Inventario de activos

Qué exige, en claro

Mantener un inventario actualizado de los activos que componen el sistema —equipos, aplicaciones, servicios, comunicaciones, información— identificando su naturaleza y responsable.

Es la medida más humilde del catálogo y la que sostiene a casi todas las demás: sin inventario no hay parcheo completo (op.exp.4), ni análisis de riesgos real (op.pl.1), ni alcance defendible.

Cuándo aplica y cómo escala

Aplica a todas las categorías. La profundidad del inventario acompaña a la complejidad del sistema.

Ejemplos de implementación

• Inventario vivo generado desde las fuentes reales (cloud provider, MDM, CMDB ligera) en lugar de una hoja manual que envejece.
• Cada activo con responsable nominal: cuando algo falla o hay que parchear, se sabe a quién llamar.

Errores habituales

• La hoja de cálculo heroica que se hizo una vez y nunca más se actualizó.
• Inventariar solo servidores: aplicaciones SaaS, dominios, certificados y repositorios también son activos.
• Activos sin responsable: «de todos» significa de nadie.
• Desalineado con el proceso de autorización (org.4): entran cosas nuevas que el inventario nunca ve.

Evidencias que suele ser razonable preparar

• El inventario, con fecha de última actualización.
• Procedimiento o automatismo de actualización.
• Responsable asignado por activo o grupo de activos.
• Coherencia con el alcance ENS declarado y con la DoA.

Preguntas que debería hacerse el responsable

• ¿Cuándo se actualizó el inventario por última vez?
• ¿Cuánto tardarías en listar todos los activos expuestos a internet?
• ¿Aparecen los servicios SaaS y los certificados, o solo las máquinas?
• ¿Cada activo tiene un responsable con nombre?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación de medidas (marco operacional) (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.