ما الذي يعنيه المصطلح
جرد مكونات نظام المعلومات هو القائمة المرجعية للأجزاء التي تشكّل النظام معًا: الخوادم ومحطات العمل التي يعمل عليها، وأجهزة الشبكة التي تربطها، وأنظمة التشغيل والتطبيقات المثبّتة، والبرامج الثابتة (firmware) الموجودة في أسفلها. ينحدر المصطلح من إدارة الإعدادات. ففي NIST SP 800-53، وهو كتالوج الضوابط الذي تقوم عليه متطلبات FISMA وFedRAMP وجزء كبير من سياسات الأمن الفيدرالية والمتعاقدة في الولايات المتحدة، يُصاغ المصطلح ضمن الضابط CM-8، Information System Component Inventory. وتظهر الفكرة نفسها بأسماء أخرى، مثل جرد الأصول في ISO/IEC 27001، أو قائمة عناصر الإعداد في إدارة الإعدادات وفق ITIL.
ما يحدد الجرد هو الدقة والحداثة، لا مجرد وجود قائمة. فجدول بيانات أُعدّ مرة واحدة من أجل التدقيق ولم يُحدَّث بعد ذلك لا يلبي المتطلب. وتعتمد قيمته على أنه يعكس النظام كما هو اليوم، بما في ذلك المكونات التي أضافها أحدهم الأسبوع الماضي دون أن يستشير أحدًا.
ما الذي يسجّله الجرد
الجرد الذي يحقق غاية الضابط يتجاوز قائمة بالأسماء. فلكل مكوّن، يحمل السجل عادةً الخصائص التالية:
| الخاصية | ما الذي تشمله |
|---|---|
| الهوية | اسم المضيف أو الرقم التسلسلي أو وسم الأصل، حتى لا يُحسب أي عنصر مرتين |
| العتاد | الخوادم ومحطات العمل والحواسيب المحمولة وأجهزة الشبكة والأجهزة الطرفية، مع الشركة المصنِّعة والطراز |
| البرمجيات والبرامج الثابتة | أنظمة التشغيل والتطبيقات وإصدارات البرامج الثابتة ومستوى التحديثات |
| الملكية والموقع | الشخص أو الفريق المسؤول، ومكان وجود المكوّن |
| الوظيفة والحدود | دور المكوّن والحدّ الذي ينتمي إليه ضمن النظام |
لماذا يوجد هذا الضابط
يُعدّ الجرد شرطًا مسبقًا لمعظم ضوابط الأمن الأخرى. فإدارة الثغرات لا تستطيع تحديث برمجيات لا تعرف بوجودها. كما لا تستطيع الاستجابة للحوادث تحديد نطاق الاختراق دون معرفة الأنظمة الموجودة وما تشغّله. ولا يمكن اعتبار ضبط الوصول مكتملًا إذا لم تُراجَع بعض المكونات أبدًا. وتفترض كل هذه الأنشطة ضمنيًا أن الجرد كامل وصحيح.
يظهر المتطلب نفسه في أطر أخرى بأسماء مختلفة. يرث FedRAMP الضابط CM-8 مباشرةً، ويشترط PCI DSS جردًا لمكونات النظام الداخلة في نطاق بيانات البطاقات، ويشترط ISO/IEC 27001 جرد الأصول مع تحديد المالكين. قد تختلف الصياغة، لكن الجوهر واحد: اعرف ما تملكه قبل أن تحاول حمايته.
بناء الجرد وصيانته
تجمع البرامج الناضجة بين التسجيل اليدوي والاكتشاف الآلي، ثم تراجع النتائج وفق جدول زمني:
- 1
التسجيل اليدوي
تُدخل المكونات عند شرائها ونشرها، مع تحديد مالك مسؤول منذ اليوم الأول.
- 2
الاكتشاف الآلي
ترصد الوكلاء أو عمليات مسح الشبكة المكونات المتصلة باستمرار، فتلتقط العتاد والبرمجيات التي فاتت العملية اليدوية أو وصلت من خارجها.
- 3
المطابقة
تُقارَن نتائج الاكتشاف بالجرد المسجَّل وفق جدول محدد. وأي مكوّن يظهر على الشبكة ولا يوجد في السجل يُحقَّق فيه، ولا يُضاف بصمت.
- 4
تواتر المراجعة
يترك المعيار NIST SP 800-53 الفاصل الزمني الدقيق للمؤسسة، لكنه يتوقع أن يُحدَّد في السياسة ويُلتزم به. والدورات الفصلية والشهرية شائعة، بحسب خطورة النظام.
كيف يبدو ذلك في Anexet
يبني جرد العتاد في Anexet هذا السجل انطلاقًا من الاكتشاف. تحمل بطاقة كل جهاز النوع والرقم التسلسلي والمسؤول والموقع، وتعرض قائمة التطبيقات لكل حاسوب جرد البرمجيات مع الإصدارات وتواريخ التثبيت.
1 / 2
الثغرات الشائعة وأنماط الفشل
تظهر الفجوة بين جرد اسمي وجرد موثوق في أنماط متكررة. فالسجل الذي يُحدَّث أثناء التدقيق فقط يصبح قديمًا خلال أسابيع. أما المكونات التي يضيفها المستخدمون خارج عملية الشراء، مثل الأجهزة الشخصية والبرامج غير المعتمدة أو جهاز توجيه احتياطي موصول بالمحوّل، فلا تدخل السجل أبدًا. وهذه هي مشكلة Shadow IT والأجهزة غير المصرّح بها التي يُفترض أن يكشفها الجرد. كما تتقادم حقول الملكية حين ينتقل الموظفون بين الفرق، فتبقى المكونات مدرجة دون مسؤول. والجرد الذي يغطي جزءًا فقط من البيئة يترك الباقي دون حماية بصمت، ويخلق إحساسًا زائفًا بالاكتمال.
اختبار المدقق
يطبّق المدققون وفرق الأمن الاختبار نفسه الذي يحدد الضابط. هل تستطيع المؤسسة أن تقدّم عند الطلب قائمة دقيقة بما تملكه، ومن المالك المسؤول عن كل عنصر، ومتى جرى التحقق منه آخر مرة؟ ينبغي أن تأتي الإجابة من سجل يُحفظ محدّثًا كجزء من الروتين، لا من الذاكرة أو التخمين.
للمزيد من القراءة: أتمتة أمن المعلومات.
الجرد لا يساوي أكثر من آخر مرة جرى فيها التحقق منه. حافظ على القائمة محدّثة، وسيكون لكل ضابط آخر أساس متين يقف عليه.
Anexet Teamكيف تعالج Anexet ذلك
تبني وحدة Anexet Inventory جرد المكونات وتحافظ عليه تلقائيًا، بدلًا من الاعتماد على التسجيل اليدوي. وهنا تحديدًا تميل عمليات الجرد إلى أن تصبح قديمة.
ولأن المنصة تُنشر ضمن البنية التحتية للمؤسسة نفسها (on-premise)، تبقى سجلات المكونات وسجل تغييراتها وكل انحراف تم الإبلاغ عنه داخل بنية المؤسسة.
اكتشاف مستمر للعتاد
تكتشف العملاء أجهزة الحاسوب والحواسيب المحمولة والخوادم والأجهزة المتصلة، بما فيها الشاشات ووحدات التخزين ومعدات الشبكة والملحقات، وتسجّلها تلقائيًا. بذلك يعكس الجرد ما هو متصل فعليًا، لا آخر ما سُجّل يدويًا.
جرد البرمجيات
لكل حاسوب مكتشَف، تُسجَّل التطبيقات المثبّتة مع الناشر والإصدار وتاريخ التثبيت والموقع. يبقى الجانب البرمجي من الجرد محدّثًا إلى جانب الجانب المادي.
الإعداد المرجعي واكتشاف الانحرافات
يمكن تحديد إعداد أساسي لكل حاسوب. عندما يُوصل مكوّن خارج هذا الإعداد، أو يختفي مكوّن متوقَّع، تُبلغ الوحدة عن الانحراف وتُخطر مسؤول الأمن. وبذلك تُغلق الثغرة التي تختبئ فيها عادةً المكونات غير المسجَّلة.
حقول الملكية والموقع
تحمل كل بطاقة مكوّن اسم المسؤول والقسم ومكان العمل والحالة. وتُلحق حقول الهوية والملكية التي يتطلبها الجرد المطابق لحظة الاكتشاف، لا تُملأ لاحقًا.
Anexet Inventory
اعرف المزيد