ITAM kurulumu: BT varlıklarını envanterden denetime yönetmek

ITAM neyi çözer?

Bir kurumda bilgisayarlar, sunucular, ağ cihazları, telefonlar, yazılım lisansları ve bulut abonelikleri vardır. Bunların kaç tane olduğu, nerede olduğu, kimin kullandığı, ne zaman alındığı, garantisinin ne zaman bittiği ve ne kadara mal olduğu çoğu kurumda farklı tablolarda, farklı kişilerde ve çoğunlukla eksik tutulur. BT varlık yönetimi (IT Asset Management, ITAM) bu varlıkları edinmeden devreden çıkarmaya kadar tüm yaşam döngüsü boyunca kayıt altına alıp yöneten süreçler bütünüdür.

ITAM'in somut çıktıları şunlardır: güvenilir bir varlık kaydı, gereksiz alımların önlenmesi, boşta duran varlıkların yeniden kullanımı, lisans uyumu ve denetim hazırlığı, güvenlik açısından bilinmeyen cihazların görünür olması ve bütçe planlamasına girdi. Bu sayfa kurulum sırasını ele alır. Yazılım lisansları ve donanım yenileme planı kendi sayfalarında ayrı işlenir.

Önce kapsam, roller ve yönetişim

Kurulum teknik araçla değil, kapsam kararıyla başlar. Önce şunları yazılı hale getirin:

• Hangi varlık sınıfları kapsamda: uç kullanıcı donanımı, sunucu, ağ, mobil cihaz, yazılım lisansı, bulut abonelikleri
• Hangi birimler kapsamda: merkez, şubeler, bağlı şirketler, uzaktan çalışanlar
• Roller: varlık sahibi (iş birimi), varlık yöneticisi (ITAM ekibi), veri yöneticisi (kayıt kalitesi), onay mercii (edinme)
• Politikalar: edinme, zimmet, kayıp ve çalıntı, yeniden kullanım, imha

Pratik bir ipucu: tüm kapsamla başlamayın. Önce yüksek maliyetli ve yüksek riskli sınıfla (örneğin uç kullanıcı bilgisayarları ve kritik yazılım) başlayın, işleyen bir süreç kurun, sonra genişletin. ISO/IEC 19770 standart ailesi, BT varlık yönetim sistemi için bir çerçeve sunar; ailenin ilk bölümü (ISO/IEC 19770-1) sistemin süreç gereksinimlerini tanımlar. Standart sertifikasyon hedefi olmasa bile terminoloji ve süreç listesi için başvuru kaynağı olarak kullanılabilir.

Sonra veri modeli ve kayıt yapısı

Varlık kaydı bir tablo değil, ilişkili bir veri modelidir. Her varlık için asgari olarak şunlar tutulur:

• Kimlik: benzersiz varlık numarası, seri numarası, model, üretici
• Sınıf ve durum: sipariş edildi, depoda, kullanımda, bakımda, devreden çıkarılacak, imha edildi
• Sahiplik: zimmetli kullanıcı, birim, maliyet merkezi, konum
• Mali bilgi: alış tarihi, tedarikçi, sözleşme veya fatura referansı, amortisman bilgisi
• Destek bilgisi: garanti bitişi, bakım sözleşmesi
• İlişkiler: yazılımın kurulu olduğu cihaz, cihazın bağlı olduğu hizmet

Kayıt kalitesi için kuralları baştan koyun: zorunlu alanlar, durum geçişleri, tekil anahtar ve kimin değiştirebileceği. Kötü bir model sonradan düzeltilemez; en çok eksik ve çift kayıtla karşılaşılır. Konfigürasyon yönetim veritabanı (CMDB) kullanıyorsanız ITAM kaydı ile CMDB arasındaki ilişkiyi ve hangi sistemin hangi alan için doğruluk kaynağı olduğunu netleştirin.

Yaşam döngüsü süreçlerini yazılı hale getirmek

Varlığın hayatını dört aşamada düşünün ve her biri için kayıt kuralı koyun:

• Edinme: talep, onay, sipariş, teslim alma ve kabul. Kabul sırasında varlık kayda girer; kayıt, fatura ödemesinden önce açılır. Böylece sahipsiz cihaz oluşmaz.
• Devreye alma ve kullanım: kurulum, zimmet, kullanıcı değişikliğinde zimmet devri. Taşınma, birim değişikliği ve tamir süreçleri kayıt üzerinden izlenir.
• Değişiklik ve yeniden kullanım: kullanıcı ayrıldığında cihaz depoya döner, yeniden imaj atılır ve başka kullanıcıya verilir.
• Devreden çıkarma: veri silme veya imha, sertifikalı imha belgesi, kayıttan çıkarma ve mali kaydın kapatılması.

En sık sızıntı devreden çıkarma ve kullanıcı ayrılış adımlarındadır. İK sürecini ITAM sürecine bağlayın: personel ayrılışı bildirimi otomatik olarak zimmet iade görevi oluştursun.

Keşif, otomasyon ve veri mutabakatı

Elle tutulan envanter kısa sürede eskir. Kaydı güncel tutmak için otomatik keşif kullanılır:

• Ağ ve uç nokta keşif araçları, ağdaki ve kurulu yazılımdaki cihazları tarar.
• Cihaz yönetimi (MDM) ve uç nokta yönetim araçları kurulu yazılım ve donanım bilgisini verir.
• Satın alma ve muhasebe sistemleri mali bilgiyi sağlar.
• Bulut faturaları ve yönetim konsolları abonelikleri gösterir.

Keşfedilen veri ile kayıt arasındaki farkı bulmak için mutabakat yapılır: keşifte görünüp kayıtta olmayan cihaz (kayıt dışı), kayıtta olup keşifte görünmeyen cihaz (kayıp ya da ağdan çıkmış). Bu iki liste düzenli olarak incelenir ve her fark kapatılır. Güvenlik ekibi için de kayıt dışı cihaz listesi doğrudan işe yarar bir kaynaktır.

Otomasyon zaman kazandırır ama kaydı tek başına doğru yapmaz. Eşleştirme kuralları (seri numarası, alan adı, MAC adresi öncelik sırası) önceden tanımlanmazsa çift kayıt oluşur.

Denetim hazırlığı ve olgunluk

Envanter, denetimde kanıt olarak kullanılabildiği ölçüde işe yarar. Denetim hazırlığında üç şey sorulur: kayıt güncel mi, kayıt ile fiili durum uyumlu mu, süreçlerin işlediğinin izi var mı?

Hazırlık kontrol listesi:

• Edinme onaylarının ve kabul formlarının saklanması
• Zimmet ve iade kayıtlarının kayıt altında olması
• Düzenli sayım veya mutabakat raporlarının arşivlenmesi
• İmha belgelerinin cihaz kaydıyla ilişkilendirilmesi
• Lisans sahipliği kanıtlarının (sözleşme, fatura) ilgili kayda bağlanması

Olgunluk yönetimi için başlangıçta ölçülebilir birkaç gösterge seçin: kayıt doğruluğu, kayıt dışı cihaz sayısının eğilimi, zimmetsiz varlık sayısı, devreden çıkarma gecikmesi. Göstergeleri üç ayda bir yönetim toplantısında gözden geçirin ve süreç eksiklerini iyileştirme listesine yazın. Hedef, bir kerelik temiz envanter değil, sürekli temiz kalan bir sistemdir.

Sık hatalar ve Mindset programında bu beceri

Sık hatalar: tüm varlıklarla aynı anda başlamak, aracı süreçten önce satın almak, kayıt sahibini belirlememek, yaşam döngüsü kapanışlarını (iade, imha) atlamak, keşif verisini mutabakat yapmadan olduğu gibi kayda yazmak ve ITAM'i tek seferlik sayım projesi sanmak.

BT Varlık Yönetimi (ITAM) ve ISO/IEC 19770 Uygulamaları eğitimi bu adımlarla örtüşen bir akış izler: ITAM kapsamı, roller ve yönetişim; varlık veri modeli ve kayıt yapısı; edinme, devreye alma ve kabul; değişiklik, yeniden kullanım ve devreden çıkarma; ISO/IEC 19770 ailesi; keşif, otomasyon ve mutabakat; denetim hazırlığı ve olgunluk yönetimi.

Program, BT operasyon, hizmet yönetimi ve uyum ekipleri için uygundur. Kurumsal ekipler kendi envanter sorunlarını (kayıt dışı cihaz, zimmet takibi) çalışmaya getirerek süreç tasarımını kendi ortamlarında uygulayabilir.