IT Asset Management (ITAM) ist die vollständige und genaue Bestandsaufnahme, Eigentümerschaft und Verwaltung von IT-Assets. ITAM ist eine wesentliche und häufig erforderliche Voraussetzung für die Fähigkeit eines Unternehmens, grundlegende Sicherheitspraktiken zu implementieren und strenge Industriestandards einzuhalten. Während sich die IT weiter wandelt, stehen Unternehmen vor der Herausforderung, ein genaues Inventar der IT-Ressourcen zu führen, die sowohl aus physischen und virtuellen Geräten als auch aus statischen und dynamischen Spin-up-Spin-down-Cloud-Infrastrukturen bestehen.

Das Fehlen von ITAM kann zu einem Mangel an Asset Governance und ungenauem Inventar führen. Ohne einen formalisierten Prozess könnten Unternehmen unwissentlich unsicheren Vermögenswerten ausgesetzt sein, die für die Ausbeutung offen sind. Im Gegenteil, eine ordnungsgemäße ITAM ermöglicht es Unternehmen, eine zentralisierte und genaue Bestandsaufzeichnung zu nutzen, in der Sicherheitsmaßnahmen in der gesamten Unternehmensumgebung implementiert und konsistent angewendet werden können.

Risiken ohne ITAM

Vermögenswerte, die nicht in einem ITAM-Programm inventarisiert und nachverfolgt werden, stellen ein sehr reales und kritisches Risiko für das Unternehmen dar. Unbekannte Vermögenswerte haben selten einen geeigneten Eigentümer identifiziert und zugewiesen. Im Wesentlichen trägt niemand innerhalb der Organisation die Verantwortung dafür, dass der unbekannte Vermögenswert ausreichend verwaltet oder gesichert wird. Infolgedessen können unbekannte Assets schnell nicht mehr mit den gesetzlichen Bestimmungen oder Compliance-Anforderungen synchronisiert werden, sodass sie für die Nutzung anfällig sind.

In einer Welt mit ständigen Patches und Hotfixes kann ein unbekanntes Asset bereits nach einem einzigen fehlenden Update anfällig werden. Schlechte Schauspieler greifen selten das bekannte und sicherheitsrelevante Gut an. Es ist weitaus üblicher, dass ein schlechter Akteur das Netzwerk der Organisation geduldig durchquert und auf einen Angriff wartet, bis er einen Vermögenswert identifiziert hat, von dem die Organisation selbst nicht weiß, dass er existiert.

Vorteile von ITAM

Bevor ein Unternehmen Programme zum Schutz seiner betrieblichen Vermögenswerte ausreichend implementieren kann, muss es zunächst in der Lage sein, diese Vermögenswerte zu identifizieren und zu inventarisieren. Unternehmen sollten Prozesse und Kontrollen einrichten, um die Bestandsaufnahme von Vermögenswerten zu automatisieren, die durch Beschaffung und Bereitstellung virtueller Maschinen erhalten werden. Assets können mithilfe einer Configuration Management Database (CMDB) inventarisiert und kontinuierlich nachverfolgt werden. Jeder Vermögenswert kann in der CMDB inventarisiert und einem Eigentümer zugewiesen werden, der für die Steuerung und Wartung des Vermögenswerts bis zur Stilllegung oder Zerstörung des Vermögenswerts verantwortlich ist.

Es müssen auch Prozesse eingerichtet werden, um das CMDB-Inventar kontinuierlich zu überwachen und zu aktualisieren. Ein Beispiel für die Überwachung der CMDB durch Adobe ist die Nutzung von Betriebssicherheitskontrollen. Beispielsweise führt Adobe eine Analyse durch, um festzustellen, ob alle Assets, die Protokolle an einen Unternehmensprotokollserver senden, bekannte Assets sind, die in der CMDB inventarisiert sind. Wenn der Vermögenswert nicht in der CMDB inventarisiert ist, wird der Vermögenswert als unbekannter Vermögenswert eingestuft. Sobald unbekannte Assets identifiziert wurden, wird eine weitere Analyse durchgeführt, damit das Asset der CMDB hinzugefügt und ein geeigneter Eigentümer zugewiesen werden kann.

Bei Adobe haben wir das Adobe Common Controls Framework (CCF) erstellt , eine Reihe von Steuerungsanforderungen, die aus den komplexen Sicherheits-, Datenschutz- und Regulierungsstandards der Branche heraus rationalisiert wurden. CCF bietet die erforderlichen Kontrollanweisungen, um Teams bei der Vermögensverwaltung zu unterstützen. ITAM hilft dabei, internen und externen Prüfern von Adobe ein zentrales Asset-Repository zur Verfügung zu stellen, um eine angemessene Sicherheit dafür zu erhalten, dass Sicherheitskontrollen implementiert wurden und in der gesamten Unternehmensumgebung effektiv funktionieren.

Wie oben beschrieben, ist die Aufrechterhaltung eines vollständigen und genauen ITAM in einer Organisation jeder Größe keine leichte Aufgabe. Bei korrekter Implementierung ermöglichen die Vorteile von ITAM Unternehmen jedoch, Sicherheitskontrollen in der gesamten Betriebsumgebung konsistent anzuwenden, was zu einer verringerten Angriffsfläche für potenzielle schlechte Akteure führt. Wenn Unternehmen nicht wissen, wo sich ihre Vermögenswerte befinden, wie können sie dann vernünftigerweise wissen, welche Vermögenswerte sie schützen müssen?