لا تستطيع المنشأة حماية جهاز أو برنامج لا تعرف أنه موجود، ولا تستطيع تجديد رخصة أو نقل عهدة أو إغلاق وصول موظف إذا كانت الملكية والمسؤولية غير واضحتين. سجل الأصول يحول الأجهزة والبرامج والحسابات المهمة من ذاكرة أفراد إلى قائمة قابلة للمراجعة.
1. حدّد المقصود بالأصل
ابدأ بالأجهزة التي تخزن بيانات المنشأة أو تدخل إلى أنظمتها: الحواسيب والهواتف وأجهزة الشبكة والطابعات الذكية وأجهزة نقاط البيع والخوادم والآلات المتصلة. أضف البرامج والتطبيقات السحابية والرخص والحسابات الإدارية المرتبطة بها. لا تجعل السجل قائمة مشتريات فقط؛ فهو يحتاج إلى الحالة الحالية والموقع والمستخدم والإصدار والدعم. تعرف CISA جرد الأصول بأنه قائمة منظمة ومحدثة بانتظام للأنظمة والأجهزة والبرامج، وتوفر أداة جدول لتتبع الأجهزة والتطبيقات والمعلومات الحساسة.
2. أنشئ حدًا أدنى من الحقول
ضع لكل أصل رقمًا داخليًا، ونوعه، والشركة والطراز أو اسم البرنامج، والرقم التسلسلي إن وجد، والموقع، وصاحب العهدة، وتاريخ الشراء أو بدء الاشتراك، والضمان أو نهاية الدعم، وحالة الأصل. أضف مستوى الحساسية ونوع البيانات التي يصل إليها، لكن لا تضع كلمات المرور أو رموز الاسترداد داخل سجل عام. بالنسبة إلى البرامج، سجل الجهاز أو المستخدم المرتبط بالرخصة، وطريقة التجديد، والمسؤول عن الحساب الإداري.
3. طابق السجل مع الواقع
نفذ جولة فعلية واطلب من كل قسم إظهار أجهزته وتطبيقاته الأساسية. قارن ذلك بفواتير الشراء ولوحة مسؤول البريد أو الخدمات السحابية وأجهزة الشبكة. قد تجد برنامجًا مدفوعًا لا يستخدم، أو جهازًا يعمل بإصدار غير مدعوم، أو هاتفًا قديمًا ما زال يدخل إلى البريد. توضح أدلة NIST لإدارة أصول تقنية المعلومات أن الرؤية المركزية للأجهزة والبرامج تدعم قرارات الترخيص والدعم واكتشاف الأصول غير المصرح بها والثغرات.
4. اربط التغيير بإجراء واضح
عند شراء جهاز أو تثبيت برنامج أو نقل عهدة أو مغادرة موظف، يجب تحديث السجل ضمن الخطوات نفسها لا في مراجعة سنوية لاحقة. حدّد من يوافق على البرامج الجديدة، ومن ينشئ الحساب، ومن يسترد الجهاز ويزيل الوصول. لا تحذف الأصل القديم؛ غيّر حالته إلى خارج الخدمة وسجل طريقة مسح البيانات أو التخلص منه وفق سياسة المنشأة والمتطلبات البيئية والتنظيمية المناسبة.
5. استخدم السجل لاتخاذ قرارات شهرية
راجع الأصول التي يقترب ضمانها أو دعمها أو تجديدها، والأجهزة بلا مسؤول، والبرامج المكررة، والحسابات الإدارية التي لا يملكها بديل. صنف الأولوية وفق أثر التوقف وحساسية البيانات وإمكان الاستبدال. السجل لا يمنع الهجمات بذاته، لكنه يكشف ما يحتاج تحديثًا أو حماية أو خطة بديلة. وتؤكد إرشادات CISA للأمن الأساسي ضرورة جرد الأجهزة والبرامج لمعرفة ما هو مستخدم وما هو معرض للخطر.
دور منصة الغرفة
المنصة لا تقدم خدمة إدارة أصول أو فحص تقني، ولا تطلب منك رفع قائمة أجهزتك أو برامجك؛ احتفظ بسجلك داخل المنشأة ومع المختص الذي تثق به، ولا ترسل كلمات المرور أو رموز الاسترداد لأي جهة. وإذا كانت أجهزتك تحفظ بيانات عملاء أو موظفين، فراجع في قسم قوانين تهمك ملخص قانون حماية البيانات الشخصية رقم 151 لسنة 2020 وقانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018.
الخلاصة
أنشئ جردًا محدثًا للأجهزة والبرامج والحسابات الإدارية، واربط كل شراء أو نقل عهدة أو مغادرة موظف بتحديث السجل.