Lo que hay que proteger

Un activo no es solo un servidor. Es cualquier cosa con valor para la empresa que haya que proteger: la base de datos de clientes, el sistema de identidad, el contrato con el proveedor de pagos, incluso el conocimiento de la persona que es la única que sabe levantar el ERP. Para GRC, cada activo del inventario lleva cuatro datos que lo hacen útil: qué guarda, qué tan crítico es, quién es su dueño y qué contrato o dato sensible toca.

Sin esos cuatro datos, la fila del inventario es un nombre suelto: no dice a quién llamar ni cuánto duele perderlo.

Al cruzar el inventario de Cumbre con lo que la empresa opera de verdad, aparece un servidor que sirve la base de datos de clientes en producción y que no figura en ninguna fila del registro. Ese es el peor tipo de hallazgo: no es un activo mal clasificado, es un activo invisible. Nadie decidió su criticidad, nadie le asignó dueño, y ningún control lo cubre porque, para el papel, no existe.

Un activo fuera del inventario es un riesgo que nadie está tratando, porque nadie sabe que hay que tratarlo.

El registro de Cumbre tiene 60 activos, y 24 de ellos no tienen dueño asignado — la casilla está vacía. Un activo sin dueño no es un problema de forma: es que nadie responde por él. Cuando haya que aprobar una excepción, aceptar un riesgo o autorizar un gasto sobre ese activo, no hay a quién preguntar, y la decisión se queda sin tomar o la toma cualquiera. El hallazgo no es «faltan datos»: es «casi la mitad de los activos no tienen quién responda».

Asignar dueño es lo barato; la ausencia de dueño es lo que hace que un riesgo se quede años sin dueño de la decisión.