No puede proteger lo que no conoce.

Registrar algo más que certificados y puntos de conexión visibles públicamente

Además de los certificados TLS, analizamos las bibliotecas, los algoritmos de firma, los almacenes de claves y las funciones integradas en los productos. El análisis de código fuente, la revisión de configuración y la recopilación técnica de información pueden complementarse entre sí. Ninguna herramienta por sí sola detecta todas las dependencias; por eso documentamos de forma explícita la cobertura alcanzada y las incertidumbres que quedan.

Cada hallazgo se asigna a un sistema y a un equipo responsable. Son relevantes el algoritmo, el uso, el componente de soporte y los datos que se protegen. Una lista de algoritmos sin su finalidad de uso sirve de poco a la hora de priorizar más adelante.

Registrar en el inventario la posibilidad de cambio y las dependencias

Distinguimos entre el software desarrollado internamente y los productos que solo pueden modificarse mediante actualizaciones del fabricante. También registramos los equipos con ciclos de vida largos y las contrapartes de comunicación externas. La pregunta no es solo qué se utiliza hoy, sino quién puede impulsar y aceptar un cambio.

El inventario cuenta con un proceso de mantenimiento. El software nuevo y los cambios relevantes deben registrarse para que el inventario no quede obsoleto a los pocos meses. Para los sistemas inaccesibles, dejamos constancia de las evidencias pendientes y de las consultas concretas a los proveedores, en lugar de interpretar la falta de visibilidad como ausencia de criptografía.