Лекция «Карта ИТ-инфраструктуры»

Около 65 минут на 17 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 44 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Семнадцать тем вокруг трёх вопросов, задаваемых именно в таком порядке: что это, чьё оно и что сломается, если его выключить. Три действующих определения актива — ПП РФ от 01.07.2024 № 900, элемент конфигурации по ГОСТ Р ИСО/МЭК 20000-1-2021 и объект с ресурсом доступа по ГОСТ Р 57580.1-2017 — и общий их знаменатель: критерий не «стоит на балансе», а «нужно контролировать, чтобы сервис работал», включая арендованное, облачное и чужое. Шесть полей записи, собранных пересечением CIS 1.1, пункта 8.2.6 ГОСТ и меры A.5.9 ISO/IEC 27001:2022, с нормативным разрешением описывать разное разной глубиной. Владелец как конкретный человек, переназначаемый при смене роли, и его разведение с обладателем прав доступа. Четыре разбора отказов, причиной которых была неучтённая или неверно учтённая единица: восьмой сервер Knight Capital и 45 минут на убыток свыше 460 миллионов долларов, тридцатидолларовый одноплатный компьютер в сети NASA JPL, панель состояния AWS, зависевшая от самого S3, и истёкшие сертификаты Ericsson, оставившие без данных около 32 миллионов абонентов. Российская нормативная база с честно названным адресатом: ПП 900, пункт 37 приказа ФСТЭК России от 11.04.2025 № 117, действующего с 1 марта 2026 года, меры ИУ.1–ИУ.8 ГОСТ Р 57580.1 и сроки ПП 127. Разведение учёта и контроля фактического состава как двух разных мер. Периодичность CIS без ошибки перевода: bi-annually — дважды в год, обнаружение ежедневно, реакция на неавторизованное еженедельно. Бухгалтерская инвентаризация по ФСБУ 28/2023, которая даёт другой законный список того же парка. Лицензия как актив с ценой ошибки по статье 1301 ГК и порогами статьи 146 УК в редакции 133-ФЗ. Забор Честертона как процедурное, а не абсолютное правило, и порядок вывода из эксплуатации, где остановка предшествует удалению. Заканчивается лекция порядком первой недели в незнакомой инфраструктуре из семи пунктов.

Средство обнаружения отвечает на вопрос «что отвечает в сети» и выдаёт список адресов. Назначение актива, имя владельца и критичность в сети не опрашиваются — их вносит человек. Верно и обратное: ручной ввод даёт смысл и теряет полноту, потому что забытое не заносится. Ровно так и произошло в NASA JPL: правило «в сеть допускаются только устройства, зарегистрированные в базе ITSDB» существовало, но администраторы не обновляли базу при подключении новых устройств, и аудиторы нашли инвентарь неполным и неточным. Поэтому источников нужно два, а работа между ними называется контролем фактического состава: ГОСТ Р 57580.1 разводит учёт (меры ИУ.1–ИУ.3) и контроль фактического состава (ИУ.4, ИУ.6) как две разные меры, а ГОСТ Р ИСО/МЭК 20000-1 требует верифицировать точность информации через запланированные интервалы и предпринимать действия при выявлении неточностей.

Нельзя выключать по незнанию — можно выключать по разобранности, и это разные правила. Порядок такой: доказать отсутствие использования (отсутствие обращений в логах — свидетельство, а не доказательство, потому что мониторинг может не покрывать канал), найти владельца и спросить прямо, а если владелец не найден — записать в карте строку «владелец не найден» и адресовать вопрос владельцу инфраструктуры. Молчание согласием не является. Если ответ получен и назначение отпало — сначала остановка с сохранением данных и конфигурации, и только потом удаление: откат из остановленного состояния это одна команда, из удалённого — восстановление из копии со сроком в часах. И отдельно: попутная уборка запрещена, выключение одного сервиса не распространяется на похожие.

Напрямую нет. Постановление Правительства РФ от 01.07.2024 № 900 адресовано субъектам учёта в государственном секторе; приказ ФСТЭК России от 11.04.2025 № 117, действующий с 1 марта 2026 года, — операторам государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий и учреждений; ГОСТ Р 57580.1-2017 применяется к финансовым организациям через нормативные акты Банка России. Как обязанность это вас не касается, как источник проверенных определений и структуры записи — годится полностью: определение ИТ-актива из ПП 900 стало сквозным для всего контура госрегулирования, а состав записи из пункта 8.2.6 ГОСТ Р ИСО/МЭК 20000-1 применим к любой организации независимо от отрасли.