Il nostro inventario è una lista che nessuno usa
Un elenco di apparati non aiuta durante un incidente. Un inventario che lavora dice cosa avete, a cosa serve e chi ne risponde.
Il problema
Esiste un file con server, PC, licenze e numeri di serie. È stato compilato per un audit, e da allora nessuno l'ha più aperto. Quando arriva un incidente o una scelta di budget, quel file non risponde alla domanda che conta: questa cosa a cosa serve, e cosa si ferma se si rompe?
Come capire se ti riguarda
- L'inventario si aggiorna solo prima di un controllo.
- Non c'è scritto a quale servizio serve ciascun sistema.
- Mancano servizi cloud, applicazioni in abbonamento, dispositivi personali usati per lavoro.
- Per ogni voce non c'è un responsabile con nome e cognome.
Il primo passo
Prendete i tre servizi più critici e chiedetevi quali sistemi, dati e persone servono per farli funzionare. Il primo inventario utile nasce così, dall'alto.
Come risolverlo
- Aggiungete il contesto. Per ogni asset: servizio che abilita, dati che tratta, dove si trova, chi ne risponde. *Chi: IT con i responsabili dei servizi. Evidenza: inventario con queste colonne.*
- Non dimenticate ciò che non si tocca. Account cloud, piattaforme SaaS, siti web, domini, certificati: sono asset anche loro.
- Date una criticità. Ereditata dal servizio che l'asset abilita: se il servizio è critico, lo è anche ciò che lo regge.
- Agganciate l'inventario ai processi. Ogni acquisto, dismissione o nuovo account passa dall'inventario. *Evidenza: procedura di aggiornamento.*
- Usatelo davvero. Patch, backup, accessi e piani di ripristino partono dall'inventario. Se nessuno lo consulta, qualcosa non funziona.
Come evitare che si ripeta
Fate una verifica a campione ogni trimestre: scegliete cinque voci e controllate che siano vere, aggiornate e con un responsabile che sa di esserlo.
Quando chiedere aiuto
Se l'azienda ha molte sedi o molta tecnologia, uno strumento di scoperta automatica degli asset può aiutare. Ma il contesto (a cosa serve, chi decide) lo mettono le persone.
Dal libro
«Un asset senza contesto è un oggetto tecnico.»
— *NIS2. La carta che guida*, capitolo 7
Uno spunto in più
Chiedete a un nuovo assunto di trovare nell'inventario cosa serve per emettere una fattura. Se ci riesce in cinque minuti, il vostro inventario lavora.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.