Manual de seguridad defensiva, 2ª edición

Capítulo 2. Gestión de activos y documentación

Este trabajo se ha traducido utilizando IA. Agradecemos tus opiniones y comentarios: [e-mail]

En conjunto, la gestión de activos no suele considerarse una función de seguridad de la información. Sin embargo, hemos comprobado que sin procesos maduros de gestión de activos, tu programa de seguridad de la información puede verse en peligro. Considera cómo te enfrentarías a los siguientes sucesos sin gestión de activos (y si te producen ansiedad, es una gran idea añadirlos a la lista de ejercicios de simulación que realizas regularmente):

1. En las redes sociales se han denunciado sistemas expuestos de cara al público que están obsoletos.

2. El ransomware se propaga por tu red interna aprovechando una vulnerabilidad conocida.

3. El departamento de contabilidad te ha informado de un aumento masivo del gasto en la nube.

4. Un empleado denuncia el robo de su dispositivo.

5. Ha aparecido en Internet un volcado de todos los registros críticos de RRHH de tu empresa.

Si tu empresa carece de información fiable sobre los activos, cada uno de esos escenarios se vuelve significativamente más difícil de resolver. Esto se debe a que, sin detalles sobre la propiedad o los responsables del sistema, es imposible saber con quién ponerse en contacto para tomar las medidas adecuadas, como parchear el sistema para evitar daños mayores en el escenario 1. Del mismo modo, en el caso de un ataque de ransomware, sin un inventario de las versiones ...