Инвентаризация 2.0 Как хорошо известные приёмы прошлого помогут обеспечить информационную безопасность предприятия.

Статья начальника отдела ИБ ООО "IT-TEAM SERVICE" Антона Ракитского вышла в журнале «Управление предприятием» в журнале №12 за декабрь 2021 г.
Полную версию статьи можно прочитать на сайте издания, в электронной версии журнала. Она доступна на русском и узбекском языках. Ниже приводится авторская редакция статьи.

    Уже в самом начале составления подобного списка, скорее всего, придётся столкнуться с тем, что количество устройств в разы (а то и десятки раз) больше чем ожидалось. Этот феномен частично объясняется развитием интернета вещей (англ. internet of things, IoT). Т.е. сейчас в сети предприятия существует множество устройств, которые подключены к интернету, но находятся «в свободном плавании», их активность не контролируется человеком. Это кроме упомянутых выше принтеров ещё и хранилища данных, телевизоры, кондиционеры, ip-телефоны. Сейчас практически все сложные устройства имеют подключения к интернету, если не напрямую кабелем, то через Wi-Fi. При этом они годами могут работать без обновления и часто являются входной точкой, «люком» для проведения атак в киберпространстве. Именно поэтому важно иметь список всех одобренных устройств. Во-первых, таким образом можно будет определить «чужое» устройство и нейтрализовать его. Во-вторых, в случае проведения атак через одобренное устройство можно будет найти его владельца и администратора для проведения расследования.

    Совет 2. Составить перечень всего используемого программного обеспечения. Как и в случае с оборудование частично требуемые данные уже есть в бухгалтерии. Там они проходят как «нематериальные активы». Вообще же в этот перечень нужно включить все применяемые на предприятии операционные системы, прикладное ПО   пакеты офисных программ, графические редакторы, системы управления базами данных. В списке нужно отметить правовой/лицензионный статус ПО   приобретались ли неисключительные права или оформлялась подписка? В первом случае чаще всего купленным ПО можно пользоваться дальше неограниченно долго. В случае подписки такое право чётко ограничено по времени. Часть ПО может быть свободным или с открытой лицензией (GNU GPL, Creative Commons).
    Нужно понимать, что этот документ для внутреннего использования и составлять его нужно максимально правдиво. Т.е. прямо указать   часть используемых программ не имеют лицензий и формально используются нелегально. Понятно, что сложно самим себе признаться в нарушении авторских прав, поэтому на первых порах можно использовать эвфемизм «используется в демонстрационном режиме». Имея такой объективный список, руководитель предприятия сможет оценить масштаб проблемы и спланировать закупку лицензионного ПО. Многие руководители искренне полагают, что приобретая оборудование, всё требуемое ПО уже идёт в комплекте. Ведь покупая мобильный телефон или планшет, мы не платим за встроенное в него ПО. В случае с компьютерной техникой покупается и лицензируется отдельно операционная система, прикладные программы, базы данных.

    Случай из практики: Официальные пользователи Windows 7 были заблаговременно оповещены, что расширенная поддержка этой системы прекращается с 14 января 2020 года. Абстрактное ответственное предприятие провело инвентаризацию ПО и знало, что 30% парка компьютерной техники использует именно эту операционную систему. Поэтому заблаговременно была спланирована миграция на более новую систему Windows 10. Для нескольких случаев, когда обновление не возможно (устаревшее оборудование или требуется сохранить именно ту же самую систему) предусмотрено приобретение отдельной подписки на обновление снятой с поддержки системы до 2023 года.
А те предприятия, которые не занимаются инвентаризацией ПО по-прежнему используют снятую с поддержки операционную систему, но не получают обновлений и могут стать целью для кибератак. Именно так разразилась всемирно известная эпидемия WannaCry в 2017 году. К моменту начала эпидемии уже два месяца существовало официальное исправление (заплатка, патч, противоядие) от производителя ПО. Те предприятия, которые своевременно его установили оказались полностью защищены. Те, у кого процедура инвентаризации не была налажена в большинстве случаев потеряли все данные.

Для справки: в ходе аудита ИБ на предприятиях в Узбекистане часто обнаруживаются используемые в работе системы под управлением Windows XP, поддержка которой и вовсе прекращена в 2014 году. А руководство предприятия не знает об этом и связанных с этим рисках.