Por qué el inventario es el primer control

Cada control de seguridad se aplica sobre una lista: el monitoreo vigila los recursos que conoce, el respaldo copia los que tiene registrados y el escáner revisa los que le llegan. Por eso el inventario viene primero. Si la lista es incompleta, todos los controles heredan el hueco, y ese hueco no da errores ni alertas: simplemente no hay nada que vigilar.

Los marcos lo expresan en su orden. Los controles críticos de CIS (versión 8) abren con el inventario de activos de la empresa, y el marco de ciberseguridad de NIST (versión 2.0) incluye la gestión de activos dentro de la función de identificar. Aquí se usan solo como vocabulario: lo importante es la lógica, que se identifica antes de proteger.

El hueco más grande de un inventario no es un recurso suelto sino una cuenta entera. En AWS, las cuentas de una organización se crean con facilidad; en Azure, las suscripciones también. Una cuenta de pruebas que alguien abrió para un experimento puede quedarse años con recursos dentro, sin pasar por ninguna de las fuentes que alimentan el inventario.

Por eso se parte de dos listas distintas: la de cuentas, que sale de la organización y de las suscripciones, y la del inventario, que sale de las fuentes de datos. Lo que está en la primera y no llega a la segunda es un punto ciego.

Una cifra de cobertura sin denominador no dice nada. «Hay respaldo» es una impresión; «11 de 14 bases tienen respaldo» es un dato, y la diferencia, tres bases, es una lista de trabajo. La tabla de cobertura da, por tipo de recurso y por nube, cuántos recursos hay y cuántos tienen respaldo y monitoreo.

Para un informe a gerencia se suman las dos nubes: una empresa con AWS y Azure responde por las bases de ambas, no por las de la nube que más conoce.

Un inventario no puede comprobarse a sí mismo: si la fuente omite un recurso, la propia fuente no lo sabe. La comprobación tiene que partir de algo independiente, como la lista de cuentas de la organización o los totales que cada nube informa por su lado, y compararlo con lo que el inventario contiene.

Este cruce no corrige nada: solo dice dónde mirar. La corrección, conectar la cuenta o registrar el tipo que falta, es otra tarea y de otro equipo.