Yrityksissä ollaan harvoin täysin perillä laitteiden ja muiden, organisaation digitaaliseen infrastruktuurin kytkettyjen assettien lukumäärästä tai tilasta. Tämä aiheuttaa haasteita tietoturvan ylläpidolle ja mahdollistaa erilaiset kyberrikkomukset.
Moderneilla Asset Management -työkaluilla saavutetaan reaaliaikainen näkyvyys kaluston päälukuun, sijaintiin ja tietoturvan tilaan. Näin hallinnoidaan tehokkaasti myös yrityksen IT-laitteisiin liittyvää digitaalista hyökkäyspinta-alaa.
Perinteisesti yrityksen IT-omaisuuden hallintaa on tehty kulujen näkökulmasta – esimerkiksi työntekijöiden päätelaitteiden ikä on kiinnostanut IT-osastoa siksi, että se mahdollistaa varautumisen laitteen vaihtoon ja sitä kautta laitekulujen ennustamisen. Laitteiden kustannuksia ja lukumäärää seurataan myös verotuksellisista syistä.
Yrityksissä harvoin ollaan kuitenkaan perillä IT-laitteiden tarkasta pääluvusta ja sijainnista, tai etenkään niiden päivitysten tilasta tai tietoturvakontrollien tasosta. Laitteita saattaa seilata myös organisaation ulkopuolella, jos esimerkiksi palautuskäytännöt ovat epäselviä. Tämä asettaa haasteita niin laitteiden kirjanpidolle kuin koko organisaation tietoturvalle.
Lue myös: Brändin ja resurssien suojaaminen vaati yrityksen tietoturvan fokuksen laajentamista
Tarkka kirjanpito kertoo digitaalisen hyökkäyspinta-alan laajuudesta
Tietoja IT-laitekannasta ylläpidetään usein CMDB (Configuration Management Database) -järjestelmien tai vastaavien työkalujen avulla. Tietokantojen tiedot eivät välttämättä ole kuitenkaan ajan tasalla. Lisäksi CMDB-ohjelmat eivät yleensä tunnista, jos esimerkiksi yksi palvelinkokonaisuus käsittää yhteensä kymmeniä samaa mallia ja merkkiä olevia koneita, vaan ne voivat inventoida kokonaisuuden kymmeninä identtisinä laitteina.
Monilla yrityksillä laitteiden hankinta ja ylläpito on ulkoistettu kumppanille. Laitetoimittajien ylläpitämät tiedot yrityksen liisaamista laitteista ja niiden kulloisestakin käyttäjästä ovat käytännössä kuitenkin lähempänä varastomerkintöjä, jotka eivät välttämättä ota kantaa esimerkiksi siihen, missä kunnossa laitteen päivitykset ovat tai mikä laitteen nykyinen sijainti on.
Vaikka ulkopuolinen kumppani pitäisikin kirjaa käytössä olevista laitteista, IT-omaisuuden hallinta tulisi joka tapauksessa olla aina yrityksen itsensä hallinnassa. Se nimittäin mahdollistaa myös tiedon siitä, kuinka laaja yrityksen digitaalinen hyökkäyspinta-ala on ja näin myös varautumisen tietoturvauhkiin.
Mitä yrityksen tulisi tietää IT-laitteistaan
Modernissa tavassa lähestyä digitaalisen omaisuuden hallintaa tiedetään paitsi laitteiden tarkka lukumäärä, myös se, missä käytössä laitteet ovat, missä ne sijaitsevat, kuka niitä käyttää ja missä kunnossa laitteen tietoturva on. Myös tiedot laitteelle asennetuista sovelluksista ja tunnettuja haavoittuvuuksia sisältävistä ohjelmista sekä niiden tietoturvan tasosta ovat tietoturvan ylläpidon kannalta ensiarvoisen tärkeitä.
Tiedolla laitteen iästäkin on merkitystä – joskus haavoittuvuudet eivät koskekaan sovelluksia vaan nimenomaan fyysistä laitetta. Julkisuuteen asti on tullut tapauksia, jossa esimerkiksi tietyn mallisissa ja tiettyyn aikaan valmistettujen koneiden fyysisessä piirilevyssä on havaittu vakoilun mahdollistavia asennuksia.
Kun yrityksellä on tieto näistä asioista, voidaan myös poikkeamat havaita. Jos toimitusjohtajan kone yllättäen ilmestyy yrityksen verkkoon toiselta puolelta maapalloa, voi olla syytä tutkia asiaa tarkemmin.
Tiedätkö IT-laitteistasi nämä asiat?
- Laitteiden lukumäärä
- Kuka laitetta käyttää
- Mitä laitteella normaalisti tehdään
- Sijainti
- Ikä
- Päivitysten tila
- Laitteeseen asennetut sovellukset
- Laitteen tietoturva-asetusten tilanne
Läpinäkyvyys nykyaikaisilla työkaluilla
Näkyvyyttä IT-laitteisiin saadaan nykyaikaisilla Asset Management –sovelluksilla, jotka huomioivat myös tietoturvan omaisuuden hallinnassa. Niiden avulla vältetään inhimillisen kirjapidon unohdukset ja virheet, sillä laitteet inventoidaan automaattisten työkalujen avulla. Samaan tapaan sovellusten avulla voidaan nähdä esimerkiksi, missä laite on ja mitä ohjelmia siihen on asennettu.
Uudenlaista näkökulmaa omaisuuden hallintaan tuovista sovelluksista löytyy CAASM (Cyber Asset Attack Surface Management) -kyvykkyys, jonka avulla esimerkiksi yrityksen tietoturvakäytänteet, tietoturvapäivitykset ja –asetukset voidaan ajaa laitteeseen pakottamalla ilman, että käyttäjän tarvitsee tehdä yhtään mitään.
Tietoturvan näkökulman ottaminen mukaan omaisuuden hallintaan parantaa kokonaisuudessaan yrityksen tietoturvaa ja parantaa kyberpuolustusta, kun tiedetään, minkälainen laitteiden muodostama hyökkäyspinta-ala on, ja minkälaisia kyberhyökkäyksen mahdollistavia haavoittuvuuksia laitteissa on.
