Pregunta a cualquier empresa mediana cuántos sistemas usa y obtendrás una cifra. Pide la lista y no existirá. Entre el ERP que todo el mundo conoce y la herramienta que un departamento contrató con tarjeta hay una capa de aplicaciones, servicios cloud, integraciones y accesos que nadie ve entera. No es negligencia: es que nadie tiene el encargo de verla.
Sin esa lista, todo lo demás cojea. No se puede proteger lo que no se sabe que existe, no se puede preguntar por un proveedor que no está apuntado, y cuando llega un incidente, un cliente grande con un cuestionario o una norma nueva, la primera semana se pierde reconstruyendo lo que debería estar escrito.
La lista mínima cabe en una hoja de cálculo y tiene cinco columnas:
- El sistema, con nombre y para qué se usa.
- Quién lo administra, dentro o fuera de la empresa.
- Qué datos toca, aunque sea a grandes rasgos: clientes, empleados, finanzas.
- De qué depende: dónde está alojado y con qué se integra.
- Quién puede entrar desde fuera, incluidos proveedores y antiguos empleados que nadie dio de baja.
La primera versión se hace en una tarde con tres fuentes: las facturas y suscripciones de los últimos doce meses, una vuelta por los departamentos preguntando qué usan de verdad, y la lista de accesos del correo y de la VPN. Saldrá incompleta. No importa: una lista incompleta que alguien mantiene vale infinitamente más que una perfecta que no existe.
Lo difícil no es hacerla sino mantenerla viva, porque la tecnología de la empresa cambia cada mes aunque nadie lo anote. Ese mantenimiento es exactamente el tipo de trabajo que casi ninguna pyme tiene cubierto, y la razón de que el inventario aparezca al principio de cualquier auditoría seria: es el mapa sobre el que se dibuja todo lo demás.
Qué están mirando este año los equipos que sí tienen ese mapa delante: El universo de riesgo tecnológico en 2026.
