El inventario como base del programa

Un escáner de vulnerabilidades solo evalúa lo que se le entrega, así que el programa entero depende de una lista de qué existe. Esa lista casi nunca vive en un sitio. Cada herramienta de la empresa ve una parte: el registro manual (el CMDB) conoce lo que alguien anotó; el sistema de móviles, lo que se inscribió; el agente, los equipos donde se instaló; el servidor de direcciones, lo que pidió una dirección esta semana; el listado de la nube, los recursos de las cuentas que alguien registró; y el barrido, lo que respondió mientras estaba encendido y visible.

Cada una trae además un punto ciego que es justo el de otra. El inventario real se arma cruzándolas: lo que una ve y otra no es la pista de dónde mirar. Abre la tabla fuentes y lee la columna no_ve antes de comparar las cifras.

Un registro de activo que solo dice «existe» no sirve para gestionar vulnerabilidades. Los campos que lo vuelven útil son pocos. Un identificador estable, para no confundirlo con otro; el tipo, que decide cómo se evalúa; el entorno (producción, pruebas), que decide el plazo; la ubicación, que dice dónde está o a qué red pertenece; la criticidad, que dice cuánto duele si cae; la fecha de la última vez que se vio, que delata lo que ya no existe; y el dueño.

El dueño es el campo que convierte un hallazgo en un trabajo. Con él, un parche pendiente tiene un destinatario, una fecha y alguien que responde. Sin él, el hallazgo se escribe en un informe y se queda ahí, porque nadie sabe a quién llevárselo.

Ahora mide el CMDB de Alcaparra. La tabla campos_cmdb dice, por cada campo, cuántos de los 412 registros lo traen completo y cuántos lo dejaron vacío. No hace falta restar nada: la columna vacios ya lo cuenta. Fíjate en que el número se refiere a los registros del CMDB, no a los equipos de la empresa: los equipos que ni siquiera están anotados no aparecen aquí.

La criticidad es el campo que más pesa al priorizar, y es el que más falta en el registro. Un activo sin criticidad no se puede ordenar frente a otro: obliga a adivinar. El porcentaje de registros que sí la traen te dice qué parte del inventario puede alimentar hoy una decisión de prioridad sin trabajo extra, y cuál todavía no.

Calcúlalo sobre los registros del CMDB, redondeado al entero más cercano y sin el símbolo de porcentaje.