Cómo convertir la visibilidad del software en un proceso operativo en la empresa

Imagina la siguiente situación: tu equipo de TI recibe una llamada del departamento jurídico. Un nuevo proveedor pide una auditoría de cumplimiento y quiere la documentación completa de todos los productos que se usan en la organización. Suena bastante sencillo (y hasta rutinario), pero a los cinco minutos empiezas a entrar en pánico.

¿Tu inventario? Una hoja de cálculo de hace cinco años.

¿Tus herramientas? Dispersas y duplicadas entre varios departamentos (y nadie sabe quién es responsable de qué).

Y, por lo visto, Steve, el de contabilidad, usa una versión sin soporte de un software que debería haberse retirado hace 18 meses.

Aunque parezca un caso hipotético (y algo exagerado), es una escena que se repite con frecuencia en organizaciones de todos los tamaños. Y es justo el tipo de problema que la gestión de activos de software empresarial (ESAM) está diseñada para evitar.

Un estudio de Gartner prevé que la shadow AI (es decir, el software que se ejecuta sin que TI lo sepa o lo apruebe) representará el 40 % de los problemas de cumplimiento de la seguridad en las empresas en 2030. Lo peor es que esa cifra, basada en nuevos datos publicados en Forbes, podría estar incluso subestimada: el 69 % de los directivos afirma que merece la pena asumir el riesgo de usar herramientas de IA no autorizadas si eso permite a su equipo trabajar más rápido y cumplir los plazos.

Esa brecha entre lo que TI cree que está instalado y lo que realmente se ejecuta en los endpoints y los sistemas es el punto de partida de las peores historias de terror de TI. En esta guía intentamos evitarlo: te ayudamos a convertir la visibilidad del software en un proceso operativo y a mejorar la coherencia de la gobernanza y la resiliencia.

¿Qué significa realmente convertir la visibilidad del software en un proceso operativo?

Casi todas las organizaciones ya tienen algún tipo de inventario de software. Sin embargo, suelen ser «fotografías»: una lista puntual que queda desfasada en el mismo momento en que se crea. Al fin y al cabo, los entornos cambian sin parar. Entran y salen empleados, se añaden nuevas suscripciones SaaS, se despliegan actualizaciones de software y mucho más.

Convertir la visibilidad del software en un proceso operativo, en cambio, significa tratar el inventario como un proceso continuo y vivo, integrado en tus operaciones de TI. Según la publicación especial 1800-5 del NIST, que ofrece orientación sobre gestión de activos de TI para grandes organizaciones, un sistema ITAM maduro debe registrar, rastrear y supervisar los activos de forma continua, y correlacionar el inventario de software con la información de seguridad y gestión de eventos para detectar y corregir anomalías e incumplimientos de políticas en tiempo real.

En la práctica, esto implica no solo usar una de las mejores herramientas de inventario de software para tu caso de uso concreto, sino también crear una cultura de seguridad en la empresa para que el software se gestione de forma automática y no solo cuando llama un auditor.

Por qué se fragmenta la visibilidad del software

Cada entorno empresarial es distinto, pero hay causas habituales que explican por qué se pierde la visibilidad del software:

• Plantillas híbridas y distribuidas: los endpoints remotos suelen ser los más difíciles de supervisar de forma constante. Los dispositivos que se conectan poco o a través de redes personales pueden alejarse de las configuraciones aprobadas sin que se dispare ninguna alerta.
• Compras descentralizadas: cuando cada departamento o empleado puede adquirir herramientas SaaS con cargo a gastos, el software se multiplica fuera del alcance de TI.
• Sistemas de inventario fragmentados: las organizaciones que usan herramientas distintas para la gestión de endpoints, el seguimiento de aplicaciones cloud y la gestión de licencias casi nunca tienen una visión unificada de su panorama de software.
• Infraestructura heredada junto a SaaS moderno: gestionar una mezcla de software on-premise, aplicaciones alojadas en el cloud y despliegues híbridos implica que ningún método de descubrimiento lo cubre todo por sí solo.
• Rotación de personal y lagunas en el ciclo de vida: cuando un empleado se va, no siempre se le retira el acceso al software con rapidez. Las licencias siguen activas, las cuentas permanecen y el riesgo de seguridad se prolonga.

El resultado es lo que el sector llama «shadow IT»: software que se ejecuta en el entorno y que TI ni conoce, ni ha aprobado, ni puede controlar. Más allá de los evidentes problemas de gobernanza, la shadow IT genera un derroche económico directo. Según el Informe sobre el coste de una filtración de datos 2025 de IBM, estos incidentes costaron a las empresas estadounidenses unos 670.000 dólares de media, además del coste medio de la filtración. A escala empresarial, las licencias sin usar y duplicadas pueden sumar fácilmente millones de dólares en gasto evitable.

Cómo convertir la visibilidad del software en un proceso operativo

Hablemos ahora de cómo lo hacen las grandes organizaciones. Ten en cuenta que estos pasos no son inamovibles: pueden variar según las necesidades concretas del negocio y el presupuesto de TI de la organización.

Paso 1: automatizar el descubrimiento continuo de software

La palabra clave aquí es «continuo», no «periódico». Los enfoques tradicionales basados en auditorías dependen de barridos periódicos que generan datos precisos en un momento dado y que enseguida quedan obsoletos. En un entorno empresarial distribuido, una auditoría trimestral de software se parece a fotografiar el tráfico: obtienes una imagen fiel de lo que había en ese instante, pero no te dice nada de lo que pasa después.

Las empresas en crecimiento necesitan un descubrimiento de software dinámico y automatizado en todos los endpoints gestionados y entornos cloud. Así, los datos del inventario de software se actualizan con regularidad y no solo cuando TI decide comprobarlos. Este enfoque identifica las aplicaciones instaladas, los números de versión, los dispositivos asociados y el estado del despliegue casi en tiempo real.

En el caso de las aplicaciones SaaS alojadas en el cloud, el descubrimiento puede adoptar otra forma, normalmente mediante integraciones con el proveedor de identidad (como los registros de SSO) o detección a través del navegador. Como buena parte del software empresarial moderno nunca llega a instalarse en un endpoint en el sentido tradicional, una estrategia de descubrimiento completa debe tener en cuenta tanto los canales de software gestionado como los no gestionados.

Independientemente del tipo de despliegue, el paso 1 debería permitirte responder a estas preguntas:

• ¿Qué software está instalado ahora mismo en nuestros endpoints?
• ¿Qué versiones se están ejecutando?
• ¿Alguna de esas versiones está sin soporte o ha llegado al final de su vida útil? ¿Hay algo instalado que no debería estar?

Paso 2: normalizar el inventario

La normalización consiste en estandarizar los nombres de software, los nombres de fabricante, los identificadores de versión y las clasificaciones por categorías para que el inventario sea coherente y, sobre todo, útil.

Un inventario de software bien normalizado asocia cada aplicación descubierta a un registro estandarizado que incluye el fabricante, el nombre del producto, la versión, la edición y la plataforma. La norma ISO/IEC 19770-2, parte del estándar internacional de gestión de activos de TI, aborda precisamente este problema mediante las etiquetas de identificación de software (SWID): identificadores digitales que el propio fabricante integra en el software y que permiten una identificación fiable y coherente entre herramientas y plataformas. Cuando los fabricantes facilitan etiquetas SWID, reducen de forma notable el trabajo manual de normalización.

Para el software que no incluye etiquetas SWID, las organizaciones suelen recurrir a herramientas SAM (software asset management) que mantienen bibliotecas de software curadas: en esencia, bases de datos de referencia que asocian los registros de instalación sin procesar a identificadores de producto estandarizados. Consulta esta guía para gestionar activos de hardware y software si quieres más información.

Paso 3: conciliar las licencias

Una vez actualizado y normalizado el inventario de software, el siguiente paso es la conciliación: comparar lo que está instalado con lo que tienes derecho a usar (lo que a veces se denomina tu «posición de licencias»).

Aunque suene bastante sencillo, aquí es donde las empresas suelen encontrar dificultades. Las licencias de software son tremendamente complejas. Un único acuerdo con un fabricante puede incluir distintos tipos de licencia (por dispositivo, por usuario, concurrente, por suscripción, perpetua), distintas ediciones con distintas funciones, restricciones geográficas u organizativas y derechos de actualización que pueden mantenerse o no. Conciliar un registro detallado de instalaciones con estas condiciones contractuales exige tanto datos de inventario precisos como un conocimiento profundo de tus derechos de uso.

Una posición de licencias negativa significa que tienes más instalaciones que licencias y supone un riesgo de cumplimiento que hay que corregir antes de una auditoría. A la inversa, una posición positiva significa que tienes más licencias que instalaciones, lo que indica que estás gastando dinero en software que nadie utiliza.

Por tanto, el objetivo no es ninguno de los dos extremos, sino una posición de licencias equilibrada y precisa.

Paso 4: aplicar políticas de gobernanza del software

La gobernanza del software consiste en establecer y aplicar políticas que determinen qué software puede instalarse en tu entorno, quién puede instalarlo, mediante qué proceso y cómo se gestionará a lo largo de su ciclo de vida.

Conviene recordar que, más allá del documento de política, las empresas también deben desarrollar flujos de trabajo operativos, es decir, los procesos del día a día que hacen cumplir esas directrices de gobernanza. Entre ellos:

• Flujos estandarizados de solicitud y aprobación de software (para que los empleados que necesiten una herramienta sepan cómo pedirla por canales legítimos).
• Procesos de compra que canalicen todas las adquisiciones de software a través de TI o que, al menos, le avisen cuando se produzcan.
• Listas de verificación de alta y baja de empleados que garanticen que el acceso al software se concede y se retira de forma sistemática.

El objetivo de llevar esto al terreno operativo es cerrar la brecha de visibilidad que permite que la shadow IT se instale en primer lugar. No se trata de ser tan restrictivo que los empleados acaben esquivando a TI por frustración, sino de hacer que el canal legítimo sea más rápido y más fácil de usar.

Paso 5: integrar con las herramientas de seguridad

Este paso no va tanto de añadir otra herramienta a tu stack como de conectar el trabajo que ya has hecho en los pasos 1 a 4 con tus flujos de seguridad existentes. Concretamente, tu inventario de software debería alimentar tres puntos:

• Tu plataforma de gestión de vulnerabilidades, para que el equipo de seguridad sepa de inmediato qué endpoints ejecutan la versión afectada (y cuántos son).
• Tus flujos de gestión de parches, para que la cobertura y el estado de las actualizaciones de software en todo el entorno sean visibles en tiempo real.
• Tu sistema de detección y respuesta de endpoints (EDR), para que las instalaciones de software no autorizadas o anómalas se marquen como posibles indicios de compromiso.

Estas integraciones contribuyen a una arquitectura ITAM madura al aportar contexto sobre anomalías y otros incumplimientos de políticas en la red. Los datos que recopilas aquí pasan a formar parte de tu inteligencia de seguridad operativa.

Paso 6: informar con claridad

Los pasos 1 a 5 generan resultados que hay que comunicar a la dirección y a las partes interesadas. Y aunque los informes se suelen dejar para el final en los programas ITAM, son el mecanismo que convierte la visibilidad en decisiones de negocio (y te ayudan a conseguir el presupuesto de TI que tanto necesitas).

Un buen informe de dirección sobre gestión de activos de software cubre normalmente cuatro áreas:

1. Coste y optimización de licencias: ¿cuánto gasta la organización en software y qué parte de ese gasto corresponde a herramientas que se usan de verdad frente a licencias inactivas o duplicadas? Las respuestas ayudan a la dirección a decidir con más información sobre renovaciones, renegociaciones o consolidaciones.
2. Cumplimiento y preparación ante auditorías: ¿cuál es la posición de licencias actual de la organización con los principales fabricantes? ¿Hay brechas de cumplimiento conocidas que haya que corregir, y con qué plazos y coste? Este tipo de informe permite a la dirección tomar decisiones proactivas en lugar de reactivas cuando llegan los avisos de auditoría.
3. Exposición de seguridad: ¿cuántos endpoints ejecutan software sin soporte o al final de su vida útil? ¿Cuál es la cobertura y el estado de parcheo en todo el entorno? Los informes de inventario orientados a la seguridad ayudan a los responsables a priorizar los recursos de corrección.
4. Estado del ciclo de vida: ¿qué software se acerca al final de su vida útil, a la renovación del contrato o a la retirada programada? Los informes de ciclo de vida permiten a los equipos de TI y de compras planificar con antelación en vez de improvisar cuando llegan las renovaciones.

Errores habituales en la visibilidad del software empresarial

• Tratar el descubrimiento como un proyecto puntual: el fallo más común es ver el inventario de software como algo que se hace y no como algo que se mantiene de forma continua. Un descubrimiento inicial sin sincronización continua produce datos exactos el primer día y cada vez más erróneos a partir de entonces.
• Saltarse la normalización: los datos de inventario sin procesar no se pueden conciliar con los registros de licencias. Las organizaciones que omiten este paso acaban con datos de descubrimiento precisos que no pueden aprovechar.
• Invertir poco en comunicación interna: las políticas de SAM que los empleados no entienden o no pueden cumplir con facilidad generan shadow IT.
• Aislar el SAM de la seguridad: las organizaciones que tratan su programa ITAM como algo separado de sus operaciones de seguridad desperdician el uso más valioso a nivel operativo de los datos de inventario de software.
• Centrarse solo en el cumplimiento y no en el coste: muchas organizaciones implantan el SAM sobre todo para prepararse ante auditorías de fabricantes y luego dejan dinero sobre la mesa al no identificar y eliminar de forma sistemática las licencias duplicadas o sin usar. Las dos caras de la ecuación importan.

Cómo empezar

Si tu organización parte de un inventario fragmentado y quiere avanzar hacia una visibilidad continua del software, esta es la secuencia más recomendada:

• Empieza por el descubrimiento. Antes que nada, consigue una imagen completa y razonablemente precisa de qué software se ejecuta en tu entorno gestionado.
• Normaliza lo que encuentres. Asocia los datos de descubrimiento sin procesar a registros de producto estandarizados para que lo que has descubierto se pueda comparar de verdad con lo que has comprado.
• Determina tu posición de licencias. Concilia el inventario normalizado con tus derechos de uso y contratos. Este paso suele generar valor económico inmediato, porque la mayoría de las organizaciones descubren tanto licencias que necesitan comprar como licencias que pagan y no utilizan.
• Crea flujos de gobernanza. Desarrolla o formaliza tu política de SAM, tu proceso de solicitud y aprobación de software y tus procedimientos de alta y baja de empleados.
• Integra con las operaciones de seguridad. Conecta tu inventario de software con tus flujos de gestión de vulnerabilidades y de gestión de parches. Asegúrate de que, cuando se publique una vulnerabilidad crítica, tu equipo de seguridad pueda consultar al instante qué activos están afectados.
• Establece informes periódicos. Define la frecuencia y el contenido que necesitan las partes interesadas de tu organización y automatiza su envío cuando sea posible.
• Itera y mantén. La visibilidad del software no es un proyecto con fecha de fin. Planifica el mantenimiento continuo, la evaluación de herramientas y la mejora de procesos a medida que evoluciona tu entorno.

La importancia de gestionar el inventario de software

La gestión de activos de software empresarial es una de las inversiones más rentables que puede hacer un departamento de TI. Las organizaciones que la llevan bien al terreno operativo gastan menos en licencias sin usar, evitan el coste económico y operativo de los incumplimientos, responden más rápido y con más seguridad a los incidentes y toman mejores decisiones sobre sus inversiones en software.

Temas relacionados:

• Cómo pueden los MSP revisar manualmente el inventario de dispositivos con exportaciones del portal
• Qué es la gestión de activos de TI: una visión general completa
• Gestión del ciclo de vida de los activos de TI: visión general y etapas