Asset Management: Primäre und unterstützende Assets richtig erfassen

In vielen Unternehmen beginnt das Asset Management mit einer Liste aus Laptops, Servern, Mobiltelefonen und Netzwerkgeräten. Wenn es sehr gründlich läuft, bekommen sogar Bildschirme und Mäuse eine Inventarnummer. Der Prozess, mit dem das Unternehmen sein Geld verdient, fehlt dagegen vollständig.

Das ist ungefähr so, als würde eine Fluggesellschaft ihre Flugzeuge, Funkgeräte und Gepäckwagen erfassen – aber nicht den Flugbetrieb. Die Gegenstände sind wichtig. Warum sie wichtig sind, erkennt man jedoch erst, wenn man weiß, welche Leistungen und Informationen von ihnen abhängen.

Ein gutes Asset Management ist deshalb keine bessere Anlagenbuchhaltung. Es verbindet Geschäftsprozesse und die darin fließenden Informationen mit den Menschen, Systemen, Standorten und Dienstleistern, die dafür benötigt werden.

Die kurze Antwort

Für ein praxistaugliches Asset Management hilft die Unterscheidung zwischen primären Assets und unterstützenden Assets:

• Primäre Assets sind vor allem zu schützende Informationsarten und Geschäftsprozesse (erbrachte Leistungen). Sie verkörpern den eigentlichen Wert beziehungsweise den Zweck, den das Unternehmen schützen möchte.
• Unterstützende Assets ermöglichen diese Prozesse und den Umgang mit den Informationen. Dazu gehören bspw. Menschen, Wissen, Anwendungen, Hardware, Netzwerke, Räume, Versorgungseinrichtungen und externe Dienstleister.

Die entscheidende Frage lautet deshalb nicht nur: „Welche Geräte und Programme besitzen oder benutzen wir?“ Sie lautet: „Welche Prozesse und Informationen müssen wir schützen – und wovon hängen sie ab?“

Was ist ein Asset im Sinne der ISO 27001?

Ein Asset ist etwas, das für die Organisation einen Wert hat oder für ihre Informationssicherheit relevant ist. Im Zusammenhang mit der ISO 27001 geht es deshalb um deutlich mehr als körperliche Gegenstände.

Die Maßnahme A.5.9 aus Anhang A verlangt ein Inventar von Informationen und anderen zugehörigen Assets einschließlich ihrer Verantwortlichen. Die Norm schreibt dabei weder eine bestimmte Tabellenstruktur noch zwingend die Begriffe „primäres Asset“ und „unterstützendes Asset“ vor. Diese Unterscheidung ist aber ein sehr hilfreiches Modell, um die Zusammenhänge verständlich abzubilden.

Ohne diese Zusammenhänge wird ein Asset-Inventar schnell zu einer langen Liste, aus der sich kaum ableiten lässt, was wirklich wichtig ist – und wofür. Mit ihnen wird erkennbar, warum ein bestimmter Cloud-Dienst kritisch ist, weshalb eine einzelne Kompetenz nicht nur nett, sondern unverzichtbar ist und wie lange ein Prozess ausfallen darf.

Primäre Assets: Was soll eigentlich geschützt werden?

Primäre Assets liegen nah am Zweck des Unternehmens. Bei ihnen beginnt die Überlegung, was für Kunden und die Organisation selbst (oder allgemein: interessierte Parteien aller Art) erhalten werden muss.

Geschäftsprozesse und Leistungen

Geschäftsprozesse gehören ausdrücklich in die Asset-Betrachtung. Dazu zählen insbesondere die Prozesse innerhalb des Anwendungsbereichs des ISMS, mit denen Produkte hergestellt, Dienstleistungen erbracht oder wesentliche Verpflichtungen erfüllt werden.

Typische Prozess-Assets könnten sein:

• Software entwickeln und bereitstellen;
• Kundenaufträge annehmen und bearbeiten;
• einen Onlinedienst betreiben;
• Entgeltabrechnungen erstellen;
• Premiumkunden rund um die Uhr unterstützen;
• sicherheitsrelevante Vorfälle bearbeiten.

Natürlich muss nicht jeder Handgriff zu einem eigenen Asset werden. Relevant sind diejenigen Prozesse und Leistungen, deren Vertraulichkeit, Integrität oder Verfügbarkeit für das Unternehmen oder seine interessierten Parteien bedeutsam ist.

Informationen/ Informationsarten

Die zweite wichtige Gruppe primärer Assets sind Informationen. Gemeint sind nicht unbedingt einzelne Dateien, sondern sinnvolle Informationsarten oder Bestände, zum Beispiel:

• Kundengeheimnisse (die das Unternehmen im Zuge der Akquise zwangsläufig zu einem gewissen Teil erfährt);
• Vertragsinformationen;
• Quellcode und Entwicklungsinformationen;
• Personal- und Bewerberdaten;
• Zugangsdaten und kryptografische Geheimnisse;
• Produktions-, Betriebs- und Konfigurationsdaten;
• Audit-Trails, die darstellen, wer welche Informationen im Laufe der Zeit wie geändert hat;
• Finanz- und Abrechnungsinformationen.

Diese Informationsarten lassen sich anschließend nach ihrem Schutzbedarf beurteilen. Wie man Informationen sinnvoll einteilt, behandeln wir ausführlicher im Artikel zur Informationsklassifizierung und Kennzeichnung.

Unterstützende Assets: Wovon hängt der Betrieb ab?

Unterstützende Assets ermöglichen die primären Assets oder tragen sie. Sie sind nicht weniger wichtig. Ihre Kritikalität ergibt sich aber häufig daraus, welche Prozesse und Informationen von ihnen abhängen.

Menschen, Rollen und Kompetenzen

Ein Prozess funktioniert nicht allein dadurch, dass irgendwo eine Software installiert ist. Er benötigt Menschen, die Entscheidungen treffen, Aufgaben ausführen und über das erforderliche Wissen verfügen.

Deshalb können Mitarbeitergruppen, Rollen, Vertretungen und besondere Kompetenzen relevante Assets sein. Vor allem seltenes Wissen verdient Aufmerksamkeit. Wenn ein kritischer Prozess nur funktioniert, solange eine einzige Person mit ihrem Herrschaftswissen anwesend ist, haben Sie eine ziemlich deutliche Abhängigkeit gefunden.

Anwendungen, Cloud-Dienste und Informationen tragende Systeme

Dazu gehören Fachanwendungen, SaaS, Datenbanken, Identitätsdienste, Kollaborationsplattformen, Entwicklungsumgebungen, Sicherheitslösungen u.v.m. Wichtig ist nicht nur, dass diese Systeme vorhanden sind, sondern welche primären Assets sie unterstützen.

Hardware, Netzwerke und Kommunikationsverbindungen

Server, Clients, Mobilgeräte, Firewalls, Netzwerkkomponenten, Telefonie und Internetverbindungen gehören ebenfalls in die Betrachtung. Wie detailliert einzelne Geräte erfasst werden, hängt davon ab, ob diese Detailtiefe für Verantwortung, Schutzmaßnahmen, Risikoanalyse und Lebenszyklussteuerung benötigt wird.

Räume und Versorgungseinrichtungen

Auch Gebäude, Serverräume, Archivbereiche, Zutrittspunkte, Stromversorgung, Klimatisierung, unterbrechungsfreie Stromversorgung und andere Betriebsmittel können unterstützende Assets sein. Ein Rechenzentrum nützt wenig, wenn die Kühlung nur in der optimistischen Annahme funktioniert, dass es niemals warm wird.

Lieferanten und externe Dienstleistungen

Hostinganbieter, externe Administratoren, Rechenzentren, Telekommunikationsanbieter und andere Lieferanten können für Prozesse unverzichtbar sein. Neben dem Asset Management entsteht hier die Verbindung zum Lieferantenmanagement sowie zu vertraglichen Anforderungen.

Ein Beispiel: Der Customer Service im Premiumtarif

Nehmen wir einen Customer Service, der Premiumkunden rund um die Uhr zur Verfügung stehen soll.

Die primären Assets sind:

• der Geschäftsprozess „Customer Service Premium“;
• die Dienstleistung, Kunden jederzeit unterstützen zu können;
• Kunden-, Vertrags-, Ticket- und Lösungsinformationen.

Unterstützende Assets sind beispielsweise:

• die Mitarbeiter der Rufbereitschaft und ihre Kompetenzen;
• Arbeitsanweisungen und eine Wissensdatenbank;
• Ticketsystem, Telefonie und Identitätsdienst;
• Laptops, Internet- und Mobilfunkverbindungen;
• Cloud- und Telekommunikationsanbieter;
• Arbeitsplätze, Stromversorgung und alternative Arbeitsorte.

Jetzt lässt sich nicht nur erkennen, was vorhanden ist. Es wird sichtbar, was miteinander verbunden ist. Daraus kann das Unternehmen Risiken ableiten und im Business Continuity Management prüfen, welche Ausfälle den Prozess unterbrechen könnten.

Ohne das Prozess-Asset sähe man vielleicht, dass ein Ticketsystem existiert. Man wüsste aber noch nicht, weshalb es kritisch ist und welche Ausfallzeit tragbar wäre.

So bauen Sie ein sinnvolles Asset-Inventar auf

1. Beginnen Sie mit Anwendungsbereich und Leistungen

Klären Sie zunächst, welche Produkte, Dienstleistungen und Organisationseinheiten vom ISMS erfasst werden (sollen). Die Anforderungen interessierter Parteien liefern Hinweise darauf, welche Prozesse (i.S.v. an den Markt gerichteten Tätigkeiten) und Informationen besonders geschützt werden müssen. Hier ergibt sich der Geltungs- bzw. Anwendungsbereich Ihres ISMS. Genau deshalb gehört diese Klärung zu den ersten Schritten eines ISO 27001-Projekts.

2. Erfassen Sie die relevanten Geschäftsprozesse

Listen Sie die Prozesse auf, mit denen die Leistungen im Anwendungsbereich erbracht werden. Eine gute Granularität ist erreicht, wenn Sie Verantwortlichkeit, Schutzbedarf, Risiken und Abhängigkeiten sinnvoll zuordnen können.

„Alle Tätigkeiten des Unternehmens“ ist meistens zu grob. Siebenundvierzig einzelne Klickfolgen sind meistens zu fein. Irgendwo dazwischen liegt die brauchbare Prozesslandschaft.

3. Ordnen Sie Informationsarten zu

Welche Informationen werden in den Prozessen verarbeitet (d.h. benötigt, erzeugt, verändert, übertragen oder gespeichert)? Fassen Sie sie so zusammen, dass eine gemeinsame Schutzbedarfsbewertung sinnvoll ist.

4. Ermitteln Sie die unterstützenden Assets

Fragen Sie für jeden Prozess und jede Informationsart:

„Welche Menschen, Kenntnisse, Systeme, Geräte, Verbindungen, Räume und externen Leistungen benötigen wir dafür?“

Damit entsteht eine Abhängigkeitsstruktur statt einer bloßen Sammlung. Genau diese Struktur liefert später die Grundlage für das Risikomanagement.

5. Bestimmen Sie Verantwortlichkeiten

Jedes relevante Asset braucht eine nachvollziehbare Verantwortlichkeit. Der Asset Owner muss nicht persönlich administrieren, patchen oder Kabel verlegen. Er sollte aber beurteilen können, welchen Wert und Schutzbedarf das Asset hat, welche Nutzung zulässig ist und welche Risiken akzeptabel sind.

6. Halten Sie das Inventar aktuell

Neue Prozesse, Anwendungen, Standorte und Lieferanten müssen aufgenommen, veränderte Beziehungen angepasst und außer Betrieb genommene Assets entfernt beziehungsweise als solche gekennzeichnet werden. Asset Management ist ein Prozess und kein besonders ambitionierter Dienstagnachmittag.

Was sollte im Asset Register stehen?

Ein praxistaugliches Asset Register kann unter anderem folgende Angaben enthalten:

• eindeutige Bezeichnung und verständliche Beschreibung;
• Asset-Kategorie und Kennzeichnung als primär oder unterstützend;
• fachlich verantwortlicher Asset Owner;
• zugehöriger Prozess, Informationswert oder unterstützendes Asset;
• relevante Abhängigkeiten und Schnittstellen;
• Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit;
• Standort oder technischer beziehungsweise organisatorischer Kontext;
• gegebenenfalls rechtliche oder vertragliche Anforderungen;
• Status im Lebenszyklus;
• bei kritischen Prozessen gegebenenfalls Ausfalltoleranz und Wiederanlaufanforderungen.

Nicht jedes Feld muss für jede Asset-Kategorie gleich sinnvoll sein. Eine Seriennummer ist für einen Laptop nützlich, für den Prozess „Customer Service Premium“ eher weniger. Für den Prozess sind dagegen Owner, Schutzbedarf, Abhängigkeiten und Ausfalltoleranz entscheidend.

Typische Fehler beim Asset Management

Es werden nur technische Assets erfasst

Dann besitzt das Unternehmen eine IT-Inventarliste, aber kein vollständiges Bild seiner Informationswerte. Prozesse, Informationen, Menschen, Wissen und externe Leistungen bleiben unsichtbar.

Prozesse werden nicht als Assets betrachtet

Dann fehlt die Verbindung zwischen technischen Komponenten und dem eigentlichen Geschäftszweck. Risiken werden nach Geräten sortiert, statt danach, welche Leistung für Kunden oder das Unternehmen gefährdet ist.

Primäre und unterstützende Assets werden nicht verbunden

Eine Liste kann vollständig aussehen und trotzdem wenig helfen. Wenn nicht erkennbar ist, welches System welchen Prozess unterstützt, lässt sich die Kritikalität nur schwer begründen.

Alle Assets werden gleich wichtig behandelt

Dann verschwindet der zentrale Identitätsdienst zwischen Büromonitor Nummer 84 und dem Ersatztelefon aus der hinteren Schublade. Ein gutes Inventar macht Unterschiede sichtbar.

Das Register bildet nur den Tag seiner Erstellung ab

Wenn neue Cloud-Dienste, Prozesse oder Lieferanten nicht zuverlässig aufgenommen werden, altert das Inventar ausgesprochen schnell. Änderungen im Unternehmen müssen deshalb einen Aktualisierungsimpuls auslösen.

Was will der Auditor sehen?

Ein Auditor erwartet nicht zwangsläufig eine riesige Configuration Management Database. Er möchte nachvollziehen können:

• welche Informationen und zugehörigen Assets für das ISMS relevant sind;
• nach welchen Kriterien Assets aufgenommen und kategorisiert werden;
• ob Geschäftsprozesse und Informationen angemessen berücksichtigt sind;
• wer für die Assets verantwortlich ist;
• wie primäre und unterstützende Assets zusammenhängen;
• wie Schutzbedarf, Risiken und Maßnahmen daraus abgeleitet werden;
• wie das Inventar bei Änderungen aktuell gehalten wird.

Eine überschaubare, verständliche und gelebte Struktur ist dabei überzeugender als eine ausgesprochen eindrucksvolle Tabelle, die seit ihrer Erstellung niemand mehr freiwillig geöffnet hat.

Interesse geweckt?

Wenn Sie Ihr Asset Management so aufbauen möchten, dass es nicht bei einer IT-Inventarliste stehen bleibt, sondern Prozesse, Informationen und Abhängigkeiten wirklich sichtbar macht, vereinbaren Sie doch einfach einen kostenlosen Gesprächstermin mit uns.