Una auditoría de activos de IT es un proceso que los equipos del sector deberían realizar con regularidad, pero que pocas veces lo ejecutan de manera eficaz. Las licencias no se revisan y pronto los registros dejan de reflejar la realidad. La primera señal de este problema llega con una solicitud del auditor o una notificación inesperada de un proveedor.
En esta guía explicamos cómo hacer una auditoría de activos paso a paso para construir un inventario de IT confiable, qué verificar en cada caso, cómo llevar a cabo el conteo físico con QR y RFID, cuáles son los riesgos y en qué consiste el informe final.
¿Qué es una auditoría de activos de IT?
Una auditoría de activos de IT consiste en una revisión estructurada de todos los recursos tecnológicos de una organización para verificar que los registros sean precisos, que cada bien cuente con un responsable asignado y que se cumplan los requisitos internos y externos. Se trata de un punto de control de la Gestión de Activos de IT (ITAM): el momento en que se compara el inventario con la realidad física, los contratos y las licencias.
En cuanto a los tipos de auditoría de IT, se encuentran los siguientes:
- Auditoría interna: se realiza según el calendario del propio equipo de Tecnología.
- Auditoría externa: la lleva a cabo un proveedor o un organismo regulador que solicita evidencias formales.
- Requisitos de cumplimiento: se inicia a partir de una notificación de un prestador o de una obligación normativa, como el RGPD o la HIPAA.
¿Qué cubre una auditoría de activos de IT?
Cada categoría de activo requiere verificaciones particulares, además de basarse en distintas fuentes de evidencia. La siguiente tabla resume qué comprobar en cada una y dónde obtener la información:
¿Por qué importan las auditorías de activos de IT?
Una auditoría de activos informáticos es fundamental porque permite detectar diferencias entre los registros y la realidad, que pueden generar costos y riesgos para la organización. En efecto, los recursos que figuran en el sistema, pero ya no existen o no se encuentran en uso, consumen presupuesto en soporte y licencias. Mientras que el software sin licencia implica consecuencias legales; o el hardware que superó su fecha de fin de soporte representa una amenaza a la seguridad. Además, es imposible administrar los bienes según un calendario planificado sin responsables asignados.
¿Cómo hacer una auditoría de activos de IT con InvGate Asset Management?
InvGate Asset Management en 5 minutos (demo)
Aplicables a cualquier entorno de IT, desde una única oficina hasta una infraestructura distribuida en varias filiales, estos son los pasos para realizar una auditoría de equipos de cómputo -al final de cada uno, explicamos cómo administrarlos con InvGate Asset Management-:
Paso 1: definir el alcance, el disparador y los responsables
La primera instancia consiste en documentar qué motiva la auditoría, qué categorías de activos y ubicaciones se incluirán, quién recibirá los resultados y cuál es la fecha límite del proceso.
Así, por caso, una auditoría iniciada por una notificación de un proveedor se centrará en el software del mismo, mientras que una auditoría interna periódica suele abarcar todas las categorías mencionadas en la tabla anterior.
InvGate Asset Management ofrece la posibilidad de filtrar los activos por el alcance, tomando las vistas guardadas y las etiquetas, para que todo el equipo trabaje con el mismo conjunto de datos.
Paso 2: armar el inventario con todas las fuentes
La auditoría de activos de IT detecta las discrepancias si la organización posee un inventario completo, que se puede construir utilizando diversos métodos: el Agente de InvGate Asset Management instalado en el hardware, el software, las instancias de las bases de datos y las herramientas de IA; el descubrimiento de red, que rastrea los dispositivos que no tienen agentes; y las integraciones con herramientas como Microsoft Intune, Jamf, AWS y Microsoft Azure que incorporan equipos y soluciones de la nube.
Los certificados, los flujos de trabajo y los aparatos periféricos se cargan manualmente o a través de la importación de archivos CSV.
Otras dos fuentes enriquecen esos registros: Atlas suma las fechas del final de la vida útil y del soporte, mientras que las API de garantía completan los datos de cobertura de los dispositivos Dell, Lenovo e IBM a partir de sus números de serie.
Paso 3: verificar lo que el descubrimiento automático no ve
Para la detección de monitores, aparatos periféricos, almacenados o en tránsito, es necesario realizar una auditoría física.
Para ello, InvGate Asset Management proporciona la función de escaneo de códigos QR con un celular o de lectura de las etiquetas a través de la tecnología RFID (la opción de códigos de barras estará disponible próximamente). En cualquier caso, las auditorías físicas se llevan a cabo en una ubicación a la vez.
Al cerrar la auditoría de equipos informáticos, cada activo registra la fecha, la ubicación y el resultado de su última verificación física. La clasificación Faltante, Extra y Desconocido queda para la corrección de las discrepancias.
Paso 4: conciliar software, licencias y contratos
Este paso -el que más interesa a los auditores de los proveedores- consiste en realizar una auditoría del software y revisar los contratos para identificar los próximos vencimientos.
InvGate Asset Management cuenta con la función Cumplimiento de Software que releva las instalaciones que no respetan las condiciones de la licencia, las soluciones de IT con bajo nivel de uso y los posibles ahorros por contrato. Las Políticas de Autorización, en tanto, clasifican cada programa como permitido, en revisión o prohibido.
Además, una automatización nativa genera avisos sobre los contratos próximos a renovarse que todavía no fueron revisados para evitar que se actualicen automáticamente sin una evaluación previa.
Paso 5: controlar los riesgos y la calidad de los datos
La auditoría de hardware y software también ayuda a identificar activos registrados que representan riesgos de seguridad o cuyos datos están incompletos. Por eso, es clave revisar las garantías vencidas, la protección de los antivirus, los sistemas de cifrado desactivados, las actualizaciones pendientes del sistema operativo, el software prohibido y los registros sin responsable asignado o sin datos de compra.
Las reglas de estado clasifican cada dispositivo como Seguro, en Advertencia o Crítico según condiciones como las que mencionamos. A su vez, las Recomendaciones Inteligentes permiten detectar deficiencias en los datos, por ejemplo, activos sin detalles sobre el costo de adquisición.
En los Elementos de Configuración (CI - Configuration Items) de las bases de datos, la función Gobernanza del Cambio registra quién realizó cada modificación crítica, cuándo se ejecutó y por qué lo hizo, evidencias que puede pedir el auditor.
Paso 6: informar los hallazgos
Los hallazgos de la auditoría deben agruparse por categorías: discrepancias en los registros, incumplimientos normativos o de las licencias, activos sin responsables asignados, riesgos y oportunidades de ahorro. Cada grupo se dirige a una parte interesada, por lo cual el informe tiene que crearse según sus necesidades.Los reportes programados se envían automáticamente a su público correspondiente.
La plataforma también cuenta tableros para hacer un seguimiento de los indicadores entre las auditorías. A su vez, los resultados de las auditorías físicas se pueden exportar a archivos CSV o XLSX.
Los equipos que utilizan asistentes de IA tienen la posibilidad adicional de consultar el inventario a través del servidor MCP de InvGate Asset Management, que responde preguntas de tipo solo lectura sobre activos, responsables y costos.
Paso 7: corregir, asignar y programar el próximo ciclo
Cada hallazgo requiere un responsable, una acción correctiva y una fecha límite. Para eso están las acciones masivas del explorador de activos que permiten subsanar ubicaciones, estados y responsables en una sola operación.
Además, las automatizaciones relacionadas con el vencimiento de las garantías y las renovaciones de los contratos ayudan a evitar la aparición de los mismos problemas en la siguiente auditoría.
Para la mayoría de los equipos, lo ideal es combinar revisiones mensuales de las excepciones con una validación completa por trimestre. Cada ciclo parte de la información corregida en el anterior, por lo cual el proceso de auditoría se vuelve con el tiempo más breve.
Conclusión
Una auditoría de activos de IT se reduce a dos preguntas: ¿Los registros coinciden con la realidad? y ¿Hay alguien responsable de cada recurso? La realización periódica de los siete pasos que enumeramos aquí ayuda a mantener actualizada esta información sobre el hardware, el software, los servicios en la nube, los contratos y los activos digitales que hoy también forman parte del inventario.
InvGate Asset Management integra el descubrimiento, la verificación física, el cumplimiento normativo y la generación de informes en un único inventario, de modo que las evidencias estén listas antes de su solicitud por parte del auditor.
Para conocer de qué manera la plataforma se puede adaptar a tu entorno, inicia una prueba gratuita de 30 días o contacta al equipo de Ventas.
Preguntas frecuentes
¿Cada cuánto conviene hacer una auditoría de activos de IT?
La mayoría de los equipos realiza una auditoría de activos de IT completa cada trimestre y revisa mensualmente las excepciones, como los recursos sin un responsable asignado o las garantías vencidas. En los sectores regulados y en los casos en los que se debe afrontar una auditoría de un proveedor, este ciclo suele ser más corto.
¿Quién hace la auditoría de activos de IT?
Las auditorías internas suelen estar a cargo del equipo de IT o de Gestión de Activos de IT, en general con el apoyo de las áreas de Finanzas y Compras. Las auditorías externas, en tanto, las llevan a cabo los proveedores de software, los organismos reguladores o los auditores por fuera de la organización, que solicitan la documentación formal como evidencia.
¿Qué diferencia hay entre una auditoría de activos de IT y una auditoría de software?
Una auditoría de activos de IT abarca todas las categorías de bienes, incluidos el hardware, el software, los servicios en la nube, los contratos y los activos digitales. En cambio, una auditoría de software se centra exclusivamente en las instalaciones y las licencias: es la que inicia un proveedor.
¿Qué tiene que incluir el informe de una auditoría de activos de IT?
El informe debe enumerar los activos revisados, las discrepancias detectadas según su categoría, las brechas de cumplimiento, los recursos sin un responsable asignado y los elementos que representan riesgos. También tiene que indicar quién fue el encargado de cada hallazgo y cuál es el plazo para su resolución. De esta manera, el reporte se convierte en la referencia base para el siguiente ciclo de auditoría.
