Инвентаризация как исходная база
Инвентаризация нужна не ради отдельного реестра оборудования. Её задача — получить достоверную карту ИС, сетей и АСУ, которые участвуют в регулируемых процессах. Для КИИ особенно важно не ограничиваться бухгалтерским перечнем активов.
Источники данных
Практически полезно сопоставить CMDB, сетевые схемы, реестры АСУ, архитектурные документы, сведения подразделений эксплуатации и перечни технологических процессов. Если источники противоречат друг другу, расхождение нужно разрешить до категорирования.
Рекомендуемая структура
- система/сеть/АСУ;
- процесс;
- сфера;
- владелец;
- технологические зависимости;
- внешние связи;
- предварительное соответствие типовым объектам;
- статус нормативной проверки.
Контроль качества
Проверьте дубли, выведенные из эксплуатации системы, общие сервисы и компоненты, которые используются сразу несколькими процессами. Именно эти места чаще всего создают расхождение между техническим и юридическим перечнями.
Инвентаризация должна быть ориентирована на функцию
Для КИИ недостаточно выгрузки из CMDB или перечня серверов. Инвентаризация должна связывать технические компоненты с процессами и функциями, которые они обеспечивают.
Рабочая таблица
Практично использовать поля: процесс; функция; система; тип системы; владелец; размещение; сетевые связи; внешние зависимости; критичность процесса; типовой объект; подтверждающий документ.
Проверка полноты
После первичной инвентаризации полезно провести обратную проверку: взять критический процесс и пройти его от пользователя или технологической операции до конкретных систем, сетей и компонентов. Такой проход помогает обнаружить объекты, которые не попали в исходную выгрузку.
Результат
Итогом должен быть не просто список активов, а связанная модель инфраструктуры, которую можно использовать на следующем этапе категорирования.
Практический результат
После такой проверки у организации должен остаться документированный вывод, который можно воспроизвести через исходные факты и применённые нормы. Если исходных данных недостаточно, корректный результат — зафиксировать перечень вопросов, требующих дополнительной проверки, а не заполнять пробелы предположениями.
Источники для проверки
В первую очередь используются действующие редакции 187-ФЗ, применимых подзаконных актов и актуальных отраслевых перечней. На дату публикации сайта необходимо отдельно проверить дату редакции каждого документа.