Inventario de activos: Cómo saber qué proteger cuando ni siquiera sabes cuántas cuentas tiene tu empresa en internet

En la carrera por digitalizar sus operaciones, muchas PyMEs en Latinoamérica han adoptado herramientas en la nube (SaaS), abierto cuentas en redes sociales y contratado servicios de alojamiento web de forma orgánica, pero desordenada. El resultado es el caos: una empresa de 15 empleados puede tener, sin saberlo, más de 40 "puertas de entrada" digitales diferentes expuestas a internet.

Este fenómeno se conoce como "Shadow IT" (TI en la sombra) o expansión de la superficie de ataque. Si no sabes qué cuentas, dominios, servicios o dispositivos tiene tu empresa, es imposible protegerlos. El primer paso para una ciberseguridad operativa real no es comprar un firewall caro; es hacer un inventario.

El peligro de los "activos olvidados"

Un activo olvidado es cualquier servicio digital que tu empresa utiliza (o utilizó) pero que ya nadie monitorea. Ejemplos comunes incluyen:

Una cuenta de Dropbox creada por un ex-empleado para compartir archivos hace 5 años.
Un subdominio de prueba para un sitio web antiguo que quedó activo.
Una cuenta de una red social secundaria que ya no se usa pero que sigue vinculada a un correo corporativo.

¿El riesgo? Estos servicios obsoletos suelen tener contraseñas débiles o software desactualizado. Son la entrada perfecta para los atacantes, quienes los usan para saltar a tus sistemas críticos.

¿Cómo empezar un inventario sin herramientas técnicas?

No necesitas un software complejo para empezar a poner orden. Necesitas un proceso y el compromiso de tu equipo operativo. Aquí tienes una guía paso a paso para crear tu primer Inventario de Activos Digitales:

1. El Gran Cuestionario (Auditoría Humana)

Reúne a los líderes de cada área (Ventas, Marketing, Finanzas, Operaciones) y pregúntales: "¿Qué herramientas web, apps o servicios de nube usan todos los días para trabajar?".

Marketing: Tendrá accesos a Meta Ads, Google Analytics, Mailchimp, etc.
Finanzas: Usará software de facturación electrónica, portales bancarios, planillas compartidas.
Ventas: Manejará el CRM, herramientas de prospección, WhatsApp Business.

Registra todo en una hoja de cálculo simple.

2. El Rastro de Dinero y Correos

Dos fuentes de verdad innegables son las facturas y la consola de administración de correos.

Facturas: Revisa los cargos de los últimos 12 meses en las tarjetas corporativas. Cada suscripción a un software SaaS es un activo que debe estar en el inventario.
Consola de Correo (ej. Google Workspace/Microsoft 365): Audita qué aplicaciones de terceros tienen permisos para acceder a los correos de la empresa. Te sorprenderá la cantidad de herramientas a las que los empleados han "dado permiso" sin control.

3. Centralizar y Asignar Dueños

Una vez que tengas la lista, consolídala. Cada activo en tu inventario debe tener, como mínimo, tres datos:

Nombre del Servicio/Activo.
Responsable (Owner): La persona dentro de la empresa encargada de gestionar esa cuenta.
Estado: ¿Activo, En Desuso, o Crítico?

Conclusión: La visibilidad es tu primera defensa

Un inventario de activos no es un proyecto de una sola vez; es un control operativo continuo. Tener claridad sobre tu ecosistema digital te permite reducir tu superficie de ataque (eliminando cuentas innecesarias) y priorizar tus esfuerzos de seguridad en los servicios críticos.

Antes de intentar protegerlo todo, asegúrate de saber qué es ese "todo". Haz tu evaluación hoy mismo y conoce tu nivel de riesgo.