Deunăzi am făcut o prezentare pentru OSE din domeniul serviciilor medicale. Am folosit ca element central de discuție schema pe care deja am distribuit-o pe Linkedin.

În Norme, cerințele de securitate în cazul A19 sînt prezentate astfel:

[A191]. Inventarierea și gestionarea activelor. OSE stabilește un cadru adecvat pentru identificarea, clasificarea și implementarea unui inventar al proceselor IT, sistemelor și elementelor componente ale rețelelor și sistemelor informatice. În baza gestionării activelor, OSE lansează actualizări și patch-uri și, după caz, stabilește ce elemente din componența rețelelor și sistemelor informatice sunt afectate de noi probleme de securitate.
1. Pentru identificarea amenințărilor, vulnerabilităților și riscurilor sunt identificate activele, sistemele și procesele organizației, care se materializează printr-o listă.
2. OSE elaborează o procedură pentru etichetarea și clasificarea datelor și informațiilor pentru a reflecta sensibilitatea acestora și, în consecință, se asigură că aceasta este respectată, iar datele/informațiile sunt gestionate corespunzător.

Implementare tehnică: instrument/soluție software pentru managementul activelor/asset management – asset inventory. Poate fi de sine stătătoare sau poate fi componenta unei soluții de tip ”service management” cu CMDB la bază. (Pentru o organizație cu sute de active este greu să se justifice că un astfel de inventar realizat în Word sau Excel este utilizabil în practică.)

Implementarea procesului/administrativă:

1. Toate dispozitivele/echipamentele fizice și sistemele trebuie inventariate cu următoarele informații minimale:
   • număr de identificare (poate fi numărul de inventar din evidența contabilă)
   • denumire
   • număr serial
   • amplasament
2. Pentru echipamentele conectate la rețea, suplimentar:
   • adresa IP
   • adresa MAC
3. Responsabilul:
   • nume și prenume
   • informații de contact
   • departament/entitate funcțională
4. Clasa din care face parte, conform schemei de clasificare/procedură
5. Software instalat

Probe în timpul auditului:

Inventarul activelor actualizat cu informațiile de la punctele anterioare.