Cada vez se habla más de CAASM (Cyber Asset Attack Surface Management, o gestión de la superficie de ataque de activos cibernéticos), un enfoque que está ganando peso dentro de las estrategias de ciberseguridad. Pero si trabajas en operaciones de TI, es probable que al leer su definición pienses: «esto me suena muchísimo a ITAM».
Y no vas mal encaminado. La gestión de activos de TI (ITAM, IT Asset Management) y CAASM no son competidoras, son piezas de un mismo puzle. De hecho, sin una base sólida de ITAM, cualquier estrategia CAASM se construye sobre arena. Vamos a ver por qué.
¿Qué diferencia hay realmente entre ITAM y CAASM?
ITAM es la disciplina que se encarga de gestionar todo el ciclo de vida de los activos de TI (hardware y software) desde que entran en la organización hasta que se dan de baja. Esto incluye tareas como el descubrimiento de dispositivos, el inventario, el mapeo de servicios y su supervisión continua.
CAASM parte de esa misma base, pero con la mirada puesta en la seguridad: su objetivo es identificar todos los activos del entorno, entender cómo se relacionan entre sí y evaluar qué pasaría si alguno de ellos se viera comprometido. En otras palabras, CAASM coge el inventario que genera ITAM y lo convierte en un mapa de riesgo.
La conclusión es sencilla: no puedes gestionar una superficie de ataque que no sabes que existe. Por eso, según una encuesta citada por Ivanti, un porcentaje muy significativo de equipos de ciberseguridad (en torno al 44 %) considera que la visibilidad sobre los activos es un factor determinante para identificar y proteger su superficie de ataque.
Por qué ITAM es más una cuestión de seguridad de lo que parece
Durante años, ITAM se ha visto casi como un tema administrativo: controlar licencias, evitar compras duplicadas, saber qué equipos hay en el almacén. Pero esa visión se ha quedado corta. Una encuesta de EMA a responsables de TI ya reflejaba que casi la mitad medía el éxito de su programa ITAM por su impacto en la reducción de riesgos de seguridad, no solo en el ahorro de costes.
Estos son los beneficios de seguridad que aporta un ITAM bien implementado:
1. Saber qué tienes (identificación de activos)
No se puede proteger un dispositivo que no aparece en ningún inventario. Un ITAM maduro da visibilidad completa sobre routers, servidores, portátiles, licencias y cualquier otro activo conectado al entorno, incluidos los que a veces «se olvidan» en un rincón de la red.
2. Detectar antes de que exploten (gestión de vulnerabilidades)
Sin un inventario completo, cualquier análisis de vulnerabilidades tiene agujeros. Es como intentar hacer una revisión de seguridad de un edificio sin tener el plano completo: puede que te dejes una puerta sin cerrar simplemente porque no sabías que existía.
3. Priorizar donde de verdad importa
No todos los activos tienen el mismo nivel de riesgo. Clasificar los recursos por tipo permite centrar los esfuerzos en lo más crítico (por ejemplo, entornos cloud y SaaS) sin descuidar por completo los activos de menor riesgo, como dispositivos de red perimetral.
4. Cumplimiento normativo
Normativas como el RGPD (o equivalentes internacionales como la CCPA) exigen que las empresas puedan demostrar qué activos gestionan y cómo protegen la información que contienen. Sin un inventario fiable, ese cumplimiento es prácticamente imposible de demostrar.
5. Ahorro de costes (que también es seguridad)
Un tercio de los responsables de TI reconoce que desperdicia presupuesto en recursos cloud infrautilizados o directamente sin usar. Ese gasto descontrolado no solo es ineficiente: resta recursos que podrían destinarse a tapar agujeros de seguridad reales.
Los cuatro pilares de una estrategia CAASM sólida
Si ITAM pone los cimientos, una solución CAASM añade las capas que convierten ese inventario en una defensa activa. Estos son sus componentes principales:
Descubrimiento y gestión de activos. Herramientas que escanean la red para localizar todos los dispositivos conectados, incluidos los que están ocultos o que nadie sabía que estaban ahí. Esta información suele alimentar la CMDB (ver más abajo), que centraliza atributos, configuraciones y relaciones entre activos.
Gestión de vulnerabilidades. Análisis periódicos del entorno para detectar fallos en hardware, software y configuraciones, con recomendaciones de corrección priorizadas según su gravedad.
Inteligencia de amenazas. Monitorización de fuentes públicas y privadas, desde redes sociales hasta foros especializados, para anticipar nuevos vectores de ataque antes de que lleguen a afectar a la organización.
CMDB (base de datos de gestión de la configuración). El repositorio central donde se registran todos los servicios, activos y elementos de configuración, junto con sus relaciones y dependencias. Es lo que permite que cualquier cambio se haga de forma controlada y trazable.
Cuando estos cuatro elementos trabajan de forma coordinada, una empresa deja de reaccionar a los incidentes y empieza a anticiparse a ellos.
La idea clave para llevarte
CAASM no sustituye a ITAM: lo necesita. Antes de invertir en herramientas específicas de superficie de ataque, merece la pena preguntarse: ¿tenemos hoy un inventario de activos completo, actualizado y fiable? Si la respuesta es «no del todo», ese es el primer paso, no CAASM.