Modelos y registros · ISO 27001 · Apartado A.5.9
Modelo de inventario de activos de información ISO 27001
La relación de la información y de los sistemas que la soportan, cada uno con su propietario y su clasificación, que da sentido al análisis de riesgos y al control de accesos.
En una frase
El inventario de activos de información relaciona la información y los activos asociados —aplicaciones, equipos, servicios en la nube, personas clave— con su propietario, su ubicación y su clasificación; lo exige el control 5.9 del Anexo A de ISO/IEC 27001:2022, que pide desarrollarlo y mantenerlo actualizado.
- Dónde lo pide la norma
- ISO 27001 · Apartado A.5.9 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Documento obligatorio Control 5.9 del Anexo A: se mantiene si la declaración de aplicabilidad lo incluye
- Quién lo rellena
- Propietarios de los activos Sistemas lo consolida; cada propietario responde de que lo suyo esté y sea correcto
- Cuándo
- En cada alta, baja o cambio Con una revisión completa al menos antes del análisis de riesgos anual
- Cuánto se conserva
- Siempre vigente Se mantiene actualizado; conviene conservar el histórico de altas y bajas para reconstruir qué existía en una fecha
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
El cuerpo de la norma no obliga a inventariar: lo hace el control 5.9, que pide un inventario de la información y otros activos asociados, con sus propietarios. Como es raro que una organización lo excluya con fundamento, en la práctica todos los auditores lo esperan.
ISO/IEC 27002 orienta sobre el nivel de detalle: suficiente para gestionar los riesgos, no una lista de cada cable. Lo que importa es que cada activo relevante tenga dueño y que el inventario se mantenga al día cuando se dan altas y bajas.
El inventario se apoya en otros controles: la clasificación (5.12), el uso aceptable (5.10) y la devolución de activos al salir de la empresa (5.11).
Estructura
Campos que debe tener el modelo
- Identificador y nombre del activo
- Tipo: información, aplicación, servicio en la nube, equipo, soporte, persona clave
- Propietario
- Ubicación o proveedor que lo aloja
- Clasificación de la información (por ejemplo, pública, interna, confidencial)
- Procesos o servicios que dependen de él
- Si contiene datos personales
- Fecha de alta, última revisión y baja
Ejemplo
Ejemplo: cuatro activos de una empresa de software
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| A-001 Base de datos de clientes | Información · Propietaria: directora comercial · Confidencial · Datos personales: sí |
| A-014 Plataforma SaaS | Aplicación · Propietaria: directora de operaciones · Alojada en proveedor de nube, región UE |
| A-022 Repositorio de código | Servicio en la nube · Propietario: director técnico · Confidencial |
| A-040 Portátiles del equipo | 82 unidades · Propietario: responsable de sistemas · Cifrado de disco obligatorio |
| Última revisión | 28 de agosto de 2026, antes del análisis de riesgos anual |
En la auditoría
Errores que suelen señalar los auditores
- Inventario solo de hardware: falta la información y los servicios en la nube.
- Propietario genérico («departamento de IT») en lugar de una persona.
- Bajas de empleados sin devolución de equipos registrada.
- La clasificación del inventario no coincide con la que se aplica a los documentos.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1El inventario de activos de información se construye con propietario y clasificación para cada activo.
- 2El propietario de cada activo y de cada riesgo se asigna directamente en el sistema, y el análisis de riesgos se enlaza a los activos.
- 3El inventario es un registro versionado: cada alta, baja o cambio queda con su fecha y su autor.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Qué nivel de detalle necesita el inventario?
El suficiente para gestionar los riesgos. Agrupar los portátiles de un mismo modelo y configuración en una línea es razonable; agrupar en una sola línea toda la información de clientes, no.
¿Sirve el mismo inventario para el ENS?
Sí, con matices: la medida op.exp.1 del ENS también pide un inventario actualizado con su responsable. Conviene añadir a qué sistema categorizado pertenece cada activo.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Contexto de la organización
El sistema de seguridad de la información empieza por saber qué activos hay que proteger y quién tiene…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Modelo de plan de tratamiento de riesgos ISO 27001
Qué debe incluir el plan de tratamiento de riesgos de ISO 27001 (6.1.3 e): opción elegida, controles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022