הבעיה
אף אחד לא יכול לענות כמה מחשבים ניידים יש לחברה, אילו חשבונות ענן קיימים, או מי הבעלים של סביבת ה-staging שרצה מאז 2022. כל בקרה שאתם עומדים להיבדק עליה (עדכונים, גישה, הצפנה, גיבוי) תלויה במצאי שלא קיים.
השיטה.
בניית המצאי ממקורות סמכותיים
Endpoints מקונסולות ה-MDM וה-EDR; משאבי ענן מ-API של הספק בכל חשבון, מנוי ואזור, כולל אלה שאף אחד לא זוכר שפתח; SaaS מ-SSO ומהרשאות OAuth ב-IdP; מאגרי קוד ו-CI מה-VCS; מאגרי מידע ממצאי הענן. גיליונות ידניים הם המוצא האחרון, לעולם לא המקור הראשון.
הצלבת המקורות זה מול זה
הממצאים נמצאים בהפרשים: מחשב ב-MDM ללא Agent EDR, חשבון ענן ללא בעלים, מסד נתונים בייצור שנעדר ממדיניות הגיבוי, מכונה של עובד לשעבר שעדיין מדווחת. כל פער הוא כשל בקרה עם שם מצורף.
סיווג והקצאת בעלות
כל נכס מקבל בעלים, סיווג הנגזר מהמידע שהוא מחזיק, ותג סביבה. בעלות היא אדם, לא כינוי של צוות. הסיווג מניע את מערך הבקרות (הצפנה, גישה, שמירה, גיבוי, תיעוד), אז הוא חייב להיות נכון לפני כל דבר במורד הזרם.
חיווט מחזור החיים לתהליכים שכבר קיימים
האספקה יוצרת את הרשומה, גריעת ההרשאות פורשת אותה, הרכש רושם אותה. מצאי המתוחזק כמטלה נפרדת מתכלה תוך רבעון; מצאי המתוחזק כתוצר לוואי של מצטרף-מחליף-עוזב ושל תשתית-כקוד נשאר נכון.
מעקב אחר החריגים עד לסגירה
נכסים ללא אחראי, Endpoints לא-מנוהלים, משאבי ענן יתומים ו-SaaS צללים הופכים לרשימת עבודה עם מועדים. הרשימה הזו היא ההישג המהיר ביותר באבטחה שזמין לרוב חברות השוק הבינוני, והוא בדרך כלל גם הזול ביותר.
למה ISO 27001 דורש מצאי נכסים?
כי כל בקרה אחרת תלויה בו. עדכונים, בקרת גישה, הצפנה, גיבוי, תיעוד ותגובה לאירועים חלים כולם על מערך מוגדר של נכסים. בלי מצאי שלם אין דרך להדגים שבקרה מכסה את כל מה שנטען שהיא מכסה, וכיסוי הוא בדיוק מה שמבקר בוחן.
מה צריך לכלול מצאי נכסי אבטחה?
Endpoints ומכשירים ניידים, שרתים, חשבונות ומשאבי ענן בכל הספקים והאזורים, אפליקציות SaaS והרשאות ה-OAuth שלהן, מאגרי קוד ומערכות CI/CD, מאגרי מידע עם הסיווג שלהם, ותשתית רשת. כל רשומה צריכה אחראי מוגדר בשם, סביבה, וסיווג מידע.
איך מוצאים נכסים שאף אחד לא זוכר שיצר?
על ידי הצלבת מקורות בלתי תלויים במקום להסתמך על אחד מהם. חיוב ספק הענן ו-API של הארגון חושפים חשבונות שאיש לא תיעד; הרשאות OAuth של ספק הזהויות חושפות SaaS שאיש לא רכש; גילוי משטח תקיפה חיצוני חושף מארחים ותתי-דומיינים שאיש לא הוציא משירות. ההפרשים בין המקורות הללו הם המקום שבו נכסים נשכחים נמצאים.