Управление ИТ-активами: практика и уровни зрелости

Что у вас есть: серверы, сервисы, ПО, данные и кто за них отвечает.

С чего начать

Нельзя защитить то, о чём не знаешь. Реестр активов отвечает на три вопроса: что работает в сети, кто за это отвечает и насколько это важно для бизнеса. Без него невозможно ни оценить риски, ни закрыть уязвимости, ни понять масштаб инцидента.

Соберите список серверов, сервисов, рабочих станций и ПО. Начать можно с обычной таблицы.
Сверьте список с реальной сетью: сканирование Nmap находит забытые хосты и открытые порты.
Назначьте владельца и критичность каждому активу. Актив без владельца не обновляется и не закрывается.
Договоритесь, кто и как часто обновляет реестр: при каждом изменении, а не раз в год.

Как вести реестр и какие поля нужны, описано в статье «Реестр ИТ-активов».

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Есть список серверов, сервисов и программ, пусть даже в таблице.
2. Гигиенический	У каждого актива есть владелец и критичность, список обновляется при изменениях и сверяется с реальной сетью.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

Nmap: обнаружение узлов, сканирование портов и разбор вывода
Практическое руководство по Nmap: установка, цели, -sn и -Pn, TCP/UDP, порты, -sV и NSE, отчёты -oA и ограничения вывода.
Реестр ИТ-активов: поля, владельцы и сверка с сетью
Практика ведения реестра ИТ-активов: минимальные поля, владельцы и критичность, источники для наполнения, скрипт сверки реестра с сетью и регулярный порядок обновления.