Инвентаризация оборудования в организации: порядок, акты и автоматизация

Инвентаризация оборудования — процесс, который существует на стыке двух миров: бухгалтерского учёта и информационной безопасности. Бухгалтерия считает основные средства по ФСБУ 6/2020, ИТ-подразделение ведёт реестр серверов и коммутаторов, а служба ИБ требует привязку каждого устройства к сегменту сети и мерам защиты. Три подразделения, три реестра, три формата — и ни один не содержит полной картины. В этой статье — как выстроить единый процесс инвентаризации оборудования, какие документы оформить и почему ручной обход перестаёт работать уже при 100 устройствах. Если вы ищете общую методику учёта всех категорий ИТ-ресурсов, начните с руководства по инвентаризации ИТ-активов.

Какое оборудование подлежит инвентаризации

Первый вопрос, который возникает перед комиссией: что именно считать? Ответ зависит от цели инвентаризации.

Бухгалтерский перечень

Бухгалтерия учитывает основные средства стоимостью выше лимита, установленного учётной политикой (с 2022 года — по ФСБУ 6/2020). Сюда входят:

• Серверы и серверные шасси — blade-системы, стоечные серверы, СХД
• Рабочие станции — десктопы, моноблоки, тонкие клиенты
• Ноутбуки — включая выданные удалённым сотрудникам
• Мониторы и периферия — при стоимости выше лимита учётной политики
• Печатное оборудование — принтеры, МФУ, плоттеры
• Источники бесперебойного питания — ИБП стоечные и настольные
• Телекоммуникационное оборудование — АТС, SBC, IP-телефоны

Расширенный перечень для ИТ и ИБ

Служба информационной безопасности учитывает всё, что обрабатывает, передаёт или защищает информацию — вне зависимости от балансовой стоимости:

• Сетевое оборудование — управляемые коммутаторы (L2/L3), маршрутизаторы, точки доступа Wi-Fi, контроллеры беспроводной сети
• Аппаратные средства защиты — межсетевые экраны (NGFW), криптошлюзы (ViPNet Coordinator, «Континент»), HSM-модули
• Криптографические устройства — токены (Рутокен, JaCarta), смарт-карты
• IoT и специализированные устройства — камеры видеонаблюдения, СКУД-контроллеры, датчики
• Оборудование АСУ ТП — ПЛК, HMI-панели, RTU (для промышленных организаций)
• Устройства в DMZ — reverse proxy, WAF-аплайансы, почтовые шлюзы

Для субъектов КИИ перечень определяется в ходе категорирования и включает все технические средства, входящие в состав значимых объектов.

Инвентаризация сетевого оборудования: особенности

Сетевое оборудование заслуживает отдельного внимания. Коммутаторы и маршрутизаторы часто стоят дешевле лимита основных средств — бухгалтерия их не учитывает. Агент на них не установишь — нужны SNMP или SSH. При этом именно через сетевое оборудование проходит весь трафик организации.

Что учитывать при инвентаризации сетевого оборудования:

• Управляемые коммутаторы — модель, прошивка, конфигурация VLAN, список портов и подключённых устройств (MAC-таблица)
• Маршрутизаторы — таблица маршрутизации, ACL, настройки NAT, VPN-туннели
• Точки доступа Wi-Fi — SSID, метод аутентификации, канал, мощность, число подключённых клиентов
• Межсетевые экраны — правила фильтрации, версия сигнатур IPS, активные VPN-подключения
• Балансировщики нагрузки — пулы серверов, health-check, сертификаты

Для каждого сетевого устройства критично фиксировать версию прошивки: именно устаревшие прошивки коммутаторов и маршрутизаторов чаще всего эксплуатируются при целевых атаках.

Практика показывает: в среднем 15–20% устройств в сети не учтены ни в одном реестре. Это неуправляемые коммутаторы, личные роутеры сотрудников, забытое тестовое оборудование. Каждое такое устройство — потенциальная точка входа для атакующего.

Порядок проведения инвентаризации оборудования

Инвентаризация оборудования на предприятии — процесс из шести этапов. Ниже — пошаговый порядок, применимый и к бухгалтерской, и к ИТ-инвентаризации.

Этап 1. Приказ руководителя

Инвентаризация начинается с организационно-распорядительного документа. Приказ о проведении инвентаризации (унифицированная форма ИНВ-22 или внутренняя форма) определяет:

• Состав комиссии — председатель (обычно заместитель руководителя) и члены (бухгалтер, ИТ-специалист, специалист по ИБ, представитель подразделения-владельца оборудования)
• Сроки проведения — дата начала и дата окончания
• Объекты инвентаризации — перечень категорий оборудования и территориальных зон
• Причина проведения — плановая (ежегодная), при смене материально ответственного лица, по результатам проверки, при реорганизации

Этап 2. Подготовка

До начала обхода комиссия выполняет подготовительные действия:

• Запросить у бухгалтерии актуальные остатки по счетам 01 и 10 (основные средства и материалы)
• Запросить у ИТ-подразделения текущий реестр оборудования (если ведётся)
• Определить перечень зон осмотра: серверные, коммутационные шкафы, рабочие места, склад, удалённые офисы
• Подготовить бланки описей или настроить шаблон в системе учёта
• Проверить доступ в помещения (серверная, кроссовая, склад ИТ-оборудования)

Если в организации уже используется система инвентаризации, подготовка включает выгрузку текущего реестра и формирование списка устройств, по которым давно не было обновлений (потенциально неактуальные записи).

Этап 3. Сбор данных

Ключевой этап, который определяет качество результата. От выбранного метода зависят полнота данных, трудозатраты и актуальность результатов. Существуют два принципиально разных подхода.

Ручной обход. Комиссия физически обходит помещения, сверяет инвентарные номера, записывает серийные номера с шильдиков. Для организации с 200 рабочими местами ручной обход занимает 3–5 рабочих дней. Минусы очевидны: человеческий фактор (пропущенные устройства, ошибки в серийных номерах), невозможность собрать технические данные (IP, прошивку, ПО).

Автоматический сбор. Программный агент или сетевой сканер собирает данные об оборудовании удалённо: через WMI/WinRM (Windows), SSH (Linux), SNMP (сетевое оборудование). Организация с 200 АРМ получает полный реестр за 1–2 часа без участия комиссии в обходе рабочих мест. Подробнее о методах — в статье об автоматизации инвентаризации.

Этап 4. Сопоставление

Собранные данные сверяются с учётными записями:

• Факт vs бухгалтерия — все ли основные средства на месте, нет ли недостачи или излишков
• Факт vs ИТ-реестр — совпадают ли hostname, IP-адрес, серийный номер с данными в системе учёта
• Выявление неучтённых устройств — оборудование, которое физически присутствует, но не числится ни в одном реестре

На этом этапе формируется протокол расхождений: список устройств с несоответствиями между фактическими и учётными данными. Типичные расхождения: устройство числится в кабинете 201, а стоит в 305; серийный номер в бухучёте не совпадает с фактическим (ошибка при первичном внесении); в ИТ-реестре указан IP-адрес, который уже переназначен другому устройству.

Этап 5. Оформление результатов

По итогам инвентаризации оформляется комплект документов:

• Инвентаризационная опись (ИНВ-1) — перечень всех объектов с фактическими данными
• Сличительная ведомость (ИНВ-18) — при выявлении расхождений с бухучётом
• Акт о результатах инвентаризации (ИНВ-26) — итоговый документ с выводами комиссии
• ИТ-реестр оборудования — актуализированный реестр с техническими атрибутами (для ИТ и ИБ)

Этап 6. Определение периодичности

• Бухгалтерская инвентаризация — не реже 1 раза в год (402-ФЗ, ст. 11)
• ИТ-инвентаризация для ИБ — рекомендуется непрерывная (автоматизированная) или ежеквартальная (ручная)
• Для субъектов КИИ — реестр объектов КИИ поддерживается в актуальном состоянии постоянно (187-ФЗ)
• При смене ответственного лица — обязательная внеплановая инвентаризация

Акт инвентаризации оборудования: что включает

Акт инвентаризации — итоговый документ, фиксирующий результаты. Для бухгалтерских целей используются унифицированные формы Госкомстата (ИНВ-1, ИНВ-1а) или формы, утверждённые учётной политикой организации.

Обязательные графы акта

Расширенные атрибуты для ИТ-реестра

Бухгалтерский акт не содержит данных, необходимых для информационной безопасности. ИТ-реестр дополняет акт следующими полями:

ИТ-инвентаризация vs бухгалтерская: сравнение

Два процесса пересекаются по объектам, но принципиально различаются по целям и методам.

Для ИБ-специалиста бухгалтерский реестр — стартовая точка, но не замена ИТ-инвентаризации. Бухгалтерия не знает, что на сервере с инвентарным номером ОС-2024-0847 работает PostgreSQL 15.4 с двумя критическими уязвимостями из БДУ ФСТЭК.

Главное отличие — в подходе к актуальности. Бухгалтерская инвентаризация фиксирует состояние на конкретную дату. ИТ-инвентаризация должна отражать текущее состояние инфраструктуры в любой момент времени. Это возможно только при автоматизации процесса сбора данных.

Оптимальная схема — вести единый реестр, в котором каждое устройство имеет и бухгалтерские атрибуты (инвентарный номер, стоимость, МОЛ), и технические (IP, hostname, ПО, уязвимости). Такой реестр используется и для годовой бухгалтерской сверки, и для ежедневного управления ИБ-рисками.

Автоматизация инвентаризации оборудования

Ручной обход — дорогой и ненадёжный процесс. Рассмотрим методы автоматизации и их применимость.

Методы автоматического сбора данных

Сравнение подходов: ручной обход vs Excel vs агент

Как работает агент КиберОснова

Агент КиберОснова устанавливается на рабочие станции и серверы и автоматически собирает данные об оборудовании:

1. Автоматическое обнаружение — агент определяет все компоненты: процессор, память, диски, сетевые адаптеры, периферию
2. Нормализация данных — производитель и модель приводятся к единому формату, устраняются дубли и неточности
3. Сверка с БДУ ФСТЭК — оборудование с известными уязвимостями помечается автоматически
4. Обновление в реальном времени — изменения фиксируются при каждом запуске агента (по расписанию или событию)
5. Привязка к ИБ-процессам — каждое устройство связывается с мерами защиты, ответственными и результатами аудита

Для сетевого оборудования, на которое нельзя установить агент, платформа использует SNMP-опрос по настроенным IP-диапазонам.

Пример: инвентаризация за 2 часа вместо 5 дней

Организация с 300 рабочими местами и 40 единицами сетевого оборудования. До внедрения агента инвентаризация проводилась раз в год: комиссия из 4 человек обходила 3 здания в течение 5 рабочих дней. Результаты вносились в Excel-таблицу. К моменту завершения обхода данные по первому зданию уже устаревали.

После установки агента КиберОснова:

• Первый полный сбор данных — 2 часа (агенты развёрнуты через групповые политики AD)
• Обнаружено неучтённых устройств — 47 единиц (личные роутеры, тестовые серверы, забытые точки доступа)
• Время на ежедневное обновление реестра — 0 минут (автоматически)
• Трудозатраты комиссии — сведены к проверке протокола расхождений (2–3 часа в квартал)

Подробнее о возможностях модуля — на странице инвентаризации оборудования. Обзор программ для автоматизации — в статье «Программы для инвентаризации компьютеров».

Типичные ошибки при инвентаризации оборудования

Даже организации с выстроенными ИТ-процессами допускают системные ошибки, которые обесценивают результаты инвентаризации и создают ложное чувство контроля над инфраструктурой. Ниже — шесть самых распространённых проблем и их последствия.

1. Неполный охват

Комиссия обходит офисные помещения, но забывает про:

• Серверные и кроссовые — «там же всё известно, мы сами ставили». На практике в серверной обнаруживается оборудование предыдущего подрядчика, тестовые серверы трёхлетней давности, неуправляемые коммутаторы
• Удалённые офисы и филиалы — оборудование филиала учитывается по остаточному принципу
• Склад и резерв — списанное, но не утилизированное оборудование, в том числе с данными на дисках
• Домашние рабочие места — ноутбуки удалённых сотрудников выпадают из обхода

2. Устаревшие данные

Инвентаризация проводится раз в год. За 12 месяцев:

• 10–15% оборудования заменяется или перемещается
• Появляются новые устройства, не попавшие в реестр
• Изменяются IP-адреса, конфигурации, сегменты сети
• Обновляется прошивка, меняются версии ПО

Результат: к следующей инвентаризации реестр расходится с реальностью на 30–40%.

3. Расхождение бухучёта и ИТ-реестра

Бухгалтерия числит монитор LG 27UK850 за Ивановым (каб. 305). Фактически монитор давно переставлен Петрову (каб. 412), а Иванов уволился. ИТ-реестр показывает третий вариант. Три источника — три версии реальности.

4. Отсутствие привязки к ответственным

Оборудование есть в реестре, но поле «ответственный» пустое или содержит фамилию уволенного сотрудника. При инциденте невозможно определить, кто работал с устройством.

5. Игнорирование сетевого оборудования

Коммутаторы, точки доступа и маршрутизаторы не попадают в бухгалтерский акт (стоимость ниже лимита) и не охватываются ИТ-инвентаризацией (нет агента). Результат — «слепые зоны» в сетевой инфраструктуре. Атакующий, получивший доступ к неуправляемому коммутатору, может перехватывать трафик всего сегмента сети.

6. Отсутствие связи с процессами ИБ

Реестр оборудования существует сам по себе, отдельно от управления уязвимостями, учёта СЗИ и документов ИБ. При обнаружении уязвимости в конкретной модели оборудования невозможно быстро определить, сколько таких устройств в сети и где они расположены. При проверке ФСТЭК невозможно показать, какие меры защиты применяются к конкретному серверу.

Все перечисленные ошибки устраняются одним решением: переход от ежегодного ручного обхода к непрерывной автоматизированной инвентаризации. Платформа КиберОснова закрывает полный цикл: от автоматического обнаружения устройств до формирования отчётов для бухгалтерии и службы ИБ.

Помимо самого оборудования, организации ведут учёт средств защиты информации — антивирусов, межсетевых экранов и других СЗИ, установленных на этом оборудовании. Для непрерывного контроля состояния рабочих станций используйте мониторинг рабочих станций.

Чек-лист: как провести инвентаризацию оборудования

Пять шагов для запуска процесса инвентаризации в организации:

1. Издать приказ — определить состав комиссии, сроки проведения и перечень зон осмотра. Обязательно включить в комиссию представителя ИТ-подразделения и службы ИБ, а не только бухгалтерию
2. Определить объекты — составить полный перечень категорий оборудования: серверы, АРМ, сетевое оборудование, СЗИ, периферия, IoT. Не ограничиваться бухгалтерскими основными средствами
3. Выбрать метод сбора — для организаций до 50 устройств допустим ручной обход. От 100 устройств — автоматизация обязательна. Сравнение программ поможет выбрать инструмент
4. Провести сверку — сопоставить фактические данные с бухучётом и ИТ-реестром. Зафиксировать все расхождения в протоколе. Особое внимание уделить неучтённым устройствам — каждое из них должно быть либо поставлено на учёт, либо отключено от сети
5. Настроить непрерывный учёт — внедрить агентное решение для ежедневного обновления реестра. Назначить ответственного за поддержание данных в актуальном состоянии. Настроить оповещения о появлении новых устройств в сети и об изменениях конфигурации существующих

Инвентаризация оборудования — не разовое мероприятие, а фундамент для всех процессов ИТ и информационной безопасности. Без актуального реестра невозможно управлять уязвимостями, проходить проверки ФСТЭК и принимать обоснованные решения о закупках и модернизации. Организации, которые переходят от ежегодного ручного обхода к непрерывному автоматизированному учёту, сокращают трудозатраты на инвентаризацию в 10 раз и всегда готовы к проверкам регулятора.

Запросите демо КиберОснова — посмотрите, как агент автоматически собирает данные об оборудовании и формирует реестр за часы вместо дней.