‏الأصل (Asset)

الأصل هو كل ما يضرّ فقدانُه أو تلفُه أو اختراقُه بالمؤسسة. ولا يقتصر التعريف على الحواسيب، إذ يمكن أن تكون قاعدة بيانات العملاء أو مفتاح توقيع أو حساب مدير أصولاً، ولكل منها مسؤول محدد بالاسم. تبدأ إدارة أصول تقنية المعلومات من هذه القائمة.

الصعوبة الحقيقية في تحديد الحدود. يدخل العنصر إلى السجل عندما تكون المؤسسة مسؤولة عنه، فيبقى حساب سحابي شخصي تُحفظ فيه ملفات العملاء خارج السجل حتى يُضاف. وتحدد البيانات التي يحتويها الأصل مستوى الحماية المطلوب، ولذلك ينبغي أن يحمل كل سجل تصنيف البيانات الخاص بما يخزّنه.

تجمع أغلب السجلات خمس مجموعات:

أشيع تقسيم هو بحسب الشكل المادي. فالأصول المادية، مثل الحواسيب والأجهزة والكابلات وخزائن الخوادم والمواد المطبوعة، لها أرقام تسلسلية ويمكن وسمها، ويظهر فقدانها عند الجرد.

أما الأصول غير المادية، مثل التراخيص والبيانات والملكية الفكرية والسمعة، فلا شكل مادياً لها. تُتابع عبر السجلات ومفاتيح التراخيص وملصقات التصنيف، وهي أسهل في النسخ دون أن يُلاحظ من فقدانها. ويشكّل البرمجيات وتراخيصها مجالاً قائماً بذاته، تغطيه إدارة أصول البرمجيات.

تُصنَّف الأصول كذلك بحسب درجة أهميتها: حرجة للمهمة، أو مهمة، أو داعمة. ميزانية الحماية محدودة، لذلك يُظهر السجل الأصول التي تستحق أقوى الضوابط.

تُدار الأصول عبر دورة حياة كاملة، لا كسجلات ثابتة. ويتكون النموذج المعتاد من خمس مراحل:

1. 1

   التخطيط والشراء

   حدّد ما تحتاجه المؤسسة، واشترِ الأصل أو استأجره، ثم أدخله في السجل.

2. 2

   النشر

   شغّل الأصل وعيّن له مسؤولاً وحالة وموقعاً. وبالنسبة إلى الحواسيب، حدّد تكويناً مرجعياً ثابتاً.

3. 3

   التشغيل

   تابع الاستخدام والمراقبة والصيانة والترقيات. وفي البرمجيات، تابع الإصدارات وتغطية التراخيص.

4. 4

   التغييرات

   سجّل النقل بين المواقع والأقسام، وإعادة التكليف، وتغيّر الحالة، مثل قيد الاستخدام أو المشطوب.

5. 5

   الإخراج من الخدمة

   أخرج الأصل من الخدمة، وامسح بياناته بأمان، ثم اشطبه. يُغلق السجل مع الاحتفاظ بتاريخه.

تحتفظ وحدة جرد تقنية المعلومات ببطاقة لكل حاسوب، تتضمن الحالة والمسؤول والمؤسسة والقسم ومكان العمل. يُسجَّل كل تغيير في البطاقة في سجل التدقيق، فيمكن التحقق من السجل لاحقاً.

تحوّل بعض الضوابط قائمةَ العناصر إلى قاعدة أصول خاضعة للإدارة. وفي البيئات الكبيرة يتطور السجل إلى قاعدة بيانات إدارة التكوينات (CMDB)، التي تسجّل أيضاً العلاقات بين الأصول. ثلاثة أدوار تحافظ على دقة السجل:

يفشل السجل بطرق يمكن توقعها. وأغلب الثغرات تأتي من shadow IT، أي أدوات تعمل جيداً ولا تُسجَّل أبداً. وثلاثة أخطاء أخرى تتكرر كثيراً:

• إدخال الأصول يدوياً مرة واحدة دون تحديث، فيبتعد السجل عن الواقع بعد أول إعادة تنظيم.
• اعتبار الاكتشاف تدقيقاً لمرة واحدة، فـجهاز غير مصرح به يتصل بعد التدقيق يبقى غير مرئي حتى التدقيق التالي.
• حذف السجل عند الشطب بدلاً من إغلاقه، وهو ما يمحو التاريخ الذي يحتاجه التدقيق.

ابدأ بالأصول التي يسبب فقدانها أكبر ضرر، ثم أضف لكل منها مسؤولاً وموقعاً وحالة. يُبقي الاكتشاف الآلي القائمة محدَّثة بين المراجعات، ويصحح مستخدمو الأجهزة التفاصيل اليومية.

راجع السجل وفق جدول زمني، لا بعد الحوادث فقط، لأنه لا يفيد إلا ما دام مطابقاً للبيئة الفعلية.

للمزيد من القراءة: أمن المعلومات: التعريف والمتطلبات والنماذج والمراحل.