Inventario de aplicaciones: elimina suscripciones zombi en 30 días

Una suscripción zombi es una aplicación que sigue cobrando o conservando datos aunque casi nadie la use. Algunas nacen de una prueba gratis. Otras fueron contratadas por una persona que ya salió. También existen herramientas que sí se usan, pero nadie sabe quién administra la cuenta. El problema no es solo dinero. Cada aplicación puede guardar clientes, archivos, contraseñas o conexiones con otros sistemas. Un inventario permite ver el mapa completo antes de cancelar. Esta guía propone hacerlo en 30 días con una hoja de cálculo. No necesitas descubrir todo en una tarde. Necesitas un proceso repetible, un responsable y evidencia suficiente para no romper una tarea importante.

Días 1 a 5: encuentra las aplicaciones

Empieza por fuentes que ya existen: estados de cuenta, tarjetas corporativas, facturas, correo con palabras como “bienvenido”, “renovación” y “recibo”, accesos con Google o Microsoft y extensiones del navegador. Pregunta a cada área qué usa para vender, diseñar, compartir archivos, firmar, cobrar y comunicarse. La meta no es castigar a quien instaló algo sin permiso. Si la gente teme una sanción, ocultará herramientas. Explica que buscas proteger el trabajo y eliminar duplicados. CIS Control 2 recomienda administrar activamente el software autorizado. La FTC también aconseja hacer inventario de hardware, software, información y conexiones.

• Nombre de la aplicación y dirección web oficial.
• Propósito y proceso que apoya.
• Dueño interno y administrador de la cuenta.
• Usuarios activos y método de inicio de sesión.
• Datos que guarda o puede consultar.
• Costo, moneda, ciclo y próxima renovación.
• Integraciones, exportación y respaldo.
• Decisión, fecha y evidencia de cierre.

Días 6 a 10: identifica dueño, acceso y datos

Cada aplicación necesita un dueño de negocio, no solo una persona técnica. El dueño responde qué proceso depende de ella y quién puede autorizar cambios. Anota si el acceso pertenece a una cuenta corporativa o al correo personal de alguien. Revisa administradores, usuarios invitados, llaves de integración y permisos. Después clasifica los datos: públicos, internos, confidenciales o especialmente sensibles según el contexto. No copies datos personales a la hoja; solo describe el tipo. La guía rápida de NIST para pequeñas empresas propone registrar el uso oficial, responsable, información sensible y medidas de acceso. Eso convierte una lista de cargos en un instrumento de operación.

Días 11 a 18: clasifica sin adivinar

Usa cuatro decisiones: conservar, corregir, reemplazar o retirar. Conserva cuando hay uso, dueño, controles y valor. Corrige cuando la herramienta sirve, pero tiene cuentas compartidas, demasiados administradores o un plan incorrecto. Reemplaza cuando existe un duplicado claro y la migración es posible. Retira cuando no hay uso ni obligación de conservar datos. No decidas solo con el último inicio de sesión. Una app de declaraciones anuales puede pasar meses sin actividad y seguir siendo necesaria. Pide al dueño evidencia: reporte de uso, proceso documentado, contrato o dependencia técnica. Si nadie puede explicar para qué sirve, pasa a revisión, no a borrado inmediato.

Días 19 a 25: cierra sin perder información

Antes de cancelar, revisa contrato, renovación, facturas y obligaciones de conservación. Exporta datos en un formato que puedas abrir sin la aplicación. Prueba una muestra, no confíes solo en el botón de descarga. Desconecta integraciones, revoca llaves, elimina usuarios y cambia cualquier contraseña compartida. Pide al proveedor confirmación de cierre y borrado según corresponda. Conserva evidencia sin guardar secretos en la hoja. Si la aplicación publica formularios o páginas, verifica que no queden enlaces rotos. Si alimenta reportes, actualiza su fuente. NIST señala que la gestión de proveedores debe abarcar requisitos y riesgos durante la relación, no solo al momento de compra.

Días 26 a 30: evita que el problema regrese

Crea una puerta de entrada sencilla para nuevas aplicaciones. No hace falta un comité enorme. Un formulario puede pedir propósito, dueño, costo, datos, usuarios, integración, doble factor y forma de salida. Define quién aprueba según riesgo y monto. Las compras pequeñas pueden tener una revisión ligera; una herramienta con nómina o clientes necesita más atención. Programa una revisión trimestral de uso y una mensual de renovaciones. El inventario debe cambiar cuando cambia la empresa. Si se vuelve un archivo perfecto que nadie actualiza, volverás al mismo punto. Mide aplicaciones retiradas, gasto evitado, cuentas compartidas corregidas y herramientas sin dueño.

El objetivo final no es tener menos aplicaciones a cualquier costo. Es conocer las que sostienen el negocio, pagar por las que producen valor y retirar las que abren una puerta sin necesidad. Una pyme con veinte herramientas bien controladas puede estar más segura que otra con cinco cuentas compartidas. Empieza con visibilidad, sigue con decisiones pequeñas y repite cada trimestre. El ahorro será visible en pesos, pero el beneficio mayor es saber dónde vive la operación y cómo recuperarla.