Poznaj miasto.

Nie możesz chronić tego, o czym nie wiesz, że to masz. Pierwszym zadaniem osoby zajmującej się ochroną jest inwentaryzacja: lista zasobów, czyli cennych rzeczy, które trzeba chronić.

Wyobraź sobie małe, zmyślone miasteczko Acmeton ze szkołą, przychodnią, sklepem i biurem rady. Jego zasoby można podzielić na kilka grup:

• Ludzie i konta: uczniowie, pracownicy, wspólne skrzynki pocztowe, konto administratora.
• Urządzenia: laptopy, tablety, telefony, drukarka, kamera przy drzwiach, inteligentny termostat.
• Usługi i oprogramowanie: sklep internetowy, poczta e-mail, system rezerwacji.
• Dane: listy klientów, notatki medyczne, oceny z egzaminów, rejestry płatności.
• Połączenia: router, Wi-Fi, połączenie z internetem.

Które zasoby są kluczowe? Zadaj o każdym z nich dwa pytania:

• Jak poważne byłyby skutki, gdyby został ujawniony, zmieniony lub niedostępny? (triada CIA z lekcji 1)
• Ile innych rzeczy jest od niego zależnych?

Szkolna dokumentacja obecności jest ważniejsza niż ekspres do kawy w pokoju nauczycielskim, nawet jeśli oba urządzenia mają połączenie z siecią. Kluczowy zasób wymaga silniejszych warstw ochrony, ostrożniejszych aktualizacji i lepszych kopii zapasowych. Równomierne rozdzielanie wysiłku na wszystko zwykle oznacza zbyt słabą ochronę kilku rzeczy, które mają największe znaczenie.

Przydatny spis zawiera dla każdego zasobu: co to jest, kto jest jego właścicielem, gdzie się znajduje (na miejscu, w chmurze, w czyimś domu), jakie dane przechowuje i jak ważny jest. Na początek wystarczy zwykły arkusz kalkulacyjny. Ukryte lub zapomniane elementy, takie jak stary serwer testowy albo kamera, której instalacji nikt nie pamięta, często są źródłem problemów. Zasób, o którym nikt nie wie, to zasób, którego nikt nie aktualizuje.

Myślenie jak obrońca. Aby zrozumieć ryzyko, warto zapytać: „gdyby ktoś chciał tutaj wyrządzić szkodę, za co by się zabrał i którędy najłatwiej byłoby się dostać?” Specjaliści ds. bezpieczeństwa nazywają to analizą powierzchni ataku: wszystkich miejsc, przez które może przedostać się problem. Zadajemy to pytanie wyłącznie po to, by zdecydować, co lepiej zabezpieczyć, a nigdy po to, by planować szkodę. Czasem opisuje się to jako „spojrzenie oczami atakującego”, ale cel jest wyłącznie ochronny.

W terminologii NIST ta lekcja dotyczy funkcji Identify: poznaj swoje zasoby, poznaj ryzyko i ustal priorytety. Wszystko, co następuje w tym kursie, opiera się na tych podstawach.

Jeszcze jedna zasada dotycząca własnego spisu: obejmuje on wyłącznie systemy, których jesteś właścicielem lub za które odpowiadasz. Oglądanie, spisywanie lub sprawdzanie cudzego sprzętu bez pozwolenia może być nielegalne, nawet jeśli nie masz złych zamiarów. Lekcja 24 wyjaśnia dlaczego.