Cosa rientra negli asset
Un asset è qualunque elemento la cui perdita, danneggiamento o compromissione danneggerebbe l'organizzazione. La definizione non si limita ai computer: un database di clienti, una chiave di firma o un account amministratore possono essere asset, e ciascuno richiede un responsabile designato. La gestione degli asset IT (ITAM) parte da questo elenco.
La difficoltà sta nel confine. Un elemento entra nel registro quando l'organizzazione ne è responsabile, quindi un account cloud personale usato per i file dei clienti resta fuori finché qualcuno non lo porta sotto controllo. I dati custoditi da un asset determinano il livello di protezione necessario, per cui ogni scheda dovrebbe riportare la classificazione dei dati di ciò che contiene.
Cinque gruppi di asset
La maggior parte dei registri combina cinque gruppi:
| Gruppo | Esempi |
|---|---|
| Hardware | Postazioni di lavoro, notebook, server, apparecchiature di rete e stampa, dispositivi mobili |
| Software | Sistemi operativi, applicazioni aziendali, strumenti di sviluppo e relative licenze |
| Dati e informazioni | Database, archivi documentali, credenziali, chiavi crittografiche |
| Persone | Dipendenti e collaboratori, con competenze e diritti di accesso |
| Servizi e strutture | Servizi cloud, uffici, alimentazione e connettività |
Asset tangibili e intangibili
La distinzione più comune è per forma fisica. Gli asset tangibili, come computer, dispositivi, cavi, armadi rack e supporti stampati, hanno un numero di serie, possono essere etichettati e la loro scomparsa emerge durante un controllo.
Gli asset intangibili, come licenze, dati, proprietà intellettuale e reputazione, non hanno una forma fisica. Si tracciano attraverso registrazioni, chiavi di licenza ed etichette di classificazione, e sono più facili da copiare senza essere notati che da perdere. Software e licenze costituiscono una disciplina a sé, trattata nella gestione degli asset software.
Gli asset si classificano anche per criticità: critici per la missione, importanti o di supporto. Il budget per la protezione è limitato, quindi il registro mostra quali asset meritano i controlli più forti.
Ciclo di vita di un asset
Gli asset si gestiscono lungo un ciclo di vita, non come schede statiche. Un modello tipico prevede cinque fasi:
- 1
Pianificazione e acquisto
Definite ciò di cui l'organizzazione ha bisogno, acquistate o noleggiate il bene e registratelo.
- 2
Messa in servizio
Attivate l'asset e assegnate responsabile, stato e posizione. Per i computer, definite una configurazione di riferimento.
- 3
Esercizio
Seguite utilizzo, monitoraggio, manutenzione e aggiornamenti. Per il software, controllate versioni e copertura delle licenze.
- 4
Modifiche
Registrate spostamenti tra postazioni e reparti, riassegnazioni e cambi di stato, come in uso o dismesso.
- 5
Dismissione
Ritirate l'asset, cancellate in sicurezza i suoi dati e radiatelo. La scheda si chiude senza perdere lo storico.
Come appare il registro in Anexet
Il modulo inventario IT mantiene una scheda per ogni computer con stato, responsabile, organizzazione, reparto e postazione di lavoro. Ogni modifica alla scheda finisce nel registro di audit, così l'inventario può essere verificato in seguito.
Responsabilità e controllo
Alcuni controlli trasformano un elenco di oggetti in una base di asset governata. Negli ambienti più grandi il registro diventa una CMDB, che registra anche le dipendenze tra gli asset. Tre ruoli mantengono il registro accurato:
| Ruolo | Responsabilità | Accesso |
|---|---|---|
| Proprietario dell'assetResponsabile dell'unità di business | Risponde di stato, uso e sicurezza dell'asset | Approva spostamenti e dismissioni |
| Custode dell'assetAmministratore IT | Mantiene aggiornati la scheda e la configurazione del dispositivo | Modifica la scheda di inventario |
| Responsabile della sicurezzaTeam sicurezza | Gestisce gli avvisi di scostamento dalla configurazione di riferimento | Consulta gli avvisi e il registro di audit |
Errori comuni
Il registro fallisce in modi prevedibili. La maggior parte delle lacune nasce dallo shadow IT, cioè da strumenti che funzionano bene e non vengono mai registrati. Altri tre errori ricorrono spesso:
Un asset che non è nel registro non può essere aggiornato con le patch, monitorato o coperto dalla risposta agli incidenti.
- Inserire gli asset a mano una sola volta e non aggiornarli mai, così il registro si allontana dalla realtà dopo la prima riorganizzazione.
- Trattare la scoperta come un audit una tantum. Un dispositivo non autorizzato collegato dopo l'audit resta invisibile fino al successivo.
- Eliminare la scheda alla dismissione invece di chiuderla, cancellando lo storico di cui l'audit ha bisogno.
Da dove iniziare
Iniziate dagli asset la cui perdita farebbe più danni, poi aggiungete per ciascuno responsabile, posizione e stato. La scoperta automatica tiene l'elenco aggiornato tra una revisione e l'altra, e chi usa i dispositivi corregge i dettagli che conosce.
Rivedete il registro con una cadenza definita, non solo dopo un incidente, perché è utile solo finché corrisponde all'ambiente reale.
Per approfondire: Sicurezza informatica: definizione, requisiti, modelli e fasi.
Un asset che non vedi è un asset che non puoi proteggere.
Anexet TeamCome Anexet affronta questo
Anexet considera gli asset qualcosa da contabilizzare automaticamente anziché digitare a mano. Il modulo Inventory costruisce la base degli asset dai dati raccolti dagli agent sugli endpoint, così le registrazioni di hardware e software compaiono e restano aggiornate senza inserimento manuale:
Poiché la piattaforma è distribuita on-premise, il registro degli asset, il suo storico di audit e i dati di configurazione raccolti restano dentro l'infrastruttura dell'organizzazione.
Computer e dispositivi
gli agent individuano le postazioni di lavoro, PC, portatili, server, e i loro componenti, e una procedura guidata di importazione trasferisce l'hardware individuato nell'inventario. Ogni scheda contiene lo stato (in uso, non in uso, in assistenza, da radiare), il responsabile, il dipartimento e la postazione. Sono supportati circa venti tipi di dispositivi, da monitor e dischi ad apparati di rete e stampanti, e più componenti si possono unire in un dispositivo composto con un numero d'inventario condiviso.
Inventario software
per ogni computer il modulo registra le applicazioni installate con editore, data di installazione, dimensione, versione e posizione, i dati necessari al controllo di licenze e aggiornamenti.
Rilevamento delle deviazioni
per ogni computer si può fissare una configurazione di riferimento; quando viene collegato un dispositivo fuori configurazione, o un dispositivo configurato non compare tra quelli collegati, il modulo segnala la deviazione e avvisa in tempo reale l'addetto alla sicurezza.
Mappa dell'ufficio
è possibile caricare una planimetria e collocarvi le apparecchiature, così computer, utenti attivi e indicatori di deviazione risultano visibili nelle loro posizioni fisiche.
Gestore dispositivi
uno strumento dedicato collega i dispositivi alle schede dei computer e gestisce la composizione delle configurazioni.
Traccia di audit ed esportazione
ogni operazione, aggiunta, eliminazione, spostamento, configurazione, cambio di stato o responsabile, finisce nel log di audit; gli elenchi di computer, di dispositivi e la mappa dell'ufficio si possono esportare in xlsx o pdf.
Anexet Inventory
Scopri di più