Что запущено, чьё оно и что сломается
Инфраструктура, которую вы обслуживаете, состоит из машин и виртуалок, контейнеров и кластеров, арендованных сервисов, доменов, сертификатов, лицензий и подписок. Вопрос здесь ровно один: есть ли список, по которому за минуту можно ответить — что это за штука, кто за неё отвечает и кто останется без работы, если её выключить.
Разговор идёт сразу для двух ролей. Системный администратор приходит за учётом парка и порядком вывода из эксплуатации. DevOps-инженер — за картой зависимостей, именами владельцев и радиусом поражения. Предметы разные — стойки, гипервизоры и почтовые ящики у одного, образы, кластеры и облачные аренды у другого, — а правила записи одни и те же, поэтому примеры в темах чередуются.
- назвать, что считать активом, и не отдать этот вопрос на откуп бухгалтерии;
- завести запись с минимальным набором полей, у которого есть нормативное основание;
- найти владельца там, где владельца «нет»;
- построить карту зависимостей до нужной глубины и не глубже;
- посчитать радиус поражения до выключения, а не после;
- провести вывод из эксплуатации так, чтобы это не стало инцидентом.
Настройки конкретных систем учёта, команд обнаружения активов в конкретной операционной системе и выбора вендора. CMDB, ITAM и средства обнаружения — классы инструментов, а не рекомендации: для малой организации CIS прямо допускает файл CSV, и планка здесь не ставится недостижимой.
И два честных ограничения, которые лучше услышать сразу. Полный инвентарь не строится один раз навсегда: точность учёта падает непрерывно, и стандарты требуют периодической верификации именно поэтому. Учёт не закрывает уязвимость и не чинит сервис — он меняет только одно: решение принимается по фактам, а не по догадке.
Опора — четыре разбора реальных отказов, где причиной была именно неучтённая или неверно учтённая единица, российская нормативная база от постановления Правительства до приказа ФСТЭК, действующего с 1 марта 2026 года, и два международных набора требований, где инвентарь стоит первым номером.
Актив — это то, что сломает работу, а не то, что стоит на балансе
Спор о том, что считать активом, обычно заканчивается ничем, потому что спорящие держат в голове разные определения. Полезнее положить рядом три — они написаны для разных целей и сходятся в одной точке.
| Источник | Что называется объектом учёта |
|---|---|
| Постановление Правительства РФ от 01.07.2024 № 900, п. 2 Положения | «ИТ-активы» — информационные технологии, информационные системы, в том числе государственные и муниципальные, компоненты информационно-телекоммуникационной инфраструктуры, информационно-телекоммуникационные сети, программные и программно-технические комплексы, отдельные программы для ЭВМ и оборудование |
| ГОСТ Р ИСО/МЭК 20000-1-2021, п. 3.2.2 | Элемент конфигурации — «элемент, который необходимо контролировать для предоставления сервиса или сервисов» |
| ГОСТ Р 57580.1-2017, п. 3.8 и 3.9 | Объект доступа — аппаратное средство, средство вычислительной техники и (или) сетевое оборудование. Ресурс доступа — совокупность информации и программного обеспечения обработки информации |
Общий знаменатель виден сразу: критерий не «стоит на балансе» и не «железо», а нужно контролировать, чтобы сервис работал. В ряду ПП 900 сети, отдельные программы и оборудование стоят рядом как равные. У ГОСТ 20000-1 есть и обратное уточнение — примечание к п. 3.2.1 разводит понятия: актив может являться элементом конфигурации, но некоторые элементы конфигурации активами не являются.
Арендованное и чужое — тоже ваше
Самая частая дыра в списке — граница «наше имущество». Оба международных набора требований её не признают. Мера 1.1 CIS Controls прямо распространяет охват на активы физические, виртуальные, удалённые и облачные, а также на активы, регулярно подключающиеся к сети организации, но ей не принадлежащие. Подкатегория ID.AM-04 рамки NIST CSF 2.0 требует вести инвентари сервисов, предоставляемых поставщиками, наравне со своими.
— Зачем заводить строку на этот кластер, это же не наш сервер, он арендованный.
— Последствия его отказа — наши. Инвентарь ведётся не по признаку собственности, а по признаку влияния: сервис поставщика ломает вашу работу ровно так же, как ваша стойка.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.