1. Propósito
Establecer requisitos para mantener un inventario integral de todos los activos empresariales y garantizar que solo los activos autorizados estén conectados a la infraestructura de red de [ORGANIZATION].
2. Alcance
Esta política se aplica a todos los activos de hardware propiedad de, gestionados por o utilizados por [ORGANIZATION], incluyendo dispositivos de usuario final, servidores, infraestructura de red, dispositivos IoT, dispositivos móviles y máquinas virtuales alojadas en la nube, en todas las ubicaciones y entornos.
3. Política
3.1 Requisitos del Inventario de Activos
[ORGANIZACION] deberá mantener un inventario detallado de todos los activos empresariales con potencial para almacenar o procesar datos, actualizado con una frecuencia no menor a [PERSONALIZAR: semestral/trimestral/mensual].
El inventario de activos deberá registrar, como mínimo: etiqueta de activo o identificador único, dirección de hardware (MAC), dirección de red (si es estática), nombre de host, propietario del activo, departamento asignado, tipo de activo, sistema operativo y versión, ubicación física o virtual, y estado de autorización de red.
Todos los activos deberán clasificarse como Autorizados, No Autorizados o En Revisión dentro de [PERSONALIZAR: 48 horas/1 semana] de su descubrimiento.
El Gestor de Activos designado ([PERSONALIZAR: rol/equipo]) será responsable de mantener la precisión e integridad del inventario de activos.
3.2 Descubrimiento de Activos
[ORGANIZACION] deberá utilizar herramientas automatizadas de descubrimiento activo para escanear la red en busca de activos conectados con una frecuencia no menor a [PERSONALIZAR: diaria/semanal].
Los registros del servidor DHCP deberán recopilarse y utilizarse para identificar y actualizar el inventario de activos empresariales con una frecuencia no menor a semanal.
Para entornos IG3: Se deberán implementar herramientas de descubrimiento pasivo de activos para identificar continuamente los activos conectados a la red, con resultados revisados al menos semanalmente.
Las herramientas de descubrimiento de activos deberán cubrir todos los segmentos de red, incluyendo DMZ, internos, de invitados y redes conectadas a la nube.
3.3 Respuesta ante Activos No Autorizados
Deberá existir un proceso documentado para abordar los activos no autorizados descubiertos en la red, con revisión realizada con una frecuencia no menor a semanal.
Los activos no autorizados deberán ser gestionados mediante una de las siguientes acciones dentro de [PERSONALIZAR: 24/48/72] horas de su identificación: eliminación de la red, cuarentena en un segmento de red aislado, bloqueo de conectividad remota, o autorización con aprobación documentada.
Todos los incidentes de activos no autorizados deberán registrarse y reportarse a [PERSONALIZAR: Seguridad de TI/CISO] para seguimiento y análisis de tendencias.
3.4 Gestión del Ciclo de Vida de Activos
Todos los nuevos activos deberán registrarse en el inventario antes de o dentro de [PERSONALIZAR: 24/48] horas de su implementación en la red.
Los activos que se den de baja deberán seguir los procedimientos de sanitización de datos y eliminación de [ORGANIZACION] antes de ser removidos del inventario.
Las revisiones del inventario de activos deberán realizarse [PERSONALIZAR: trimestral/semestralmente] para verificar la precisión y eliminar registros obsoletos.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos