La ISO 27001 es el estándar de referencia para una eficaz Gestión de la Seguridad de la Información. Su anexo A dedica una parte importante de sus controles a los activos: identificarlos, asignarles un responsable, definir cómo se usan y qué pasa cuando salen de circulación. Por eso, entender el alcance de la norma (y en especial de su anexo) resulta esencial para construir una estrategia de Gestión de Activos de IT (ITAM) que resista una revisión externa.
En este artículo explicamos qué pide la norma sobre los activos: el rol de la cláusula 8, qué se considera un activo de información, los tres controles que concentran los requisitos de Gestión de Activos y el mapa completo de controles del anexo A que tocan el inventario. Cerramos con quién responde por cada uno y qué evidencia mira un auditor.
Una aclaración antes de empezar: la versión vigente es la ISO/IEC 27001:2022. El International Accreditation Forum fijó el 31 de octubre de 2025 como fecha límite de transición, y desde entonces los certificados emitidos bajo la versión 2013 dejaron de tener validez. A lo largo del texto mantenemos la numeración anterior entre paréntesis, porque muchos equipos todavía tienen su documentación interna escrita con esas referencias.
¿Qué es ISO 27001? 8 pasos para su implementación
Resumen de la cláusula 8 de la norma ISO 27001
La cláusula 8 de la norma ISO 27001 se llama "Operación" y contiene tres puntos: la planificación y el control de los procesos necesarios para cumplir los requisitos de seguridad, la apreciación de los riesgos de seguridad de la información y el tratamiento de esos riesgos.
En síntesis, hace hincapié en la importancia de ejecutar, supervisar y revisar el Sistema de Gestión de Seguridad de la Información (ISMS - Information Security Management System) de una organización para garantizar su eficacia, a la vez de cumplir con los objetivos previstos.
¿Por qué es importante para ITAM? Porque la apreciación de riesgos parte de saber qué hay que proteger. Sin un inventario confiable de activos, la organización no puede identificar sus riesgos ni justificar qué controles eligió aplicar. El resultado de ese análisis se documenta en la Declaración de Aplicabilidad, donde la empresa deja registrado qué controles del anexo A implementa y por qué.
Los requisitos concretos sobre activos, entonces, no están en la cláusula 8: viven en el anexo A, que es donde se listan los controles que la organización puede seleccionar para tratar los riesgos identificados.
¿Qué son los "activos" según la norma ISO 27001?
En la Gestión de la Seguridad de la Información, los activos se refieren a cualquier elemento valioso para una organización que tiene que ser protegido del acceso no autorizado, así como del uso, la divulgación, la modificación, la destrucción o las vulnerabilidades.
La versión 2022 de la norma usa una fórmula precisa para nombrarlos: "información y otros activos asociados". Esa expresión organiza los activos de información ISO 27001 en dos capas.
La primera capa es la información en sí misma: bases de datos, documentación en papel o digital, código fuente, contratos, credenciales y claves de cifrado, registros de clientes. Es el activo que la norma quiere proteger.
La segunda capa son los activos que sostienen esa información y que, por lo tanto, entran en el alcance del SGSI:
- Hardware: computadoras portátiles, equipos de escritorio, servidores, dispositivos de red, impresoras, teléfonos corporativos.
- Software y licencias: sistemas operativos, aplicaciones instaladas, suscripciones SaaS y los contratos que las respaldan.
- Servicios en la nube: infraestructura, plataformas y aplicaciones contratadas a terceros que almacenan o procesan información de la empresa.
- Soportes de almacenamiento: discos externos, unidades USB, cintas de respaldo y cualquier medio removible.
- Personas y proveedores con acceso: empleados, contratistas y terceros que manejan información o los equipos que la contienen.
- Instalaciones: oficinas, centros de datos y espacios donde se procesa información.
Con relación a la ISO 27001 y la Gestión de Activos, la norma establece que las organizaciones deben identificar y clasificar sus recursos en función de su importancia para el negocio, la sensibilidad de los datos y el impacto probable ante una violación o pérdida de seguridad.
De esta manera, la norma ayuda a las compañías a gestionar su ITAM, impulsándolas a reconocer y centrarse en sus áreas de exposición más significativas, priorizando sus controles y asignando sus recursos de manera más eficaz para la protección de los activos más críticos.
ISO 27001 y Gestión de Activos: detalles de los controles A.5.9 a A.5.11
En la versión 2013, los requisitos de Gestión de Activos se concentraban en el anexo A.8.1, con cuatro subcontroles. La versión 2022 reorganizó el anexo entero en cuatro temas y reubicó esos requisitos dentro de los controles organizativos, con esta equivalencia:
- A.8.1.1 (inventario de activos) y A.8.1.2 (propiedad de los activos) se fusionaron en el control A.5.9.
- A.8.1.3 (uso aceptable de los activos) pasó a ser el control A.5.10.
- A.8.1.4 (devolución de los activos) pasó a ser el control A.5.11.
El contenido de los requisitos se mantuvo estable. Lo que cambió es la numeración y el alcance explícito, que ahora nombra "la información y otros activos asociados" para dejar en claro que los datos entran en el mismo registro que los equipos. Veamos cada control en detalle.
A.5.9 - Inventario de información y otros activos asociados (antes A.8.1.1)
El control se refiere al mantenimiento de un inventario de activos en cumplimiento con la norma ISO 27001, que facilita el seguimiento y la gestión a lo largo de su ciclo de vida, incluyendo la creación, el procesamiento, el almacenamiento, la transmisión, la eliminación y la destrucción.
También establece que estas actividades tienen que documentarse en un registro de activos, actualizarse periódicamente y verificarse para garantizar que el inventario se ajusta a lo que realmente existe en el entorno informático.
En definitiva, los recursos de información y las instalaciones tienen que identificarse y someterse al control como parte de un proceso estructurado.
La mejor manera de cumplir con la norma ISO 27001 es contar con el apoyo de una herramienta ITAM adecuada para mantener el inventario, administrar los bienes y generar reportes.
Propiedad de los activos, dentro del mismo control A.5.9 (antes A.8.1.2)
Al momento de su creación, todos los activos cuentan con un propietario, que es responsable de su gestión a lo largo de su ciclo de vida: puede tratarse de personas, equipos o departamentos.
Los propietarios son los encargados de mantener actualizada la información de los recursos en la base de datos o el inventario, asegurándose de que todo se encuentre clasificado correctamente y de que se apliquen los controles adecuados. También revisan la documentación relacionada para garantizar que se someten a un ciclo de examinación periódico y que, cuando se retire un bien, se elimine por los canales correctos.
La versión 2022 unificó este requisito con el del inventario, de modo que el propietario dejó de ser un control aparte y pasó a ser un campo obligatorio del propio registro de activos.
A.5.10 - Uso aceptable de la información y otros activos asociados (antes A.8.1.3)
Se trata de la generación de una política de uso aceptable orientada a las personas con acceso a activos informáticos. Aunque el equipo de IT sabe qué implica una conducta correcta a la hora de utilizar los equipos, posiblemente el resto del personal y los usuarios finales no lo tengan tan en claro.
Así que es clave generar una política que defina el uso aceptable de los activos tecnológicos y los requisitos de seguridad. A continuación, hay que difundir esta información a todos los involucrados, incluidos los proveedores y contratistas que usan equipos de la empresa.
Cabe aclarar que dichas políticas deben revisarse, actualizarse y ejecutarse periódicamente mediante actividades de formación.
A.5.11 - Devolución de activos (antes A.8.1.4)
Este control se ocupa de garantizar la devolución de todos los activos cuando una persona o un tercero deja de trabajar en la empresa. Los empleados, contratistas externos, proveedores y socios retornan dichos recursos a la organización al momento de finalizar su empleo o contrato.
Supongamos que un antiguo trabajador o un tercero compró el equipo. En ese caso, hay que seguir un proceso estipulado previamente para transferir los datos de la empresa antes de abandonar el negocio. Dicho procedimiento requiere ser documentado. Cualquier bien no devuelto se marca como incidente de seguridad, a menos que se firme y acuerde como parte del offboarding.
Controles del anexo A relacionados con activos
Los tres controles anteriores concentran los requisitos explícitos de Gestión de Activos, y no son los únicos que un auditor revisa contra el inventario. El anexo A de la versión 2022 tiene 93 controles agrupados en cuatro temas: organizativos (A.5), de personas (A.6), físicos (A.7) y tecnológicos (A.8). Varios de ellos se apoyan directamente en el registro de activos, porque sin saber qué equipos, software y servicios existen resulta imposible demostrar que el control está aplicado.
Esta tabla reúne los controles del anexo A ISO 27001 que tocan activos, qué pide cada uno y qué evidencia se presenta en una auditoría.
Leída en conjunto, la tabla muestra por qué los controles ISO 27001 de activos se auditan como un bloque: casi todos apuntan al mismo registro, y una diferencia entre el inventario y la realidad de la red se arrastra a varias observaciones a la vez.
Cómo cumplir estos controles en la práctica
El primer paso es repartir responsabilidades. La norma pide un propietario nombrado para cada activo o grupo de activos, y ese propietario no siempre es el equipo de IT. En la práctica, IT responde por el hardware, los endpoints y el software instalado; las áreas de negocio responden por la información que generan y por su clasificación; Recursos Humanos responde por la devolución de equipos en el offboarding; y Compras responde por los contratos, las licencias y los proveedores. El responsable del SGSI coordina, y la Declaración de Aplicabilidad deja constancia de quién hace qué.
El segundo paso es el registro mínimo. Cada entrada del inventario necesita al menos nombre, tipo de activo, propietario, ubicación, estado, clasificación y fecha de última revisión. En los activos de software se agregan la licencia asociada y la versión instalada, y en los servicios en la nube, el proveedor y los datos que almacenan.
El tercer paso es preparar la evidencia. Un auditor rara vez se conforma con la política escrita: pide el rastro que demuestra que se aplica. Estos son los pedidos más habituales:
- Conciliación entre inventario y realidad: un reporte que compare los activos registrados con los equipos detectados en la red, y la explicación de cada diferencia.
- Trazabilidad de la asignación: el historial de a quién estuvo asignado cada equipo y cuándo cambió de responsable.
- Constancias de baja: el certificado de borrado o destrucción junto con el cambio de estado del activo.
- Software contra licencias: el detalle de lo instalado comparado con lo adquirido, y qué se hizo con las instalaciones no autorizadas.
- Frecuencia de revisión: la fecha de la última verificación del inventario y el calendario de las próximas.
Sostener esto con hojas de cálculo es posible en organizaciones chicas, y se vuelve frágil apenas el parque crece: la hoja refleja el día en que alguien la actualizó, y el auditor pregunta por el día de hoy.
Cómo ayuda InvGate Asset Management
InvGate Asset Management construye y mantiene el inventario de manera automatizada, que es el punto del que cuelgan casi todos los controles de la tabla anterior. El relevamiento combina un Agente instalado en los equipos, descubrimiento de red e integraciones con plataformas como Intune, Jamf, AWS y Azure, además de la carga manual o por archivo CSV para los activos que ningún método automático alcanza.
Sobre esa base, la plataforma cubre los requisitos que el anexo A pide documentar:
- Propiedad y clasificación: cada activo lleva propietario, ubicación, estado y campos personalizables para registrar la clasificación de seguridad que exige el control A.5.12.
- Ciclo de vida completo: costo de adquisición, depreciación, vencimiento de garantía, fecha de fin de vida útil y etapas configurables por tipo de activo, con el historial de asignaciones que respalda la trazabilidad.
- Software y licencias: el Agente detecta el software instalado y sus versiones, recoge datos de uso y costo y los compara contra los contratos, lo que da la conciliación que piden los controles A.5.32 y A.8.19.
- Authorization Policies: clasifica los títulos de software como aprobados, en revisión o prohibidos y marca las instalaciones que quedan fuera de la política.
- Health Rules: asignan un estado de salud a cada equipo según condiciones como cifrado desactivado, antivirus ausente, firewall apagado o actualizaciones pendientes, que es la evidencia que respalda el control A.8.1.
- Automatizaciones: alertas de vencimiento de garantía, revisión de contratos antes de la renovación y avisos por depreciación, para que las fechas críticas no dependan de que alguien las recuerde.
- Reportes y Tablero: reportes programados y tableros personalizados que sirven como indicadores de auditoría y se exportan cuando el auditor los pide.
Si quieres ver cómo se traduce esto en tu propio parque de activos, puedes iniciar una prueba gratuita de 30 días o hablar con el equipo de ventas para revisar tu caso.
¿Por qué es importante la norma ISO 27001 para la Gestión de Activos y quién debe utilizarla?
La norma ISO 27001 aporta a la Gestión de Activos un enfoque sistemático basado en riesgos para proteger la confidencialidad, la integridad y la disponibilidad (CIA - confidentiality, integrity, availability) de la información y de los recursos que la sostienen. La utiliza cualquier persona responsable de implementar, mantener o auditar un ISMS.
Su implementación resulta especialmente relevante en sectores con requisitos legales y regulatorios sobre los datos que manejan, como salud, industria farmacéutica, instituciones financieras y organismos gubernamentales.
La relación entre la ISO 27001 y la Gestión de Activos se resume en una idea: el inventario es la base sobre la que se apoya casi todo el anexo A. Los controles A.5.9, A.5.10 y A.5.11 lo piden de manera explícita, y otra docena de controles lo usa como evidencia sin nombrarlo.
Por eso conviene tratar el registro de activos como un sistema vivo, con propietarios asignados, clasificación al día y revisiones con fecha. Una herramienta de ITAM que releve el parque de forma automatizada convierte ese trabajo en una tarea de control continuo, y la auditoría deja de ser una carrera para poner los registros al día.
Preguntas frecuentes
¿Qué cambió en la versión 2022 respecto de la Gestión de Activos?
Cambió la organización del anexo A, que pasó de 14 dominios a cuatro temas y de 114 a 93 controles. Los requisitos sobre activos que estaban en A.8.1 se movieron a los controles organizativos: A.8.1.1 y A.8.1.2 se fusionaron en A.5.9, A.8.1.3 pasó a A.5.10 y A.8.1.4 a A.5.11. El contenido de lo que se exige se mantuvo estable.
¿Hay que inventariar todos los activos de la organización?
Hay que inventariar los activos que quedan dentro del alcance definido para el SGSI. Ese alcance lo fija la propia organización y se documenta al inicio del proyecto. Un alcance acotado a un área o a un servicio es válido, siempre que el inventario cubra de forma completa todo lo que queda adentro, incluidos los servicios en la nube y los activos en manos de terceros.
¿Quién es el propietario de un activo según la norma ISO 27001?
El propietario es la persona, el equipo o el área responsable de la gestión del activo durante todo su ciclo de vida, y no necesariamente quien lo usa a diario. Se encarga de que la información del inventario esté actualizada, de que la clasificación sea correcta y de que se apliquen los controles que corresponden. La norma pide que ese rol esté asignado de manera nominal y registrado en el inventario.
¿Qué evidencia pide un auditor sobre el inventario de activos?
Pide ver el registro completo con propietario y clasificación por activo, la conciliación entre lo inventariado y lo detectado en la red, el historial de asignaciones, las constancias de devolución y de borrado en las bajas, y la fecha de la última revisión del inventario. También suele solicitar la comparación entre el software instalado y las licencias adquiridas.
