Inventario de activos: la base común del mantenimiento y la ciberseguridad
Ángela Pohl
Responsable senior de marketing de contenidos
Timly Software AG
Proveedor de software en la nube para la gestión de inventario y mantenimiento
RESUMEN
Mantenimiento y ciberseguridad se hacen, en el fondo, las mismas preguntas: qué activos existen, dónde están, cuán críticos son y quién es su responsable. Sin embargo, en muchas organizaciones la información para responderlas está repartida entre listas, bases de datos y herramientas que no se comunican entre sí. Este artículo, basado en el libro blanco «Gestión de activos de ciberseguridad y cumplimiento» (Timly Software AG, 2026), analiza por qué los inventarios fragmentados se han convertido en un riesgo para la seguridad y el cumplimiento normativo, y propone un enfoque práctico para construir un registro de activos común: un modelo de datos mínimo, la criticidad como criterio compartido, procesos claros a lo largo del ciclo de vida del activo y su integración con el GMAO y otros sistemas de gestión.
1. INTRODUCCIÓN
Cuando una máquina falla, el equipo de mantenimiento necesita saber de inmediato qué equipo es, dónde está instalado, qué importancia tiene para la producción y quién es su responsable. Cuando se publica una vulnerabilidad crítica en un sistema de control, el equipo de seguridad necesita exactamente la misma información. Mantenimiento y ciberseguridad parten, por tanto, de una base común: un conocimiento fiable de los activos.
La realidad en muchas organizaciones es otra. A las máquinas, instalaciones y equipos de siempre se suman sensores, sistemas de control conectados, dispositivos IoT, recursos en la nube y accesos de proveedores externos (Timly Software AG, 2026). En sectores como la fabricación, la construcción o la gestión de instalaciones, esto da lugar a entornos muy dinámicos, con ubicaciones cambiantes, infraestructuras temporales y responsabilidades compartidas entre TI, operaciones y áreas de negocio.
Los datos de terceros reflejan la magnitud del problema. Según el Data Breach Investigations Report de Verizon, el 46 % de los sistemas con credenciales corporativas comprometidas eran dispositivos no gestionados por la empresa, es decir, dispositivos personales (Verizon, 2025). El informe Cost of a Data Breach de IBM indica, por su parte, que las brechas de datos que afectan a varios entornos tardan de media 276 días en identificarse y contenerse (IBM, 2025).
2. FALTA CONSOLIDACIÓN, NO INFORMACIÓN
En la mayoría de las organizaciones no faltan datos sobre los activos: existen bases de datos de configuración de TI, herramientas que detectan los equipos conectados a la red, portales en la nube y listas locales en hojas de cálculo. El problema es que suelen coexistir en paralelo, sin una visión coherente, y que se actualizan más despacio de lo que cambia el entorno: se ponen en marcha nuevas instalaciones, los proveedores obtienen accesos y los sistemas permanecen en uso más tiempo del planificado.
El resultado son equipos que existen pero no aparecen en los registros centrales, activos sin un responsable actual y sistemas cuya criticidad o estado de actualización no están documentados de forma fiable. Especialmente críticos son los componentes OT sin una responsabilidad claramente definida y los sistemas obsoletos. Las consecuencias se notan en la cobertura de parches, en la rapidez de respuesta ante incidentes y en las auditorías, cuyas evidencias deben recopilarse a menudo de forma manual.
Por eso, lo importante no es únicamente que un activo figure en una lista, sino conocer su contexto: criticidad, responsable, estado de seguridad, dependencias y relevancia para el cumplimiento normativo. Buena parte de ese contexto, como la criticidad, la ubicación o el responsable, coincide con la información que necesita cualquier plan de mantenimiento.
3. UN MODELO DE DATOS MÍNIMO
Muchos inventarios se vuelven innecesariamente complejos porque se definen demasiados campos que luego no se mantienen en el trabajo diario. Un enfoque más eficaz es el de los datos mínimos viables: tantos datos como sean necesarios, no tantos como sea posible. La Tabla 1 recoge los campos mínimos que propone el libro blanco (Timly Software AG, 2026).
Tabla 1. Datos mínimos por activo
Según el entorno, más adelante pueden añadirse otros datos, como el fabricante, el número de serie o la versión de firmware.
3.1. La criticidad como criterio compartido
Para empezar, suele bastar con un modelo de tres niveles: alta criticidad (sistemas centrales, accesos con privilegios elevados, datos sensibles), relevante (activos operativos con impacto apreciable en caso de fallo) y de apoyo (activos que deben inventariarse, pero con baja prioridad en el contexto de seguridad). Esta clasificación crea una base común para las evaluaciones de riesgo, la priorización de parches y la respuesta a incidentes.
La criticidad no depende solo del tipo de activo, sino de su función: dos equipos técnicamente similares pueden valorarse de forma distinta si uno de ellos soporta un proceso crítico. Una clasificación compartida ofrece, además, un lenguaje común para alinear las prioridades de mantenimiento y de seguridad.
4. EL CICLO DE VIDA DEL ACTIVO
Un registro de activos solo genera valor si se mantiene actualizado. Sin responsabilidades vinculantes, incluso los registros inicialmente bien mantenidos se vuelven rápidamente incompletos u obsoletos. El libro blanco identifica tres momentos clave del proceso, recogidos en la Tabla 2.
Tabla 2. Momentos clave del ciclo de vida del activo
Siempre que sea posible, estas actualizaciones deben generarse dentro de los procesos ya establecidos, como las tareas de mantenimiento, las solicitudes de cambio o las compras, y no como una tarea adicional. Por ejemplo, cuando un técnico realiza una intervención, puede escanear el código QR o de barras del equipo y actualizar en ese mismo momento su ubicación o su estado.
En la práctica, la mayoría de las incoherencias no se deben a la falta de responsables, sino a desencadenantes poco claros: ¿quién registra un cambio cuando un equipo se traslada «solo temporalmente» o cuando un servicio lo presta un proveedor externo? Por eso conviene definir con claridad qué evento desencadena qué actualización y quién debe realizarla.
5. INTEGRACIÓN CON EL GMAO Y OTROS SISTEMAS DE GESTIÓN
El registro de activos despliega su mayor valor cuando funciona como referencia central entre los sistemas de operación, seguridad y cumplimiento existentes, como se muestra en la Figura 1. El libro blanco describe tres áreas de integración:
- GMAO y gestión de servicios de TI: utilizan el registro de activos como base para órdenes de trabajo, solicitudes de cambio y ciclos de mantenimiento.
- Sistema de gestión de la seguridad de la información (SGSI): vincula los activos con riesgos, medidas de seguridad y evidencias de auditoría.
- Sistemas de calidad y HSE: garantizan, según el sector, la trazabilidad de ubicación, uso y responsabilidades.
Figura 1. El registro de activos como fuente central de datos entre el GMAO, el SGSI y los sistemas de calidad y HSE (Timly Software AG, 2026)
Es esencial asignar con claridad qué sistema es el de referencia para cada categoría de datos. Si falta esta asignación, surgen rápidamente inconsistencias entre el GMAO, la gestión de servicios de TI y el registro de activos. Lo decisivo es una interacción nítida: el registro sirve como referencia central, mientras que los sistemas operativos registran los cambios y los eventos del ciclo de vida.
6. EL REGISTRO EN CAMPO
En entornos distribuidos, el inventario inicial combina métodos técnicos y manuales según el tipo de activo:
- Detección automática para la infraestructura de TI, mediante escáneres de red y las fuentes de datos ya existentes, como el directorio de usuarios o las plataformas en la nube.
- Registro manual para activos físicos y móviles, como herramientas o equipos, mediante códigos QR o de barras, importación de listas y recorridos in situ. La validación por parte de los responsables locales garantiza la calidad de los datos.
- Un proceso propio para OT e instalaciones heredadas, mediante análisis pasivo, inventarios SCADA y coordinación con los responsables de planta, ya que en estos casos no existe detección automática.
La aceptación de estos procesos depende, sobre todo, de la carga que suponen en el trabajo diario. Resultan especialmente eficaces los procesos con la menor barrera operativa posible: el registro móvil, un conjunto reducido de atributos obligatorios y datos que respalden decisiones concretas, como la priorización de intervenciones, de parches o las evidencias de auditoría.
7. REQUISITOS NORMATIVOS
ISO/IEC 27001, en su Anexo A 5.9, exige la gestión sistemática del inventario de información y de los activos asociados, así como la asignación de responsabilidades claras (ISO/IEC, 2022). La Directiva NIS2 no prescribe ninguna herramienta concreta, pero sí exige «medidas técnicas y organizativas adecuadas» para gestionar los riesgos de ciberseguridad (Parlamento Europeo y Consejo de la Unión Europea, 2022). En la práctica, ambas presuponen poder determinar con rapidez qué activos se ven afectados ante un incidente, qué criticidad tienen, qué ubicaciones están implicadas y qué dependencias existen.
8. CONCLUSIONES
- Mantenimiento y ciberseguridad comparten una misma base: saber qué activos existen, dónde están, cuán críticos son y quién es responsable.
- No hace falta empezar por un inventario completo. Un registro con alrededor del 80 % de cobertura y datos clave bien mantenidos suele ser más valioso que la aspiración al 100 %, que puede retrasar los proyectos durante meses.
- La calidad de los datos depende de responsabilidades claras y de integrar su actualización en los procesos existentes, empezando por las propias tareas de mantenimiento.
Quienes deseen profundizar encontrarán en el libro blanco citado (Timly Software AG, 2026) un plan de 90 días para construir un registro de activos orientado a la seguridad, un modelo de madurez y ejemplos de indicadores para medir el progreso.
REFERENCIAS BIBLIOGRÁFICAS
- IBM. 2025. Cost of a Data Breach Report 2025. Armonk (NY): IBM.
- ISO/IEC. 2022. ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection. Information security management systems. Requirements. Ginebra: International Organization for Standardization.
- Parlamento Europeo; Consejo de la Unión Europea. 2022. Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Diario Oficial de la Unión Europea, L 333. Disponible en: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Timly Software AG. 2026. Gestión de activos de ciberseguridad y cumplimiento: inventario centralizado para reducir riesgos y facilitar auditorías [libro blanco]. Disponible en: https://timly.com/es/centro-de-recursos/libro-blanco-gestion-activos-ciberseguridad/
- Verizon. 2025. 2025 Data Breach Investigations Report [infografía]. Disponible en: https://www.verizon.com/business/resources/infographics/2025-dbir-infographic.pdf
