Инвентаризация информационных ресурсов - Форум по вопросам информационной безопасности

Коллеги, всем доброго дня.
Год на дворе 2022, а проблема та же: Инвентаризация информационных ресурсов
Перешёл работать в организацию где с ИБ = 0. Совсем ничего нет, ну кроме соглашения на обработку ПД.
Встал вопрос проведения инвентаризации ИР, для понимания происходящего. Ранее не сталкивался с этой процедурой, а потому, прошу помощи. Может есть шаблонизированный документ или методика проведения этого процесса?

Мне одному кажется или это решается сбором всего что там есть в один документ.
Далее сбор всех СрЗИ.

Далее по требованиям ЗИ смотрим чего не хватает.

2 Евгений

1. Если есть денежки и готовность их потратить - приобретите сетевой вариант СрЗИ "Агент инвентаризации" от ЦБИ, можете посмотреть часть информации (ПО, железо) через Kaspersky Security Center, и также через доменные политики можете скрипт сделать,
2. Если используете СрЗИ Secret Net - в СБ можно многое в форме отчетов выгрузить

to: Евгений

>...перешёл в организацию где с ИБ = 0....
Полагаю там и с IT далеко не 100%...

Начните с документирования IT:
- схема сети
- серверы, их роли, состав ПО, сервисов....
- рабочие станции....
- сетевые устройства....

*в сторону*
Ничто не заменит простого человеческого опроса сотрудников по принципу "кто и с чем работает и для кого и что важно". Потом это все наложить на матрицу "видения" руководства и ИТ-подразделения. Сразу и набор ключевых баз, приклада и сервисов очертится, и их значимость в глазах как персонала, так и руководства. Откуда элементарно выводятся риски, угрозы и проблемы...
А сканеры, агенты, прочее - это уже частности для уточнения. И верить им на 100% тоже не следует. Намедни знатно охренел, увидев в выхлопе nmap кучу доступных sip-портов там, где их быть не вообще должно. Думал, что хакнули и пользуются VoIP-средствами нахаляву. Оказалось, что небезызвестный ViPNet Coordinator такие приколы при транзите выдает - зарезервированные диапазоны портов у него, видите ли...