Ogni azienda ha un elenco dei propri dispositivi. Sta in un foglio di calcolo, in un gestionale, nella testa del responsabile IT. Quasi nessuna ha un elenco che coincida con quello che è davvero collegato alla rete.
La differenza fra i due è lo spazio in cui lavora chi attacca. Un sistema che non compare in nessun inventario non viene aggiornato, non viene controllato e non viene testato, perché nessuno sa di doverlo fare.
L’asset inventory serve a chiudere quella distanza. Vediamo cosa comprende, perché l’elenco dichiarato non coincide mai con quello reale, e perché è il primo passaggio di qualsiasi analisi di sicurezza seria.
Che cos’è l’asset inventory
L’asset inventory, o inventario degli asset, è il censimento di tutto ciò che compone l’infrastruttura informatica di un’organizzazione: server, postazioni di lavoro, apparati di rete, applicazioni, servizi cloud, dispositivi collegati.
Ma un elenco di nomi non basta. Per essere utile un inventario deve dire, per ogni voce, quattro cose: dove si trova e cosa è raggiungibile da dove, quale versione di software o firmware ha installata, chi ne è responsabile, e che tipo di dati tratta.
Senza queste informazioni l’inventario è un elenco di oggetti. Con queste informazioni diventa la base su cui si decide cosa proteggere prima.
L’elenco dichiarato e quello reale
Qui sta il punto che nessuno dice apertamente. Esistono due inventari, e non coincidono quasi mai.
Il primo è quello che l’azienda ha scritto: nasce da un acquisto, da un progetto, da una configurazione iniziale. È preciso nel momento in cui viene compilato e comincia a invecchiare il giorno dopo.
Il secondo è quello che si vede andando a guardare in rete: cosa risponde, su quali porte, con quali versioni. È l’unico che conta, perché è quello che vede anche chi attacca.
La distanza fra i due non nasce da negligenza. Nasce dal fatto che l’infrastruttura cambia in continuazione e l’inventario si aggiorna a intervalli. Un server messo su per una prova e mai dismesso, una macchina virtuale clonata per un test, un servizio riattivato da un fornitore durante una manutenzione: nessuna di queste cose passa dal foglio di calcolo.
Cosa manca sempre
Le categorie che sfuggono agli inventari sono ricorrenti, e nei nostri rilievi si ripetono con pochissime variazioni.
| Categoria | Perché sfugge |
|---|---|
| Dispositivi comprati da altri reparti | Stampanti multifunzione, apparati di videosorveglianza, sensori: acquistati come attrezzatura, non passano dall’IT e non entrano nell’inventario |
| Sistemi lasciati accesi | Un server di un progetto concluso, una macchina di test, un ambiente di collaudo. Nessuno li usa e nessuno li spegne |
| Apparati installati da fornitori | Collegati durante un intervento di manutenzione, con un accesso remoto che resta attivo dopo la fine del lavoro |
| Servizi cloud attivati singolarmente | Sottoscritti da un reparto con una carta aziendale, contengono dati veri e non compaiono in nessun elenco IT |
| Componenti dentro altri software | Librerie e moduli di terze parti inclusi in applicazioni acquistate. L’azienda ha il prodotto nell’inventario, non i suoi ingredienti |
L’ultima riga è quella che ha prodotto più danni negli ultimi anni. Quando è emersa la vulnerabilità di Log4Shell, moltissime aziende non sono riuscite a rispondere alla domanda più semplice: abbiamo quella libreria? Non perché non avessero un inventario, ma perché l’inventario elencava i prodotti e non i loro componenti.
L’inventario reale non si compila: si rileva.
Il Vulnerability Assessment parte dal censimento di ciò che è effettivamente raggiungibile in rete, con le versioni in uso e le vulnerabilità note associate.
Perché è la prima fase di un vulnerability assessment
Un’analisi delle vulnerabilità comincia sempre allo stesso modo, e non è dalla scansione. Comincia dal capire cosa c’è.
Il motivo è banale: non si testa quello che non si sa di avere. Se il perimetro dell’analisi viene definito sulla base dell’inventario dichiarato, i sistemi che non ci sono dentro restano fuori dal test. E sono proprio quelli il problema, perché sono anche quelli che nessuno aggiorna.
Nella pratica il censimento si fa in due modi che si integrano. Si parte da quello che l’azienda dichiara, perché dà il contesto: chi usa cosa, quali sistemi sono critici, dove stanno i dati. Poi si va a verificare cosa risponde davvero in rete, e si confrontano le due liste.
Quello che emerge dal confronto è quasi sempre la parte interessante: sistemi attivi che nessuno rivendica, versioni diverse da quelle registrate, servizi raggiungibili che dovrebbero essere isolati.
Da lì in poi il lavoro è ordinare. Un penetration test parte dallo stesso presupposto, con una differenza: dopo aver stabilito cosa esiste, verifica cosa si raggiunge partendo da lì.
Cosa chiedono le norme
L’inventario non è solo una buona pratica: nei principali riferimenti di sicurezza è il primo controllo in assoluto.
Nei CIS Controls il controllo numero uno è l’inventario dei dispositivi e il numero due quello del software. L’ordine non è casuale: gli altri sedici presuppongono i primi due.
Nella direttiva NIS 2 la gestione del rischio e quella delle vulnerabilità sono fra le misure di sicurezza di base che i soggetti in perimetro devono avere operative, e nessuna delle due è possibile senza sapere su cosa si applicano.
E nella ISO 27001 il sistema di gestione parte dall’individuare quali informazioni l’organizzazione protegge e dove si trovano. Un auditor che chiede l’elenco degli asset non sta facendo una domanda formale: sta verificando se esiste il presupposto di tutto il resto.
Come si costruisce e si mantiene
Costruirlo la prima volta è la parte semplice. Mantenerlo è dove la maggior parte dei progetti si ferma.
Il punto di partenza è un censimento fatto sul campo, non a tavolino: cosa risponde in rete, su quali indirizzi, con quali versioni. Quello diventa la fotografia iniziale, da confrontare con l’elenco dichiarato per capire quanto è ampia la distanza.
Poi servono tre cose perché l’inventario resti vivo.
Una regola su chi lo aggiorna e quando. Non un’intenzione: un momento preciso del processo di acquisto e di dismissione in cui l’inventario si tocca. Se non è un passaggio obbligato, non avviene.
Una verifica periodica che confronti di nuovo dichiarato e reale. La frequenza dipende da quanto cambia l’infrastruttura, ma una volta l’anno è troppo poco per la maggior parte delle aziende.
E una decisione su cosa fare di quello che emerge. Ogni censimento produce una lista di sistemi che nessuno rivendica, e quella lista va chiusa: spegnere, assegnare un responsabile, oppure documentare per iscritto perché resta acceso così com’è.
Quello che non funziona è l’inventario che nessuno guarda più. Un elenco vecchio di due anni è peggio di nessun elenco, perché dà la sensazione di sapere cosa si ha.
Chi decide di collegare qualcosa alla rete raramente è chi la deve proteggere.
I percorsi della Cyberment Academy sono differenziati per ruolo e affrontano anche le scelte che generano esposizione fuori dal reparto informatico.
- Autore articolo
- Gli ultimi articoli
Nata a Taranto nel 1996 e diplomata in “Amministrazione finanza e marketing articolazione relazioni internazionali”. Ho seguito svariati corsi di formazione e ho avuto diverse esperienze lavorative nel mondo del marketing online e della comunicazione. Ad oggi sono scrittrice e mi occupo, oltre che dei social media, anche di seo, web/graphic design e fotografia.