Qué se protege y por qué, el inventario de lo crítico

Un activo, en un modelo de amenazas, es cualquier cosa cuya pérdida, exposición o parada le cuesta algo al negocio: un sistema, un dato, un proveedor, un archivo, una persona con un acceso. No es lo mismo que un equipo del inventario de TI: el servicio de un tercero y una hoja de cálculo cuentan aunque nunca hayan pasado por el área de sistemas.

Como no se puede modelar todo, se ordena por consecuencia y no por precio ni por tamaño. La pregunta que ordena es: si esto falla o se expone, ¿qué deja de hacer la organización y en cuánto tiempo se nota?

El inventario de TI es la lista que el área de sistemas mantiene de lo que administra. Cuando un servicio crítico lo presta un tercero, o vive en una hoja que alguien mantiene, es fácil que nunca llegue a esa lista. Un modelo que parte solo de ella hereda el hueco.

En la tabla activos, mira las columnas impacto y en_inventario_ti.

Un activo sin responsable no tiene a quién preguntar cuánto tolera, quién aprueba un cambio ni a quién avisar si algo pasa. En un modelo, es de los hallazgos más baratos de corregir y de los más repetidos.

Contar ayuda a no dispersarse: si de doce activos la mitad son de impacto alto, el modelo no puede tratarlos a todos con la misma lupa, pero tampoco puede fingir que son tres. El número exacto sale de los datos, no de la intuición.

Los activos no fallan solos: unos dependen de otros. La tabla dependencias dice, fila por fila, «si esto falla, aquello deja de funcionar bien». El activo del que más cuelgan es, casi siempre, el que conviene proteger antes que ninguno, aunque su impacto declarado no sea el más vistoso.