you can't secure what you can't see
expressãosegurançagovernança e risco
A máxima da visibilidade: segurança começa com um inventário preciso do que existe, porque ativo desconhecido não recebe controle.
É por isso que gestão de ativos abre todo framework sério de controles, por menos glamour que tenha. Shadow IT, subdomínios esquecidos e contas de nuvem órfãs são violações esperando pacientemente a vez; descoberta é o primeiro controle.
Você não consegue proteger o que não consegue enxergar é o argumento de que o inventário de ativos precede todo outro controle, e está correto de um jeito que a maioria dos programas de segurança subestima, porque inventário é sem glamour e nunca termina.
As falhas são consistentes entre organizações. Um servidor de que ninguém lembrava está sem correção porque processo algum o incluía. Uma conta de nuvem criada para um projeto de três anos atrás ainda guarda dados e ainda tem credenciais. Um subdomínio aponta para um serviço desativado e pode ser reivindicado por quem registrar o alvo. Nenhum desses é ataque sofisticado; são coisas que ninguém sabia que existiam.
A parte desconfortável é que inventário é alvo móvel, e não projeto. Recursos de nuvem são criados por qualquer um com uma chave de API, dispositivos chegam com as pessoas que os carregam, e a TI sombra que é descoberta é, por definição, a fração visível. Descoberta contínua é a única versão que funciona, o que significa tratar inventário como sinal vivo, e não como planilha que alguém atualiza uma vez por ano, e aceitar que o número está sempre um pouco errado.