Un proveedor de tecnología financiera presentó un inventario de datos a un importante banco cliente como parte de su evaluación anual de proveedores. El inventario enumeraba siete sistemas que contenían datos financieros de clientes: la base de datos principal de transacciones, la plataforma de informes, dos contenedores de almacenamiento en la nube, el portal de clientes, la pasarela de API y el sistema de copias de seguridad. El equipo de seguridad del banco, que realizaba una evaluación más exhaustiva, pidió al proveedor que ejecutara un análisis de descubrimiento automatizado de su entorno en la nube y presentara los resultados junto con el inventario autodeclarado. El análisis encontró veintitrés sistemas con datos que coincidían con las categorías de datos financieros descritas en el inventario. Los dieciséis adicionales incluían un CRM heredado que se había sustituido dos años antes pero nunca se había retirado, cuatro contenedores de almacenamiento en la nube adicionales creados por distintos equipos en distintos momentos, el almacén de datos analíticos con una réplica completa de los datos de producción, un entorno aislado de desarrollo poblado con datos de producción para pruebas, el sistema de soporte técnico con datos financieros de clientes en los archivos adjuntos de las incidencias y una unidad de red compartida que usaba el equipo de éxito del cliente. El proveedor no había sido deshonesto. Había inventariado lo que conocía. No conocía el resto.
¿Cuál es realmente el problema de la exhaustividad del inventario de datos?
Un inventario de datos es un registro documentado de todos los sistemas, bases de datos, ubicaciones de almacenamiento y flujos de datos que contienen o tratan datos sensibles en el entorno de una organización o de un proveedor. Es el artefacto fundamental de la gobernanza de datos: todos los controles posteriores, desde la gestión de accesos y el cifrado hasta las políticas de conservación y la respuesta a incidentes, dependen de que el inventario sea integral. Un inventario incompleto produce una gobernanza selectiva: los sistemas del inventario reciben los controles adecuados, los sistemas que quedan fuera no reciben ninguna gobernanza y toda la postura de seguridad de los datos se sobrestima sistemáticamente en relación con el panorama real de datos.
El problema de la exhaustividad del inventario surge de la tensión fundamental entre cómo se elaboran los inventarios y cómo evolucionan realmente los entornos. Los inventarios suelen elaborarse una sola vez, durante un ejercicio inicial de mapeo de datos o en respuesta a un requisito de cumplimiento, mediante entrevistas, documentación de los sistemas y conocimiento institucional. Los entornos evolucionan de forma continua con las actividades normales de desarrollo, operaciones y expansión del negocio: se aprovisionan nuevos sistemas, los sistemas heredados no se retiran, los equipos crean contenedores de almacenamiento para proyectos ad hoc y los datos se acumulan en sistemas que nunca se concibieron como repositorios de datos. Cada uno de estos cambios amplía el panorama real de datos, mientras que el inventario permanece estático a menos que se mantenga específicamente.
El problema del inventario autodeclarado es el riesgo de gobernanza específico en los contextos de TPRM. Cuando un proveedor presenta un inventario de datos como evidencia de la madurez de su gobernanza de datos, ese inventario refleja lo que sabe que contiene su entorno. No refleja lo que encontraría un análisis de descubrimiento sistemático. La brecha entre los inventarios autodeclarados y los verificados mediante descubrimiento es sistemáticamente significativa: las organizaciones que realizan un descubrimiento formal después de la autodeclaración suelen encontrar entre un veinte y un cuarenta por ciento más de sistemas con datos de los que identificaba la autodeclaración. Cada sistema de esa brecha es un sistema que no recibe nada de la gobernanza que el inventario declarado debe respaldar.
Las brechas en la exhaustividad del inventario de datos se agrupan en torno a cinco fuentes concretas de inexactitud:
- Sistemas heredados nunca retirados: sistemas que se sustituyeron, pero nunca se eliminaron del entorno, y que siguen conteniendo datos fuera de cualquier programa de gobernanza actual
- Almacenamiento ad hoc aprovisionado por los equipos: contenedores de almacenamiento en la nube, unidades compartidas y repositorios de datos creados por los equipos de desarrollo, análisis u operaciones para proyectos específicos y nunca inventariados formalmente
- Copias analíticas y de informes: instantáneas del almacén de datos, conexiones de herramientas de BI y réplicas de bases de datos de informes que no se consideraron sistemas con datos cuando se elaboró el inventario
- Datos en la sombra en sistemas operativos: plataformas de soporte técnico, herramientas de colaboración y sistemas operativos que acumulan datos sensibles en el curso normal de las operaciones sin que se reconozcan como repositorios de datos
- Sistemas adquiridos o integrados: sistemas incorporados al entorno mediante adquisiciones, alianzas o integraciones que nunca se inventariaron formalmente en el marco del programa actual de gobernanza de datos
Por qué es importante
La exhaustividad del inventario de datos es importante para TPRM porque todos los controles posteriores de gobernanza de datos (gestión de accesos, cifrado, políticas de conservación, alcance de la respuesta a incidentes) dependen de que el inventario identifique los sistemas a los que deben aplicarse. Un inventario incompleto produce una gobernanza sistemáticamente incompleta: los controles se aplican de forma integral a los sistemas inventariados y en absoluto a los no inventariados. Cuando una investigación de una violación de datos mapee los sistemas que contenían los datos del cliente, encontrará sistemas a los que el programa de gobernanza nunca llegó, porque no estaban en el inventario.
La consecuencia regulatoria es una extensión directa de la brecha de gobernanza. El artículo 30 del GDPR exige a los responsables y encargados del tratamiento mantener registros de las actividades de tratamiento, un inventario formal de los sistemas, los fines y las categorías del tratamiento de datos. Un registro del artículo 30 que omite dieciséis de los veintitrés sistemas que contienen datos es un registro incompleto que no satisface el requisito regulatorio, por muy exhaustivamente que estén documentados los siete sistemas inventariados. La obligación regulatoria es integral. El inventario incompleto es un incumplimiento.
Para los profesionales de TPRM, la evaluación de la exhaustividad del inventario exige preguntar no solo si existe un inventario de datos, sino cómo se elaboró y si se ha validado mediante descubrimiento automatizado. Un inventario autodeclarado que nunca se ha validado con herramientas de descubrimiento es un inventario de los sistemas conocidos. Un inventario validado mediante descubrimiento es un inventario de los sistemas reales. La diferencia entre esos dos inventarios es la brecha de gobernanza.
Dónde se equivocan la mayoría de los equipos
La falla más constante es aceptar inventarios de datos autodeclarados sin preguntar cómo se elaboraron ni si se han validado. Un proveedor que presenta un inventario de datos ha documentado lo que sabe de su entorno. Que ese conocimiento sea completo requiere una verificación independiente, ya sea mediante su propio proceso de descubrimiento automatizado o mediante una evaluación independiente. Tratar la autodeclaración como evidencia integral del inventario confunde lo que el proveedor sabe con lo que contiene su entorno.
La segunda falla es tratar el inventario de datos como un documento estático y no como un registro que se mantiene de forma continua. Los entornos cambian continuamente. Un inventario que era exacto cuando se creó se vuelve cada vez menos exacto a medida que se añaden sistemas, persisten los sistemas heredados y se acumula el almacenamiento ad hoc. Un inventario actualizado por última vez hace dieciocho meses puede reflejar el entorno tal como era hace dieciocho meses, mientras que el entorno actual se ha ampliado considerablemente. La frecuencia de actualización del inventario es tan relevante como su exhaustividad inicial.
- Aceptar inventarios autodeclarados sin validación: lo que el proveedor conoce frente a lo que encontraría un descubrimiento
- Ninguna validación del inventario mediante descubrimiento: nunca se ha comparado un análisis automatizado con la autodeclaración
- Inventario estático sin frecuencia de actualización: inventario exacto en el momento de su creación y cada vez menos exacto a medida que evoluciona el entorno
- Alcance del inventario limitado a los sistemas principales de producción: los sistemas analíticos, heredados y de almacenamiento ad hoc quedan excluidos del alcance del inventario
- Ninguna verificación de la retirada de sistemas heredados: sistemas que debían retirarse, pero que no se reflejaron en el inventario
Cómo se ve una buena práctica
Los programas maduros de inventario de datos combinan la autodocumentación con la validación mediante descubrimiento automatizado: usan herramientas de descubrimiento para identificar de forma continua los sistemas que contienen datos y conciliar los hallazgos con el inventario documentado, señalando las discrepancias para su investigación y corrección. El inventario se mantiene como un documento vivo, se actualiza cuando se aprovisionan nuevos sistemas y se valida frente a los resultados de los análisis de descubrimiento según un calendario definido.
- Validación mediante descubrimiento automatizado: herramientas de descubrimiento ejecutadas en el entorno, con los hallazgos comparados con el inventario documentado según un calendario definido
- Mantenimiento continuo del inventario: actualización del inventario activada cuando se aprovisionan nuevos sistemas o se modifican los existentes
- Proceso de retirada de sistemas heredados: proceso formal para eliminar del entorno los sistemas retirados y verificar la migración o supresión de los datos
- Inventario de alcance amplio: un alcance que incluye plataformas analíticas, sistemas operativos, sistemas heredados y almacenamiento ad hoc, además de las bases de datos principales de producción
- Proceso de corrección de discrepancias: los sistemas encontrados en el descubrimiento, pero no incluidos en el inventario, se evalúan, se clasifican y se someten a gobernanza o se documentan como excluidos con justificación
Herramientas
La exhaustividad del inventario de datos requiere herramientas de descubrimiento capaces de identificar de forma sistemática los sistemas que contienen datos en entornos en la nube y locales.
Descubrimiento de activos en la nube: AWS Config, Azure Resource Graph, GCP Asset Inventory
Las plataformas de gestión de la nube ofrecen inventarios integrales de los recursos implementados, enumerando cada contenedor de almacenamiento, instancia de base de datos, recurso de cómputo y servicio del entorno en la nube. AWS Config registra de forma continua la configuración de los recursos de AWS y puede consultarse para identificar todos los recursos que contienen datos en todas las regiones y cuentas. Para los profesionales de TPRM, preguntar si los proveedores usan herramientas de inventario de activos en la nube para validar su inventario de datos frente a su huella real en la nube aporta una pregunta específica sobre el mecanismo de validación.
Descubrimiento y clasificación de datos: BigID, Varonis, Microsoft Purview
Las plataformas de descubrimiento de datos analizan los entornos de almacenamiento en busca de datos que coincidan con patrones definidos, identificando sistemas con datos sensibles que pueden no figurar en el inventario documentado. Para los profesionales de TPRM, preguntar si el proveedor ha ejecutado un análisis de descubrimiento de todo el entorno y ha comparado los hallazgos con su inventario documentado es la pregunta más directa para validar la exhaustividad del inventario.
Gestión de la postura de seguridad en la nube: Wiz, Orca, Prisma Cloud
Las plataformas CSPM ofrecen visibilidad continua del entorno en la nube, identificando todos los recursos de datos, sus configuraciones y su postura de seguridad. Wiz ofrece específicamente un grafo integral de activos de los entornos en la nube que permite validar el inventario mediante el descubrimiento automatizado de recursos. Para los profesionales de TPRM, preguntar si el proveedor utiliza CSPM con descubrimiento integral de activos aporta una pregunta sobre herramientas de validación del inventario específica para la nube.
Desafíos de gobernanza
El desafío de gobernanza de la exhaustividad del inventario de datos es el esfuerzo continuo que exige mantener su exactitud en un entorno en evolución constante. Los análisis de descubrimiento identifican la brecha entre el inventario documentado y el entorno real en un momento determinado. No impiden que se aprovisionen nuevos sistemas fuera del inventario, que los sistemas heredados persistan después de su retirada ni que el almacenamiento ad hoc se acumule entre ciclos de análisis. Mantener la exhaustividad del inventario requiere tanto la identificación de brechas basada en el descubrimiento como controles de proceso que impidan que se formen nuevas brechas.
Para los programas de TPRM, la pregunta práctica de gobernanza es si el proveedor puede demostrar que su inventario de datos está validado mediante descubrimiento automatizado y no solo autodeclarado. Un proveedor que puede presentar resultados recientes de análisis de descubrimiento junto con su inventario, con una investigación y corrección documentadas de las discrepancias, ha demostrado una gobernanza de la exhaustividad del inventario que la evidencia autodeclarada no puede aportar.
- Exigir evidencia de validación mediante descubrimiento junto con el inventario autodeclarado: resultados de los análisis comparados con el inventario como evidencia de su exhaustividad
- Preguntar por la frecuencia de actualización del inventario: con qué frecuencia se revisa y actualiza el inventario a medida que cambia el entorno
- Preguntar por la verificación de la retirada de sistemas heredados: si se ha verificado que los sistemas eliminados del inventario se han eliminado realmente del entorno
- Preguntar por la frecuencia de los análisis de descubrimiento: cuándo se ejecutó el último análisis de descubrimiento de todo el entorno y qué encontró
- Incluir la exhaustividad del inventario en la reevaluación anual: no solo confirmar que existe un inventario, sino validar su exactitud
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de mayor riesgo una pregunta que revela de inmediato la exhaustividad del inventario: ¿cuándo fue la última vez que ejecutaron un análisis de descubrimiento automatizado de todo su entorno para validar su inventario de datos, y cuál fue la mayor discrepancia encontrada entre los resultados del análisis y su inventario documentado? Esa pregunta obliga al proveedor a describir un proceso de validación mediante descubrimiento, en lugar de limitarse a confirmar que existe un inventario, y la respuesta sobre las discrepancias revela la brecha entre lo que sabe y lo que contiene su entorno.
- Preguntar cuándo se ejecutó el último análisis de descubrimiento automatizado y qué encontró en comparación con el inventario documentado
- Preguntar por el proceso de investigación y corrección de discrepancias cuando el descubrimiento encuentra sistemas no incluidos en la lista
- Preguntar cómo se actualiza el inventario cuando se aprovisionan nuevos sistemas o se modifican los existentes
- Preguntar si se usan herramientas de descubrimiento de activos en la nube para validar el inventario de forma continua
Qué exigir
Pregunte directamente:
"¿Cuándo se ejecutó el último análisis de descubrimiento automatizado en todo su entorno para validar su inventario de datos? ¿Y cuál fue la mayor discrepancia encontrada entre los resultados del análisis y su lista de sistemas documentada?"
"¿Cómo se mantiene su inventario de datos a medida que cambia su entorno? En concreto, ¿qué activa una actualización del inventario cuando se aprovisiona un nuevo sistema o se modifica uno existente?"
"¿Su inventario de datos incluye las plataformas analíticas, los sistemas de soporte operativo, los sistemas heredados pendientes de retirada y el almacenamiento ad hoc en la nube, o se limita principalmente a las bases de datos principales de producción?"
Evidencia que debe esperar
- Evidencia de análisis de descubrimiento comparada con el inventario documentado, con documentación de las discrepancias
- Documentación del proceso de actualización del inventario: activadores y frecuencia
- Confirmación del alcance del inventario: todas las categorías de sistemas pertinentes incluidas
- Proceso de verificación de la retirada de sistemas heredados
Un proveedor que responde a la pregunta sobre el análisis de descubrimiento con «nuestro inventario de datos lo mantiene nuestro equipo de gobernanza de datos» ha descrito la titularidad del inventario. Pregunte específicamente cuándo se ejecutó por última vez un análisis de descubrimiento para validar que el inventario refleja lo que hay realmente en el entorno. El inventario es exacto respecto de lo que se documentó. El análisis determina si la documentación está completa.
Cómo demostrarlo
Los registros de las actividades de tratamiento del artículo 30 del GDPR, la documentación obligatoria de los sistemas de PHI de la HIPAA y la delimitación del entorno de datos de titulares de tarjetas de PCI-DSS exigen inventarios integrales de los sistemas de datos. Demostrar la diligencia debida exige evidencia de que la exhaustividad del inventario se validó mediante descubrimiento y no se basó únicamente en una autodeclaración.
- Evidencia de análisis de descubrimiento junto con el inventario autodeclarado del proveedor
- Registros de investigación y corrección de discrepancias
- Documentación del alcance del inventario que confirme una cobertura integral de los sistemas
- Documentación de la frecuencia y los activadores de actualización del inventario
Conclusión clave
El inventario de datos es exacto respecto de lo que se documentó. Lo que no se documentó no aparece en el inventario, no recibe la gobernanza que el inventario debe respaldar y no aparece en el alcance de la violación de datos hasta que un análisis de descubrimiento o una investigación forense lo encuentra. Los dieciséis sistemas que quedaban fuera del inventario autodeclarado del proveedor no estaban ocultos. Simplemente no se conocían: sistemas heredados olvidados, almacenamiento ad hoc creado por equipos que trabajaban con prisa, réplicas analíticas aprovisionadas sin actualizar el inventario. El descubrimiento encuentra lo que la memoria pasó por alto. Un inventario de datos validado mediante descubrimiento automatizado es evidencia de lo que contiene el entorno. Un inventario de datos elaborado a partir del conocimiento institucional es evidencia de lo que alguien recuerda. La gobernanza depende de la exhaustividad. La exhaustividad depende del descubrimiento.