Framework degli Asset

Nella gestione degli asset, un framework è il modello che trasforma registri sparsi di apparecchiature e licenze in un programma governato. Definisce quattro elementi: una tassonomia di categorie di asset, un ciclo di vita con fasi che ogni asset attraversa, ruoli che assegnano proprietà, custodia e supervisione, e regole decisionali per approvare, modificare e dismettere gli asset. Serve perché le risposte alle domande pratiche derivino da una policy e non dall'improvvisazione. Un reparto può comprarsi da solo i portatili? Chi approva l'acquisto di un software?

Il termine è più ampio di qualsiasi registro o database. Un foglio di calcolo con i numeri di serie non è un framework, e nemmeno uno strumento di discovery lo è, per quanto completa sia la scansione. Il framework è l'insieme di definizioni e responsabilità che stabilisce cosa devono contenere quei registri, chi li mantiene e quali decisioni alimentano. All'interno della gestione IT degli asset è la struttura che gli strumenti automatizzano. Non la sostituiscono.

Un framework inizia dividendo la popolazione di asset in categorie. La categoria determina tutto ciò che viene dopo: quali attributi si registrano, quali controlli si applicano, chi è il proprietario naturale e come si valuta l'asset. Una tassonomia aziendale tipica distingue le cinque categorie qui sotto.

Due regole fanno funzionare la tassonomia. Le categorie devono essere mutuamente esclusive, così che ogni asset occupi un solo posto nella struttura. Devono anche essere collettivamente esaustive, perché nulla su cui l'organizzazione spende denaro resti fuori. Ogni categoria richiede una regola di denominazione e di etichettatura, descritta in identificazione degli asset. Quando un nuovo tipo di asset non rientra, si modifica il framework stesso. Le liste improvvisate fuori da esso sono il punto da cui nasce la shadow IT.

Nessuna organizzazione deve inventare un framework da zero. Diversi corpi di pratica sono ampiamente adottati. La serie ISO 55000 descrive un sistema di gestione degli asset in termini generali: decisioni sugli asset allineate, il ciclo pianifica-esegui-verifica-agisci e una linea di visibilità dalla policy fino al singolo asset. ITIL tratta la gestione degli asset come pratica di service management e collega il ciclo di vita dell'asset all'erogazione dei servizi, ai record di configurazione e al configuration management database. La prospettiva di sicurezza aggiunge il requisito di inventario. NIST SP 800-53 si aspetta un inventario completo e aggiornato dei componenti di sistema, verificato a intervalli definiti. ISO/IEC 27001 richiede un inventario degli asset con una proprietà assegnata.

Le organizzazioni mature raramente adottano per intero un solo riferimento. Lo schema comune è un involucro di governance in stile ISO 55000, un collegamento al ciclo di vita in stile ITIL e un requisito di inventario guidato dalla sicurezza, adattati alla scala e al profilo di rischio dell'organizzazione.

Il ciclo di vita è la spina dorsale del framework. Ogni asset si trova sempre in una sola fase, e ogni fase ha criteri di ingresso, criteri di uscita e un ruolo responsabile. Il modello classico prevede cinque fasi:

1. 1

   Pianificare

   Si individuano i requisiti, si approvano i budget e si fissano gli standard di acquisto. Registrazioni chiave: standard approvati, voci di budget.

2. 2

   Acquisire

   L'asset viene acquistato, noleggiato o ricevuto, poi registrato ed etichettato. Registrazioni chiave: fattura d'acquisto, voce di inventario, tag dell'asset.

3. 3

   Distribuire e gestire

   L'asset viene configurato, assegnato, manutenuto e riconvalidato periodicamente. Registrazioni chiave: storico delle assegnazioni, registri di manutenzione.

4. 4

   Modificare

   Trasferimento, aggiornamento, riassegnazione o riclassificazione man mano che l'uso evolve. Registrazioni chiave: storico delle modifiche, attributi aggiornati.

5. 5

   Dismettere

   L'asset viene fuori servizio, i suoi dati vengono rimossi e l'apparecchio viene riutilizzato, venduto o distrutto. Registrazioni chiave: verbale di dismissione, prova della cancellazione dei dati.

L'errore più comune è comprare uno strumento e considerare il lavoro concluso. Un agente di discovery che elenca ogni endpoint non è un framework, e non lo è nemmeno un configuration management database. Il framework è l'accordo su categorie, proprietà, fasi e diritti decisionali che quei sistemi registrano e fanno rispettare. Lo strumento è il posto in cui vivono i dati. Senza framework, l'output dello strumento diventa una lista senza proprietario. Senza strumento, il framework affonda nella manutenzione manuale.

La prova pratica è se l'organizzazione sa rispondere dai propri registri, non a memoria. Quali asset abbiamo? Chi ne risponde? In quale fase del ciclo di vita si trova ciascuno? Quando la risposta è stata verificata l'ultima volta? Un framework solido rende queste domande routine. Uno debole trasforma ciascuna in un'indagine.

In Anexet Inventory, la scheda di ogni postazione ha una scheda Devices che elenca ogni componente con tipo e produttore. Sulla scheda di un server, la stessa scheda aggiunge le colonne di numero di inventario e numero di serie, così il registro può essere confrontato con le fatture d'acquisto e con il magazzino fisico.

1 / 2

• 
• 

Un framework assegna il lavoro a ruoli nominati, non a chi nota per primo un problema. L'insieme dei ruoli è piccolo e stabile, e ciascuno detiene una decisione:

Parta dalle categorie e dai loro proprietari, non dal software. Assegni un responsabile a ogni categoria, concordi le cinque fasi del ciclo di vita e solo allora scelga uno strumento che registri ciò che il framework già decide. Colleghi presto il framework alla gestione del software asset, perché è nelle licenze che costo e rischio di una lista senza proprietario emergono per primi.