מיפוי ציוד מחשוב ורישיונות לעסק — מדריך ודף עבודה חינמי

איזה ציוד באמת משמש את העסק, מי אחראי עליו ומה צריך לברר לפני החידוש או הרכישה הבאה? מתחילים ברשימה מתוחזקת של ציוד, תוכנות ושירותים — עם מקור ותאריך לכל נתון. לא מסתפקים בחשבונית ישנה, בשם דגם או ברשימת מחשבים ללא בעל אחריות.

המדריך מתאים לעסק שרוצה לארגן את המידע שכבר נמצא אצל מנהל המשרד, הגורם הטכני, הרכש ונותני השירות. הוא עוסק במצב הקיים לאורך זמן: מחשבים, מסכים ועגינות, שרתים ו־NAS, ציוד תקשורת, מדפסות, UPS ותוכנות או מנויים. דפי העבודה פתוחים להעתקה ולהדפסה, בלי רכישה, הרשמה או שליחת פרטים.

1. מגדירים מה כלול ומה עוד לא נבדק

התחילו בתחום שאפשר לתעד היטב, למשל עמדות המשרד והציוד המשותף שלהן. רשמו תאריך תמונת מצב, בעל תפקיד שמרכז את המלאי, היחידות הכלולות ומה נשאר לסבב נוסף. „נבדקו מחשבי מחלקה אחת” אינו „נבדק כל העסק”. אל תסיקו שנכס אינו קיים רק משום שאינו מופיע במסמך שקיבלתם.

הפרידו בין מלאי לשימוש העסק לבין מלאי מוצרים למכירה ורישום חשבונאי. כאן השאלה היא במה העבודה תלויה ומי מטפל בכל פריט; לא מה ערך הפחת שלו. במדריך העסקים הקטנים של NIST CSF 2.0 ‏(PDF), המיפוי כולל חומרה, תוכנה, מערכות ושירותים — לא רק מכשירים על שולחן.

עמדת עבודה: מחשב, מסכים, עגינה וציוד ייחודי שחשוב להבחין בין יחידותיו.
ציוד משותף: שרת, NAS, מתג, נקודת גישה, מדפסת או UPS, לפי גבולות המיפוי.
מערכת או שירות: יישום עסקי, שירות ענן, מערכת גיבוי או מנוי. שירות בדפדפן יכול להיות רלוונטי גם כשלא הותקנה תוכנה במחשב.

ציוד בבית עובד, ציוד מושכר וציוד אישי המשמש לעבודה יסומנו בנפרד רק לפי מדיניות העסק ומידע שמותר לאסוף. אין בכך הרשאה לבדוק מכשיר אישי או להעתיק את תוכנו. כשמזהים צורך בציוד נוסף, עוברים לתכנון עמדות עבודה ורכש למשרד; רשימת הקיים אינה הזמנת רכש.

2. נותנים לכל יחידה זהות יציבה ובעל אחריות

שם כמו „Dell בחדר ישיבות” עשוי להשתנות או להתאים ליותר ממכשיר אחד. הגדירו קוד פנימי קבוע, למשל PC-EXAMPLE-01, ורשמו בנפרד יצרן, דגם מדויק ותפקיד. שני מכשירים מאותו דגם הם שתי יחידות. מק״ט מזהה תצורת מוצר, אך אינו בהכרח מזהה יחידה מסוימת.

יש להבחין בין בעלות או הסכם שכירות, המחלקה או התפקיד שאליהם הציוד משויך ובעל האחריות הטכנית. אלה יכולים להיות גורמים שונים. בעל אחריות לתיעוד אינו בהכרח מי שמורשה לאשר שינוי במערכת. תעדו גם לאן מפנים שאלה כשבעל התפקיד אינו זמין.

הקשר בין הרשומות אינו תמיד אחד לאחד: לעמדה יכולים להיות שני מסכים; NAS יכול לשמש כמה מחלקות; שירות תוכנה יכול להיות קשור לכמה מכשירים או משתמשים בהתאם לתנאיו. השתמשו בקודים של הרשומות הקשורות, במקום להעתיק את כל המידע שוב לכל שורה. גם מכונה וירטואלית והשרת שמארח אותה הם ישויות שונות בתיעוד.

מספר סידורי או Service Tag נשמרים, כשנחוצים, ברשומה פנימית מוגבלת שמתאימה למדיניות העסק. בעותק שמופץ לצורכי תכנון אפשר להשתמש בקוד נכס ובהפניה למקור המוגבל. אין לפרסם תצלומי מדבקות, ברקודים, כתובות ניהול או מפת רשת.

ציוד חדש מקבל רשומה על בסיס תיעוד המסירה: לשרת או NAS אפשר להיעזר במדריך הקבלה לפני שימוש בייצור. כאן ממשיכים לעקוב גם לאחר המסירה; עצם פתיחת הרשומה אינה אישור להפעיל מערכת.

3. לכל נתון מצרפים מקור ותאריך

הפרידו בין הזמנה, תיעוד מסירה, דוח קיים ודיווח של בעל תפקיד. חשבונית יכולה להעיד מה נרכש, אך לא בהכרח מה מותקן או משויך כיום. מפרט יצרן מתאר יכולת נתמכת; הוא אינו מוכיח מה מותקן ביחידה שלכם. אם מסמך אחד מציין RAM של 16GB ואחר מציין 32GB, שמרו את הסתירה לבירור במקום לבחור אוטומטית במספר הגדול.

השתמשו בתוויות פשוטות לכל שדה: אומת מול מקור מתוארך, נמסר וטרם אומת, לא נבדק, לא חל — עם הסבר או פער לבירור. אלה תוויות עבודה מוצעות, לא ציון אבטחה. ייתכן שדגם הציוד אומת ומועד האחריות באותה רשומה עדיין לא נבדק.

תיעוד שימושי עונה על ארבע שאלות: מי מסר את הנתון, על איזה מסמך הסתמך, לאיזו יחידה או תקופה הוא מתייחס ומתי עודכן. הפניה פנימית קצרה מספיקה בגיליון; את המסמך המקורי שומרים במיקום העסקי המאושר, לא בקישור ציבורי.

שם הדגם דומה, אבל לא ברור אם המסמך מתייחס למק״ט או לגרסת החומרה שנרשמו? במדריך זיהוי דגם ומק״ט והתאמת מסמך למוצר אפשר לתרגל בשני תיקי דמה מה המקור מוכיח, איזה קשר עדיין חסר ואיזו שאלה כדאי להפנות לבירור. התרגיל כולל דף התאמה ומפתח תשובות, בלי שליחת מזהי יחידה.

4. מפרידים תוכנה מותקנת, הקצאה וזכאות

רשמו תוכנות ומערכות הפעלה בנפרד מרשימת החומרה. לכל תוכנה או שירות ציינו שם מוצר, יצרן, מהדורה או גרסה כפי שתועדה, שימוש עסקי וקשר לנכסים הרלוונטיים. התקנה, הפעלה טכנית, הקצאה וזכאות שימוש אינן אותו שדה. אין להסיק שמנוי אחד מכסה כל מכשיר, משתמש, שרת או שימוש בעסק.

שמרו את מדד הרישוי והכמות רק כפי שהם מוגדרים באסמכתה המתאימה: למשל משתמש, מכשיר או מדד אחר. אין לחבר כמויות שמודדות דברים שונים. שירות SaaS נרשם גם אם אין התקנה מקומית; ברשומה שלו מציינים בעל תפקיד אחראי והפניה למסמך המנוי, לא פרטי כניסה.

לדוגמה מוגבלת, בתיעוד הרשמי של Microsoft על זיהוי המנויים העסקיים, תצוגת המוצרים כוללת שם, כמות רישיונות כוללת ומוקצית ומצב מנוי. בחשבונות חיוב מרובים התצוגה תלויה בחשבון שנבחר. מבקשים נתון מתוארך מגורם שכבר מורשה לצפות בו; אין צורך להעניק הרשאות חדשות לצורך הגיליון.

מספר מוקצה אינו ספירת כל התקנות העסק, ומצב „פעיל” אינו קביעה משפטית שהשימוש המסוים מותר. כשחסר פירוט, רושמים שאלה ממוקדת לגורם הרישוי המוסמך. לא מבטלים מנוי, מסירים תוכנה או מעבירים רישיון בעקבות פער בגיליון.

5. עוקבים בנפרד אחרי שירות, תמיכה וחידוש

למכשיר אחד יכולים להיות כמה מועדים שונים: אחריות חומרה, הסכם תחזוקה, חידוש מנוי ותמיכה בגרסת תוכנה. השאירו להם שדות נפרדים. תשלום על מנוי אינו מוכיח כיסוי שירות מסוים, ואחריות חומרה אינה מוכיחה שמערכת ההפעלה מקבלת עדכונים.

מועד נשמר רק עם אסמכתה ותחולה: לאיזה מוצר, מהדורה, גרסה או יחידה הוא שייך. לדוגמה, Microsoft Lifecycle מבחינה בין מסלולי מדיניות תמיכה שונים ומאפשרת חיפוש לפי מוצר. בדיקת מקור היצרן אינה בדיקה של מה שהותקן בפועל אצלכם. אין כאן תאריך תמיכה אחיד לכל משפחת מוצרים.

לכל מועד מאומת הוסיפו אחראי ומועד פנימי לבירור מוקדם שנקבע בעסק; הוא אינו מועד החיוב של הספק. אל תניחו חידוש אוטומטי או ביטול אוטומטי כשאין לכך ראיה. אם לא ברור מה נכלל בשירות, השתמשו בשאלות שבמדריך השוואת ספקים והצעות שירות.

מה יקרה לעבודה אם הנכס לא יהיה זמין?

תעדו תהליך עסקי בשפה פשוטה, כגון „הדפסת תוויות במחסן” או „גישה לקבצי צוות”. ציינו בעל תפקיד שיכול להסביר את ההשפעה ואת התלות בנכס אחר לפי קוד פנימי. אין צורך לפרט לקוחות, קבצי ייצור או טופולוגיית רשת.

רישום „שרת קבצים” אינו הוכחה שיש גיבוי או שניתן לשחזר ממנו. לשאלות על היקף ההגנה וראיות שחזור עברו למרכז הגיבוי, השחזור ורציפות העבודה. לתכנון תלות בחיבורי רשת ראו את דף האפיון בקטגוריית פתרונות תקשורת. לא מבצעים ניתוק או בדיקת כשל כדי להשלים את המיפוי.

6. דף עבודה חינמי — רשומה חוזרת לכל נכס

העתיקו את הטבלה למסמך פרטי או הדפיסו אותה, ושכפלו לכל נכס שבתחום המיפוי. הגדירו מי מחזיק את העותק העדכני ומי מורשה להשתמש בו. אין למלא את הנתונים באתר או לשלוח מלאי פנימי בטופס ציבורי. התבנית אינה אוספת תשובות.

כותרת הסבב: תחום שנבדק: ______ · תאריך: ______ · מרכז התיעוד: ______ · מה עדיין לא נכלל: ______ · מקום העותק המאושר: ______

רשומת ציוד או מערכת — למילוי פרטי
נושא	מה למלא
1. זיהוי	קוד פנימי: ______ סוג, יצרן ודגם מדויק: ______ הפניה לרשומת יחידה מוגבלת, אם נדרשת: ______
2. מצב ושיוך	בשימוש / זמין / בטיפול / לא נבדק / אחר: ______ מחלקה או תפקיד וכינוי מיקום: ______ בעלות / שכירות / אחר / לא נבדק: ______
3. אחריות לתפעול	אחראי עסקי: ______ אחראי טכני ומסלול פנייה: ______ גורם שמוסמך לאשר שינוי: ______
4. תצורה ומקור	תצורה שסופקה או דווחה, לא קיבולת מרבית: ______ מקור, תאריך ומוסר המידע: ______ מה אומת ומה עדיין לא: ______
5. אחריות ושירות	נותן השירות והיקף מתועד: ______ תקופה ואסמכתה פנימית: ______ מה דורש הבהרה: ______
6. תוכנות ותמיכה	קודי רשומות תוכנה או מנוי קשורים: ______ גרסה שדווחה ומקורה: ______ הפניה לבירור תמיכה ואחראי: ______
7. תלות עסקית	התהליך שנעזר בנכס: ______ השפעת אי־זמינות לפי בעל התפקיד: ______ קודי נכסים קשורים והפניה לתיעוד הגנה, אם קיים: ______
8. המשך מעקב	פער פתוח ואחראי לבירור: ______ מועד בירור פנימי: ______ בדיקה אחרונה והסקירה הבאה: ______

לא שומרים כאן: סיסמאות, מפתחות מוצר, קודי MFA או שחזור, מפתחות הצפנה, אסימוני API ופרטי תשלום. גם מספרים סידוריים, פרטי עובדים, חוזים ומזהי רשת אינם מיועדים לעותק ציבורי. צמצמו את המידע לכל תפקיד והפנו לרשומה מוגבלת כשנדרש.

7. דף עבודה משלים — תוכנה, מנוי או שירות

שכפלו רשומה לכל מוצר או הסכם מוגדר. אם אותה תוכנה מופיעה בכמה גרסאות או הסכמים, שמרו את ההבחנות. כמות לא ידועה אינה אפס; שדה ריק אינו הוכחה שאין מנוי.

רשומת תוכנה או שירות — ללא פרטי גישה
נושא	מה למלא
זיהוי וקשרים	קוד רשומה: ______ מוצר, יצרן, מהדורה וגרסה כפי שתועדו: ______ שימוש עסקי וקודי נכסים או קבוצת תפקידים קשורה: ______
מצבים נפרדים	מותקן או בשימוש לפי דיווח מתוארך: ______ מוקצה, אם רלוונטי: ______ מסמך זכאות ותחולתו, או „לא נבדק”: ______
כמות ומדד	מדד לפי האסמכתה: ______ כמות כוללת / מוקצית, כל אחת עם מקור ותאריך: ______ היקף החשבון או ההסכם שנבדק בכינוי פנימי: ______
מועדים ואחריות	תקופה, חידוש ותנאיו — רק אם תועדו: ______ מצב תמיכה בגרסה ומקור היצרן: ______ אחראי מנוי / עדכונים / בירור: ______
ראיות ופערים	הפניה פנימית למקור ותאריך: ______ מה לא נבדק או סותר: ______ מי מברר ועד מתי: ______

8. דוגמה היפותטית — ואז שומרים על הרשימה מעודכנת

דוגמה בלבד, לא נתוני לקוח: בקוד PC-EXAMPLE-01 רשום נייד למחלקת שירות. מסמך המסירה מזהה את הדגם ואת התצורה שסופקה, אבל השיוך הנוכחי נמסר בעל פה ותאריך סיום האחריות לא אומת. ברשומת תוכנה נפרדת דווח על שימוש ביישום מסמכים; מסמך המנוי עדיין לא הועבר לבירור.

התוצאה הנכונה אינה לסמן את כל העמדה „תקינה” או „ללא רישיון”. רושמים אילו שדות אומתו, מי יברר את השיוך, האחריות והמנוי ובאיזה מועד פנימי. לא מסירים את התוכנה, רוכשים רישיון נוסף או מחליפים את המחשב רק כדי לסגור שדה חסר.

מתי מעדכנים?

לאחר רכישה ומסירה, העברה בין תפקידים או מיקומים, תיקון או שדרוג מתועדים, שינוי מנוי מאושר והחזרת ציוד. קבעו גם סקירה מתוכננת שמתאימה להיקף העסק ולשינויים בו. בהנחיות CIS Controls v8.1, בקרות 1–2, רשימות נכסים ותוכנות הן מידע שיש לתחזק, לא צילום חד־פעמי. דף העבודה כאן הוא כלי תיעוד מצומצם ואינו יישום מלא של הבקרות.

ביומן השינויים העתיקו שורה לכל אירוע: תאריך: ______ · קוד נכס: ______ · מצב קודם: ______ · שינוי מתועד: ______ · מקור: ______ · מי אישר ומי עדכן: ______ · פער שנותר ומועד בדיקה: ______. אל תדרסו היסטוריה מועילה ואל תאחדו רשומות שנראות כפולות לפני שווידאתם שהן אותה יחידה או אותו הסכם.

מתכננים שינוי בציוד שכבר מופה? במדריך תכנון תחזוקה ועדכונים במחשוב העסק תמצאו דף עבודה לשינוי אחד: היקף, השפעה עסקית, אחריות, חלון עבודה, שאלות על יכולת חזרה ותכנון קבלת התוצאה. דף המלאי מתאר מה קיים; תוכנית השינוי מתעדת מה עדיין דורש בירור ואישור לפני עבודה נפרדת.

רישום „יצא משימוש” אינו מוחק מידע או סוגר מנוי. מחיקה, פינוי, העברת בעלות, ביטול שירות ושינוי הרשאות הם תהליכים נפרדים שדורשים החלטה מוסמכת ותנאים מתאימים. כאן מתעדים רק את המצב והפניה לתהליך שאושר.