Inventario de activos de TI: qué incluir y cómo mantener el registro

Un registro de activos de TI muestra qué equipos y software ayudan a la empresa a funcionar. Vincula un dispositivo a su usuario, un servicio a su propietario y una licencia a sus términos de uso. Estos registros le ayudan a encontrar una computadora disponible, verificar las fechas de soporte y planificar el reemplazo de equipos. Sin embargo, primero necesita registros en los que pueda confiar el equipo.

El trabajo de inventario incluye la identificación de activos, la verificación de la información y el mantenimiento de un registro compartido. La gestión de activos abarca tareas adicionales: selección, compra, operación y desmantelamiento. Este artículo se centra en el registro y en cómo mantenerlo actualizado.

Definir qué activos deben incluirse en el registro

Incluir hardware, software y servicios en la nube

Comience con los recursos que la empresa utiliza para trabajar o gestiona. No limite el alcance a los equipos de TI que se pueden ver en la red de la oficina:

• Hardware: computadoras, servidores, teléfonos, dispositivos de red, impresoras y periféricos necesarios.
• Software: sistemas operativos, aplicaciones instaladas y software desarrollado internamente.
• Recursos en la nube: máquinas virtuales, suscripciones empresariales, almacenamiento y servicios, incluyendo SaaS.
• Equipos y dispositivos de repuesto, en reparación, en almacenamiento o con empleados remotos.

Indique qué categorías, departamentos y ubicaciones cubre la primera conciliación. Decida qué periféricos requieren registros separados. Si la empresa utiliza equipos de producción o sensores conectados, coordine su inventario con los propietarios de esos sistemas. Mantenga un inventario de datos separado si la empresa lo necesita. El registro de activos solo necesita un enlace y la identificación del sistema relacionado.

Distinga la propiedad de la empresa del derecho de uso de un recurso.

La empresa puede utilizar un servidor alquilado, el teléfono personal de un empleado o un servicio en la nube de un proveedor. Registre la disposición de propiedad y los límites de responsabilidad para estos recursos. El propietario, el usuario y el propietario del servicio de negocios pueden ser diferentes personas o organizaciones.

Para un dispositivo personal, recopile solo la información necesaria para el uso comercial acordado. Defina los campos de datos permitidos con anticipación de acuerdo con las normas de la empresa. Realizar un inventario no autoriza automáticamente la revisión de los archivos y aplicaciones personales de un empleado.

Asigne propietarios y prepare los campos.

Separe la responsabilidad del activo de la responsabilidad del registro.

Designe a una persona para mantener el orden en el registro: sus campos, conciliaciones y resolución de discrepancias. Cada servicio de negocios también necesita un propietario que confirme el propósito y la necesidad del recurso. El usuario confirma la recepción del dispositivo. El departamento de TI verifica la información técnica. Adquisiciones o finanzas confirman la compra, el contrato y el pago.

Nombre un propietario para una impresora, servidor o suscripción compartida, incluso si todo el departamento la utiliza. Un registro marcado como «compartido» no explica quién decidirá sobre la renovación o el reemplazo.

Recopile información que pueda verificar.

Defina un conjunto común de campos. Complete los campos adicionales según el tipo de activo para que no se asigne el número de serie o el período de garantía de una computadora a un servicio en la nube:

• ID interno. Vincula el registro con la asignación de equipos, solicitudes de soporte y otros registros.
• Tipo, nombre y finalidad. Indique qué es el recurso y qué tarea soporta.
• Información de correspondencia. Para hardware, registre el fabricante, modelo y número de serie, si están disponibles. Para un recurso en la nube, utilice su ID y entorno.
• Propiedad y responsabilidad. Registre el propietario o proveedor, el propietario del recurso, el usuario y el departamento.
• Ubicación. Para equipos, registre la ubicación o ubicación remota. Para un recurso en la nube, registre la cuenta, el proyecto y la región, según corresponda.
• Estado del ciclo de vida y autorización de uso. Registre la etapa operativa del activo y el estado de aprobación por separado.
• Sistema operativo, versión de software o versión de firmware. Registre los valores necesarios para dar soporte a este tipo de activo.
• Adquisición y licencia. Añada la fecha de recepción o el primer uso, la base de la propiedad, un enlace de contrato y los términos de licencia aplicables.
• Garantía y soporte. Mantenga estas fechas separadas y registre la fuente de cada una.
• Verificación del registro. Indique la fuente de la información, la última fecha de descubrimiento, la fecha de confirmación y la próxima fecha límite de conciliación.

Añada la criticidad y un enlace al sistema de negocio si el equipo los utiliza para priorizar las comprobaciones. Explique los valores de categoría. Por ejemplo, una calificación de importancia debe indicar qué tareas sufrirían si el recurso no estuviera disponible. Mantenga evaluaciones detalladas de amenazas e impacto por separado.

No sustituya la información desconocida por una suposición. Utilice «no confirmado» y «no aplicable» con significados distintos. Asigne una comprobación y un propietario cuando la fecha de soporte sea desconocida. Una celda vacía no explica esto.

Asigne un identificador interno a una etiqueta de inventario para equipos que se mueven entre personas o sitios. Un código de barras o código QR puede abrir el registro correspondiente. La etiqueta ayuda con la inspección, pero no reemplaza el número de serie o la verificación del registro. Utilice nombres consistentes para los estados, sitios y departamentos.

Elija el formato y las reglas de acceso

Una hoja de cálculo es adecuada para comenzar, si su propietario puede mantener registros verificados y evitar que los cambios se pierdan en las copias. Mantenga una versión funcional. Restrinja la edición, habilite el historial de cambios y configure la preservación de datos según las normas de la empresa. Elija el alojamiento en la nube o local según los requisitos de acceso, ubicación de los datos e integración.

Cuando la conciliación manual se retrasa debido a los cambios, conecte la información de los sistemas de gestión y las consolas en la nube. Verifique la cobertura de dispositivos, el soporte para las plataformas requeridas, la exportación, el historial, los permisos y el manejo de duplicados. Pruebe el intercambio con el sistema de tickets a través de una integración o API estándar. La automatización recopila datos; los propietarios confirman el propósito y la responsabilidad.

No almacene contraseñas, claves de activación, tokens o códigos de recuperación en el registro compartido. Vincule los contratos y otros documentos al almacenamiento con los controles de acceso requeridos.

Construya la primera versión e investigue las discrepancias

Compare varias fuentes

Registre la fecha de recopilación y obtenga las exportaciones disponibles. Utilice cada fuente para la información que pueda confirmar:

• Los sistemas de gestión y seguridad de dispositivos ayudan a identificar los equipos registrados y las especificaciones técnicas.
• El descubrimiento de red ayuda a identificar los dispositivos accesibles dentro de su alcance configurado.
• Las consolas en la nube muestran los recursos en las cuentas y proyectos relevantes.
• Las consolas de aplicaciones y suscripciones muestran las asignaciones y la información de uso disponible.
• Los pedidos, contratos y documentos relacionados con el equipo ayudan a confirmar la adquisición y la transferencia.
• Las inspecciones de almacenamiento y las confirmaciones de los empleados ayudan a verificar el equipo que los sistemas no pueden ver.

Una compra no confirma la ubicación actual, y la presencia de un dispositivo en la red no confirma su aprobación. Es necesario verificar estos datos. Al importar hojas de cálculo o archivos CSV, conserve el ID, la fuente y la fecha de recopilación. Solicite por separado a los gerentes que identifiquen a los empleados de servicios de negocio que estén conectados sin la participación de TI.

Verifique los límites de la recopilación automatizada

Antes de exportar, especifique qué plataformas, dispositivos y aplicaciones cubre la herramienta. Verifique la inscripción, los permisos de conexión y la fecha de recopilación. La ausencia de una fila de informe no significa que el activo no exista.

Por ejemplo, las nuevas funciones de inventario de aplicaciones y aplicaciones descubiertas de Microsoft Intune operan en paralelo. La nueva función de inventario de aplicaciones requiere una política de recopilación asignada en dispositivos Windows compatibles. Los dispositivos activos pueden informar datos varias veces al día. No aplique este comportamiento a todos los informes y plataformas de Intune.

Verifique los dispositivos remotos, el equipo apagado, el inventario de repuestos y los recursos fuera de las cuentas en la nube conectadas. Defina otro método de verificación para cada grupo, como reconciliar un dispositivo emitido con el empleado o inspeccionar el equipo en almacenamiento.

Consolide duplicados e investigue activos desconocidos

Empareje los registros utilizando identificadores estables y contexto. Para una computadora, verifique el número de serie y el modelo. Para una máquina virtual, utilice su ID junto con la cuenta o el proyecto. No utilice el nombre del dispositivo, la dirección de red o el nombre de usuario como clave única.

Si dos sistemas describen un mismo activo, conserve un registro primario y enlaces a sus fuentes. No combine registros basándose únicamente en nombres similares. Si existen conflictos en las ubicaciones o los propietarios, asigne una verificación y conserve el historial de correcciones.

Defina qué fuente confirma cada campo. Verifique la versión del software con un informe técnico, la base de compra con un documento y el destinatario con una confirmación de emisión. Una exportación más reciente no debe reemplazar la información del contrato sin verificación.

Primero, registre un dispositivo desconocido con un estado de revisión y un propietario. La inclusión en el registro no autoriza su uso. Consulte las decisiones sobre la conexión, las restricciones de acceso o la eliminación al propietario de seguridad según el procedimiento establecido.

Enlazar hardware, software y licencias

Mantener las relaciones entre los registros

No intente listar todos los programas de una computadora en una sola celda. En una pequeña hoja de cálculo, utilice hojas vinculadas para equipos, software y servicios, asignaciones y licencias. Vincule las filas mediante un ID interno. En un sistema de inventario, utilice registros y sus relaciones.

Un registro puede describir un producto y una versión, mientras que otro vincula una instalación a un dispositivo. Un registro de suscripción muestra el plan y los términos de uso; un registro de asignación lo vincula a un usuario o recurso. Esto separa el producto, la instancia y el derecho de uso.

Si la empresa mantiene una base de datos de gestión de la configuración (CMDB), vincule los activos a ella mediante el ID. El registro responde preguntas sobre la existencia, el propósito y el estado de un recurso. La CMDB ayuda a revelar las dependencias entre componentes y servicios. Vincule los registros y coordine las actualizaciones de la información compartida para evitar copias independientes.

Utilice los registros de ejemplo

Copie el ejemplo en una hoja de cálculo funcional. Los ID H001, S001 y C001 ilustran las relaciones entre los registros. Reemplace los valores entre corchetes con datos de la empresa verificados. Los estados son ejemplos; ingrese el estado real de cada recurso.

Registros vinculados de ejemplo. Complete los campos entre corchetes.

Añadir el sistema operativo, la forma de propiedad y el documento correspondiente al registro de la portátil. Para una aplicación, conservar el nombre del editor y el enlace de instalación a H001. Para un servicio, añadir el ID del proveedor si la empresa mantiene un registro de proveedores separado. Conservar los contactos, las obligaciones contractuales y los procedimientos de escalada en el registro de proveedores.

Instalación, licencia y uso separados

El software en un dispositivo no prueba el derecho de uso. La asignación de una licencia no prueba que el empleado utiliza el producto. Durante la conciliación, verificar los términos de adquisición, las asignaciones y los datos de uso disponibles por separado.

Registrar la unidad de licencia, según corresponda: usuario, dispositivo o cualquier otra métrica contractual. Registrar el alcance de los derechos, las asignaciones y la fecha de renovación. No comparar el número de instalaciones con el número de licencias antes de verificar el modelo de licencia. Antes de cancelar una suscripción, confirmar la necesidad empresarial y las consecuencias para los datos.

Actualice el registro cuando haya cambios y de forma programada.

Relacione las actualizaciones con eventos de trabajo.

Haga que las actualizaciones del registro formen parte de las acciones que modifican un activo:

• Recepción, entrega, devolución y transferencia a otro usuario.
• Traslado, envío para reparación y reemplazo de dispositivos.
• Instalación, eliminación o cambios de versión de software.
• Creación y cierre de un recurso en la nube.
• Cambios en el propietario, suscripción, licencia o soporte.
• Pérdida y jubilación confirmada.

Incluya el ID del activo, el cambio, el asignado y la evidencia en la solicitud. Al incorporar a un nuevo empleado, actualice los detalles de emisión y asignación en este registro. No cree una copia separada del mismo activo para la incorporación.

Separe el descubrimiento de la confirmación.

La fecha de la última señal del dispositivo muestra qué tan actual es la información técnica. La fecha de verificación muestra cuándo el propietario confirmó el registro. Conserve ambas fechas. Una computadora puede informar regularmente mientras que su registro de usuario permanece incorrecto.

Establecer un calendario de conciliación basado en el ritmo de cambio, la criticidad y los requisitos aplicables. Registrar las nuevas llegadas y la asignación de equipos durante el trabajo normal. Durante las revisiones programadas, buscar activos sin propietarios, registros obsoletos, duplicados y conflictos con otras fuentes. Asignar un propietario y una fecha límite a cada discrepancia.

No sustituir las comprobaciones de integridad por un conteo de registros. Si el registro contiene todos los ordenadores de la oficina pero no las suscripciones en la nube, solo cubre una parte del alcance acordado. Conciliar la cobertura por categoría, sitio y fuente.

Guardar filtros para registros sin propietarios, comprobaciones vencidas y fechas de soporte próximas. Rastrear el número de estas excepciones y el tiempo necesario para resolverlas. Cada notificación debe llevar a un registro y a la siguiente acción.

Conservar el historial de pérdida y jubilación

Si un dispositivo deja de informar, verificar la conectividad, el estado, la reparación y la ubicación. No marcarlo como «jubilado» simplemente porque un informe lo omite. Para un dispositivo perdido, conservar la última ubicación conocida, el usuario y el enlace al ticket.

Después de jubilar un activo, conservar su registro con el estado, la fecha, la razón y los enlaces a la evidencia. Si contenía datos de trabajo, añadir evidencia de que el medio de almacenamiento se manejó según el procedimiento establecido. Establecer el período de retención del historial según las normas de la empresa y las obligaciones aplicables. Realizar la eliminación de datos y la finalización del acceso a través de los procesos pertinentes.

Utilizar el registro para tomar decisiones de soporte y adquisición

Verificar la garantía, el soporte y la renovación

Una garantía de hardware, soporte de software y un plazo de suscripción responden a diferentes preguntas. La expiración de la garantía no impide automáticamente su uso. Una suscripción activa por sí sola no confirma el soporte para todas las versiones instaladas.

Verificar las fechas con el fabricante o proveedor para el modelo, la versión, la edición y los términos del contrato exactos. Conservar el enlace y la fecha de verificación. Para cada fecha límite, asignar una decisión: aclarar los términos, renovar, actualizar, reemplazar o jubilar el recurso.

Para planificar la sustitución, vincule el registro con el historial de reparaciones y los costos verificados si la empresa los rastrea. Obtenga el costo, el presupuesto y la fecha de adquisición a partir de los documentos financieros. Deje las normas de depreciación y contabilidad al departamento de finanzas.

Transfiera los datos verificados a los procesos relacionados

Antes de la adquisición, verifique el equipo disponible, el estado del dispositivo y los requisitos de función. Antes de la renovación, compare los derechos, las asignaciones y las necesidades empresariales verificados. Estos registros ayudan a tomar una decisión, pero no reemplazan la aprobación del presupuesto y los términos de compra.

Para las revisiones de seguridad, proporcione el propietario del activo, la versión, el propósito y la criticidad. Mantenga la evaluación de amenazas, la remediación de vulnerabilidades y la configuración de seguridad en procesos separados. El artículo sobre los controles básicos de ciberseguridad explica el papel del inventario en la protección general de la empresa.

Verifique que el registro esté listo para su uso

Abra varios registros de diferentes tipos y verifique el resultado:

• El ID localiza el activo y lo distingue de otro recurso.
• El registro muestra el propósito, el propietario, el usuario y la ubicación o el entorno.
• La información se basa en fuentes identificadas y fechas de verificación.
• La propiedad, la licencia, la garantía y los términos de soporte permanecen distintos.
• La información desconocida tiene un estado, un propietario y una fecha límite para la aclaración.
• La emisión, la reubicación y otros cambios actualizan el mismo registro.
• La historia y los controles de acceso soportan una única versión acordada.

Si un registro no ayuda a localizar un recurso o a tomar la siguiente decisión, refine sus campos y el proceso de verificación. El registro de trabajo debe permanecer claro cuando se ponga en manos de otro propietario.

¿Necesita elegir licencias de equipos o software en función del inventario? Póngase en contacto con DKs Enterprises sobre la adquisición de hardware y software. Prepare la lista de activos, los requisitos de trabajo y las fechas de soporte para discutir el alcance de la compra.

Fuentes

• Categorías de activos en NIST CSF 2.0
• Guía actual sobre el inventario de aplicaciones en Microsoft Learn