Inventario de activos para la ISO 27001 y el ENS

Empieza por el alcance, antes de contar ordenadores

Si una gestoría de doce puestos prepara una auditoría, una lista de portátiles comprados resulta insuficiente. También necesita localizar los expedientes de sus clientes, el programa que presenta impuestos, el correo y las personas que deciden quién puede consultar cada carpeta. El inventario debe permitir seguir ese recorrido sin depender de la memoria de quien lleva más años en la oficina.

Primero escribe qué actividad, sedes y sistemas vas a incluir. Por ejemplo: «Servicio de asesoría laboral prestado desde Salamanca, con acceso remoto de dos empleados». Anota las exclusiones y su motivo. Si el correo o la conexión a internet sostienen esa actividad, debes considerar esas dependencias aunque las gestione un proveedor externo.

La ISO/IEC 27001 organiza la seguridad mediante un sistema de gestión y un proceso de riesgos adaptado a la organización. El inventario ayuda a concretar qué proteges dentro de su alcance; por sí solo no acredita el cumplimiento ni obtiene una certificación.

En el ENS, la medida op.exp.1 contempla un inventario actualizado de los elementos del sistema, con una persona responsable de cada elemento. Antes de prepararlo, confirma si tu servicio está sujeto al ENS y cuál es su alcance. Una oficina privada no queda obligada por el simple hecho de usar ordenadores.

Qué debes inventariar en una oficina pequeña

Organiza los registros por familias y relaciónalos mediante identificadores estables. No necesitas una fila por cada documento: puedes agrupar información con el mismo responsable, finalidad y protección, como «Expedientes laborales de clientes». Separarás otro conjunto cuando cambien sus accesos, ubicación o necesidades de conservación.

• Información: expedientes, nóminas, contratos, agenda de pacientes o documentación docente. Indica dónde está la copia de trabajo, quién accede y qué servicio la utiliza. Incluye el papel si forma parte del alcance.
• Equipos e infraestructura: ordenadores, móviles de empresa, servidor, almacenamiento, cortafuegos, router y soportes de copia. El portátil que sale a teletrabajar también cuenta. Registra ubicación y estado, incluso cuando esté guardado.
• Software: sistema operativo, aplicación de gestión, ofimática y herramientas de acceso remoto. Relaciona versión, licencia y equipos o cuentas autorizadas, sin guardar contraseñas ni códigos de activación en una lista accesible a toda la plantilla.
• Servicios: correo, alojamiento de documentos, copias externas, conexión y mantenimiento. Anota proveedor, contacto de soporte, renovación y dependencias. Contratar el servicio no elimina tu responsabilidad sobre la información que depositas en él.
• Personas y funciones: responsables, usuarios autorizados y contactos de sustitución. Documenta el papel que desempeñan, no un expediente personal. Una función crítica cubierta por una sola persona merece atención.

Para identificar un puesto en Windows 11, abre Configuración → Sistema → Información y recoge el nombre del dispositivo y la edición del sistema. En macOS, consulta menú Apple → Acerca de este Mac. Contrasta esos datos con la etiqueta y la factura; tener una lista automática de equipos no descubre por sí solo qué expedientes son importantes para tu negocio.

Asigna propietario y una clasificación que se entienda

El propietario del activo es quien responde por las decisiones sobre su uso y protección. No tiene por qué ser quien lo compró, quien lo utiliza o el técnico que instala actualizaciones. En un despacho, la responsable laboral puede decidir los accesos a las nóminas, mientras administración conserva las facturas y el proveedor informático mantiene los equipos.

Deja por escrito nombre o función, persona que ocupa esa función y sustituto. Acuerda quién autoriza un acceso, quién comunica un cambio y quién revisa la ficha. Poner «informática» en todos los registros deja decisiones de negocio sin dueño, especialmente cuando el soporte está externalizado.

Para la información, puedes empezar con etiquetas internas como pública, interna y confidencial, siempre acompañadas de reglas: destinatarios permitidos, forma de compartir y lugar de almacenamiento. Son una propuesta de trabajo, no categorías oficiales universales. En el ENS también debes considerar las dimensiones de seguridad y la categorización del sistema que correspondan; una etiqueta de confidencialidad no las sustituye.

Esta ficha ilustrativa conecta un conjunto de información con el puesto desde el que se consulta. Abre el detalle para ver qué evidencia convendría conservar.

Relaciona cada activo con lo que puede fallar

El inventario sirve de entrada al análisis de riesgos. Para cada servicio importante, recorre la información que utiliza y los medios de los que depende. En una clínica, la agenda puede estar en la nube, pero su consulta depende de la cuenta de recepción, del ordenador y de la conexión. Un fallo en cualquiera de ellos puede impedir gestionar las citas.

Plantea situaciones concretas: una cuenta comprometida permite descargar expedientes; una avería bloquea la presentación de impuestos; una modificación accidental altera un documento. Valora consecuencias y probabilidad con el criterio acordado para tu organización. El precio de compra del ordenador no mide el daño de perder la información que contiene.

Relaciona cada riesgo con el identificador del activo, la medida prevista, su responsable y una fecha. Por ejemplo, para el robo de PORT-GERENCIA-01 puedes revisar cifrado, bloqueo, accesos y capacidad de revocación de sesiones. Para perder documentos, comprueba las copias y una restauración. Anotar «copia activada» no demuestra que puedas recuperar el trabajo.

Registra también qué queda por resolver y quién decide aceptarlo o tratarlo. No necesitas repetir todo el análisis en cada ficha: basta un enlace al registro de riesgos. Así, cuando cambie el proveedor de correo, podrás localizar los riesgos y medidas que dependían del servicio anterior.

Qué preparar cuando llegue el auditor

La documentación concreta dependerá del alcance y del tipo de evaluación. Como preparación práctica, elige un servicio y comprueba que puedes mostrar su información, responsables, equipos relacionados y decisiones de protección. Si necesitas preguntar a tres personas para reconstruirlo, falta una relación en el registro.

1. Inventario vigente: versión o fecha de exportación, identificadores, ubicación, estado, propietario y última revisión. Conserva una vista legible para la auditoría y acceso al registro de trabajo.
2. Criterio de inclusión: alcance definido, familias utilizadas y explicación de las exclusiones. Debe entenderse por qué aparece un servicio externo y cómo se relaciona con tu actividad.
3. Comprobaciones: registros de revisiones, discrepancias detectadas y acciones realizadas. Una factura demuestra una compra; para acreditar la asignación actual necesitarás otra evidencia.
4. Trazabilidad: ejemplos de alta, cambio y retirada, con fechas y autorización cuando corresponda. Añade referencias a riesgos, permisos y medidas aplicadas.

Haz una comprobación en ambos sentidos: selecciona un portátil de la lista y búscalo físicamente; después elige un dispositivo de una mesa y localiza su ficha. Repite el ejercicio con un servicio contratado. Esta muestra ayuda a encontrar equipos olvidados, registros duplicados y suscripciones que nadie reconoce antes de la revisión formal.

Cómo mantenerlo vivo sin rehacerlo cada año

Incluye la actualización en las tareas que ya existen. Antes de entregar un portátil, registra su identificador, usuario, ubicación y servicio asociado. Cuando una persona cambia de departamento, revisa tanto la asignación del equipo como los permisos. Al retirar un aparato, conserva la baja y la evidencia de borrado o destrucción que corresponda.

Designa a alguien de administración para coordinar los cambios y a cada propietario para validar sus activos. El soporte puede mantener datos técnicos; gerencia debe resolver prioridades y responsabilidades. Deja una vía sencilla para avisar de cambios, por ejemplo una solicitud en el panel de Inventariamos con el identificador del activo.

Como rutina inicial, puedes revisar mensualmente los movimientos y trimestralmente los servicios y responsables. Ajusta esa frecuencia a la rotación y al riesgo; no es un plazo normativo general. Una mudanza, una aplicación nueva o una baja de personal justifican una revisión inmediata de lo afectado.

Guarda el inventario en un lugar con permisos y control de versiones. Evita copias paralelas enviadas por correo y limita los datos personales a lo necesario. Si empiezas desde cero, la guía de inventario de equipos informáticos te ayuda a recoger la parte física antes de conectar servicios e información.

Qué piden la ISO 27001 y el ENS sobre el inventario

En la ISO/IEC 27001:2022, el control 5.9 del Anexo A exige un inventario de la información y de otros activos asociados, con su propietario. Los controles 5.10 (uso aceptable) y 5.11 (devolución de activos) completan el ciclo de vida: qué puede hacer cada persona con el activo y qué entrega al irse. Para los equipos, el 8.1 trata los dispositivos finales de usuario y el 7.14 la eliminación o reutilización segura. El inventario no se evalúa aislado: el auditor lo cruza con el alcance (cláusula 4.3) y con el análisis de riesgos.

El ENS (Real Decreto 311/2022) lo recoge en la medida op.exp.1, inventario de activos, y se apoya en op.exp.4 para el mantenimiento y las actualizaciones de seguridad, en mp.eq.3 para los dispositivos portátiles y en mp.si.5 para el borrado y la destrucción. Las medidas aplicables dependen de la categoría del sistema (BÁSICA, MEDIA o ALTA) y de su declaración de aplicabilidad.

Lo que pedirá un auditor es evidencia de que el inventario se usa: no basta con un archivo bien formateado. Pregunta por la fecha de la última revisión, por qué personas validan cada activo y por qué un equipo concreto aparece como dado de baja. Si puedes enseñar una exportación con fecha, el registro de cambios y un ejemplo de alta y baja, tienes lo esencial.

ISO 27001 y ENS, lado a lado

Las dos normas piden un inventario, pero responden a situaciones distintas. La ISO 27001 es voluntaria y la eligen las organizaciones que quieren demostrar un sistema de gestión de seguridad. El ENS es una obligación legal para el sector público y para las empresas que le prestan servicios o soluciones. Si dudas de cuál te toca, empieza por preguntar a tu cliente público qué exige en el contrato.

La certificación la emite siempre una entidad acreditada; Inventariamos no certifica ni audita. Ayudamos a preparar y mantener las evidencias técnicas del inventario según el alcance acordado. Para el detalle de cada camino, tienes la guía de certificación ISO 27001 para una pyme y la de ENS para empresas proveedoras del sector público.

Otras normas que piden inventario: NIS2, RGPD e ISO 22301

La Directiva (UE) 2022/2555, conocida como NIS2, obliga a las entidades esenciales e importantes a gestionar los riesgos de sus redes y sistemas de información, y para eso necesitas saber qué activos tienes. El plazo de trasposición terminó el 17 de octubre de 2024. En octubre de 2026 España no ha publicado en el BOE la ley que la traspone: sigue como anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y el 8 de julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no haber notificado la trasposición. Hasta que exista la ley, no hay obligaciones españolas concretas que citar; para saber si te afectará, consulta la guía NIS2: a quién afecta.

El RGPD exige en su artículo 30 un registro de las actividades de tratamiento, que en la práctica se apoya en el inventario: qué datos personales hay, dónde están y quién accede. Su artículo 32 pide medidas de seguridad adecuadas al riesgo y el 33 obliga a notificar una brecha a la AEPD en 72 horas; sin saber qué sistemas contienen datos personales, ese plazo es difícil de cumplir. La LOPDGDD (Ley Orgánica 3/2018) desarrolla el marco en España. Las medidas técnicas habituales están en RGPD: medidas técnicas en la oficina.

La ISO 22301 de continuidad de negocio parte de identificar qué actividades y recursos sostienen el servicio, y ahí vuelve a entrar el inventario: sin saber de qué equipos, servicios y personas depende la facturación, no puedes decidir qué recuperar primero. En la ISO 27001 lo cubren los controles 5.29 y 5.30, y en el ENS la medida op.cont. Si quieres ver cómo se prepara el examen final, lee cómo preparar una auditoría de ISO 27001 y ENS.

Fuentes oficiales

• ISO/IEC 27001
• Real Decreto 311/2022, Esquema Nacional de Seguridad
• Directiva (UE) 2022/2555 (NIS2)
• Reglamento General de Protección de Datos (RGPD)

Cómo lo hacemos en Inventariamos

Con la app de inventario de equipos te ayudamos a ordenar equipos, asignaciones e incidencias para disponer de una base técnica actualizada. A partir de ella, puedes trabajar con los responsables de tu oficina en la información, los servicios y las evidencias que necesita tu alcance. Si quieres preparar ese punto de partida, cuéntanos cómo trabajáis y revisamos contigo qué falta por identificar.