Μια επιχείρηση δεν μπορεί να διαχειριστεί αποτελεσματικά την ασφάλεια, τις ενημερώσεις και το κόστος της τεχνολογίας της αν δεν γνωρίζει τι ακριβώς χρησιμοποιεί. Υπολογιστές, servers, firewalls, κινητές συσκευές, εφαρμογές και cloud υπηρεσίες μπορούν να προστεθούν ή να αλλάξουν με τον χρόνο χωρίς να υπάρχει πάντα μία ενιαία εικόνα.
Το IT asset inventory είναι η οργανωμένη καταγραφή αυτών των τεχνολογικών πόρων. Για μια μικρομεσαία επιχείρηση δεν χρειάζεται να ξεκινήσει ως πολύπλοκο έργο: χρειάζεται όμως να είναι αρκετά πλήρες και ενημερωμένο ώστε να απαντά σε μια βασική ερώτηση: τι έχουμε, ποιος είναι υπεύθυνος για αυτό και τι πρέπει να διαχειριστούμε ή να προστατεύσουμε;
Τι είναι το IT Asset Inventory;
IT asset inventory είναι ένα οργανωμένο αρχείο των τεχνολογικών assets που χρησιμοποιεί ή πρέπει να διαχειρίζεται μια επιχείρηση. Δεν περιορίζεται στους desktop και laptop υπολογιστές που βρίσκονται μέσα στο γραφείο.
Ανάλογα με το περιβάλλον, μπορεί να περιλαμβάνει:
- desktop και laptop υπολογιστές,
- servers και virtual machines,
- smartphones και tablets,
- routers, firewalls, switches και Wi-Fi access points,
- printers, κάμερες και άλλες δικτυακές ή IoT συσκευές,
- λειτουργικά συστήματα και εγκατεστημένο λογισμικό,
- cloud resources και workloads,
- SaaS εφαρμογές και άλλες κρίσιμες online υπηρεσίες.
Η λογική αυτή συμφωνεί με τα CIS Controls για το Inventory and Control of Enterprise Assets, τα οποία αντιμετωπίζουν ως μέρος του inventory όχι μόνο τις φυσικές συσκευές αλλά και assets που λειτουργούν virtual, remotely ή σε cloud environments.
Γιατί είναι σημαντικό για την κυβερνοασφάλεια;
Ένα asset που δεν γνωρίζετε ότι υπάρχει είναι δύσκολο να ενημερωθεί, να παρακολουθηθεί και να προστατευτεί. Μπορεί να είναι ένας παλιός υπολογιστής, ένα ξεχασμένο virtual machine, ένα firewall που δεν υποστηρίζεται πλέον ή μια εφαρμογή που χρησιμοποιείται χωρίς οργανωμένη διαχείριση.
Για αυτό το asset inventory αποτελεί θεμέλιο πολλών άλλων security διαδικασιών. Βοηθά την επιχείρηση να γνωρίζει πού πρέπει να εφαρμόσει patches, ποια συστήματα μπορεί να επηρεάζονται από μια νέα ευπάθεια και ποια assets χρειάζονται αντικατάσταση ή πρόσθετα controls.
Η σύνδεση αυτή είναι ιδιαίτερα σημαντική στο Vulnerability Management. Όταν ανακοινωθεί μια σοβαρή ευπάθεια, μία από τις πρώτες πρακτικές ερωτήσεις είναι αν η επιχείρηση χρησιμοποιεί το επηρεαζόμενο προϊόν και σε ποια συστήματα.
Hardware Inventory: Τι πρέπει να καταγράψετε;
Για κάθε συσκευή δεν αρκεί μια γενική εγγραφή όπως «Laptop Λογιστηρίου». Το inventory πρέπει να επιτρέπει την αξιόπιστη αναγνώριση του asset και να δίνει τις πληροφορίες που χρειάζονται για τη διαχείρισή του.
Ανάλογα με το είδος του asset, χρήσιμα πεδία μπορεί να είναι:
- μοναδικό asset ID ή άλλος εσωτερικός αναγνωριστικός αριθμός,
- τύπος συσκευής, όπως laptop, server, firewall ή printer,
- κατασκευαστής και μοντέλο,
- serial number, όπου υπάρχει,
- hostname ή device name,
- network information, όπου είναι χρήσιμο για τη διαχείριση,
- χρήστης ή επιχειρησιακός owner,
- τμήμα ή τοποθεσία,
- κατάσταση, όπως ενεργό, αποθηκευμένο, προς αντικατάσταση ή αποσυρμένο,
- management status, ώστε να είναι γνωστό αν το asset βρίσκεται υπό την προβλεπόμενη εταιρική διαχείριση.
Δεν χρειάζονται όλα τα πεδία για κάθε asset. Ο στόχος είναι να συλλέγονται οι πληροφορίες που βοηθούν πραγματικά τη λειτουργία, την ασφάλεια και το lifecycle management και όχι να δημιουργηθεί ένα υπερβολικά περίπλοκο αρχείο που κανείς δεν ενημερώνει.
Μην ξεχνάτε τις δικτυακές και IoT συσκευές
Τα endpoints των εργαζομένων είναι μόνο ένα μέρος του περιβάλλοντος. Firewalls, switches, access points, printers, κάμερες και άλλες συνδεδεμένες συσκευές μπορούν επίσης να έχουν firmware, credentials, management interfaces και δικτυακή πρόσβαση.
Η καταγραφή τους βοηθά να εντοπίζονται παλιές ή μη διαχειριζόμενες συσκευές και να υπάρχει σαφέστερη εικόνα του εταιρικού δικτύου. Συνδέεται επομένως άμεσα με τη συνολική αρχιτεκτονική και την παρακολούθηση της ασφάλειας του εταιρικού δικτύου.
Software Inventory: Ποιες εφαρμογές χρησιμοποιούνται;
Η καταγραφή του hardware δεν είναι αρκετή. Η επιχείρηση χρειάζεται επίσης ορατότητα στο λογισμικό και στα λειτουργικά συστήματα που χρησιμοποιεί.
Το CIS Control 2 για το Inventory and Control of Software Assets δίνει ιδιαίτερη έμφαση στην καταγραφή και διαχείριση του software, ώστε να μπορούν να εντοπίζονται μη εγκεκριμένες ή μη διαχειριζόμενες εφαρμογές.
Για τις σημαντικές εφαρμογές είναι χρήσιμο να γνωρίζετε στοιχεία όπως:
- όνομα εφαρμογής και publisher,
- πού είναι εγκατεστημένη ή ποιοι τη χρησιμοποιούν,
- έκδοση, όταν η πληροφορία είναι απαραίτητη για security ή support decisions,
- business purpose,
- αν είναι εγκεκριμένη από την επιχείρηση,
- αν εξακολουθεί να υποστηρίζεται από τον vendor,
- ποιος είναι υπεύθυνος για τη διαχείρισή της,
- πώς εγκαθίσταται, ενημερώνεται και τελικά αποσύρεται.
Γιατί έχει σημασία αν ένα προϊόν υποστηρίζεται ακόμη;
Η ύπαρξη ενός asset στο inventory δεν σημαίνει ότι το asset είναι ασφαλές. Ιδιαίτερη προσοχή χρειάζονται λειτουργικά συστήματα, εφαρμογές και συσκευές που έχουν φτάσει στο τέλος της υποστήριξής τους.
Το CIS Control 2 προβλέπει ότι το authorized software πρέπει να είναι υποστηριζόμενο. Αν μια επιχείρηση πρέπει για επιχειρησιακούς λόγους να διατηρήσει unsupported software, η εξαίρεση και ο σχετικός κίνδυνος πρέπει να αντιμετωπίζονται συνειδητά και όχι να παραμένουν άγνωστα.
Αυτός είναι ένας ακόμη λόγος για τον οποίο το inventory πρέπει να λειτουργεί ως εργαλείο lifecycle management και όχι ως μια λίστα που δημιουργήθηκε μία φορά και ξεχάστηκε.
Cloud και SaaS: Τα assets δεν βρίσκονται πλέον μόνο στο γραφείο
Σε ένα σύγχρονο περιβάλλον, σημαντικό μέρος της τεχνολογικής υποδομής μπορεί να βρίσκεται εκτός του φυσικού εταιρικού δικτύου. Cloud resources, SaaS εφαρμογές και online υπηρεσίες μπορεί να περιέχουν κρίσιμα δεδομένα ή να έχουν πρόσβαση σε εταιρικούς λογαριασμούς.
Για μια σημαντική cloud ή SaaS υπηρεσία είναι χρήσιμο να γνωρίζετε:
- ποια υπηρεσία χρησιμοποιείται,
- ποιος είναι ο business owner,
- ποιοι χρήστες ή ομάδες τη χρησιμοποιούν,
- τι είδους εταιρικά δεδομένα επεξεργάζεται,
- πώς γίνεται το authentication και η διαχείριση πρόσβασης,
- ποιος διαχειρίζεται τη συνδρομή ή τη σχέση με τον provider,
- τι πρέπει να συμβεί όταν η υπηρεσία δεν χρειάζεται πλέον.
Αυτό δεν σημαίνει ότι κάθε SaaS εφαρμογή πρέπει να αντιμετωπίζεται ακριβώς όπως ένας φυσικός υπολογιστής. Σημαίνει ότι οι κρίσιμες τεχνολογικές εξαρτήσεις δεν πρέπει να παραμένουν αόρατες επειδή δεν βρίσκονται στο τοπικό δίκτυο.
Τι σχέση έχει το Asset Inventory με το Shadow IT;
Το Shadow IT εμφανίζεται όταν εργαζόμενοι ή τμήματα χρησιμοποιούν τεχνολογίες έξω από τις εγκεκριμένες διαδικασίες της επιχείρησης. Ένα inventory που περιλαμβάνει μόνο όσα γνωρίζει ήδη το IT δεν αρκεί για να αποκαλύψει από μόνο του όλα τα άγνωστα assets.
Χρειάζονται διαδικασίες discovery και κατάλληλες τεχνικές πηγές δεδομένων, ανάλογα με το περιβάλλον. Για τις cloud εφαρμογές, το θέμα αναλύεται αναλυτικότερα στον οδηγό για το SaaS Shadow IT.
Το inventory και το discovery επομένως λειτουργούν μαζί: το discovery βοηθά να βρεθεί κάτι που δεν γνωρίζατε, ενώ το inventory δημιουργεί την οργανωμένη εικόνα που χρειάζεται για να το διαχειριστείτε.
Ποιος πρέπει να είναι υπεύθυνος για κάθε Asset;
Ένα asset χωρίς ξεκάθαρο owner δημιουργεί πρακτικό πρόβλημα. Όταν χρειάζεται αλλαγή, ενημέρωση, αξιολόγηση κινδύνου ή απόσυρση, δεν είναι σαφές ποιος πρέπει να πάρει την απόφαση.
Ο owner δεν χρειάζεται πάντα να είναι ο άνθρωπος που κάνει την τεχνική διαχείριση. Μια επιχειρηματική εφαρμογή, για παράδειγμα, μπορεί να έχει business owner από το αντίστοιχο τμήμα και τεχνική διαχείριση από το IT ή έναν εξωτερικό IT provider.
Το σημαντικό είναι να υπάρχει σαφής ευθύνη και να μη μένουν κρίσιμα assets χωρίς ιδιοκτησία επειδή «κάποιος τα είχε εγκαταστήσει παλιά».
Το Inventory πρέπει να ακολουθεί ολόκληρο το Lifecycle
Η καταγραφή δεν πρέπει να γίνεται μόνο όταν αγοράζεται ένας νέος υπολογιστής. Το asset inventory έχει αξία όταν ακολουθεί το asset από την εισαγωγή μέχρι την απόσυρσή του.
Μια απλή διαδικασία μπορεί να περιλαμβάνει:
- Acquisition: καταγραφή όταν αποκτάται ή εγκρίνεται το asset.
- Deployment: σύνδεσή του με τον κατάλληλο χρήστη, owner ή υπηρεσία.
- Operation: ενημέρωση των σημαντικών αλλαγών κατά τη διάρκεια της χρήσης.
- Transfer: αλλαγή owner ή χρήστη όταν το asset μετακινείται.
- Retirement: καταγραφή ότι το asset δεν χρησιμοποιείται πλέον.
- Disposal ή decommissioning: ασφαλής ολοκλήρωση της χρήσης του, με τις κατάλληλες ενέργειες για δεδομένα, accounts και πρόσβαση.
Έτσι αποφεύγονται «ορφανά» συστήματα και παλιές υπηρεσίες που παραμένουν ενεργές χωρίς σαφή επιχειρησιακό λόγο.
Spreadsheet ή ειδικό IT Asset Management εργαλείο;
Δεν χρειάζεται κάθε μικρή επιχείρηση να ξεκινήσει με μια σύνθετη IT Asset Management πλατφόρμα. Σε ένα μικρό και σχετικά σταθερό περιβάλλον, ακόμη και ένα σωστά δομημένο και ελεγχόμενο αρχείο μπορεί να αποτελέσει πρακτική αφετηρία.
Καθώς όμως αυξάνονται οι συσκευές, οι τοποθεσίες, οι εργαζόμενοι και οι cloud υπηρεσίες, η χειροκίνητη ενημέρωση γίνεται δυσκολότερη. Εργαλεία endpoint management, mobile device management, network discovery, vulnerability management ή άλλες management πλατφόρμες μπορούν να παρέχουν δεδομένα που βοηθούν στην αυτοματοποίηση και επαλήθευση του inventory.
Το εργαλείο από μόνο του δεν λύνει το πρόβλημα. Χρειάζεται διαδικασία που καθορίζει ποια assets πρέπει να καταγράφονται, ποιος διορθώνει ανακριβείς εγγραφές και τι συμβαίνει όταν εμφανίζεται μια άγνωστη ή μη εγκεκριμένη συσκευή.
Πόσο συχνά πρέπει να ενημερώνεται;
Το inventory πρέπει να ενημερώνεται όταν συμβαίνουν αλλαγές και να ελέγχεται περιοδικά για ακρίβεια. Η κατάλληλη συχνότητα εξαρτάται από το πόσο γρήγορα αλλάζει το περιβάλλον και από τις διαδικασίες της επιχείρησης.
Τα CIS Controls v8.1 περιλαμβάνουν συγκεκριμένες συχνότητες για ορισμένα safeguards και προβλέπουν επίσης συχνότερο discovery ή έλεγχο μη εξουσιοδοτημένων assets. Μια ΜΜΕ δεν πρέπει όμως να αντιμετωπίζει το inventory ως περιοδική γραφειοκρατική άσκηση. Η καλύτερη προσέγγιση είναι σημαντικές αλλαγές — νέες συσκευές, deployments, transfers και retirements — να ενημερώνουν τη διαδικασία όσο το δυνατόν πιο κοντά στον χρόνο που συμβαίνουν.
Πώς βοηθά σε ένα περιστατικό ασφάλειας;
Σε ένα security incident, ο χρόνος που χάνεται για να διαπιστωθεί τι είναι ένα σύστημα και ποιος το χρησιμοποιεί μπορεί να δυσκολέψει την απόκριση.
Ένα αξιόπιστο inventory μπορεί να βοηθήσει την ομάδα που διαχειρίζεται το περιστατικό να καταλάβει ταχύτερα ποιο asset επηρεάζεται, ποιος είναι ο owner του, ποια είναι η λειτουργία του και ποια άλλα συστήματα χρειάζονται διερεύνηση.
Δεν αντικαθιστά logs, telemetry ή forensic investigation. Αποτελεί όμως χρήσιμο context για μια οργανωμένη διαδικασία Incident Response.
Πρακτικό Checklist για μια ΜΜΕ
- Έχετε καταγεγραμμένους όλους τους εταιρικούς υπολογιστές και servers;
- Περιλαμβάνονται firewalls, switches, access points, printers και άλλες δικτυακές συσκευές;
- Γνωρίζετε ποιες κινητές συσκευές έχουν πρόσβαση σε εταιρικά δεδομένα;
- Υπάρχει inventory των σημαντικών εφαρμογών και λειτουργικών συστημάτων;
- Μπορείτε να εντοπίσετε unsupported software και παλιές συσκευές;
- Έχετε εικόνα των κρίσιμων cloud και SaaS υπηρεσιών;
- Υπάρχει owner για κάθε σημαντικό asset ή υπηρεσία;
- Καταγράφεται αν ένα asset είναι ενεργό, αποθηκευμένο ή αποσυρμένο;
- Ενημερώνεται το inventory κατά το onboarding, τις αλλαγές εξοπλισμού και το offboarding;
- Υπάρχει διαδικασία για τον εντοπισμό και τη διαχείριση άγνωστων ή μη εγκεκριμένων assets;
- Μπορείτε σε περίπτωση σοβαρής ευπάθειας να εντοπίσετε γρήγορα αν χρησιμοποιείτε το επηρεαζόμενο προϊόν;
Πώς να ξεκινήσετε χωρίς να περιπλέξετε τη διαδικασία
Για μια ΜΜΕ, το πρώτο inventory δεν χρειάζεται να είναι τέλειο. Πρέπει όμως να είναι αρκετά αξιόπιστο ώστε να μπορεί να βελτιώνεται.
- Καθορίστε ποιες κατηγορίες assets πρέπει να καλύψετε.
- Συγκεντρώστε τα δεδομένα που υπάρχουν ήδη σε management εργαλεία, προμηθευτές και εσωτερικά αρχεία.
- Επαληθεύστε τι βρίσκεται πραγματικά στο δίκτυο και τι χρησιμοποιείται από τους εργαζομένους.
- Ορίστε owner και κατάσταση για κάθε σημαντικό asset.
- Εντοπίστε unsupported, άγνωστα και μη διαχειριζόμενα assets.
- Συνδέστε την ενημέρωση του inventory με onboarding, procurement, αλλαγές και offboarding.
- Χρησιμοποιήστε το inventory ως πηγή για patching, vulnerability management και security reviews.
Το NIST Cybersecurity Framework 2.0 παρέχει ένα ευρύτερο πλαίσιο για τη διαχείριση του cybersecurity risk και μπορεί να χρησιμοποιηθεί από οργανισμούς ανεξάρτητα από μέγεθος ή επίπεδο ωριμότητας. Το asset inventory εντάσσεται σε αυτή την ευρύτερη ανάγκη να γνωρίζει η επιχείρηση το περιβάλλον και τους πόρους που πρέπει να προστατεύσει.
Πώς μπορεί να βοηθήσει η DataShield
Ένα χρήσιμο IT asset inventory δεν είναι απλώς ένας κατάλογος εξοπλισμού. Πρέπει να συνδέεται με τη διαχείριση endpoints, δικτύου, λογισμικού, cloud υπηρεσιών, ενημερώσεων και security controls.
Η DataShield μπορεί να αξιολογήσει την υπάρχουσα εικόνα της IT υποδομής μιας επιχείρησης, να εντοπίσει κενά ορατότητας και να βοηθήσει στην οργάνωση μιας πρακτικής διαδικασίας asset management που υποστηρίζει τόσο την καθημερινή IT λειτουργία όσο και την κυβερνοασφάλεια.
Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για να εντοπιστούν άγνωστα, παλιά ή ανεπαρκώς διαχειριζόμενα συστήματα και να καθοριστούν οι προτεραιότητες.
Συμπέρασμα
Το IT asset inventory απαντά σε μία από τις πιο βασικές ερωτήσεις της τεχνολογικής διαχείρισης: τι ακριβώς πρέπει να διαχειριστούμε και να προστατεύσουμε;
Για μια ΜΜΕ, η αξία του δεν βρίσκεται στην ποσότητα των πεδίων που καταγράφονται αλλά στην ακρίβεια και στη χρήση τους. Ένα ενημερωμένο inventory για συσκευές, λογισμικό και κρίσιμες cloud υπηρεσίες κάνει ευκολότερο το patching, το vulnerability management, το lifecycle management και την απόκριση σε περιστατικά.
Ξεκινήστε με τις πληροφορίες που πραγματικά χρειάζεστε, ορίστε υπευθυνότητα και ενσωματώστε την ενημέρωση του inventory στις καθημερινές IT διαδικασίες. Έτσι η καταγραφή παραμένει λειτουργικό εργαλείο και όχι ένα spreadsheet που παύει γρήγορα να αντικατοπτρίζει την πραγματικότητα.
