Что такое SAM?

Software Asset Management (управление активами программного обеспечения) – это не просто класс программных продуктов, это общая методология, направленная на корректный учет информационных активов, точнее их составной части – программного обеспечения.

В чем эффективность методологии SAM?

Программное обеспечение нуждается в учете и обработке по следующим причинам:

• Разнообразие способов лицензирования при покупке
• Необходимость продления, расширения, изменения лицензий
• Возможность переноса ПО на другие физические/виртуальные машины
• Отсутствие единого центра для установки приложений разных вендоров

Каких негативных последствий позволяет избежать применение SAM?

В совокупности эти факторы требуют внимательности, поскольку некорректное управление ПО может привести к негативным последствиям.
Среди них можно выделить:

1. Юридические.
   Нарушение авторских и смежных прав. Заключается в использовании ПО с просроченной лицензий и даже контрафактного, установленного некомпетентными сотрудниками.
2. Экономические.
   Штрафные санкции как следствие предыдущего пункта, одна из наиболее «распиаренных» ситуаций. Однако, корректный учет ПО позволяет точно считать, сколько лицензий необходимо продлить, закупить и так далее, что, как следствие, дает возможность не приобретать «лишние» экземпляры ПО,
3. Последствия безопасности.
   Несвоевременно обновленное программное обеспечение влечет за собой появление уязвимостей. Отслеживание состава софта в режиме «реального времени» позволяет обнаружить установленное злоумышленниками или даже инсайдерами ПО.
4. Нарушение совместимости.
   Для отдельных случаев версии программного обеспечения могут быть несовместимы – централизованное отслеживание таких моментов позволяет существенно повысить надежность системы.

Применение SAM для отслеживания эффективности ПО

Дополнительно SAM может применяться для отслеживания использования приложений – очень часто купленные лицензии не применяются сотрудниками, и сбор этой статистики позволяет существенно сэкономить. Или же, напротив, результаты статистики являются индикатором для проведения обучения пользователей по новым программным продуктам.
Какие же сведения должна собирать система, реализующая методологию SAM?

• Наименование ПО
• Наименование разработчика
• Версия ПО
• Дата установки
• Хост установки
• Дата использования (опционально)

Достаточно просто набор данных, тем не менее, собирается различными инструментами и носит неоднозначный характер.

Так, предустановленные компоненты MS Windows не показываются в списке установленных программ, а MS Edge – показывается. Подходы сбора сведений через WinAPI, фреймворк .NET или реестр операционной системы могут дополнять друг-друга либо использоваться по-отдельности, в зависимости от задач системы. Не меньше трудностей и с Linux-системами.

Отдельную категорию проблем для SAM представляют Portable-приложения, которые появляются в поле зрения операционной системы только в момент запуска. Эта проблема актуальна для различных платформ, однако портативное программное обеспечение, как правило, доставляет неудобства только в части безопасности.

Управление активами программного обеспечения повышает эффективность бизнеса

SAM-системы становятся более популярными в настоящее время на фоне импортозамещения – контролировать наличие, а, тем более, использование программного обеспечения достаточно тяжело.

В помощь сотрудникам информационно безопасности SAM системы предоставляют интерфейсы, независимые от системных администраторов, зачастую находящихся в конфликте со службой безопасности.

Помимо этого, SAM может хранить историю установок программного обеспечения, что крайне важно при расследовании инцидентов информационной безопасности в условиях ограниченного доверия к IT-отделу.

Дополнительно функционал повышения безопасности системы управления активами должен включать «белый список» разрешенных к установке приложений. Он может формироваться администратором на основе купленных лицензий, результатов аудита безопасности или экспертного опыта.

Однако появление где-либо в сети приложения, не включенного в этот список – является событием ИБ.

Таким образом, класс продуктов, реализующих методологию SAM, является инструментом централизованного управления активами как для IT, так и для информационной безопасности.