Inventario de activos — plantilla
Plantilla de inventario para volcar el estado material del cliente. El objetivo es tener una foto contrastable de qué hay realmente operativo, no qué se ha pretendido tener. Este inventario es prerequisito para el gap analysis (un control no se puede evaluar si no se sabe sobre qué activo se evalúa).
Convención: cada activo tiene un ID único que se usa después en las matrices de gap analysis y en evidencias.
A. Sites / datacenters
| ID | Nombre | Ubicación | Proveedor | Tier / certif. | Rol | Sites redundantes con | Notas |
|---|
| SITE-01 | | | | | Primario / DR | | |
| SITE-02 | | | | | | | |
B. HSMs
| ID | Site | Modelo | Fabricante | Firmware | Cert. CC EAL / EN 419 221-5 | Operativo desde | Próxima rotación | Doble custodia | Notas |
|---|
| HSM-01 | SITE-01 | | | | | | | Sí/No | |
| HSM-02 | SITE-02 | | | | | | | Sí/No | |
Mínimo recomendado: 2 HSMs en producción + 1 en DR + 1 en disaster store offline. Todos con la misma versión de firmware certificada.
C. Pares de claves / certificados
| ID | Tipo | HSM | Algoritmo | Longitud | Uso (TSU/Sello-evidencia/CA-interna…) | Cert. emitido por | Vigencia | Estado | Política referenciada |
|---|
| KEY-01 | TSU signing | HSM-01 | RSA / ECDSA | 4096 / P-384 | TSU-1 | CA externa "X" | 2024-01–2027-01 | Activo | OID política QTSA |
| KEY-02 | TSU signing | HSM-02 | | | TSU-2 | | | | |
| KEY-03 | ERDS evidence sealing | HSM-01 | | | QERDS evidences | | | | |
| KEY-04 | Internal CA | HSM-01 | | | Emite KEY-01/02/03 si CA interna | self-signed | | | |
D. TSU (Time-Stamping Units)
| ID | Site | Versión software | Implementación | Hash algos aceptados | Política referenciada en TST | Endpoint | Capacidad (TST/s) | Notas |
|---|
| TSU-1 | SITE-01 | | | SHA-256 / SHA-384 | OID … | https://… | | |
| TSU-2 | SITE-02 | | | | | | | |
E. Fuentes de tiempo
| ID | Tipo | Ubicación | Stratum | Sincronización | Trazabilidad UTC | Drift medido | Conectado a |
|---|
| TIME-01 | GNSS | SITE-01 (azotea) | — | continua | sí (operador GNSS) | < X ms | TSU-1, TSU-2 |
| TIME-02 | NTP | servidor X | 1 | NTPv4 | sí (REE/IGS/…) | | |
| TIME-03 | NTP | servidor Y | 1 | | | | redundancia |
| ID | Componente | Versión | Implementación | Estándares ETSI 522 cubiertos | Capacidad | Notas |
|---|
| QERDS-01 | Frontend web | | | | | |
| QERDS-02 | Engine de evidencias | | | 522-1, 522-2, 522-3, 522-4-x | | |
| QERDS-03 | Connector con TSA | | | | | |
| QERDS-04 | Storage de evidencias | | | retención 15 años | | |
G. Identificación de usuarios (si aplica)
| ID | Método | Proveedor | Conformidad ETSI EN 319 461 | Volumen previsto | Notas |
|---|
| ID-01 | Videoidentificación | | sí/no | | |
| ID-02 | DNIe + NFC | | | | |
| ID-03 | Cl@ve | | | | |
| ID-04 | Presencial | | N/A | | |
H. Sistemas de gestión y monitorización
| ID | Sistema | Función | Cobertura | Logs firmados | Retención |
|---|
| OPS-01 | SIEM | correlación | logs PKI/TSA/QERDS/SO | sí/no | |
| OPS-02 | NMS | red | | | |
| OPS-03 | APM | aplicación | | | |
| OPS-04 | Ticketing | gestión | | | |
| OPS-05 | KMS / Secrets manager | claves no-HSM | | | |
I. Documentación normativa publicada
| ID | Documento | URL pública | Versión | Fecha | Firmado con |
|---|
| DOC-01 | TSA Policy | | | | sello cualificado |
| DOC-02 | TSA Practice Statement | | | | |
| DOC-03 | ERDS Policy | | | | |
| DOC-04 | ERDS Practice Statement | | | | |
| DOC-05 | PKI Disclosure Statement | | | | |
| DOC-06 | Términos y condiciones | | | | |
| DOC-07 | Plan de cese | | | | |
| DOC-08 | Política de privacidad | | | | |
J. Personal con roles críticos
| ID | Rol | Persona | Backup | NDA firmado | Background check | Formación última | Notas |
|---|
| ROL-01 | CISO | | | | | | |
| ROL-02 | Custodian de clave A | | | | | | |
| ROL-03 | Custodian de clave B | | | | | | |
| ROL-04 | TSA Operator | | | | | | |
| ROL-05 | Auditor interno | | | | | | |
| ROL-06 | DPO | | | | | | |
K. Subcontratistas / proveedores críticos
| ID | Proveedor | Servicio | Contrato firma | Cláusulas eIDAS | SLA | Auditoría disponible |
|---|
| SUB-01 | (ej. CA externa) | | | | | sí/no |
| SUB-02 | (ej. proveedor identificación remota) | | | | | |
| SUB-03 | (ej. datacenter) | | | | | |
| SUB-04 | (ej. CAB) | auditoría conformidad | | | | N/A |
L. Pólizas y garantías
| ID | Tipo | Aseguradora | Cobertura | Vigencia | Notas |
|---|
| POL-01 | RC profesional QTSP | | ≥ 2.000.000 € | | Ley 6/2020 art. 9.3.b |
| POL-02 | Ciberseguridad | | | | |
| POL-03 | Locales / activos | | | | |
Cómo se usa este inventario después
- Cada fila de la matriz consolidada del gap analysis referencia uno o varios IDs de activos.
- Las evidencias en
05-evidencias/ siguen el naming <control-id>__<activo-id>__<fecha>.<ext> para trazabilidad bidireccional.
- En el roadmap, los work packages que afectan a un activo lo declaran explícitamente.
