Poner la criticidad

La criticidad de un activo sale de lo que le pasaría al negocio si ese activo fallara, se filtrara o se perdiera. Un servidor que guarda la base de clientes es crítico porque su fuga rompe contratos y reputación; una impresora de la oficina es baja porque su caída molesta y nada más. No depende de lo caro que fue el equipo ni de lo nuevo que sea: depende del dato que toca y del proceso que sostiene.

Clasificar bien es lo que hace que el esfuerzo de auditoría caiga donde de verdad importa, en vez de repartirse a partes iguales.

En el inventario de Cumbre, el servidor que guarda la base de datos de clientes figura como criticidad baja. La justificación escrita en la fila es «es un servidor viejo». Pero lo que ese servidor guarda es la lista completa de clientes con sus datos de contacto y de facturación: si se filtra, hay incumplimiento contractual y aviso a los afectados. La antigüedad del hardware no baja la criticidad; lo que la fija es el dato que contiene.

Reclasificar esa fila a alta no es un detalle: cambia cuánto se audita ese activo y qué controles se le exigen.

Terminas el módulo con el inventario de Cumbre revisado: un activo que faltaba, casi la mitad sin dueño, y una fila crítica clasificada como baja. Todo eso alimenta lo que viene: sin saber qué activos hay y cuánto valen, no se puede puntuar su riesgo ni decidir qué control ponerles. El inventario no es papeleo previo; es la entrada de todo el análisis. Un análisis de riesgo montado sobre un inventario a medias hereda todos sus huecos.

Por eso el inventario va antes que la matriz: es el suelo sobre el que se para todo lo demás.

La verificación del módulo no se aprueba leyendo: se aprueba sacando un dato del registro. Abre el inventario de Cumbre, lista los activos de criticidad baja y busca el que guarda datos de clientes pese a figurar como bajo —el que se justifica con «servidor viejo»—. La fila de ese activo lleva anotado un código de la sala.