Когато таблицата с техниката вече не стига: регистър на ИТ активите

Много компании започват да водят техниката в таблица. Докато обектите са един-два и хората се познават, това работи. С растежа устройствата започват да се местят между обекти и хора, а таблицата се обновява от различни хора, когато се сетят.

Признаците са познати. Не е ясно къде е дадено устройство и кой отговаря за него. Инвентаризацията може да отнеме дни. Гаранциите изтичат незабелязано, липсва история на ремонтите, а при напускане техниката и достъпите се връщат по памет.

Рамките за информационна сигурност започват от въпроса какво имате. Устройство или достъп, за които не знаете, не могат да бъдат защитени надеждно. Затова инвентаризацията на активите е първата от контролите CIS и част от стандарта ISO 27001. Регистърът е основата, на която стъпват антивирусните решения, наблюдението и политиките.

Напуснал служител с активен достъп. Ако не е записано какво е получил човекът при назначаването, при напускането пощата, облачните услуги и споделените папки могат да останат достъпни, понякога с месеци.

Изгубено или откраднато устройство. Без регистър не знаете какви данни има на него, дали е криптирано и дали може да бъде заключено и изтрито отдалечено.

Устройства без обновления. Регистърът, свързан със системата за управление на устройствата, показва кои компютри и телефони са останали без обновления за сигурност.

Директивата NIS2 включва управлението на активите сред мерките за управление на риска, които засегнатите организации трябва да прилагат. Дори фирмата да не е пряко засегната, нейни клиенти може да са и да изискват същото от доставчиците си.

Изгубената техника е видимият разход. Лаптоп, който никой не е върнал, или монитор, купен втори път, защото първият не може да бъде открит.

Без данни за гаранциите се плащат ремонти на устройства, които още са в гаранция.

Работещият регистър започва от жизнения цикъл на всяко устройство: доставка и приемане, предаване на обект и човек, поддръжка и ремонт, преместване и накрая бракуване, при което данните се изтриват сигурно и това се записва. Всеки етап е статус в регистъра.

Всяко устройство има инвентарен номер или етикет, а всяка операция с него се записва: кой, кога и какво. Регистърът се обновява в момента на операцията, затова остава близо до реалността. Част от данните може да идва автоматично от системите за управление на устройства (MDM) и от инструментите за откриване в мрежата, но предаването и връщането остават задача на процеса.

Така се виждат наличностите по обект и по човек, гаранциите с датите им на изтичане и историята на ремонтите на всяко устройство.

ИТ активите са повече от устройствата. Софтуерните лицензи и абонаментите за облачни услуги се плащат всеки месец и често остават активни за хора, които вече не работят във фирмата. Регистърът, който ги включва, показва лицензите, зачислени на хора, които вече не са във фирмата, а спирането им е пряка и бързо видима икономия.

Към тях се добавят акаунтите с администраторски права, мобилните номера и SIM картите, домейните и сертификатите. Домейните и сертификатите изтичат на определена дата и спират услуги, ако не се подновяват автоматично и никой не следи сроковете. Личните устройства, от които служителите влизат в служебната поща, също трябва да са известни, дори да не са собственост на фирмата.

Същият подход може да обхване и друго оборудване, като инструменти или служебни телефони, когато фирмата има нужда от това.

Най-голямата полза идва от връзката с процесите за хората, известни като Joiner-Mover-Leaver. При назначаване техниката се зачислява в регистъра, преди човекът да получи акаунти и достъпи.

При смяна на позиция или обект устройствата се прехвърлят. При напускане се връщат и се отбелязват, а достъпите се спират по същия списък. Така при смяна на хората много по-трудно остава техника без отговорник или активен достъп без нужда.

За повечето компании готовият продукт е по-добрият старт. Има няколко вида: системи с отворен код за регистър на активите, които се инсталират на собствен сървър, инструменти, които откриват автоматично устройствата и софтуера в мрежата, системи за заявки с модул за активи и системите за управление на устройствата, от които идват данните за обновленията и криптирането.

Собствена система има смисъл, когато процесът е много специфичен или регистърът трябва да е тясно свързан с други вътрешни системи. Дори тогава често е по-изгодно готовият продукт да се допълни с интеграции, отколкото системата да се пише от нулата.

Изборът зависи от броя на устройствата, от системите, които трябва да се свържат (поща, счетоводство, система за заявки), и от това кой ще поддържа решението. Добрият анализ сравнява вариантите с реални числа, включително разходите за следващите години.

Определете кой отговаря за регистъра. Без отговорник и най-добрата система изостава.

Направете една пълна инвентаризация с етикети, заедно със списък на лицензите и абонаментите. Тя е отправната точка.

Свържете регистъра с назначаването и напускането. Там най-често се губят техника и достъпи.

Сверявайте регистъра с реалността веднъж на тримесечие, по обекти.