企業信息技術資產管理的概念聽上去可能一點都不吸引人，但信息安全從業人員會驚訝于這兩個領域交織的方式。信息安全專業人員可以利用IT資產管理最佳實踐來降低企業內的IT風險，而這正是本篇文章將要討論的內容。

[[111383]]

什么是ITAM?

信息技術資產管理是業務流程集，其目的在于管理技術資產的生命周期和庫存。它可以通過適當的預定義資產管理來減少IT成本、降低IT風險以及提高生產力，從而為企業提供價值。IT資產管理(ITAM)作為正式的業務流程系列已經存在了十年，不過，與典型的業務流程相比，它還不太成熟。

IT資產管理和企業信息安全交織的領域可能并不是很明顯。信息安全是涉及高技能IT工程師、架構師和戰略師的復雜活動，其任務包括抵御垃圾郵件和網絡釣魚攻擊，以及抵御通過計算機攻擊活動給金融市場制造混亂的跨國恐怖主義活動，還有這兩者之間的各種攻擊活動。

而IT資產管理有很多目標，包括最大限度地提高企業在信息技術的投資。為了滿足這個目標，一種常見方法是了解企業的IT需求，然后建立標準來滿足這些需求。這將帶來資產類型的合理化(定義可接受IT資產的具體準則)，以及資產類型的減少。例如，通過應用合理化，企業可以看到軟件應用數量的顯著減少，這種做法涉及定義哪些類型的應用程序滿足預定義準則(支持企業的IT目標)，并試圖消除不滿足這些準則的應用。隨著應用的不斷精選，這能夠為IT安全團隊提高安全性，因為他們需要硬化、修復、監控和審計的應用更少了。

ITAM的另一個優勢是了解企業內誰需要哪些IT資源來幫助其完成本職工作。采用這種做法的企業能夠了解誰可以訪問敏感數據，并且，用戶權限可以基于需求進行更邏輯化的限制，在某些情況下，甚至可以作為特權管理系統的基礎或者邏輯檢查。

正如你所看到的，事實證明，這兩個領域其實在很多方面都有交織。

ITAM的過去和目前的趨勢

在21世紀初期，IT資產管理和信息安全之間幾乎沒有任何關聯。ITAM側重于通過硬件管理和軟件授權合規來贏得企業的支持。其主要重點是在任何時候知道物理硬件的位置，控制其在企業的進出，以及利用價格杠桿實現批量購買機會;從軟件的角度來看，其重點是鞏固授權談判，建立關于授權合規的普遍意識，以及確保供應商審計讓成本符合預期。ITAM最初讓人們覺得，IT資產管理人員只是清點“東西”。

目前的趨勢表明，ITAM在多個方面與數據安全流程和關注領域有著重疊，特別是在報廢處理以及處理過程中的數據安全。此外，重疊領域還包括移動庫存控制和風險管理的責任，這側重于網絡接入點的管理以及設備在企業控制之外的安全性。

這是這兩個領域之間真正的重疊區域，這個重疊區域將更多的ITAM工具帶到信息安全領域，本來這些工具可能不會存在，或者對于沒有強大ITAM方案的企業，需要專門購買或從零開始開發。ITAM資產管理控制和報廢處理過程現在已經非常成熟，現在資產都有條形碼標簽或RFID標簽，還有成熟的庫存跟蹤系統，以及明確到個人的資產分配。這些功能加上信息安全身份管理和強大的訪問跟蹤及訪問管理控制為這兩個領域提供了廣泛的功能，這些功能提供的強大控制能夠解決安全風險，讓企業更方便地知道在特定時間誰在對特定IT資產做了什么。

此外，丟失或被盜的資產更容易識別和跟蹤，網絡通信更好地關聯到個人設備和接入點，并且，企業可以基于最新ITAM數據存儲庫確定軟件為已授權或未授權。雖然這里仍然存在一些真正的風險，但IT資產管理程序提供了很好的額外工具來解決數據安全問題。

應用的正確部署和使用讓企業可以更有效地監控這些資產。然而，在通信和教育方面，很多企業還沒有實現的最大回報。成功的ITAM程序在很大程度上依賴于企業內所有人的合作，而這種合作只有在一種情況下才能實現，即在正確使用IT方面，員工了解其相應職責。雖然IT對于企業非常有用，IT總是會帶來嚴重風險;但完善的IT資產管理方案可以幫助減輕這種風險。

對ITAM未來的預測

ITAM和IT安全有著相似的目標。正因為如此，一些ITAM方案歸IT安全部門管理，或者這兩者都屬于更廣泛的IT運營部門。在某些情況下，ITAM和安全的組合是為ITAM方案獲得資金的唯一途徑。然而，在接下來的兩到五年，ITAM程序和功能，以及信息安全的需求將會以新的有意義的方式交織和重疊。我們將會看到，在一些較大型企業，這兩組控制被融合到具有廣泛職責的單個部門。這里的主要驅動力是新興的全球定位(GPS)開始整合到各種信息技術設備中。在資產追蹤、用戶識別和網絡訪問控制方面，都會開始出現新的功能。

現在，網絡訪問主要通過企業身份驗證系統來控制，并涉及各種其他技術，例如網絡訪問控制(NAC)。有些高端系統還能夠限制到特定預先核準的IP地址的訪問。然而，攜帶自己設備到工作場所(BYOD)趨勢正推動著受IP控制的訪問走得更遠。隨著我們加入GPS，自然的用法是添加GPS到身份驗證協議，只允許來自特定地理區域的訪問。隨著這個功能的出現，ITAM將可以從資產追蹤的角度進行整合，資產到GPS到唯一標識符的三角追蹤將取代目前笨重的非集成資產標簽。數據安全將構建在這種功能之上，構建在地理位置地圖中，最終第二代功能將綁定位置識別到網絡訪問，甚至到應用使用情況。

隨著ITAM和IT安全控制共同發展，你的位置與你是誰的問題將同樣重要。

未來IT路線圖

如果你花一些時間思考ITAM的用途、新型GPS式功能以及企業對數據安全的需求，你就能看出事情發展的趨勢，特別是在現在這個超高風險意識和不斷變化的世界，信息安全威脅源自所有可能的領域：國家支持的網絡間諜/恐怖主義、無政府主義者和無時不在的經濟動機的攻擊。信息安全團隊需要記住的是，IT資產管理是可以帶來優勢的趨勢。企業研究這兩個領域交織的方式，并開始尋找辦法來在未來幾年結合這兩者相應的IT戰略和路線圖。