Cómo documentar un servicio expuesto que ya no tiene responsable

Abre una ficha que distinga hechos y sospechas

Registra URL o dirección, fecha de detección, función aparente y evidencia de que responde. Añade alojamiento, contrato, certificado y reglas de publicación si puedes obtenerlos con acceso autorizado. No incluyas contraseñas ni datos personales encontrados en pantalla. Marca expresamente lo desconocido: una apariencia corporativa o un nombre antiguo no prueban la titularidad ni la legitimidad del servicio.

Busca responsabilidad por varias vías

Consulta inventario, compras, responsables de procesos y proveedor de alojamiento. La persona que pagó una factura puede orientar, pero quizá no pueda autorizar una baja. Diferencia contacto técnico, responsable de negocio y titular contractual. Designa mientras tanto un custodio con capacidad para coordinar la investigación, recibir alertas y elevar decisiones; ese encargo temporal no supone aceptar sin límites el riesgo de mantenerlo publicado.

Acota el riesgo sin improvisar la retirada

Revisa qué funciones ofrece y qué accesos observas sin realizar explotación ni extraer información innecesaria. Si hay indicios de compromiso, activa el procedimiento de incidente. Si necesitas restringir acceso, plantea un cambio autorizado con impacto, recuperación y comunicación. Una ausencia de tráfico durante pocos días no descarta tareas mensuales o estacionales. Busca referencias en integraciones y confirma con quienes pueden sufrir la interrupción.

Fija un desenlace y conserva el rastro

La ficha debe terminar en asignación formal, retirada controlada o excepción temporal aprobada. Pon fecha a la decisión y un criterio de escalado si nadie responde. Para una baja, conserva pruebas de las dependencias revisadas y de que la ruta pública dejó de servir el recurso correcto. Archiva la relación con dominio, proveedor y contrato para evitar que una renovación automática o un despliegue antiguo vuelva a publicarlo sin que nadie lo detecte. Conserva también la respuesta del proveedor.

Fuentes y documentación

• CIS Control 1 · Inventory and Control of Enterprise Assets — Inventario de activos físicos, virtuales, remotos y cloud como base de gestión; se propone una conciliación operativa propia.
• NCSC · Constrain the use of all device interfaces — Identificar servicios e interfaces y poder desactivar lo innecesario; su guía se dirige a fabricantes y no prescribe una configuración universal.