Руслан Рахметов, Security Vision
Управление ИТ-активами (ITAM) – это комплексный процесс, охватывающий все аспекты работы с ИТ-активами организации, от их приобретения до утилизации. Обеспечить такой процесс позволяют системы, которые следят за всеми объектами.
Security Vision AM
Продукт не требует большого количества средств защиты информации и подходит для задач практической безопасности, а также управления рисками и соответствия различным стандартам. Узнать о продукте Security Vision AM →
Давайте рассмотрим, как работает система, на более простом примере, например, организация порядка на компьютере. Представим себе специальную систему, которая помогает нам следить за всеми программами и играми: она знает, что установлено, когда это было установлено и где это находится. Тогда при помощи организации этого процесса можно:
- узнавать, какие программы установлены на компьютере;
- разложить их «по полочкам» для удобного пользования;
- находить потерянные программы и игры;
- обновлять их, чтобы получить максимум возможностей;
- удалить ненужные объекты, чтобы освободить место, например, для хранения фотографий и видео.
Представим себе другую ситуацию: нужно разобраться с беспорядком на космическом корабле, который завален запчастями, инструментами и другими вещами, и уже давно никто не может найти то, что ему нужно. Тогда функции ITAM может выполнять специальный умный склад для всех вещей: он знает, где находится каждый предмет и как его можно использовать. Тогда при помощи организации процесса можно:
- нарисовать карту, на которой отмечены все места хранения;
- легко найти то, что нужно;
- найти потерянный запчасти;
- отметить предметы, которые больше не нужны, чтобы спокойно их выкинуть.
В качестве ещё одного примера можно представить себе волшебный сундук, в котором можно хранить все свои драгоценности, чтобы:
- узнать, сколько в нем драгоценностей и какие они;
- помнить, когда мы их купили, или в честь какого праздника получили в подарок;
- найти ценные серьги для выхода в свет.
Вне зависимости от типов объектов, будь то компьютерные игры, инструменты космического корабля или драгоценности, организация управления ими позволяет обеспечить понятные и прозрачные процессы. Если мы говорим про активы в компаниях, они заслуживают внимания ИТ-специалистов и безопасников, у которых есть понятные задачи:
Поиск и учёт
Выявление, регистрация и категоризация всех ИТ-активов, включая аппаратное и программное обеспечение, сетевые устройства, мобильные устройства, учетные записи пользователей и т.д.
Инвентаризация
Получение свежих и наиболее полных сведений с возможностью удаления дубликатов и обогащения существующих карточек активов.
Управление жизненным циклом
Планирование, контроль и оптимизация всех этапов жизни объектов, от их приобретения до вывода из эксплуатации.
Управление лицензиями
Обеспечение соответствия использования программного обеспечения (ПО) лицензионным соглашениям и управление закупками: отслеживание затрат на приобретение, содержание и поддержку нужных лицензий.
Обеспечение безопасности
Защита ИТ-активов от кражи, утечек данных и других угроз, например, связанных с подменой комплектующих или применением стороннего ПО.
Отчётность
Предоставление руководству и другим заинтересованным сторонам информации о состоянии ИТ-активов, построение качественного ландшафта для решения смежных задач.
Процесс управления ИТ-активами и инвентаризацией может быть обеспечен различными методологиями:
· ITIL (Information Technology Infrastructure Library): комплексная методология управления ИТ-услугами, которая включает в себя раздел, посвящённый ITAM, и предоставляет набор рекомендаций и лучших практик по всем аспекта: от инвентаризации до управления жизненным циклом ИТ-активов.
· COBIT Control Objectives for Information and Related Technologies): набор руководящих принципов и лучших практик для управления ИТ, который фокусируется на контроле и управлении активами так, чтобы обеспечить их соответствие бизнес-целям и минимизировать риски.
· ISO/IEC 19770-1: международный стандарт, устанавливающий требования к системам управления ИТ-активами и определяющий такие процессы, как инвентаризация, управление конфигурациями, управление лицензиями и т.д.
Помимо этих широко известных методологий, существует множество других подходов, выбор которых зависит от:
- размера и сложности организации;
- отрасли;
- выделенного бюджета;
- уровня зрелости ITAM в организации.
Кроме специфичного ITAM можно рассмотреть и более общий процесс управления активами (Asset Management), который отличается типом объектов, целями работы, самими процессами и применяемыми инструментами.
Этот процесс охватывает широкий спектр активов и сосредоточен не исключительно на ИТ-активах, но и, например, недвижимости, транспортных средствах, производственном оборудовании и т.д. В то время как ITAM ставит своей целью оптимизацию жизненного цикла ИТ-активов, максимизируя их ценность и минимизируя риски, связанные с ними, Asset Management - имеет более общую цель: эффективное управление всеми активами организации для обеспечения их сохранности, рентабельности и соответствия стратегическим целям компаний.
В общем случае процесс управления активами может использовать более широкий спектр инструментов, включая ERP-системы, системы управления проектами, системы документооборота и др., не фокусируясь на решениях классов AM и CMDB.
Важно отметить, что ITAM не заменяет Asset Management, а скорее является его подмножеством. Если самый общий процесс требует разносторонних знаний в различных сферах (в зависимости от типов активов, с которыми работает организация), ITAM – требует знаний только в областях ИТ-инфраструктуры, лицензирования ПО и безопасности ИТ.
Если вспомнить примеры из первой части статьи, можно выделить такие объекты, которые придут на замену играм, запчастям космического корабля и драгоценностям. Вместо игрушек, книг и одежды, ITAM помогает нам разобраться с компьютерами, программами, телефонами и другими устройствами, которые мы используем. ITAM может быть особенно полезен для компаний, где:
- расходы на ИТ высоки;
- ИТ-инфраструктура является критически важной для бизнеса;
- существует риск утечек данных или несанкционированного использования ПО.
ITAM – это не разовая задача, а непрерывный процесс, в котором нужно постоянно следить и обновлять информацию об устройствах, программах и пользователях. Сам процесс может быть сложным или максимально простым, в зависимости от ваших потребностей: в то время как для домашнего использования достаточно вести простой список или таблицу, компании может потребоваться более сложная система с инструментами автоматизации и управлением всеми данными из единого окна. Процесс ITAM обычно включает в себя следующие этапы:
1) Определение целей и задач
На первом этапе необходимо также определить ресурсы, необходимые для их достижения, выделить ответственных специалистов и определить регулярность.
2) Разработка политики
На втором - определяются процедуры, которые будут регламентировать все аспекты работы с ИТ-активами, включая графики и вовлеченность сторонних специалистов.
3) Внедрение технологий
Программы и сервисы, внедряемые на третьем этапе, помогут автоматизировать процессы управления ИТ-активами и сделать процесс максимально прозрачным.
4) Мониторинг и контроль
Этап, на котором необходимо постоянно отслеживать и контролировать эффективность работы ITAM-процессов, в чем помогает автоматизация расписаний и выполнения рутинных действий, например, формирование еженедельного отчёта, категорирование активов или предоставление возможностей управления для смежных задач.
5) Обучение
Персонал должен понимать, как работать с применяемыми инструментами ITAM, и быть вовлечён в актуализацию регламентов и процедур.
ITAM может показаться скучным, но это очень важный процесс, который помогает защитить устройства, данные и деньги. Он станет надёжным фундаментом для решения стратегических (моделирование угроз и оценка рисков, комплаенс на соответствие требованиям документов) и практических задач ИТ и ИБ (включая управление активами с точки зрения защиты данных).
