ИТ-инвентаризация накануне аудита: как не краснеть перед проверяющими

Автоматизация учета в ИТ — это новый уровень работы с данными. База, которую нужно обеспечить, и можно больше никогда не переживать из-за проверок.

На практике это дает:

1. Актуальный реестр без ручного труда. Данные обновляются по расписанию или необходимым критериям: новое устройство в сети, изменение конфигурации, установка ПО. К моменту подготовки аудита уже все собрано и можно построить необходимые отчеты для проверяющих.

2. Единый источник истины. Есть одна база, которую видят ИТ-отдел,  ИБ-служба, руководство (каждый для своих задач и целей), и находятся в едином информационном поле.

3. Готовые отчеты под конкретные требования. У каждого аудита свои особенности. В ручном режиме под каждый запрос реестр приходится создавать заново. Система же хранит данные в едином виде и выдает их в нужном разрезе, формируя отчет под стандарт за пару кликов.

4. История изменений. Если аудитор спрашивает, что стояло на устройстве в марте, система показывает срез ровно за март.

5. Выявление запрещенного ПО. Теневые устройства и несогласованное ПО система находит заранее до проверки.

Читайте подробнее, как страховой брокер Remind взял под контроль рабочие станции в гео-распределённой инфраструктуре после внедрения «Инферит ИТМен».

Чек-лист готовности к аудиту

Проверьте себя прямо сейчас, не дожидаясь звонка из службы безопасности. Каждый пункт, на который сложно ответить «да», указывает, что данных в вашем текущем реестре недостаточно.

• Реестр оборудования обновлялся не позднее двух недель назад.

• Каждое устройство привязано к ответственному и локации.

• Есть список всего установленного ПО с версиями, включая удаленные устройства.

• Несанкционированное ПО выявлено, задокументировано или заблокировано.

• Лицензии сопоставлены с фактическими установками, расхождения (если есть) зафиксированы.

• Есть отчет по устаревшим ОС и устройствам без обновлений безопасности.

• Данные по удаленным офисам и сотрудникам включены в общий реестр.

• История изменений за последние 12 месяцев доступна по запросу.

FAQ

Как часто нужна инвентаризация для соответствия требованиям КИИ?

Приказ ФСТЭК №239 не задает жесткой периодичности, но требует актуальности данных. На практике регуляторы ожидают данные не старше 1–3 месяцев. Автоматизированные системы обычно закрывают этот вопрос: данные обновляются непрерывно, и на вопрос «что есть в инфраструктуре?» всегда есть ответ с детализацией.

Можно ли использовать Excel для аудита по ГОСТ Р 57580?

Да, если данные полные и актуальные. На практике из-за расхождений при ручном сборе данных аудиторы часто фиксируют замечания.

Агентный или безагентный сбор: что выбрать?

Зависит от особенностей инфраструктуры. Агентный сбор дает глубокие данные по каждому устройству. Безагентный обнаруживает то, на что агент сложно установить: принтеры, сетевое оборудование, гостевые устройства. Оптимальное решение в комбинировании обоих методов.

За сколько реально привести реестр в порядок с нуля?

При ручном подходе от нескольких недель до нескольких месяцев. С автоматизированной системой первичное сканирование сети занимает часы, далее поддерживается актуальность данных.

Вместо заключения

У хорошо настроенной ИТ-инвентаризации есть побочный эффект: проверки перестают быть стрессом. Нет дедлайна, ручных сверок, объяснений. Есть актуальные данные, которые всегда под рукой, и отчет, собираемый за минуты.