Questa pagina mette a disposizione il modello di inventario degli apparati di rete in formato Word e PDF. Il documento consente di censire router, switch, firewall, access point, gateway, sistemi VPN e altri dispositivi collegati alla rete, associandoli a ubicazione, responsabili, configurazione, stato operativo, criticità e ciclo di vita. È utile per mantenere sotto controllo gli asset informatici, verificare la presenza di dispositivi autorizzati e supportare le attività di manutenzione, sicurezza e continuità operativa.
Fac Simile inventario apparati di rete Word
Il fac simile Word dell’inventario apparati di rete può essere modificato e adattato alle dimensioni dell’organizzazione, alle sedi comprese nel perimetro e alle procedure interne di gestione degli asset tecnologici.
Fac Simile inventario apparati di rete PDF
Il modello in formato PDF è adatto alla consultazione, alla condivisione controllata e alla conservazione della versione approvata dell’inventario apparati di rete.
Esempio inventario apparati di rete
INVENTARIO APPARATI DI RETE Denominazione dell’organizzazione: _____________________________________________ Codice documento: ____________________ Versione: ____________________ Data di emissione: ____________________ Ultimo aggiornamento: ____________________ Classificazione del documento: _________________________________________________ Stato del documento: [ ] Bozza [ ] Approvato [ ] Archiviato Periodicità di revisione: ______________________________________________________ Redattore: _________________________________________________________________ Verificatore: _______________________________________________________________ Approvatore: _______________________________________________________________ 1. Scopo e campo di applicazione Il presente documento censisce gli apparati di rete utilizzati, detenuti, gestiti o destinati a collegarsi alla rete dell’organizzazione. Il perimetro dell’inventario comprende: Sedi incluse: _______________________________________________________________ Reti incluse: _______________________________________________________________ Sale server, armadi di rete e data center inclusi: _________________________________ Apparati gestiti da fornitori inclusi: ____________________________________________ Apparati temporanei inclusi: __________________________________________________ Ulteriori sistemi inclusi: ______________________________________________________ L’inventario comprende, ove presenti: router, switch, firewall, access point, modem, gateway, sistemi VPN, appliance di sicurezza, concentratori, controller wireless, apparati di bilanciamento, dispositivi di monitoraggio e altri apparati collegati o destinati a collegarsi alla rete. 2. Responsabilità Responsabile dell’aggiornamento dell’inventario: Nome e cognome: ___________________________________________________________ Ruolo: ____________________________________________________________________ Recapito: _________________________________________________________________ Owner degli apparati: Nome o funzione: ___________________________________________________________ Responsabilità: _____________________________________________________________ Responsabile tecnico: Nome e cognome: ___________________________________________________________ Ruolo: ____________________________________________________________________ Recapito: _________________________________________________________________ Fornitori esterni coinvolti: Denominazione: ____________________________________________________________ Attività svolta: _____________________________________________________________ Referente: _________________________________________________________________ 3. Criteri di classificazione 3.1 Stati operativi Attivo: apparato installato e operativo. In manutenzione: apparato temporaneamente sottoposto a interventi tecnici. Fuori servizio: apparato non operativo ma non ancora dismesso. Dismesso: apparato ritirato dall’utilizzo. In valutazione: apparato rilevato o acquisito, la cui autorizzazione deve essere verificata. Temporaneo: apparato utilizzato per un periodo limitato. In quarantena: apparato isolato o sottoposto a limitazioni. 3.2 Stato di autorizzazione Autorizzato: apparato approvato dall’organizzazione e incluso nel perimetro operativo. Non autorizzato: apparato rilevato ma non approvato. Di terzi: apparato appartenente o gestito da soggetti esterni. Di proprietà dell’organizzazione: apparato appartenente all’organizzazione. In comodato o locazione: apparato utilizzato in base a un contratto o accordo. 3.3 Livello di criticità Critico: l’indisponibilità può produrre un impatto rilevante su servizi, sistemi o sedi. Importante: l’indisponibilità può produrre un impatto significativo ma gestibile. Ordinario: l’indisponibilità produce un impatto limitato. Di supporto: apparato utilizzato per funzioni ausiliarie o non essenziali. Livello di criticità assegnato: _________________________________________________ Motivazione: _______________________________________________________________ 4. Registro degli apparati Scheda apparato n. __________ 4.1 Identificazione ID inventario interno: _______________________________________________________ Categoria dell’apparato: _____________________________________________________ Produttore: ________________________________________________________________ Modello: ___________________________________________________________________ Numero di serie: ____________________________________________________________ Asset tag: _________________________________________________________________ Identificativo del dispositivo: _________________________________________________ Hostname: _________________________________________________________________ Nome DNS: _________________________________________________________________ Stato operativo: ____________________________________________________________ Stato di autorizzazione: _____________________________________________________ Data di acquisizione: ________________________________________________________ Data di installazione: _______________________________________________________ Data di dismissione, se applicabile: ___________________________________________ Data prevista di fine supporto: ________________________________________________ 4.2 Proprietà e disponibilità Proprietario dell’apparato: ___________________________________________________ Modalità di disponibilità: [ ] Di proprietà dell’organizzazione [ ] Di terzi [ ] In comodato [ ] In locazione [ ] Altra modalità: __________________________________________________________ Fornitore: _________________________________________________________________ Contratto o riferimento di fornitura: ___________________________________________ Referente del fornitore: _____________________________________________________ 4.3 Ubicazione fisica Sede: _____________________________________________________________________ Indirizzo: _________________________________________________________________ Edificio: __________________________________________________________________ Piano: ____________________________________________________________________ Locale: ___________________________________________________________________ Sala server: _______________________________________________________________ Armadio di rete: ____________________________________________________________ Rack: ____________________________________________________________________ Posizione nel rack: _________________________________________________________ Apparato ospitante o collegato: _______________________________________________ Referente della sede: _______________________________________________________ Note sull’ubicazione: ________________________________________________________ 4.4 Configurazione di rete Indirizzo IP di management: __________________________________________________ Indirizzo IP operativo: _______________________________________________________ Tipo di indirizzo: [ ] Statico [ ] Dinamico [ ] Non applicabile Indirizzo IPv4: _____________________________________________________________ Indirizzo IPv6, se utilizzato: _________________________________________________ Indirizzo MAC: _____________________________________________________________ Subnet: ___________________________________________________________________ VLAN o rete di appartenenza: ________________________________________________ Hostname DNS: _____________________________________________________________ Rete di gestione: ___________________________________________________________ Sistema autonomo o collegamento WAN, se pertinente: ___________________________ Interfacce di rete: __________________________________________________________ Porte utilizzate: ____________________________________________________________ Porta di uplink: ____________________________________________________________ Apparato collegato: _________________________________________________________ Collegamenti principali: _____________________________________________________ Dipendenze da altri apparati: _________________________________________________ Appartenenza a cluster o alta disponibilità: [ ] Sì [ ] No Descrizione: _______________________________________________________________ 4.5 Funzione e servizi supportati Funzione svolta: ____________________________________________________________ Servizio supportato: ________________________________________________________ Rete o segmento interessato: _________________________________________________ Dati o sistemi serviti: _______________________________________________________ Dipendenze operative: _______________________________________________________ Requisiti di disponibilità: ____________________________________________________ Impatto in caso di indisponibilità: _____________________________________________ Livello di criticità: __________________________________________________________ Owner dell’apparato o dei requisiti di sicurezza: _________________________________ Responsabile tecnico: _______________________________________________________ 4.6 Firmware, sistema operativo e manutenzione Firmware o sistema operativo: _______________________________________________ Versione installata: _________________________________________________________ Data dell’ultimo aggiornamento: ______________________________________________ Livello di patch: ____________________________________________________________ Stato del supporto del produttore: _____________________________________________ Presenza di vulnerabilità note: [ ] Sì [ ] No [ ] Da verificare Riferimento alla verifica: _____________________________________________________ Presenza di logging: [ ] Sì [ ] No Sistema di raccolta log o SIEM, se presente: ___________________________________ Presenza di monitoraggio: [ ] Sì [ ] No Sistema di monitoraggio: ____________________________________________________ Configurazione sottoposta a backup: [ ] Sì [ ] No Data dell’ultimo backup di configurazione: ______________________________________ Data dell’ultimo test di ripristino: _____________________________________________ Accesso amministrativo autorizzato: ___________________________________________ Metodo di autenticazione: ___________________________________________________ Gestione degli account privilegiati: ____________________________________________ Contratto di manutenzione: __________________________________________________ Fornitore della manutenzione: ________________________________________________ Numero del contratto o ticket di assistenza: ____________________________________ 4.7 Dati economici e ciclo di vita Dati facoltativi o da compilare in base allo scopo dell’inventario. Ordine o documento di acquisto: ______________________________________________ Numero di fattura: __________________________________________________________ Costo: ____________________________________________________________________ Garanzia: _________________________________________________________________ Scadenza della garanzia: ____________________________________________________ Durata prevista: ____________________________________________________________ Ammortamento: _____________________________________________________________ Procedura di dismissione: ____________________________________________________ Modalità di cancellazione delle configurazioni: __________________________________ Destinazione finale: _________________________________________________________ Verbale di consegna o dismissione: ___________________________________________ 4.8 Verifiche Data dell’ultima verifica: _____________________________________________________ Soggetto che ha effettuato la verifica: _________________________________________ Modalità di verifica: [ ] Verifica fisica [ ] Verifica della configurazione [ ] Discovery della rete [ ] Sistema di monitoraggio [ ] Riconciliazione con dati amministrativi [ ] Altra modalità: __________________________________________________________ Esito della verifica: _________________________________________________________ Anomalie rilevate: __________________________________________________________ Azioni correttive: ___________________________________________________________ Data prevista della prossima revisione: _________________________________________ Note: _____________________________________________________________________ 5. Registro degli apparati non autorizzati o anomali Il registro può essere tenuto separatamente oppure come sezione del registro principale. Scheda rilevazione n. __________ Data di rilevazione: _________________________________________________________ Dispositivo rilevato: _________________________________________________________ Categoria: _________________________________________________________________ Produttore e modello, se disponibili: __________________________________________ Indirizzo IP: _______________________________________________________________ Indirizzo MAC: _____________________________________________________________ Hostname: _________________________________________________________________ Posizione o sede: __________________________________________________________ Soggetto che ha effettuato la rilevazione: ______________________________________ Motivo della rilevazione: _____________________________________________________ Stato: [ ] Non autorizzato [ ] In valutazione [ ] Temporaneo [ ] Non gestito [ ] Anomalo Azione adottata: ____________________________________________________________ Responsabile dell’azione: ____________________________________________________ Esito: ____________________________________________________________________ Data di chiusura: ___________________________________________________________ Riferimento a ticket o intervento: _____________________________________________ Note: _____________________________________________________________________ 6. Gestione delle variazioni Ogni variazione significativa relativa agli apparati deve essere registrata nell’inventario o nello storico delle modifiche. Devono essere registrate, ove applicabili: nuove installazioni; spostamenti; sostituzioni; modifiche della configurazione; cambi di owner o responsabile tecnico; aggiornamenti firmware o del sistema operativo; variazioni degli indirizzi o delle reti; cessazione del servizio; messa fuori servizio; dismissione; rilevazione di apparati non autorizzati. Responsabile della registrazione delle variazioni: ________________________________ Termine interno per l’aggiornamento dopo una variazione: ________________________ Modalità di approvazione delle variazioni: ______________________________________ 7. Frequenza delle verifiche Aggiornamento in occasione di ogni variazione: [ ] Previsto [ ] Non previsto Frequenza della verifica ordinaria: [ ] Trimestrale [ ] Semestrale [ ] Altra frequenza: _________________________________________________________ Verifica straordinaria dopo incidenti: [ ] Prevista [ ] Non prevista Verifica straordinaria dopo cambiamenti infrastrutturali: [ ] Prevista [ ] Non prevista Verifica straordinaria dopo audit: [ ] Prevista [ ] Non prevista Strumenti di riconciliazione o discovery utilizzati: _______________________________ ____________________________________________________________________________ 8. Protezione delle informazioni L’inventario è accessibile esclusivamente ai soggetti autorizzati. Responsabile dell’abilitazione degli accessi: ____________________________________ Gruppi o ruoli autorizzati: ____________________________________________________ Modalità di controllo degli accessi: ____________________________________________ Modalità di conservazione: ___________________________________________________ Modalità di trasmissione: ____________________________________________________ Le credenziali, le password, le chiavi private, i token e gli altri segreti non devono essere riportati nel presente inventario. Sistema separato per la gestione dei segreti: ____________________________________ Responsabile del sistema: ___________________________________________________ Diagrammi dettagliati, configurazioni, report di vulnerabilità e procedure di emergenza sono conservati separatamente, ove applicabile. Ubicazione dei documenti separati: ____________________________________________ L’inventario può contenere dati relativi a responsabili, tecnici e referenti. La gestione del documento deve prevedere accessi controllati e misure adeguate al rischio. 9. Conservazione e versionamento Versione corrente conservata presso: __________________________________________ Versioni precedenti conservate presso: ________________________________________ Storico delle modifiche conservato presso: _____________________________________ Verbali di verifica conservati presso: __________________________________________ Evidenze di approvazione conservate presso: ___________________________________ Documenti di installazione e dismissione conservati presso: _______________________ Periodo di conservazione definito internamente: _________________________________ Responsabile della conservazione: ____________________________________________ 10. Registro delle modifiche Versione: ____________________ Data: ____________________ Descrizione della modifica: __________________________________________________ Redattore: _________________________________________________________________ Verificatore: _______________________________________________________________ Approvatore: ______________________________________________________________ Versione: ____________________ Data: ____________________ Descrizione della modifica: __________________________________________________ Redattore: _________________________________________________________________ Verificatore: _______________________________________________________________ Approvatore: ______________________________________________________________ Versione: ____________________ Data: ____________________ Descrizione della modifica: __________________________________________________ Redattore: _________________________________________________________________ Verificatore: _______________________________________________________________ Approvatore: _______________________________________________________________ 11. Validazione del documento Il presente inventario è stato compilato sulla base delle informazioni disponibili relative agli apparati compresi nel perimetro indicato. Il registro è stato verificato dal soggetto competente secondo le modalità interne definite dall’organizzazione. Redatto da Nome e cognome: ___________________________________________________________ Ruolo: ____________________________________________________________________ Data: ____________________ Firma: ___________________________________________________________________ Verificato da Nome e cognome: ___________________________________________________________ Ruolo: ____________________________________________________________________ Data: ____________________ Firma: ___________________________________________________________________ Approvato o preso d’atto da Nome e cognome: ___________________________________________________________ Ruolo: ____________________________________________________________________ Data: ____________________ Firma: ___________________________________________________________________ 12. Allegati facoltativi Allegato A – Diagramma di rete Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato B – Elenco delle sedi Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato C – Procedura di gestione degli apparati Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato D – Registro delle modifiche Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato E – Registro degli apparati non autorizzati Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato F – Verbali di installazione Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato G – Verbali di dismissione Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato H – Evidenze di verifica o audit Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato I – Documentazione del produttore o del fornitore Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ Allegato L – Report di vulnerabilità Presente: [ ] Sì [ ] No Riferimento o ubicazione: ____________________________________________________ 13. Note generali ____________________________________________________________________________ ____________________________________________________________________________ ____________________________________________________________________________ ____________________________________________________________________________ ____________________________________________________________________________
Come compilare l’inventario
L’inventario apparati di rete è un documento interno destinato a rappresentare in modo ordinato gli apparati che collegano, proteggono, gestiscono o supportano la rete dell’organizzazione. Non deve essere confuso con il diagramma di rete: l’inventario descrive gli asset e le loro caratteristiche, mentre il diagramma rappresenta soprattutto i collegamenti e la topologia. Il modello può essere utilizzato da imprese, enti, studi professionali, pubbliche amministrazioni e fornitori che gestiscono infrastrutture di rete per conto di un cliente.
La compilazione dovrebbe iniziare dalla definizione del perimetro. Nella sezione dedicata allo scopo occorre indicare quali sedi, reti, sale server, armadi, data center e apparati gestiti da fornitori devono essere inclusi. È opportuno chiarire anche se rientrano nel censimento gli apparati temporanei, quelli in comodato o locazione, i dispositivi installati presso sedi periferiche e gli apparati non ancora autorizzati. Una delimitazione precisa evita che il registro comprenda soltanto gli apparati acquistati direttamente dall’organizzazione, trascurando dispositivi di terzi o temporaneamente collegati.
La parte iniziale del documento deve riportare i dati di controllo, come denominazione dell’organizzazione, codice, versione, data di emissione, data dell’ultimo aggiornamento, classificazione e stato del documento. Il redattore, il verificatore e l’approvatore devono essere indicati secondo le responsabilità effettivamente assegnate. La periodicità di revisione va definita in base alla complessità dell’infrastruttura e al livello di rischio. Anche se non esiste una frequenza unica valida per ogni organizzazione, è ragionevole prevedere l’aggiornamento dopo ogni variazione significativa e una verifica ordinaria periodica.
La sezione sulle responsabilità serve a collegare l’inventario alle persone o alle funzioni che lo mantengono aggiornato. Il responsabile dell’aggiornamento cura la registrazione delle modifiche, mentre l’owner rappresenta il soggetto che ha responsabilità sul bene o sui requisiti di sicurezza associati. Il responsabile tecnico, invece, è il referente operativo per configurazione, manutenzione, monitoraggio e interventi. Quando sono presenti fornitori esterni, devono essere indicati la denominazione, l’attività svolta e il referente incaricato, così da rendere chiaro chi può intervenire sugli apparati e con quali responsabilità.
Per ogni dispositivo occorre compilare una scheda apparato distinta, attribuendo un ID inventario interno univoco. L’ID non dovrebbe essere riutilizzato dopo la dismissione, perché deve consentire di ricostruire la storia dell’asset. I dati identificativi comprendono categoria, produttore, modello, numero di serie, asset tag, hostname, nome DNS e identificativo del dispositivo. È importante utilizzare dati verificati direttamente sull’apparato, sulla configurazione o sui sistemi di gestione, evitando di riportare denominazioni approssimative che rendano difficile distinguere dispositivi simili.
Lo stato operativo deve descrivere la situazione reale dell’apparato. Un dispositivo attivo è installato e utilizzato, mentre un apparato in manutenzione è temporaneamente sottratto alla normale operatività. Un bene fuori servizio non è operativo ma può essere ancora presente e destinato a una futura decisione, mentre un apparato dismesso è stato ritirato dall’utilizzo. Gli stati “in valutazione”, “temporaneo” e “in quarantena” consentono di rappresentare situazioni transitorie e dispositivi rilevati o isolati in attesa di una decisione.
La proprietà e la disponibilità devono essere indicate separatamente dallo stato operativo. Un apparato può essere attivo ma appartenere a un fornitore, essere in comodato oppure essere utilizzato in locazione. In questi casi è necessario riportare il fornitore, il contratto o il riferimento di fornitura e il referente contrattuale. Queste informazioni sono utili per chiarire chi sostiene i costi, chi deve garantire la manutenzione e chi deve intervenire in caso di sostituzione o restituzione.
L’ubicazione fisica deve essere compilata con il maggior grado di precisione compatibile con le esigenze di sicurezza. Sede, indirizzo, edificio, piano, locale, sala server, armadio, rack e posizione nel rack consentono di rintracciare materialmente l’apparato. Se il dispositivo è integrato in un altro sistema o collegato a un apparato principale, il relativo riferimento deve essere riportato nel campo dedicato. Le note possono contenere indicazioni utili per l’accesso tecnico, purché non includano credenziali o informazioni segrete.
La configurazione di rete richiede particolare attenzione. L’indirizzo IP deve essere associato, quando necessario, alla funzione svolta, distinguendo l’indirizzo di management da quello operativo. Devono essere specificati il tipo di assegnazione, IPv4, IPv6 se utilizzato, MAC address, subnet, VLAN, rete di gestione e hostname DNS. Per apparati con più interfacce è opportuno descrivere le porte utilizzate, la porta di uplink, gli apparati collegati e i collegamenti principali. Le dipendenze e l’appartenenza a cluster o sistemi ad alta disponibilità aiutano a comprendere le conseguenze di un guasto e a pianificare gli interventi.
Nel descrivere la funzione dell’apparato occorre indicare quale servizio supporta, quale rete interessa e quali sistemi o dati serve. La valutazione della criticità deve considerare l’impatto che un’indisponibilità può produrre su servizi, utenti, sedi, processi e obblighi dell’organizzazione. La motivazione della classificazione è importante perché rende verificabile la scelta del livello assegnato. Un firewall che protegge l’accesso a un data center, per esempio, può richiedere una classificazione diversa da quella di un access point destinato a una rete ospiti, ma la valutazione deve essere effettuata in relazione al contesto concreto.
La sezione relativa a firmware, sistema operativo e manutenzione deve riportare la versione installata, la data dell’ultimo aggiornamento, il livello di patch e lo stato del supporto del produttore. È utile indicare se sono presenti vulnerabilità note o se la verifica deve ancora essere effettuata, collegando il dato a un report, a un ticket o a una piattaforma di gestione delle vulnerabilità. Devono essere registrati anche logging, monitoraggio, sistema SIEM, backup della configurazione e data dell’ultimo test di ripristino, quando tali strumenti sono presenti.
Le informazioni di accesso amministrativo devono descrivere il metodo autorizzato di autenticazione e la gestione degli account privilegiati, senza riportare password, token, chiavi private o altri segreti. Le credenziali devono essere conservate in un sistema separato di gestione dei segreti, protetto da accessi controllati. L’inventario contiene infatti informazioni potenzialmente utili per compromettere la rete, come indirizzi, modelli, versioni software e ubicazioni; deve quindi essere trattato come documentazione riservata e accessibile soltanto ai soggetti che ne hanno necessità operativa.
I dati economici e quelli relativi al ciclo di vita possono essere compilati quando l’inventario è utilizzato anche per esigenze amministrative o di gestione patrimoniale. Ordine, fattura, costo, garanzia, durata prevista, ammortamento e contratto di manutenzione consentono di collegare l’asset alla documentazione di acquisto e ai relativi obblighi. In fase di dismissione è opportuno indicare la procedura seguita, la cancellazione della configurazione, la destinazione finale e il riferimento al verbale di consegna o di dismissione. La scheda non dovrebbe essere eliminata quando l’apparato viene ritirato, perché la sua storia può essere necessaria per audit, incidenti o verifiche successive.
La sezione delle verifiche documenta come è stata controllata l’esistenza e la correttezza dei dati. La verifica può comprendere un sopralluogo fisico, l’analisi della configurazione, la discovery della rete, il confronto con il sistema di monitoraggio o la riconciliazione con gli archivi amministrativi. L’esito deve indicare eventuali anomalie, azioni correttive, responsabile dell’intervento e data prevista per la prossima revisione. Quando l’organizzazione utilizza strumenti automatici di discovery o monitoraggio, è consigliabile confrontare periodicamente i risultati con il registro manuale per individuare apparati sconosciuti, duplicati o non più presenti.
Il registro degli apparati non autorizzati o anomali deve essere compilato ogni volta che viene rilevato un dispositivo non riconosciuto, non gestito, temporaneo o privo di approvazione. Anche quando l’apparato viene successivamente autorizzato o rimosso, è utile conservare la rilevazione iniziale, indicando data, indirizzo IP o MAC, posizione, soggetto che ha effettuato il controllo, motivazione, azione adottata ed esito. Questo registro supporta la gestione degli incidenti e consente di dimostrare che i dispositivi sconosciuti non vengono ignorati.
La gestione delle variazioni deve stabilire entro quanto tempo l’inventario deve essere aggiornato dopo una nuova installazione, uno spostamento, una sostituzione, una modifica della configurazione, un cambio di responsabile, un aggiornamento firmware o una dismissione. Il modello permette di indicare anche la modalità di approvazione. La regola interna dovrebbe garantire che la variazione tecnica e la variazione documentale procedano in modo coordinato, evitando che il registro rimanga indietro rispetto alla rete reale.
La protezione delle informazioni deve essere definita indicando chi abilita gli accessi, quali gruppi o ruoli possono consultare il documento, come vengono controllati gli accessi e dove viene conservata la documentazione. Diagrammi dettagliati, configurazioni, report di vulnerabilità e procedure di emergenza possono essere conservati separatamente, collegandoli all’inventario mediante riferimenti controllati. La separazione riduce il numero di persone che possono accedere contemporaneamente a tutte le informazioni necessarie per conoscere e compromettere l’infrastruttura.
Infine, la validazione deve essere effettuata dal redattore, dal verificatore e dal soggetto che approva o prende atto del documento secondo le procedure interne. Ogni versione deve essere conservata insieme allo storico delle modifiche, alle evidenze di verifica e ai documenti di installazione o dismissione. Il modello non sostituisce la valutazione dei rischi, le procedure di sicurezza, il monitoraggio o la gestione delle vulnerabilità, ma fornisce una base documentale per collegare apparati, responsabilità, configurazioni, servizi e controlli nel tempo.