Establecer y Mantener un Inventario de Software
Descripción
Establecer y mantener un inventario detallado de todo el software licenciado instalado en activos empresariales. El inventario de software debe documentar el título, editor, fecha de instalación/uso inicial y propósito comercial de cada entrada; cuando sea apropiado, incluir el Localizador Uniforme de Recursos (URL), tienda(s) de aplicaciones, versión(es), mecanismo de implementación y fecha de decomisionamiento. Revisar y actualizar el inventario de software semestralmente o con mayor frecuencia.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma unificada de gestión de endpoints para inscripción de dispositivos, implementación de software, configuración y cumplimiento en Windows, macOS, iOS y Android
Microsoft · Suscripción por usuario/por dispositivo
Plataforma de espacio de trabajo digital que combina UEM con entrega de aplicaciones virtuales y acceso de confianza cero para gestión de endpoints
Broadcom (VMware) · Suscripción por dispositivo
Plataforma de gestión de activos de IT y gestión de activos de software con optimización de licencias y gestión de SaaS
Flexera · Suscripción empresarial
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Compromiso de Cadena de Suministro mediante Software No Rastreado
IntegridadSoftware malicioso o con puertas traseras instalado sin seguimiento de inventario evade la revisión de seguridad, permitiendo ataques de cadena de suministro como los vistos en compromisos tipo SolarWinds.
Explotación del Cumplimiento de Licencias
ConfidencialidadSoftware sin licencia o pirateado instalado fuera de los controles de inventario introduce versiones troyanizadas o cracks que contienen malware integrado y robadores de credenciales.
Software Abandonado como Superficie de Ataque
IntegridadLas aplicaciones instaladas para proyectos anteriores pero nunca inventariadas permanecen en los sistemas con vulnerabilidades conocidas, proporcionando objetivos fáciles de explotación para los atacantes.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Sin Inventario Centralizado de Software
Sin un inventario de software mantenido, la organización no puede determinar qué aplicaciones están instaladas en los endpoints, dejando software desconocido sin parchear y sin monitorear.
Incapacidad para Verificar la Legitimidad del Software
Sin registros de editor, versión y propósito comercial, la organización no puede distinguir el software autorizado de las instalaciones no autorizadas o maliciosas.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Documento | Documentación del inventario o catálogo actual | Mantenido continuamente, revisado trimestralmente |
| Documento | Documentación de procesos/procedimientos para actividades de identificación | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |