إنشاء وصيانة جرد البرمجيات
الوصف
إنشاء وصيانة جرد تفصيلي لجميع البرمجيات المرخصة المثبتة على أصول المؤسسة. يجب أن يوثق جرد البرمجيات العنوان والناشر وتاريخ التثبيت/الاستخدام الأولي والغرض التجاري لكل إدخال؛ وعند الاقتضاء، يتضمن معرف المورد الموحد، ومتجر التطبيقات، والإصدار(الإصدارات)، وآلية النشر، وتاريخ إيقاف التشغيل.
قائمة التحقق من التطبيق
توصيات الأدوات
منصة إدارة نقاط النهاية الموحدة لتسجيل الأجهزة ونشر البرمجيات والتكوين والامتثال عبر أنظمة التشغيل المختلفة
Microsoft · اشتراك لكل مستخدم أو لكل جهاز
منصة مساحة العمل الرقمية تجمع بين إدارة نقاط النهاية الموحدة وتسليم التطبيقات الافتراضية والوصول بنموذج انعدام الثقة لإدارة نقاط النهاية
Broadcom (VMware) · اشتراك لكل جهاز
منصة إدارة أصول تقنية المعلومات وإدارة أصول البرمجيات مع تحسين التراخيص وإدارة البرمجيات كخدمة
Flexera · اشتراك مؤسسي
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
اختراق سلسلة التوريد عبر برمجيات غير مُتتبعة
السلامةتتهرب البرمجيات الخبيثة أو المزودة بأبواب خلفية المثبتة دون تتبع المخزون من المراجعة الأمنية، مما يمكّن هجمات سلسلة التوريد مثل تلك التي شوهدت في اختراقات من نوع SolarWinds.
استغلال الامتثال للتراخيص
السريةتُدخل البرمجيات غير المرخصة أو المقرصنة المثبتة خارج ضوابط المخزون نسخاً محصنة بأحصنة طروادة أو أدوات كسر تحتوي على برمجيات خبيثة مضمنة وسارقات بيانات اعتماد.
البرمجيات المهجورة كسطح هجوم
السلامةتبقى التطبيقات المثبتة لمشاريع سابقة ولم يتم جردها على الأنظمة بثغرات معروفة، مما يوفر أهدافاً سهلة للاستغلال من قبل المهاجمين.
الثغرات (عند غياب الإجراء الوقائي)
عدم وجود سجل برمجيات مركزي
بدون سجل برمجيات محدث، لا تستطيع المؤسسة تحديد التطبيقات المثبتة عبر نقاط النهاية، مما يترك البرمجيات غير المعروفة بدون تصحيحات وبدون مراقبة.
عدم القدرة على التحقق من شرعية البرمجيات
بدون سجلات الناشر والإصدار والغرض التجاري، لا تستطيع المؤسسة التمييز بين البرمجيات المصرح بها والتثبيتات غير المصرح بها أو الخبيثة.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |