Inventário de Componentes do Sistema de Informação

Um inventário de componentes do sistema de informação é a lista autoritativa das partes que, juntas, formam um sistema: os servidores e estações de trabalho em que ele roda, os dispositivos de rede que os conectam, os sistemas operacionais e aplicativos instalados e o firmware por baixo de tudo. O termo vem da gestão de configuração. No NIST SP 800-53, o catálogo de controles por trás do FISMA, do FedRAMP e de grande parte da política de segurança federal e de fornecedores dos EUA, ele é formalizado como o controle CM-8, Information System Component Inventory. A mesma ideia aparece em outros lugares com outros nomes, como um inventário de ativos na ISO/IEC 27001 ou uma lista de itens de configuração na gestão de configuração baseada em ITIL.

O que define o inventário é a precisão e a atualização, e não a existência de uma lista. Uma planilha feita uma única vez para a auditoria e nunca mais atualizada não cumpre o requisito. Seu valor depende de refletir o sistema como ele está hoje, inclusive os componentes que alguém adicionou na semana passada sem consultar ninguém.

Um inventário de componentes que cumpre a intenção do controle vai muito além de uma lista de nomes. Para cada componente, o registro normalmente traz estes atributos:

Um inventário de componentes é pré-requisito para quase todos os outros controles de segurança. A gestão de vulnerabilidades não consegue corrigir um software que não se sabe estar instalado. A resposta a incidentes não consegue delimitar um comprometimento sem saber quais sistemas existem e o que executam. O controle de acesso não pode ser considerado completo se alguns componentes nunca foram revisados. Cada uma dessas atividades pressupõe, silenciosamente, que o inventário está completo e correto.

O mesmo requisito aparece em outros frameworks com nomes diferentes. O FedRAMP herda o CM-8 diretamente. O PCI DSS exige um inventário dos componentes do sistema no escopo dos dados de cartão. A ISO/IEC 27001 exige um inventário de ativos com responsável atribuído. A redação muda, mas a exigência central é a mesma: saiba o que você tem antes de tentar protegê-lo.

Programas maduros combinam o registro manual com a descoberta automatizada e depois conferem os resultados em um cronograma:

1. 1

   Registro manual

   Os componentes são cadastrados à medida que são adquiridos e implantados, com um responsável designado desde o primeiro dia.

2. 2

   Descoberta automatizada

   Agentes ou varreduras de rede detectam continuamente os componentes conectados, capturando hardware e software que o processo manual deixou passar ou que chegou por fora dele.

3. 3

   Conciliação

   Os resultados da descoberta são comparados com o inventário registrado em uma agenda definida. Qualquer componente visto na rede e ausente do registro é investigado, e não adicionado em silêncio.

4. 4

   Frequência de revisão

   A NIST SP 800-53 deixa o intervalo exato para a organização, mas espera que ele esteja definido em política e seja cumprido. Ciclos trimestrais e mensais são comuns, conforme o risco do sistema.

O inventário de hardware do Anexet monta esse registro a partir da descoberta. Cada cartão de dispositivo guarda tipo, número de série, responsável e localização, e a lista de aplicativos de cada computador mostra o inventário de software com versões e datas de instalação.

1 / 2

• 
• 

A diferença entre um inventário nominal e um inventário confiável aparece em alguns padrões recorrentes. Um registro atualizado só durante auditorias fica desatualizado em poucas semanas. Componentes adicionados por usuários fora da compra, como dispositivos pessoais, programas não aprovados ou um roteador extra ligado a um switch, nunca entram no registro. É esse o problema de shadow IT e de dispositivos não autorizados que o inventário deve revelar. Os campos de responsabilidade também envelhecem quando as pessoas mudam de equipe, deixando componentes listados sem responsável. Inventários que cobrem só parte do ambiente deixam o resto desprotegido em silêncio, criando uma falsa sensação de completude.

Auditores e equipes de segurança aplicam o mesmo teste que define o controle. A organização consegue apresentar, sob demanda, uma lista precisa do que possui, de quem é responsável por cada item e de quando foi verificado pela última vez? A resposta deve vir de um registro mantido em dia como rotina, e não de memória ou de um palpite.

Leitura adicional: Automação da Segurança da Informação.