Uma equipe de segurança não consegue corrigir, isolar nem recuperar o que não sabe que existe. O inventário de ativos é o fundamento mais cobrado pelos padrões internacionais e, ao mesmo tempo, o controle que mais envelhece mal: quando a lista perde contato com a rede real, a correção de vulnerabilidades, a resposta a incidentes e a recuperação passam a trabalhar às cegas. A ação prioritária é reconstruir o inventário como processo vivo, com descoberta contínua de dispositivos, campos mínimos por linha, responsável identificado e revisão periódica obrigatória.
Este guia reúne o que NIST, CIS e CISA pedem sobre o tema e organiza um procedimento que uma equipe enxuta consegue sustentar. O escopo é o inventário de ativos da empresa — estações de trabalho, servidores, dispositivos de rede, itens de IoT e recursos em nuvem —, com foco em decisão prática: por onde começar, o que registrar e como provar que a cobertura é real.
Por que o inventário falha
A maioria das listas morre por três motivos. Primeiro, a rede muda mais rápido do que o processo: máquinas virtuais criadas para um teste ficam esquecidas, projetos piloto terminam sem baixa e aparelhos de terceiros passam a conectar com regularidade. Segundo, a nuvem criou ativos efêmeros que ligam e desligam conforme a demanda, formato que planilhas não acompanham. Terceiro, o inventário costuma ser propriedade de um setor só, sem dono por ativo, o que impede qualquer tratamento rápido quando algo aparece fora da política.
O CIS resume o problema com uma frase direta: empresas não conseguem defender o que não sabem que possuem. A entidade também observa que invasores escaneiam de forma contínua o espaço de endereços das organizações, em busca justamente de ativos novos, sem configuração segura e sem correção aplicada — o caminho mais barato de entrada. Em um incidente, o custo aparece duas vezes: sem inventário, a investigação não consegue relacionar um tráfego suspeito a um dono, nem listar quais outros equipamentos do mesmo tipo precisam de verificação imediata.
O que os padrões exigem
As três referências convergem para a mesma exigência com pesos diferentes. O CSF do NIST coloca a gestão de ativos na função Identificar e exige que inventários de hardware, software e sistemas gerenciados pela organização sejam mantidos como resultado central da estrutura, com priorização por criticidade para a missão. A versão vigente também pede inventário dos serviços prestados por fornecedores — tema detalhado na análise sobre o registro de fornecedores exigido pelo DORA.
O CIS Controls vai além do princípio e desce ao campo: para o Controle 1, cada linha do inventário precisa registrar endereço de rede, endereço de hardware, nome da máquina, responsável, departamento e autorização de conexão à rede. A revisão do inventário de todos os ativos da empresa deve ocorrer de forma semestral, no mínimo, e ativos não autorizados exigem processo definido, com escolha entre remover da rede, negar conexão remota ou colocar em quarentena.
Do lado do governo americano, a CISA transformou visibilidade em diretiva. Para a agência, conhecer o que existe na própria rede é o primeiro passo para qualquer organização reduzir risco — recomendação publicada junto da diretiva BOD 23-01, obrigatória para agências federais civis e estendida como referência a empresas privadas. A agência justifica a medida citando atacantes que exploram justamente ativos desconhecidos ou sem proteção adequada.
Campos mínimos por ativo
A tabela abaixo consolida os campos exigidos pelo CIS e os campos operacionais que fazem a diferença durante um incidente. Ela vale como modelo para planilha, CMDB ou ferramenta de descoberta.
| Campo | O que registrar | Por que importa |
|---|---|---|
| Identificador único | Hostname, número de série ou ID do recurso em nuvem | Evita duplicar o mesmo equipamento em duas linhas |
| Endereço MAC | MAC das interfaces ativas | Reconhece o ativo mesmo quando o IP muda |
| Endereço IP | IP fixo ou faixa distribuída por DHCP | Permite localizar o equipamento na rede |
| Dono do ativo | Pessoa ou equipe responsável | Define quem decide e responde na crise |
| Área | Setor ou projeto a que pertence | Liga o ativo ao processo de negócio |
| Liberado para conectar | Sim, não ou em análise | Base da política de controle de acesso à rede |
| Fonte da descoberta | Varredura, DHCP, MDM ou cadastro manual | Mostra a origem da informação e sua confiança |
| Última vez visto | Data da última detecção | Revela linhas mortas e ativos sumidos |
Procedimento para começar do zero
- P1 — congelar a base atual. Exporte o que existe hoje (CMDB, planilha, listas de MDM), registre a data e marque as linhas sem dono como dívida aberta. A meta é partir do conhecido para medir o desconhecido.
- P1 — varredura ativa do espaço próprio. Agende varreduras de descoberta em todo o espaço de endereços interno e nas faixas de nuvem, com frequência diária em ambiente produtivo. Compare cada resultado com a base: tudo que aparece na varredura e não está na lista vira candidato a ativo não autorizado.
- P1 — descoberta passiva com logs. Use registros de DHCP e telemetria de borda para capturar dispositivos que ligam e desligam sem aparecer em varredura pontual, revisando o resultado ao menos uma vez por semana.
- P2 — classificação por criticidade. Marque ativos que armazenam ou processam dados sensíveis e sistemas essenciais ao negócio; essa classificação guia a ordem de correção e de resposta.
- P2 — tratamento de não autorizados. Defina em política o destino de cada aparelho fora da lista: remoção, negação de acesso remoto ou quarentena, com prazo curto e registrado.
- P2 — integrar ao ciclo de vida. Amarre o inventário à compra e ao descarte: nenhum equipamento entra ou sai da rede sem atualizar a lista, inclusive a retirada definitiva de mídias com dados.
Métricas que provam cobertura
Um inventário sem métrica vira opinião. Três perguntas bastam para a diretoria acompanhar: qual percentual dos ativos detectados na descoberta consta no inventário; qual percentual das linhas tem todos os campos obrigatórios preenchidos; e quanto tempo faz desde a última atualização da base. A primeira revela cegueira, a segunda revela cadastro incompleto e a terceira revela abandono. Metas razoáveis para começar: base com no máximo seis meses de idade — o piso exigido pelo CIS — e rotina semanal rodando para os não autorizados.
Erros comuns na operação
- Manter a planilha parada em um único setor, sem dono por ativo e sem revisão datada.
- Listar apenas equipamentos corporativos e ignorar aparelhos de parceiros que conectam com frequência, mesmo sem serem controlados pela empresa.
- Esquecer a nuvem: instâncias pausadas, clusters de teste e contas de serviço órfãs precisam de linha própria.
- Tratar o inventário como projeto único de auditoria, sem rotina de descoberta permanente depois da entrega.
- Não conectar a lista ao processo de saída de pessoas e equipamentos, o que transforma ativos legítimos em porta de entrada.
O inventário não é papel de conformidade: é a base que decide se a correção chega a tempo, se a contenção isola o equipamento certo e se a recuperação conhece o parque inteiro. Comece pela varredura, corrija o cadastro e mantenha a revisão datada — o restante da segurança depende dessa lista.