Cómo saber qué activos tiene tu empresa y qué está exponiendo en internet
Resume este artículo con tu IA
Descubre en días qué activos tiene tu empresa y qué expone en internet: dominios, servicios, credenciales filtradas y shadow IT, sin tocar tus sistemas.
Proteger bien, priorizar bien y presupuestar bien empiezan todos en el mismo sitio: un inventario fiable. La vía rápida para tenerlo es mirarse desde fuera, como lo hace un atacante. Lo que se ve desde internet es un subconjunto pequeño, medible y accionable, y se obtiene en días sin tocar ningún sistema.
El inventario se dispersa porque la empresa crece más rápido que su documentación
Servidores que montó alguien que ya trabaja en otro sitio. Subdominios de una campaña de hace tres años que siguen respondiendo. Un panel de administración abierto durante una migración. Herramientas SaaS contratadas por marketing con tarjeta corporativa.
Es la consecuencia natural de cinco o diez años de crecimiento con un equipo de IT dimensionado para mantener la operación. Reconocerlo así ayuda: el trabajo pendiente es de orden, y el orden se recupera en semanas.
Mirarse desde fuera da resultados en días
El inventario interno completo —cada equipo, cada servicio, cada integración— es un proyecto de meses. El inventario de lo que se ve desde internet se completa en días y, además, cubre primero la parte que importa, porque es la que un atacante puede usar.
Por eso el orden que mejor rinde es de fuera hacia dentro: primero lo expuesto, después lo interno. Así el primer resultado útil llega en la primera semana.
Lo que se ve desde fuera cabe en cinco categorías
- Dominios y subdominios activos. Entornos de pruebas, webs antiguas, portales de proveedor, paneles de gestión.
- Servicios y puertos abiertos. Accesos remotos, escritorios, bases de datos accesibles, interfaces de administración.
- Tecnologías y certificados. Versiones identificables por su huella pública y estado real de los certificados.
- Credenciales filtradas. Correos corporativos y contraseñas aparecidos en brechas de terceros.
- Información de personas. Correos, cargos y organigramas útiles para un fraude al CEO o un phishing dirigido.
Todo esto se obtiene de fuentes públicas, sin pruebas activas, sin ventana de mantenimiento y con la operación funcionando con normalidad.
El atajo para encontrar el shadow IT está en contabilidad
La forma más rápida de saber qué servicios en la nube usa realmente la empresa es revisar las facturas y los cargos recurrentes de los últimos doce meses. Cada suscripción es un sistema con datos corporativos dentro y credenciales asociadas.
Ese cruce —lo que se ve desde fuera más lo que se paga— cubre en pocos días la mayor parte de la superficie real, y lo puede hacer el equipo interno con la ayuda de administración.
Clasificar por impacto de negocio concentra la inversión donde rinde
Un inventario ordenado por criticidad técnica produce listas largas. Uno ordenado por impacto de negocio produce decisiones. Para cada activo relevante, dos preguntas:
- ¿Qué se para si esto cae, y cuánto vale cada hora de operación?
- ¿Qué datos contiene y a quién afectaría su filtración?
Con eso se identifica el 10% que merece inversión, que es donde conviene concentrar el presupuesto disponible.
Un activo con dueño sigue estando ahí dentro de un año
La parte que determina si el trabajo dura: asignar un responsable nombrado a cada activo relevante y fijar una revisión trimestral. Con dueño y cadencia, el inventario se mantiene vivo y cada revisión cuesta una fracción de la primera.
Criterio de verificación: existe una lista de activos con dueño y criticidad revisada cada trimestre, y cualquiera del equipo puede responder al momento a esta pregunta: ¿cuántos servicios tenemos hoy expuestos a internet?
Preguntas frecuentes
Son comp/fqlementarios. El análisis de exposición responde a «qué ve un atacante antes de intentar nada» y es no intrusivo y rápido; el pentest responde a «qué consigue si lo intenta» y aporta profundidad con autorización formal. Empezar por el primero da el mapa del terreno con el que se planifica el segundo.
De forma continua si es posible, y como mínimo trimestral. Cada servicio nuevo que se publica cambia la superficie, así que la revisión periódica mantiene la foto al día.
La parte de facturas y clasificación sí, y conviene que la hagan ellos porque conocen el negocio. El descubrimiento externo y la búsqueda de credenciales filtradas se resuelven mejor con herramientas y fuentes especializadas.
