Управление активами
Выявлять и управлять аппаратным обеспечением, программным обеспечением, данными и системами.
Тема Управление активами определена результатами NIST CSF 2.0: ID.AM-01 (Inventories of hardware managed by the organization are maintained); ID.AM-02 (Inventories of software, services, and systems managed by the organization are maintained); ID.AM-04 (Inventories of services provided by suppliers are maintained); ID.AM-08 (Systems, hardware, software, services, and data are managed throughout their life cycles). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, GDPR, Essential Eight, DORA, CPS 234 и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-01ID.AM-02ID.AM-04ID.AM-08 | Inventories of hardware managed by the organization are maintained; Inventories of software, services, and systems managed by the organization are maintained; Inventories of services provided by suppliers are maintained… | Определение темы | ID.AM-01 ID.AM-02 ID.AM-04 ID.AM-08 |
| ISO 27001 | A.5.9A.5.11A.7.14 | Inventory of information and other associated assets; Return of assets; Secure disposal or re-use of equipment | Соответствия | A.5.9: via ID.AM-01; ID.AM-02; ID.AM-08; NIST 800-53 map: CM-8 A.5.11: via ID.AM-08 A.7.14: via ID.AM-08 |
| CIS v8.1 | CIS 1.1CIS 2.1CIS 1.2CIS 1.3CIS 1.4CIS 1.5CIS 2.3CIS 2.4CIS 16.4 | Establish and Maintain Detailed Enterprise Asset Inventory; Establish and Maintain a Software Inventory; Address Unauthorized Assets… | Соответствия | CIS 1.1: via ID.AM-01; ID.AM-08 CIS 2.1: via ID.AM-02 CIS 1.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): deal with unauthorised assets found in the inventory. CIS 1.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): active discovery keeps the asset inventory complete. CIS 1.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): DHCP logs update the asset inventory. CIS 1.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): passive discovery keeps the asset inventory complete. CIS 2.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): deal with unauthorised software found in the inventory. CIS 2.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): automated tools keep the software inventory current. CIS 16.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of third-party software components. |
| SOC 2 | CC6.1 | Logical access security over information assets | Редакционные материалы | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.5.16.3.2 | Inventory of in-scope system components; Inventory of custom software and its components | Соответствия | 12.5.1: via ID.AM-01; ID.AM-02 6.3.2: via ID.AM-02 |
| CMMC | CM.L2-3.4.1 | System Baselining | Соответствия | CM.L2-3.4.1: via 800-171r2 Appendix D → CM-8 |
| 800-53 | CM-8PM-5 | System Component Inventory; System Inventory | Соответствия | CM-8: via ID.AM-01; ID.AM-02 PM-5: via ID.AM-01; ID.AM-02 |
| HIPAA | §164.310(d)§164.310(d)(2)(iii) | Device and Media Controls; Accountability | Соответствия | §164.310(d): via NIST HIPAA map: CM-8 §164.310(d)(2)(iii): via NIST HIPAA map: CM-8 |
| GDPR | Art.30(1) | Records of processing activities | Редакционные материалы | Art.30(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 12.4 | Asset inventory | Соответствия | 12.4: via ID.AM-01; ID.AM-02; ID.AM-04; ID.AM-08; ENISA ISO map: A.5.9 |
| Essential Eight | ISM-1807 | An automated method of asset discovery is used at least fortnightly to support the… | Редакционные материалы | ISM-1807: ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.8(1)Art.8(4)Art.8(6) | Identification; Identification; Identification | Редакционные материалы | Art.8(1): Identify, classify and document ICT-supported business functions and the assets that support them. Art.8(4): Identify all information and ICT assets, map the critical ones and their configuration and interdependencies. Art.8(6): Maintain asset inventories and update them on every major change. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Редакционные материалы | Para 20: The section on information asset identification and classification: identify and classify information assets, including those managed by third parties. |
| Cyber Essentials | CE 3 | Security Update Management | Редакционные материалы | CE 3: All in-scope software must be licensed and supported, and unsupported software removed, which needs a software inventory. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Управление активами»
Комплексное управление активами обеспечивает видимость, необходимую для защиты того, чем вы владеете, за счёт ведения точных инвентарных описей аппаратных устройств, программных приложений, хранилищ данных и облачных сервисов. Без полной инвентарной описи активов организации не могут эффективно применять меры безопасности, обнаруживать несанкционированные устройства или обеспечивать охват обновлениями. Внедрение, как правило, предполагает использование средств автоматического обнаружения, баз данных управления конфигурациями (CMDB) и процессов для отслеживания жизненного цикла активов от закупки до вывода из эксплуатации.