Inwentaryzacja komponentów systemu informacyjnego

Inwentaryzacja komponentów systemu informacyjnego to autorytatywna lista części, z których razem składa się system: serwerów i stacji roboczych, na których działa, urządzeń sieciowych, które je łączą, zainstalowanych systemów operacyjnych i aplikacji oraz firmware'u działającego pod spodem. Termin pochodzi z zarządzania konfiguracją. W NIST SP 800-53, katalogu kontroli stojącym za FISMA, FedRAMP i dużą częścią amerykańskiej polityki bezpieczeństwa federalnego i kontraktorów, jest sformalizowany jako kontrola CM-8, Information System Component Inventory. Ta sama idea pojawia się gdzie indziej pod innymi nazwami, na przykład jako ewidencja aktywów w ISO/IEC 27001 albo lista elementów konfiguracji w zarządzaniu konfiguracją opartym na ITIL.

Cechą definiującą jest dokładność i aktualność, a nie sam fakt istnienia listy. Jednorazowy arkusz sporządzony podczas audytu i nigdy potem nieaktualizowany nie spełnia wymogu. Jego wartość zależy od tego, czy odzwierciedla system taki, jaki jest dziś, łącznie z komponentami, które ktoś dodał w zeszłym tygodniu, nikogo nie pytając.

Inwentaryzacja komponentów spełniająca cel kontroli wykracza daleko poza listę nazw. Dla każdego komponentu rekord zwykle zawiera następujące atrybuty:

Inwentaryzacja jest warunkiem wstępnym niemal każdej innej kontroli bezpieczeństwa. Zarządzanie podatnościami nie załata oprogramowania, o którego istnieniu nie wiadomo. Reagowanie na incydenty nie określi zakresu włamania, jeśli nie wiadomo, jakie systemy istnieją i co na nich działa. Kontrola dostępu nie może być uznana za kompletną, jeśli część komponentów nigdy nie została sprawdzona. Każda z tych czynności po cichu zakłada, że inwentaryzacja jest kompletna i poprawna.

Ten sam wymóg występuje w innych ramach pod innymi nazwami. FedRAMP dziedziczy CM-8 wprost. PCI DSS wymaga inwentaryzacji komponentów systemu objętych zakresem danych kart płatniczych. ISO/IEC 27001 wymaga ewidencji aktywów z przypisaną własnością. Sformułowania się różnią, ale istota pozostaje ta sama: wiedz, co masz, zanim spróbujesz to chronić.

Dojrzałe programy łączą ręczną rejestrację z automatycznym wykrywaniem, a potem sprawdzają wyniki według harmonogramu:

1. 1

   Ręczna rejestracja

   Komponenty są wpisywane w momencie zakupu i wdrożenia, z przypisanym właścicielem od pierwszego dnia.

2. 2

   Automatyczne wykrywanie

   Agenty lub skanowanie sieci stale wykrywają podłączone komponenty, łapiąc sprzęt i oprogramowanie, którego ręczny proces nie objął lub które pojawiły się poza nim.

3. 3

   Uzgadnianie

   Wyniki wykrywania porównuje się z zarejestrowaną inwentaryzacją według ustalonego harmonogramu. Każdy komponent widziany w sieci, a nieobecny w rekordzie, jest badany, a nie po cichu dopisywany.

4. 4

   Częstotliwość przeglądu

   NIST SP 800-53 zostawia dokładny interwał organizacji, ale oczekuje, że zostanie on określony w polityce i przestrzegany. Cykle kwartalne i miesięczne są równie częste, zależnie od ryzyka systemu.

Inwentaryzacja sprzętu w Anexet buduje ten rekord na podstawie wykrywania. Karta urządzenia zawiera typ, numer seryjny, osobę odpowiedzialną i lokalizację, a lista aplikacji każdego komputera pokazuje inwentaryzację oprogramowania z wersjami i datami instalacji.

1 / 2

• 
• 

Różnica między formalną a wiarygodną inwentaryzacją widoczna jest w kilku powtarzających się schematach. Rejestr aktualizowany tylko przy audytach nieaktualny staje się w ciągu kilku tygodni. Komponenty dodawane przez użytkowników poza zakupami, na przykład prywatne urządzenia, niezatwierdzone oprogramowanie czy zapasowy router podłączony do przełącznika, nigdy nie trafiają do rekordu. To właśnie problem shadow IT i urządzeń nieautoryzowanych, który inwentaryzacja ma wykrywać. Pola własności także się starzeją, gdy ludzie zmieniają zespoły, i komponenty pozostają na liście bez odpowiedzialnego. Inwentaryzacja obejmująca tylko część środowiska po cichu przestaje chronić resztę i daje fałszywe poczucie kompletności.

Audytorzy i zespoły bezpieczeństwa stosują ten sam test, który definiuje kontrolę. Czy organizacja potrafi na żądanie przedstawić dokładną listę tego, co posiada, kto jest właścicielem każdej pozycji i kiedy ostatnio ją zweryfikowano? Odpowiedź powinna pochodzić z rekordu prowadzonego na bieżąco jako rutyna, a nie z pamięci czy zgadywania.

Czytaj dalej: Automatyzacja bezpieczeństwa informacji.