Cómo identificar los activos expuestos a internet que administra tu empresa

Empieza por las fuentes que controlas

Reúne dominios, zonas DNS, direcciones públicas contratadas, recursos cloud, balanceadores y reglas de publicación del cortafuegos. Incluye portales antiguos, entornos de pruebas y accesos que mantiene un proveedor. Pide a compras las suscripciones: un servicio pagado con tarjeta puede no aparecer en el inventario técnico. Conserva la procedencia y la fecha de cada dato para distinguir una configuración actual de un contrato histórico.

Relaciona cada nombre con un servicio

Para cada candidato, anota nombre público, dirección observada, protocolo, función, alojamiento y persona que puede modificarlo. Una IP compartida no convierte todos sus servicios en tuyos. Confirma la relación mediante configuración o documentación contractual y separa titular del dominio, operador de infraestructura y responsable de negocio. Si la empresa solo consume un SaaS, registra esa dependencia sin atribuirte la administración de la plataforma.

Comprueba el exterior con alcance autorizado

Acuerda qué direcciones, horarios y técnicas puedes comprobar, especialmente en infraestructuras de terceros. Contrasta la configuración con una observación externa limitada: un DNS publicado no demuestra que el servicio responda y una ruta privada no prueba que no exista otra entrada. Incluye IPv6 cuando esté disponible. Clasifica cada hallazgo como exposición confirmada, referencia obsoleta o pendiente de atribución, evitando pruebas intrusivas sin autorización.

Convierte los huecos en trabajo

Entrega una ficha por servicio y una cola de discrepancias: publicación no inventariada, dominio sin contacto o regla sin finalidad conocida. Asigna quién investiga y cuándo decide mantener, restringir o retirar. Como ejemplo hipotético, un portal de pruebas activo necesita revisión aunque no reciba visitas. Repite la conciliación después de cambios de proveedor o nuevas publicaciones; el registro describe una fecha, no garantiza una cobertura permanente.

Fuentes y documentación

• CIS Control 1 · Inventory and Control of Enterprise Assets — Inventario de activos físicos, virtuales, remotos y cloud como base de gestión; se propone una conciliación operativa propia.
• NCSC · Constrain the use of all device interfaces — Identificar servicios e interfaces y poder desactivar lo innecesario; su guía se dirige a fabricantes y no prescribe una configuración universal.