Pentru multe firme, inventarul tehnic începe într-un fișier Excel și se termină tot acolo: o listă cu laptopuri, servere, licențe și câteva adrese IP. Problema apare când trebuie răspuns rapid la întrebări simple: cine răspunde de acest sistem, ce vulnerabilități îl afectează, ce furnizor îl susține și ce serviciu al companiei se oprește dacă el cade? Un inventar util pentru securitate nu este doar o evidență contabilă, ci o hartă vie a riscului.
ENISA recomandă ca organizațiile vizate de cerințe NIS2 să mențină un inventar complet, exact, actualizat și consecvent al activelor, care să includă hardware, software, date și servicii. Chiar dacă nu orice firmă intră automat în aceeași categorie de obligații, principiul este sănătos pentru orice afacere: nu poți proteja serios ceea ce nu vezi.
Primul pas este stabilirea scopului. Inventarul trebuie să acopere activele care susțin operațiunile reale ale firmei: site-ul de vânzări, aplicația de facturare, laptopurile angajaților, conturile cloud, serverele, routerele, bazele de date, domeniile, certificatele digitale, aplicațiile SaaS și sistemele gestionate de furnizori. Pentru fiecare activ, notați nu doar denumirea, ci și serviciul de business pe care îl susține. Un server nu este „serverul 3”, ci „serverul care susține magazinul online” sau „sistemul de raportare financiară”.
Apoi apare câmpul pe care multe companii îl sar: proprietarul. Fiecare activ trebuie să aibă un responsabil clar, nu doar „IT-ul”. Proprietarul de business spune cât de critic este sistemul, iar proprietarul tehnic știe cum este administrat, actualizat și monitorizat. Când există o alertă de securitate, această separare ajută firma să decidă rapid dacă oprește un serviciu, aplică un patch, mută traficul sau acceptă temporar un risc documentat.
Un inventar bun include câmpuri minime, dar bine alese: tipul activului, locația sau mediul, proprietarul, furnizorul, versiunea de software sau firmware, data ultimei actualizări, nivelul de criticitate, datele procesate, expunerea la internet, metoda de autentificare, jurnalizarea activă și starea de backup. Pentru aplicații și servicii cloud, adăugați regiunea, contractul, contul administrator, integrarea cu alte sisteme și data de expirare a licenței.
Legătura cu vulnerabilitățile trebuie tratată ca o relație, nu ca o notă lipită la final. Dacă o aplicație folosește o versiune afectată, inventarul trebuie să arate ce activ este expus, cine îl deține, ce serviciu depinde de el și ce măsură există: patch, compensare, izolare, schimbare de furnizor sau acceptare temporară a riscului. CISA subliniază în ghidurile sale că inventarul ajută la identificarea activelor care trebuie securizate și la prioritizarea vulnerabilităților în funcție de criticitate și dependențe.
Dependențele externe sunt la fel de importante ca activele interne. Un magazin online poate depinde de procesatorul de plăți, DNS, hosting, CRM, email tranzacțional, CDN, contabilitate cloud și un plugin dezvoltat de o terță parte. Dacă unul dintre aceste servicii are incident, firma trebuie să știe ce se blochează, cine contactează furnizorul, ce alternativă există și unde sunt clauzele contractuale relevante. NIST CSF 2.0 include explicit inventarele pentru hardware, software, sisteme, date și servicii furnizate de terți în zona de identificare și management al riscului.
Pentru firmele mici, recomandarea practică este să înceapă modest: un tabel controlat, revizuit lunar, cu reguli clare de actualizare la orice achiziție, dezinstalare, schimbare de furnizor sau incident. Pentru firmele mai mari, inventarul ar trebui conectat cu ticketing, managementul vulnerabilităților, EDR, cloud asset management și registrul furnizorilor. Important este ca sursa să fie verificabilă și ca modificările să aibă istoric.
Un inventar tehnic devine valoros abia când este folosit. În ședința lunară de securitate, lista trebuie să răspundă la trei întrebări: care sunt activele critice, ce vulnerabilități urgente le afectează și ce dependențe externe pot opri activitatea? Dacă răspunsurile sunt clare, firma nu are doar o listă, ci un instrument de decizie.
Surse
- ENISA — Technical Implementation Guidance on cybersecurity risk-management measures, versiunea 1.0, iunie 2025
- CISA — Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators, 13 august 2025
- NIST — The NIST Cybersecurity Framework (CSF) 2.0, 26 februarie 2024
- DNSC — Îndrumar de planificare a securității cibernetice
