Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento

Planillas de control, exportaciones de herramientas, capturas de sistemas de gestión o registros internos entre otros mecanismos que evidencien que los servidores, racks, UPS, dispositivos de red y otros componentes físicos del centro de procesamiento de datos se encuentran inventariados.  

Reportes generados por herramientas de gestión de activos o descubrimiento automático de software, planillas internas, scripts de auditoría o capturas del sistema de gestión de activos, entre otros mecanismos que evidencien que el software base y de aplicación instalado en los activos del centro de procesamiento de datos se encuentra debidamente inventariado. 

Planillas de inventario, registros del sistema de gestión de activos, formularios de asignación o capturas de plataformas utilizadas, donde cada activo cuenta con un responsable asignado y documentado. 

Planillas de control, reportes de sistemas de gestión de activos, capturas de herramientas de descubrimiento automático o formularios de alta de equipos, entre otros registros que evidencien que todos los dispositivos físicos utilizados dentro y fuera del centro de procesamiento de datos están inventariados. 

Listados técnicos, planillas internas, reportes de herramientas de gestión o plataformas de administración de licencias, que reflejen que se mantiene un inventario actualizado de software y aplicaciones. 

Planillas de seguimiento, reportes automatizados, formularios de adquisición o registros de auditoría que permiten verificar que se gestiona activamente el licenciamiento del software, incluyendo información sobre tipo, vigencia y uso asignado. 

Capturas de plataformas de gestión con control de accesos configurado, registros de permisos, actas de definición de perfiles o documentación interna de seguridad que acrediten que el inventario está disponible exclusivamente para las personas autorizadas por la organización. 

Políticas de gestión de activos, diagramas de flujo, procedimientos operativos normalizados o instructivos de trabajo que detallen cómo se mantiene actualizado el inventario de activos, demostrando que existen lineamientos formales definidos por la organización. 

Capturas de pantalla, reportes de uso, manuales internos o fichas técnicas del sistema implementado que permitan constatar que la organización utiliza una herramienta específica para registrar, rastrear y controlar sus activos tecnológicos y de información. 

Configuraciones de herramientas con agentes instalados, flujos automatizados documentados, registros generados por scripts programados o capturas de tareas programadas, utilizados para verificar que el proceso de actualización del inventario incluye mecanismos automáticos, ya sea total o parcialmente. 

Reportes periódicos de control, alertas automáticas, paneles de monitoreo de licencias o registros de revisión de cumplimiento, que permitan confirmar que se realiza un seguimiento continuo del estado del licenciamiento y se detectan a tiempo los vencimientos o irregularidades. 

Informes de auditoría interna, cronogramas de revisión, listas de verificación utilizadas, reportes de hallazgos o planes de acción generados, que evidencien que se realizan auditorías periódicas sobre el inventario para evaluar el cumplimiento de las políticas y procedimientos definidos. 

Planillas de inventario de software, reportes de escaneo de versiones, registros de gestión de vulnerabilidades, tickets de remoción o actas de comité técnico que evidencien que el software fuera de soporte, o que representa un riesgo no aceptable según el análisis de seguridad, ha sido eliminado de los sistemas o reemplazado por versiones soportadas o alternativas seguras. 

Inventario actualizado con fechas de fin de soporte, registros de baja de activos, informes de análisis de obsolescencia, actas del CSI o reportes del RSI que documenten la decisión de eliminación, cronogramas de reemplazo, y reportes de escaneo que identifiquen versiones sin soporte eliminadas del entorno. 

Listas de activos priorizados, matrices de criticidad, planillas internas o reportes generados por el área de seguridad, entre otros mecanismos que demuestren que se han identificado los activos que contienen información crítica conforme a criterios definidos por la organización. 

Campos configurados en el sistema de gestión de activos, planillas con columnas de clasificación, capturas de pantalla o formularios de registro que indiquen que cada activo tiene asignada su clasificación según los criterios establecidos. 

Inventarios donde se visualice la clasificación aplicada, reportes de revisión de activos clasificados, formularios de registro o tickets de alta que reflejen que los activos que almacenan o procesan información han sido clasificados de acuerdo con el procedimiento institucional.  

Capturas de pantalla, manuales de usuario, fichas de configuración o reportes generados por la herramienta de gestión de activos, que evidencien que el sistema permite registrar, consultar y mantener la clasificación de cada activo. 

Política formal, instructivo interno o procedimiento operativo firmado o validado por la organización, que establezca los criterios y niveles de clasificación alineados con la normativa nacional vigente. 

Instructivos o diagramas de flujo que definan cómo se etiquetan los activos. 

Formularios de alta, tickets de modificación, procedimientos de baja y configuraciones del sistema que reflejen la incorporación del criterio de clasificación en todas las etapas de gestión de los activos. 

Configuraciones de sistemas, matrices de control de accesos, registros de asignación de permisos o instructivos técnicos que permitan demostrar que los accesos a la información están definidos en función de la clasificación de los activos y los perfiles autorizados.  

Informes de revisión interna, lista de verificación, registros de auditoría o reportes de monitoreo que acrediten que se realizan controles periódicos para validar que la clasificación aplicada a los activos sigue siendo correcta y actualizada. 

Instructivos, manuales de usuario, guías operativas, mensajes institucionales o registros de comunicación interna que permitan comprobar que existen pautas básicas de uso aceptable de los activos de información definidas por la organización.  

Formularios de aceptación firmados, registros de consentimiento en plataformas de inducción, contratos con cláusulas específicas o sistemas con validación previa al primer acceso, que evidencien que toda persona debe aceptar formalmente las condiciones de uso antes de acceder a activos de información.  

Instructivos técnicos, políticas de uso, configuraciones de herramientas de cifrado o control de acceso y listas de activos restringidos, que demuestren que se prohíbe o regula el almacenamiento de información sensible en activos sin controles adecuados. 

Políticas de uso, configuraciones de herramientas de gestión de dispositivos, controles técnicos en endpoints o registros de incidentes bloqueados, que evidencien que existen medidas técnicas o administrativas para impedir acciones como la instalación de software no autorizado o el cambio de configuraciones críticas.  

Documento de Política de uso aceptable de los activos aprobado por la dirección, incorporado en normativas internas, planificaciones institucionales o publicaciones oficiales, que evidencie la existencia de una política formal que regule el uso adecuado de los activos de información. 

Correos institucionales, registros de comunicación en la intranet, materiales de sensibilización o listas de distribución, que demuestren que la política de uso ha sido comunicada al personal, proveedores y terceros.  

Informes de revisión, cronogramas de controles, listas de verificación o tickets de seguimiento que demuestren que se realiza una supervisión periódica de los activos que contienen o procesan información sensible. 

Planes de contingencia, procedimientos específicos de respuesta, formularios de notificación o simulacros realizados, que demuestren que existe un plan formal para actuar ante la pérdida o robo de activos de información. 

Registros de actividad de herramientas de monitoreo, reportes de SOC, configuraciones de alertas o contratos con proveedores de servicios gestionados, que evidencien que las medidas de protección implementadas en los activos son monitoreadas permanentemente. 

Informes de revisión, auditorías internas, controles aleatorios, listas de chequeo o reportes de hallazgos que evidencien que se realizan evaluaciones periódicas para verificar que el uso de los activos se ajusta a lo definido en la política.