Inwentaryzacja sprzętu i licencji jest tematem dla właściciela firmy, który ma spis sprzętu w arkuszu i wie, że ten arkusz jest nieaktualny.
Inwentaryzacja zestawia to, co faktycznie pracuje w sieci, z tym, co firma kupiła i za co płaci. Lansweeper zbiera ten spis bez instalowania agenta, poświadczeniami do Windows, SSH i SNMP. Darmowy poziom obejmuje 100 zasobów. Skanowanie trzydziestu stanowisk trwa krócej niż dzień roboczy, uporządkowanie wyników kilka dni.
Sto zasobów to granica, za którą narzędzie zaczyna kosztować, i to od razu sporo, bo najniższe płatne pasmo obejmuje dwa tysiące. Piszemy dla właściciela, którego spis sprzętu leży w arkuszu i jest nieaktualny. Niżej rozstrzygnięcie, czy stawiać narzędzie na stałe, czy zamówić jednorazowy spis, i co z wynikiem zrobić przy audycie licencyjnym oraz przy ISO/IEC 27001.
Bo obie listy powstają z innego zdarzenia, a nie dlatego, że któraś jest prowadzona niechlujnie.
Najkrócej: księgowość ma listę płac, sieć ma bramkę obrotową. Lista płac mówi, kogo firma zatrudniła i ile mu płaci, i jest prawdziwa. Bramka liczy, kto dziś rano faktycznie wszedł do budynku, i też jest prawdziwa. Zgadzać się nie mają prawa, bo jedna zapisuje decyzję, a druga obecność. Ktoś jest na urlopie, ktoś wszedł na kartę gościa, komuś skończyła się umowa, a kartę ma dalej.
W sprzęcie działa to tak samo. Księgowość zapisuje fakturę: datę, kwotę, nazwę z dokumentu, czasem numer seryjny przepisany ręcznie. Sieć zapisuje logowanie: nazwę hosta, adres, system, zainstalowane oprogramowanie, datę ostatniego kontaktu. Pierwsza lista opisuje pieniądze, druga opisuje ryzyko, i nikt ich nigdy nie uzgadniał.
Rozjazd zaczyna się od rzeczy zupełnie zwyczajnych. Laptop kupiony na dział sprzedaży wędruje po roku do magazynu i nikt tego nie odnotowuje. Monitor i stacja dokująca poniżej progu środka trwałego idą prosto w koszty, więc w ewidencji ich nie ma wcale. Drukarkę do sekretariatu kupuje biuro z własnego budżetu. Konto w usłudze chmurowej zakłada handlowiec kartą firmową, a księgowa widzi tylko pozycję na wyciągu.
źródło: Pexels, Tiger LilySieć nie kłamie.
Urządzenie, które pobiera adres z serwera DHCP i uwierzytelnia się w domenie, istnieje niezależnie od tego, czy ktoś je wpisał do arkusza. To jest cała różnica między spisem z pamięci a spisem z odczytu, i to jest jedyny powód, dla którego w ogóle wdraża się narzędzie inwentaryzacyjne. Nie po to, żeby mieć ładniejszą tabelkę.
Brak tej listy kosztuje w trzech miejscach naraz. Nie wiadomo, ile stacji czeka na łatkę, bo nie wiadomo, ile ich jest. Płacicie za subskrypcje osób, które odeszły, a rachunek rośnie co miesiąc po cichu. Przy pytaniu kontrahenta o legalność oprogramowania odpowiadacie z pamięci, czyli nie odpowiadacie wcale.
Pierwszy raport z narzędzia inwentaryzacyjnego jest zawsze dłuższy, niż firma się spodziewa. Cztery znaleziska powtarzają się u prawie każdego klienta.
Mogę Ci jakoś pomóc?
Trzeci i czwarty punkt zwykle występują razem, w tej samej firmie, w tym samym raporcie. To wygląda jak sprzeczność, a jest normą: kupujecie drugi raz to, co już macie, i jednocześnie nie macie tego, czego używacie codziennie. Obie pozycje biorą się z braku jednego miejsca, w którym widać stan faktyczny.
Skanowanie bez agenta to nocny stróż z pękiem kluczy. Obchodzi budynek według trasy, którą mu wyznaczyliście, otwiera te drzwi, do których dostał klucz, i zapisuje, co widział w środku. Wynika z tego wszystko, co w tym narzędziu zawodzi. Korytarza spoza trasy nie obejdzie. Drzwi, do których nie ma klucza, nie otworzy. I najgorsze: w obu przypadkach napisze w raporcie to samo co przy pokoju faktycznie pustym, więc raport wygląda na kompletny dokładnie wtedy, gdy nie jest.
To jest najczęstsza przyczyna fałszywego poczucia porządku po wdrożeniu i powód, dla którego pierwszy spis zawsze przechodzimy ręcznie zamiast wysłać plik mailem.
Siedem rzeczy, które trzeba obsłużyć ręcznie.
Ostatni punkt jest tym, którego w Lansweeperze nie lubimy najbardziej. Nazwy produktów zgłaszane przez różne wersje instalatorów rozjeżdżają się na tyle, że ten sam program potrafi wystąpić w raporcie jako trzy różne pozycje, a scalanie ich zostaje po stronie człowieka. Przy pierwszym porządkowaniu to kosztuje kilka godzin i nie ma na to obejścia poza cierpliwością.
Druga rzecz, która potrafi zaskoczyć, dotyczy samej instalacji. Serwer skanujący w wersji Classic działa na Windowsie i potrzebuje bazy SQL Server, więc „lekkie narzędzie” zajmuje maszynę, którą ktoś musi aktualizować i kopiować. Wariant chmurowy zdejmuje ten obowiązek i dokłada zależność od łącza oraz od cennika producenta.
Najpierw jednostka, bo mylenie jej z liczbą pracowników wywraca każdy rachunek w tej sekcji. Zasobem jest każde urządzenie, które odzywa się w sieci: komputer, serwer, przełącznik, drukarka, kamera, zasilacz awaryjny z kartą sieciową. Jedno stanowisko pracy generuje więc zwykle od półtora do dwóch zasobów, a nie jeden, bo obok komputera stoi telefon, w korytarzu wisi punkt dostępowy, a w sekretariacie pracuje drukarka, którą liczy się raz na całą firmę. Biuro na 20 osób to w praktyce od 35 do 50 zasobów. Wszędzie, gdzie w tym tekście pada liczba zasobów, chodzi o tę jednostkę, a nie o biurka.
Próg, przy którym stawiamy narzędzie do inwentaryzacji sprzętu i licencji na stałe, leży w okolicach 25 zasobów i jednego serwera, czyli mniej więcej przy firmie kilkunastoosobowej. Bierze się on z porównania dwóch prac, a nie z wyczucia.
Poniżej tej granicy ręczne spisanie wszystkiego zajmuje pół dnia i mieści się w jednym arkuszu, a postawienie narzędzia oznacza kolejną maszynę z bazą danych, którą ktoś musi aktualizować i kopiować, czyli stały koszt przewyższający korzyść. Przy 50 stanowiskach, czyli około stu zasobach, ten sam ręczny spis to już około dwóch dni pracy i za każdym razem zaczyna się go od zera, bo arkusz nie odświeża się sam. Druga powtórka takiego spisu kosztuje więcej niż roczne utrzymanie narzędzia i to jest cały mechanizm tego progu.
Trzy sytuacje, w których mówimy „nie warto”.
Wszystkie trzy powyższe przypadki mają wspólną cechę: nie chodzi w nich o wielkość firmy, tylko o to, że skanowanie sieci nie ma czego skanować albo dubluje coś, co już istnieje. Sam rozmiar firmy rozstrzyga wyłącznie tam, gdzie sieć jest jedna i kompletna.
Mogę Ci jakoś pomóc?
Kolejność jest zawsze ta sama, niezależnie od tego, czy firma ma dwadzieścia stanowisk, czy sto dwadzieścia. Ramy czasowe podajemy dla firmy na 30 do 50 stanowisk z jedną lokalizacją i jednym serwerem.
Cały cykl zamyka się zwykle w dwóch tygodniach kalendarzowych, z czego naszej pracy jest około pięciu do sześciu dni. Rozjazd między jednym a drugim bierze się z czekania na dokumenty zakupu, i to jest etap, który wydłuża się najbardziej przewidywalnie.
Inwentaryzacja sprzętu i licencji zrobiona raz traci aktualność od pierwszego dnia. Nowy laptop, odejście pracownika, zmiana wersji programu: każde takie zdarzenie odsuwa raport od rzeczywistości, a po kwartale nikt już mu nie ufa i wraca do pytania „a ile my właściwie mamy komputerów”.
Utrzymanie sprowadza się do czterech rzeczy, które robimy w ramach stałej opieki.
Ta lista ma jeszcze jedno zastosowanie, mniej oczywiste. Spis zasobów jest punktem wyjścia dla monitoringu: dopóki nie wiadomo, co stoi w firmie, nie wiadomo, czego pilnować, i dokładnie o tym jest nasz tekst o monitoringu infrastruktury . Kolejność jest jednokierunkowa: najpierw spis, potem czujniki.
Pytanie z audytu licencyjnego brzmi inaczej, niż firma się spodziewa. Nikogo nie interesuje, ile kopii macie zainstalowanych. Interesuje, na ile z nich potraficie pokazać dowód zakupu i czy warunki tego zakupu obejmują sposób, w jaki program jest używany.
Raport ze skanowania obsługuje jedną stronę tego równania i robi to dobrze. Drugą stronę składa człowiek: faktury, klucze, umowy ramowe, potwierdzenia subskrypcji, korespondencja z resellerem. Zestawienie obu kolumn jest całą robotą, a jego wynik ma trzy możliwe wartości przy każdej pozycji: zgodne, brakujące, kupione bez potrzeby.
Najczęstsze braki nie dotyczą pakietu biurowego, tylko licencji dostępowych do serwera i wersji oprogramowania używanej niezgodnie z jej przeznaczeniem, na przykład wersji dla instytucji edukacyjnych albo domowej na firmowym sprzęcie. Sposób liczenia licencji serwerowych bywa dodatkowo związany z rdzeniami procesora i z liczbą użytkowników jednocześnie, więc sam spis maszyn nie wystarcza.
Ocena prawna umowy licencyjnej nie należy do nas i mówimy to każdemu klientowi przed rozpoczęciem pracy. My pokazujemy stan faktyczny i różnicę wobec dokumentów. Kwalifikacja tej różnicy oraz rozmowa z producentem to zadanie dla prawnika, a audyt licencji oprogramowania kończy się właśnie w tym punkcie, z dokumentem, który da się takiej osobie przekazać.
Norma ISO/IEC 27001 w wydaniu z 2022 roku ma wśród zabezpieczeń organizacyjnych punkt 5.9, „Inwentaryzacja informacji i innych powiązanych aktywów". W poprzednim wydaniu normy był on rozbity na dwa osobne punkty: spis aktywów i wskazanie ich właścicieli. To połączenie mówi o tym punkcie wszystko, bo audytor pyta dziś o trzy rzeczy naraz: czy spis istnieje, czy ma właściciela przy każdej pozycji i czy jest utrzymywany. Wydruk sprzed roku spełnia pierwszy warunek i przewraca się na trzecim.
Eksport z narzędzia inwentaryzacyjnego zamyka część techniczną i zwykle robi dobre wrażenie, bo pokazuje datę ostatniego skanowania przy każdej pozycji. Reszta jest do dopisania ręcznie. Klasyfikacja informacji, zasady dopuszczalnego użycia sprzętu, procedura zwrotu przy odejściu pracownika, zarządzanie podatnościami technicznymi i przestrzeganie praw własności intelektualnej to osobne zabezpieczenia, które opierają się na spisie, ale nim nie są.
Mogę Ci jakoś pomóc?
Spis zasobów jest też pierwszym dokumentem, o który pytamy przy analizie ryzyka. Bez niego ryzyka opisuje się dla wyobrażonego środowiska.
Ten sam wymóg wraca w dyrektywie NIS 2, przez obowiązek zarządzania ryzykiem w łańcuchu dostaw i utrzymania bezpieczeństwa systemów. Wraca też w artykule 32 RODO , gdzie środki techniczne mają odpowiadać ryzyku — a bez znajomości zasobów nikt tego ryzyka nie oszacuje. Zakres badania zgodności opisaliśmy przy audycie zgodności z normą , a pozostałe rodzaje przeglądów zebrane są w kategorii audytów .
Wybór rozstrzygają dwie rzeczy: czy spis ma powstawać z odczytu z sieci, czy z ewidencji prowadzonej przez człowieka, i kto będzie utrzymywał samo narzędzie.
Narzędzie | Kiedy je bierzemy | Co daje | Czym za to płacicie |
|---|---|---|---|
Lansweeper | domena Active Directory, przewaga Windowsa, od 25 do kilkuset zasobów | rozpoznanie sprzętu i oprogramowania bez agenta, pierwszy sensowny raport tego samego dnia | Windowsem i bazą SQL Server pod spodem |
GLPI z agentem | przewaga Linuksa i zerowy budżet na licencje, gdy jest kto ma zajmować się aplikacją | spis oraz zgłoszenia serwisowe w jednym systemie | czasem na utrzymanie, którego w firmie bez informatyka po prostu nie ma |
Snipe-IT | gdy problemem jest ewidencja wydań sprzętu, a nie widoczność w sieci | odpowiedź na pytanie, kto ma który sprzęt i od kiedy | brakiem skanowania sieci, którego tam nie ma i nie ma go udawać |
Arkusz | poniżej 25 zasobów | uczciwy spis, o ile ktoś aktualizuje go przy każdym zakupie i przy każdym odejściu z firmy | pewnością opartą na niczym, gdy prowadzi się go „przy okazji” |
Werdykt dla firmy na 30 do 60 stanowisk z domeną Active Directory: Lansweeper, na darmowym poziomie, i najprawdopodobniej na nim zostaniecie. Taka firma ma zwykle od 50 do 120 zasobów, więc albo mieści się w setce i nie płaci nic, albo przekracza ją o kilkanaście pozycji i wtedy pierwszym ruchem jest posprzątanie duplikatów, a nie zakup pasma na dwa tysiące urządzeń. Decyzję o czymkolwiek płatnym podejmuje się po pierwszym pełnym skanie, kiedy znacie już swoją prawdziwą liczbę, a nie przed nim.
Model licencyjny opiera się na liczbie zasobów i rozliczeniu rocznym. Darmowy poziom obejmuje 100 zasobów, czyli mniej więcej firmę na 50 stanowisk, i dla takiej firmy bywa wystarczający na stałe, o ile nie liczycie na wsparcie producenta.
Powyżej tej granicy zaczyna się rzecz, którą trzeba zobaczyć przed decyzją, bo przewraca cały rachunek. Najniższy płatny poziom obejmuje 2 000 zasobów, a kolejny rozbudowuje się od 2 000 do 9 000 w krokach po tysiąc. Między setką a dwoma tysiącami nie ma nic. Firma, która przekroczy sto zasobów o pięć, nie dopłaca za pięć, tylko wchodzi w pasmo dwudziestokrotnie większe od swojej potrzeby.
Wniosek dla odbiorcy tego tekstu jest binarny i wart wypowiedzenia wprost. Firma na 5 do 50 stanowisk albo mieści się w darmowym poziomie, albo płaci tak, jakby miała dwadzieścia razy więcej sprzętu. Dlatego pilnowanie liczby zasobów, w tym kasowanie duplikatów i pozycji po sprzęcie wycofanym, jest u tego producenta czynnością kosztową, a nie porządkową.
Cztery rzeczy, które podnoszą rachunek poza samą licencją.
Duplikaty zasobów liczą się jak osobne urządzenia, więc niesprzątnięty spis potrafi wypchnąć firmę do wyższego pasma bez jednego nowego komputera. Maszyna pod serwer skanujący razem z licencją Windows Server i bazą danych to koszt po Waszej stronie, nawet gdy samo narzędzie jest darmowe. Cennik producenta jest w walucie obcej, więc odnowienie za rok potrafi wyglądać inaczej niż pierwszy zakup. Wsparcie techniczne producenta zaczyna się dopiero na poziomach płatnych, a odpowiedź na pytanie o dziwne zachowanie skanera inaczej kosztuje wtedy dzień pracy inżyniera.
Nasza strona rachunku jest prostsza. Jednorazowy audyt licencji dla firmy do 50 stanowisk zaczyna się od 1 900 zł netto, szerszy przegląd całej infrastruktury od 2 900 zł netto, a badanie zgodności z ISO/IEC 27001 od 7 900 zł netto. Kwoty netto, stan na 14 sierpnia 2026. Dzień pracy inżyniera wyceniamy na 2 000 zł netto i z tej stawki liczymy każdą pracę spoza cennika.
Błąd | Czym się kończy |
|---|---|
Skanowanie kontem administratora domeny | poświadczenia leżą w konsoli narzędzia, a konsola staje się najkrótszą drogą do przejęcia całej domeny. Konsekwencja jest binarna: jedno włamanie na tę maszynę kończy się utratą wszystkiego |
Zakresy adresów wpisane raz, przy wdrożeniu | nowy VLAN, nowa lokalizacja albo zmiana adresacji wypadają ze spisu bez żadnego komunikatu. Stacje z tego zakresu nie dostają łatek i nikt tego nie zauważa, bo raport nie zgłasza nieobecności czegoś, o czym nie wie |
Konsola wystawiona do internetu | panel z mapą całej infrastruktury, wersjami systemów i datami ostatnich aktualizacji to gotowa lista celów. Publikacja takiej konsoli bez ograniczenia dostępu jest błędem tej samej klasy co wystawiony pulpit zdalny |
Spis bez przypisanego właściciela | po odejściu pracownika nikt nie wie, kto miał ten laptop ani gdzie on jest, a sprzęt znika z firmy bez śladu w żadnym dokumencie. Pole właściciela wypełnia się raz, przy porządkowaniu, i utrzymuje przy każdej zmianie |
Uznanie raportu instalacji za dowód legalności | przy pytaniu producenta albo kontrahenta liczy się faktura, klucz i warunki umowy, a nie zestawienie tego, co jest zainstalowane. Firma z pełnym raportem i bez faktur jest dokładnie w tym samym miejscu co firma bez raportu |
Licencji nie sprzedajemy, więc rekomendacja zakupu nie jest u nas ofertą handlową. Kupujecie tam, gdzie chcecie, i to jest jedyny układ, w którym taka lista ma wartość.
Ile trwa inwentaryzacja sprzętu i licencji w firmie na 40 stanowisk? Samo skanowanie jest kwestią godzin, całość zamyka się zwykle w dwóch tygodniach kalendarzowych. Najdłużej trwa zebranie faktur i potwierdzeń zakupu, bo leżą u księgowej, u poprzedniego dostawcy IT i w skrzynce pocztowej prezesa. Firmy, które przygotują dokumenty wcześniej, skracają to o kilka dni.
Czy skanowanie sieci spowolni pracę albo coś zepsuje? Stacje robocze, serwery i sprzęt biurowy odpytujemy w godzinach nocnych i nie zauważa tego nikt. Ostrożnie podchodzimy do sterowników i paneli przy maszynach produkcyjnych, bo starsze urządzenia potrafią zareagować na odpytanie nieprzewidywalnie. Takie adresy wyłączamy ze skanowania aktywnego i spisujemy je z dokumentacji.
Czy Lansweeper jest darmowy? Darmowy poziom obejmuje 100 zasobów, czyli mniej więcej firmę na 50 stanowisk, i dla mniejszej firmy bywa wystarczający na stałe. Płatne poziomy sprzedawane są w pasmach liczby zasobów z rozliczeniem rocznym, a najniższe z nich obejmuje 2 000 zasobów, czyli dwudziestokrotnie więcej, niż taka firma potrzebuje. Przekroczenie setki oznacza więc skok, a nie dopłatę. Do rachunku doliczcie maszynę, na której narzędzie stoi.
Czy musimy instalować coś na komputerach pracowników? W typowym biurze nie. Dane zbiera się poświadczeniami po sieci, bez agenta na stacjach. Agenta instalujemy tylko na sprzęcie, który rzadko bywa w firmowej sieci, na przykład na laptopach handlowców, bo inaczej ich pozycje w spisie starzeją się i wyglądają jak sprzęt wycofany.
Co musimy mieć u siebie, żeby to postawić? Wersja instalowana lokalnie potrzebuje maszyny z Windows i bazy SQL Server, zwykle wystarczy maszyna wirtualna na istniejącym serwerze. Do tego konta skanujące i dostęp do wszystkich podsieci, które mają być widoczne. Wariant chmurowy zdejmuje obowiązek utrzymania tej maszyny i dokłada zależność od łącza oraz od cennika producenta.
Czy taki spis wystarczy, gdy producent zapyta o legalność oprogramowania? Sam raport ze skanowania nie wystarczy, bo pokazuje instalacje, a nie uprawnienia. Dowodem są faktury, klucze i warunki umów zestawione z tym raportem, i dopiero taki komplet ma sens w rozmowie z producentem. Ocenę prawną umowy licencyjnej zostawiamy prawnikowi i mówimy to przed rozpoczęciem pracy.
Spis zawiera nazwiska i nazwy komputerów, co na to RODO? To dane osobowe pracowników i tak je traktujemy: dostęp do konsoli ma imienne konto, a nie wspólne hasło działu, a zakres danych ograniczamy do tego, co potrzebne do zarządzania sprzętem. Historii logowań nie zbieramy po to, żeby kontrolować czas pracy, i zapisujemy to w dokumentacji, żeby nie było wątpliwości.
Umówcie rozmowę o zakresie inwentaryzacji sprzętu i licencji. W ciągu dwóch tygodni od jej zakończenia dostajecie spis wszystkich zasobów zebrany z odczytu, listę systemów bez wsparcia producenta uszeregowaną według ryzyka, listę subskrypcji i kont do wyłączenia z kwotą przy każdej pozycji, listę braków licencyjnych oraz procedurę, dzięki której ten spis nie zestarzeje się po kwartale. Wyniki omawiamy na spotkaniu, bo plik sam niczego nie decyduje. Pracujemy z całej Polski zdalnie, a w Gorzowie Wielkopolskim i okolicy przyjeżdżamy na miejsce.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Podatność CVE-2026-20245 w konsolach Cisco Catalyst SD-WAN trafiła do katalogu CISA KEV, bo atakujący naprawdę z niej korzystają. Z tego tekstu dowiesz się, na czym polega błąd, jak wyglądał opisany przez Mandiant atak i jakie kroki firma musi wykonać przed wgraniem łatki.
Czytaj artykułCISA dopisała CVE-2026-20316 do katalogu aktywnie wykorzystywanych podatności. Chodzi o statyczne dane logowania wbudowane w interfejs webowy Cisco Secure Firewall Management Center. Tekst wyjaśnia mechanizm luki, powody pilności mimo średniej oceny CVSS i kolejność działań dla firmy.
Czytaj artykułPodatność CVE-2022-20775 w Cisco SD-WAN producent załatał jeszcze w 2022 roku, a mimo to w lutym 2026 trafiła na listę luk wykorzystywanych w atakach. Tekst wyjaśnia mechanizm, zagrożone wersje i działania wymagane przez CISA.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.