把握していない機器やソフトは、更新も監視もできないからです。実際の事故では、忘れられた古いサーバー、検証用に立てたままの環境、更新されていないVPN機器が侵入口になる例が多くあります。資産管理は、パッチ管理や監視の前提です。
管理する対象
- 端末（PC・スマホ・タブレット）と利用者
- サーバー・ネットワーク機器（ルーター、VPN、ファイアウォール、NAS）
- ソフトウェアとバージョン、サポート期限
- クラウドサービスとアカウント
- ドメイン・証明書・外部公開しているIPアドレス
外部から見える資産を確認する
攻撃者は、インターネットから見える機器・サービスを自動で探しています。自社のドメインやIPアドレスから外部に公開されているものを定期的に洗い出し、不要なものは閉じましょう。専門のサービスや診断を使う方法もあります（脆弱性診断）。