Cómo funcionan las integraciones y por Conecta tu primera integración.