O que é um ativo
Um ativo é qualquer coisa cuja perda, dano ou comprometimento prejudicaria a organização. A definição vai além dos computadores: um banco de dados de clientes, uma chave de assinatura ou uma conta de administrador podem ser ativos, e cada um precisa de um responsável nomeado. A gestão de ativos de TI começa por essa lista.
A parte difícil é a fronteira. Algo entra no inventário quando a organização responde por ele, então uma conta pessoal de nuvem usada para arquivos de clientes fica de fora até alguém trazê-la para o controle. Os dados que o ativo guarda definem o nível de proteção, por isso cada registro deve trazer a classificação de dados do que armazena.
Cinco grupos de ativos
A maioria dos inventários combina cinco grupos:
| Grupo | Exemplos |
|---|---|
| Hardware | Estações de trabalho, notebooks, servidores, equipamentos de rede e impressão, dispositivos móveis |
| Software | Sistemas operacionais, aplicativos de negócio, ferramentas de desenvolvimento e suas licenças |
| Dados e informações | Bancos de dados, repositórios de documentos, credenciais, chaves criptográficas |
| Pessoas | Funcionários e terceiros, com suas competências e direitos de acesso |
| Serviços e instalações | Serviços em nuvem, escritórios, energia e conectividade |
Ativos tangíveis e intangíveis
A divisão mais comum é pela forma física. Ativos tangíveis, como computadores, dispositivos, cabos, racks e mídias impressas, têm número de série, podem ser etiquetados e seu desaparecimento aparece em uma auditoria.
Ativos intangíveis, como licenças, dados, propriedade intelectual e reputação, não têm forma física. São rastreados por registros, chaves de licença e rótulos de classificação, e são mais fáceis de copiar sem ser notados do que de perder. Software e suas licenças formam uma disciplina própria, tratada na gestão de ativos de software.
Os ativos também são graduados pela criticidade: críticos para a missão, importantes ou de suporte. O orçamento de proteção é limitado, então o inventário mostra quais ativos merecem os controles mais fortes.
O ciclo de vida do ativo
Os ativos são gerenciados ao longo de um ciclo de vida, e não como registros estáticos. Um modelo típico tem cinco etapas:
- 1
Planejamento e compra
Defina o que a organização precisa, compre ou alugue e registre no inventário.
- 2
Implantação
Coloque o ativo em uso e atribua responsável, status e localização. Para computadores, defina uma configuração de referência.
- 3
Operação
Acompanhe o uso, o monitoramento, a manutenção e as atualizações. Para software, acompanhe versões e cobertura de licenças.
- 4
Mudança
Registre transferências entre postos e departamentos, reatribuições e mudanças de status, como em uso ou baixado.
- 5
Descarte
Desative o ativo, higienize os dados e dê baixa. O registro é encerrado sem perder seu histórico.
Como o inventário aparece no Anexet
O módulo de inventário de TI mantém uma ficha para cada computador, com status, responsável, organização, departamento e local de trabalho. Cada alteração da ficha vai para o log de auditoria, para que o inventário possa ser verificado depois.
Responsabilidade e controle
Alguns controles transformam uma lista de objetos em uma base de ativos governada. Em ambientes maiores, o inventário cresce até virar um banco de dados de gerenciamento de configuração (CMDB), que também registra como os ativos se relacionam. Três papéis mantêm o registro correto:
| Papel | Responsabilidade | Acesso |
|---|---|---|
| Dono do ativoChefe da unidade de negócio | Responde pelo estado, pelo uso e pela segurança do ativo | Aprova movimentações e baixas |
| Custodiante do ativoAdministrador de TI | Mantém o registro atualizado e a configuração do equipamento | Edita a ficha de inventário |
| Responsável pela segurançaEquipe de segurança | Age sobre alertas de desvio da configuração de referência | Lê os alertas e o log de auditoria |
Erros comuns
O inventário falha de formas previsíveis. A maioria das lacunas vem do shadow IT, ou seja, ferramentas que funcionam bem e nunca são registradas. Outros três erros se repetem:
Um ativo que não está no inventário não pode ser corrigido, monitorado nem coberto pela resposta a incidentes.
- Lançar os ativos à mão uma única vez e nunca atualizar, de modo que o registro se afasta da realidade após a primeira reorganização.
- Tratar a descoberta como auditoria pontual. Um dispositivo não autorizado conectado depois da auditoria fica invisível até a próxima.
- Apagar o registro na baixa, em vez de encerrá-lo, o que elimina o histórico de que a auditoria precisa.
Por onde começar
Comece pelos ativos cuja perda causaria mais dano e depois acrescente, para cada um, responsável, localização e status. A descoberta automática mantém a lista atualizada entre as revisões, e as pessoas que usam o equipamento corrigem os detalhes do dia a dia.
Revise o inventário em cronograma, e não só depois de um incidente, porque ele só é útil enquanto corresponde ao ambiente real.
Leitura adicional: Segurança da Informação: definição, requisitos, modelos e etapas.
Um ativo que você não vê é um ativo que você não consegue proteger.
Anexet TeamComo a Anexet resolve isto
O Anexet trata os ativos como algo a ser contabilizado automaticamente, e não digitado à mão. O módulo Inventory constrói a base de ativos a partir dos dados coletados pelos agentes nos endpoints, de modo que os registros de hardware e software aparecem e permanecem atuais sem entrada manual de dados:
Como a plataforma é implantada on-premise, o registro de ativos, seu histórico de auditoria e os dados de configuração coletados permanecem dentro da própria infraestrutura da organização.
Computadores e dispositivos
os agentes descobrem estações de trabalho, PCs, notebooks, servidores, e seus componentes, e um assistente de importação transfere o hardware descoberto para o inventário. Cada cartão contém status (em uso, sem uso, em manutenção, para baixa), responsável, departamento e posto de trabalho. Há suporte a cerca de vinte tipos de dispositivos, de monitores e discos a equipamentos de rede e impressoras, e vários componentes podem ser unidos em um dispositivo composto com um número de inventário compartilhado.
Inventário de software
para cada computador, o módulo registra as aplicações instaladas com fabricante, data de instalação, tamanho, versão e local, os dados necessários para o controle de licenças e atualizações.
Detecção de desvios
uma configuração de referência pode ser fixada para cada computador; quando um dispositivo fora da configuração é conectado, ou um dispositivo configurado não é encontrado entre os conectados, o módulo sinaliza o desvio e notifica o responsável pela segurança em tempo real.
Mapa do escritório
é possível carregar uma planta e posicionar os equipamentos nela, de modo que computadores, seus usuários ativos e indicadores de desvio fiquem visíveis em suas localizações físicas.
Gerenciador de dispositivos
uma ferramenta dedicada vincula dispositivos aos cartões de computadores e gerencia a composição das configurações.
Trilha de auditoria e exportação
cada operação, adição, exclusão, movimentação, configuração, mudança de status ou responsável, vai para o log de auditoria; listas de computadores, listas de dispositivos e o mapa do escritório podem ser exportados para xlsx ou pdf.
Anexet Inventory
Saiba mais