CIS Control 1 - Inventory and Control of Enterprise Assets

I dette afsnit gennemgår vi CIS Control 1: Inventory and Control of Enterprise Assets.

Formålet med denne kontrol er at sikre, at virksomheden aktivt identificerer, registrerer, vedligeholder og kontrollerer alle enterprise assets. Det betyder, at virksomheden skal have et præcist og opdateret overblik over alle aktiver, der kan lagre, behandle eller transmittere data.

Denne kontrol danner fundamentet for den videre sikkerhedsindsats, fordi mange andre kontroller afhænger af et korrekt og opdateret aktivinventar.

Hvad omfatter enterprise assets?

Enterprise assets omfatter alle enheder, der kan lagre, behandle eller transmittere data, og som eksisterer i fysiske, virtuelle eller cloud-baserede miljøer, herunder enheder der kan forbindes eksternt.

Det inkluderer blandt andet

• End-user devices som desktops, workstations, laptops, tablets og smartphones • Network devices som access points, switches, firewalls, gateways og routere • Non-computing og IoT enheder som printere, smart screens, fysiske sikkerhedssensorer og industrielle kontrolsystemer • Servere som webservere, mailservere, applikationsservere og filservere

Målet er at kende den samlede mængde af aktiver, der skal overvåges og beskyttes.

Etablering og vedligeholdelse af et detaljeret aktivinventar

Virksomheden skal etablere og vedligeholde et nøjagtigt, detaljeret og opdateret aktivinventar over alle enterprise assets.

For hver enhed skal inventaret som minimum indeholde

• Unik enterprise asset identifier • Dato for anskaffelse • Købspris • Beskrivelse • Producent • Modelnummer • Serienummer • Navn på ejer, rolle eller forretningsenhed • Fysisk placering, hvor relevant • MAC adresse • IP adresse • Garantiperiode • Relevant licensinformation

Alle aktiver skal tildeles en unik identifikation, og hvor relevant skal der påsættes et asset tag på enheden.

Inventaret skal gennemgås og verificeres mindst halvårligt eller hyppigere.

Da aktivinventaret kan indeholde følsomme oplysninger, skal der være tilstrækkelig adgangskontrol for at forhindre uautoriseret adgang og ændringer.

Discovery og håndtering af uautoriserede aktiver

Vedligeholdelsen af inventaret kræver løbende discovery. Det betyder, at virksomheden aktivt skal identificere nye enterprise assets, der er forbundet til netværket.

Når nye enheder opdages, skal de sammenholdes med den godkendte inventarliste.

Hvis en enhed ikke fremgår af inventaret, skal den undersøges. Det skal afklares, om:

• Enheden er virksomhedsejet og skal tilføjes inventaret • Enheden ikke er godkendt og skal fjernes fra netværket

Uautoriserede aktiver skal håndteres mindst ugentligt. Virksomheden kan vælge at:

• Fjerne enheden fra netværket • Nægte fjernadgang • Isolere enheden

Hvis en enhed vurderes som potentiel sikkerhedshændelse, kan det være relevant at aktivere virksomhedens incident response proces.

Brugere skal, hvor det er praktisk muligt, forbinde deres enterprise assets til virksomhedens netværk ugentligt.

Usage

Under brug af enterprise assets skal der være klare regler for håndtering.

Som minimum gælder

• Brugere skal håndtere alle enterprise assets forsvarligt • Verifikation af aktiver skal gennemføres halvårligt eller hyppigere • Asset owner har ansvar for at opretholde kontrol over enheden • Problemer, fejl, tab eller tyveri skal rapporteres til IT

Regler for brug kan være samlet i en Acceptable Use Policy.

Controlled Disposal

Når et enterprise asset skal tages ud af drift

• Enheden skal returneres til IT • Brugerdata skal kopieres eller overføres efter behov • Data på enheden skal slettes sikkert • Status skal opdateres i alle relevante systemer • Fjernelse af enheden skal dokumenteres i inventaret • Adgang til enterprise data skal tilbagekaldes

Uncontrolled Disposal

Hvis et enterprise asset mistes eller stjæles

• Det skal straks rapporteres til relevante forretningsenheder • Der skal indgives politianmeldelse ved tyveri • Adgang til enterprise data skal fjernes hurtigst muligt • Enheden skal markeres som mistet eller stjålet i inventaret

Afslutning

CIS Control 1 kræver, at virksomheden etablerer og vedligeholder et detaljeret og opdateret overblik over alle enterprise assets samt en proces for at identificere og håndtere uautoriserede enheder.

Et præcist aktivinventar og en konsekvent håndtering af nye, uautoriserede og udfasede aktiver er grundlaget for at kunne overvåge og beskytte virksomhedens infrastruktur effektivt.

Tak fordi du lyttede med.