Inventario dei Componenti del Sistema Informativo

Un inventario dei componenti del sistema informativo è l'elenco autorevole delle parti che, insieme, costituiscono un sistema: i server e le workstation su cui gira, i dispositivi di rete che li collegano, i sistemi operativi e le applicazioni installate e il firmware sottostante. Il termine deriva dalla gestione della configurazione. Nel NIST SP 800-53, il catalogo dei controlli alla base di FISMA, FedRAMP e di gran parte della politica di sicurezza federale e dei fornitori statunitensi, è formalizzato come controllo CM-8, Information System Component Inventory. La stessa idea compare altrove con altri nomi, come un inventario degli asset nella ISO/IEC 27001 o un elenco degli elementi di configurazione nella gestione della configurazione basata su ITIL.

Ciò che definisce l'inventario sono accuratezza e aggiornamento, non l'esistenza di un elenco. Un foglio di calcolo compilato una sola volta per un audit e mai più aggiornato non soddisfa il requisito. Il suo valore dipende dal riflettere il sistema così come è oggi, compresi i componenti che qualcuno ha aggiunto la settimana scorsa senza chiedere a nessuno.

Un inventario dei componenti che rispetta lo scopo del controllo va ben oltre un elenco di nomi. Per ogni componente, la scheda riporta in genere questi attributi:

Un inventario dei componenti è un prerequisito di quasi tutti gli altri controlli di sicurezza. La gestione delle vulnerabilità non può applicare patch a un software che non si sa essere installato. La risposta agli incidenti non può delimitare una compromissione senza sapere quali sistemi esistono e cosa eseguono. Il controllo degli accessi non può essere considerato completo se alcuni componenti non sono mai stati verificati. Ciascuna di queste attività presuppone in silenzio che l'inventario sia completo e corretto.

Lo stesso requisito compare in altri framework con nomi diversi. FedRAMP eredita direttamente il CM-8. PCI DSS richiede un inventario dei componenti del sistema nel perimetro dei dati di carte. ISO/IEC 27001 richiede un inventario degli asset con responsabilità assegnate. La formulazione cambia, ma la richiesta di fondo resta la stessa: sapere che cosa si possiede prima di provare a proteggerlo.

I programmi maturi combinano la registrazione manuale con la scoperta automatica e poi verificano i risultati secondo una pianificazione:

1. 1

   Registrazione manuale

   I componenti vengono registrati all'acquisto e alla messa in servizio, con un responsabile assegnato fin dal primo giorno.

2. 2

   Scoperta automatica

   Agent o scansioni di rete rilevano in modo continuo i componenti collegati, catturando hardware e software che il processo manuale ha mancato o che sono arrivati al di fuori di esso.

3. 3

   Riconciliazione

   I risultati della scoperta vengono confrontati con l'inventario registrato secondo una pianificazione definita. Ogni componente visto in rete e assente dal registro viene verificato, non aggiunto in silenzio.

4. 4

   Frequenza di revisione

   NIST SP 800-53 lascia all'organizzazione l'intervallo esatto, ma si aspetta che sia definito nella policy e rispettato. Cicli trimestrali e mensili sono comuni, in base al rischio del sistema.

L'inventario hardware di Anexet costruisce questo registro a partire dalla scoperta. La scheda di ogni dispositivo riporta tipo, numero di serie, responsabile e ubicazione, mentre l'elenco delle applicazioni di ogni computer mostra l'inventario software con versioni e date di installazione.

1 / 2

• 
• 

La differenza tra un inventario formale e uno affidabile emerge da alcuni schemi ricorrenti. Un registro aggiornato solo durante gli audit diventa obsoleto in poche settimane. I componenti aggiunti dagli utenti al di fuori degli acquisti, come dispositivi personali, software non approvato o un router di scorta collegato a uno switch, non entrano mai nel registro. È il problema dello shadow IT e dei dispositivi non autorizzati che l'inventario deve far emergere. Anche i campi di responsabilità invecchiano quando il personale cambia squadra, lasciando componenti elencati ma senza un responsabile. Gli inventari che coprono solo una parte dell'ambiente lasciano silenziosamente scoperto il resto e creano un falso senso di completezza.

Auditor e team di sicurezza applicano lo stesso test che definisce il controllo. L'organizzazione è in grado di produrre, su richiesta, un elenco accurato di ciò che possiede, di chi è responsabile di ogni elemento e di quando è stato verificato l'ultima volta? La risposta deve venire da un registro mantenuto aggiornato come routine, non dalla memoria o da una stima.

Per approfondire: Automazione della sicurezza delle informazioni.