Zasób (aktywo IT)

Zasób to wszystko, czego utrata, uszkodzenie lub przejęcie zaszkodziłoby organizacji. Definicja obejmuje więcej niż komputery: baza klientów, klucz podpisu czy konto administratora mogą być zasobem i każdy z nich potrzebuje nazwanego właściciela. Zarządzanie zasobami IT zaczyna się od tej listy.

Trudna jest granica. Zasób trafia do rejestru, gdy organizacja za niego odpowiada, więc osobiste konto w chmurze, z którego korzysta się przy plikach klientów, pozostaje poza rejestrem, dopóki nikt go nie uwzględni. Dane przechowywane przez zasób określają wymagany poziom ochrony, dlatego każdy wpis powinien zawierać też klasyfikację danych tego, co przechowuje.

Większość rejestrów zasobów łączy pięć grup:

Najczęstszy podział dotyczy postaci fizycznej. Zasoby materialne, takie jak komputery, urządzenia, kable, szafy serwerowe i wydruki, mają numery seryjne, można je oznaczyć, a ich zniknięcie wychodzi na jaw podczas audytu.

Zasoby niematerialne, takie jak licencje, dane, własność intelektualna i reputacja, nie mają postaci fizycznej. Śledzi się je przez zapisy, klucze licencyjne i etykiety klasyfikacji, a łatwiej je skopiować niepostrzeżenie, niż zgubić. Oprogramowanie i jego licencje to osobna dyscyplina, opisana w zarządzaniu zasobami oprogramowania.

Zasoby ocenia się też według krytyczności: krytyczne dla misji, ważne lub pomocnicze. Budżet ochrony jest ograniczony, więc rejestr pokazuje, które zasoby uzasadniają najmocniejsze mechanizmy kontroli.

Zasoby zarządza się w cyklu życia, a nie jako statyczne wpisy. Typowy model ma pięć etapów:

1. 1

   Planowanie i zakup

   Określ potrzeby organizacji, kup lub wynajmij sprzęt i wpisz go do rejestru.

2. 2

   Wdrożenie

   Uruchom zasób i przypisz właściciela, status oraz lokalizację. Dla komputerów ustal wzorcową konfigurację.

3. 3

   Eksploatacja

   Śledź użycie, monitoring, konserwację i aktualizacje. Dla oprogramowania pilnuj wersji i pokrycia licencjami.

4. 4

   Zmiany

   Rejestruj przeniesienia między stanowiskami i działami, zmiany przypisania oraz statusy, takie jak w użyciu lub wycofany.

5. 5

   Likwidacja

   Wycofaj zasób z użycia, bezpiecznie usuń jego dane i odpisz go. Wpis zostaje zamknięty z zachowaniem historii.

Moduł inwentaryzacji IT prowadzi kartę każdego komputera ze statusem, osobą odpowiedzialną, organizacją, działem i stanowiskiem pracy. Każda zmiana karty trafia do dziennika audytu, dzięki czemu rejestr można sprawdzić później.

Kilka mechanizmów zamienia listę obiektów w uporządkowaną bazę zasobów. W większych środowiskach rejestr rozrasta się do CMDB, czyli bazy konfiguracji, która rejestruje też zależności między zasobami. Trzy role utrzymują rejestr w porządku:

Rejestr zawodzi w przewidywalny sposób. Większość luk bierze się z shadow IT, czyli narzędzi, które działają dobrze i nigdy nie trafiają do rejestru. Trzy inne błędy powtarzają się często:

• Wprowadzenie zasobów ręcznie raz i brak aktualizacji, przez co rejestr rozjeżdża się z rzeczywistością po pierwszej reorganizacji.
• Traktowanie wykrywania jako jednorazowego audytu. Nieautoryzowane urządzenie, podłączone po audycie, pozostaje niewidoczne aż do następnego.
• Usuwanie wpisu przy odpisie zamiast jego zamknięcia, co kasuje historię potrzebną audytowi.

Zacznij od zasobów, których utrata najbardziej zaszkodziłaby, a potem dopisz do każdego właściciela, lokalizację i status. Automatyczne wykrywanie utrzymuje listę w aktualności między przeglądami, a osoby korzystające z urządzeń poprawiają szczegóły, które znają.

Przeglądaj rejestr według harmonogramu, a nie tylko po incydencie, bo jest przydatny wyłącznie wtedy, gdy zgadza się z rzeczywistym środowiskiem.

Czytaj dalej: Bezpieczeństwo informacji: definicja, wymagania, modele i etapy.