Schritt 2 · Inventar
Asset-Inventar Was Sie schützen und wovon es abhängt.
Das Inventar listet Dienste, Informationen, Systeme, Räume und Dienstleister – mit Verantwortlichen und Abhängigkeiten. Ohne Inventar bleibt jede Risikoanalyse allgemein.
Worum es geht
ISO/IEC 27001 sieht in Anhang A 5.9 ein Inventar der Informationen und anderer zugehöriger Werte einschließlich der Eigentümer vor. Das BSI-Gesetz nennt in § 30 Abs. 2 Nr. 9 Konzepte für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. Entscheidend ist nicht die Länge der Liste, sondern dass Sie wissen, welcher Dienst an welchem System und welchem Dienstleister hängt.
- Dienst
- System
- Daten
- Dienstleister
Beispielwerte
So gehen Sie vor
- 01
Mit den Diensten beginnen, nicht mit der Hardware.
- 02
Zu jedem Dienst Systeme, Daten, Räume und Dienstleister erfassen.
- 03
Verantwortliche und Kritikalität festlegen.
- 04
Das Inventar bei jeder Änderung nachführen.
Typische Fehler
- Das Inventar ist eine Hardware-Liste aus der Buchhaltung.
- Cloud- und SaaS-Dienste fehlen.
- Niemand ist für die Einträge verantwortlich.
Was ein Prüfer sehen will
- Aktuelles Inventar mit Eigentümern
- Abhängigkeitsübersicht für kritische Dienste
- Nachweis der regelmäßigen Pflege
So hilft UniqSuite
UniqSuite zeigt die Abhängigkeiten zwischen Diensten, Systemen und Dienstleistern als Übersicht. Kritische Dienstleister bewerten Sie anschließend im Lieferanten-Check.
Bezüge
- ISO/IEC 27001, Anhang A 5.9 und 5.10
- ISO/IEC 27001, Anhang A 5.12: Klassifizierung von Informationen
- BSIG § 30 Abs. 2 Nr. 9
Häufige Fragen
Wie detailliert muss das Inventar sein?
So detailliert, dass Sie Risiken je Dienst bewerten können. Für den Anfang reichen die wichtigsten Dienste und alles, worauf sie angewiesen sind.
Gehören Cloud-Dienste hinein?
Ja. Ein SaaS-Dienst, in dem Ihre Daten liegen, ist ein Wert wie jeder Server – mit Dienstleister und Vertrag.
Müssen Informationen klassifiziert werden?
In aller Regel ja. Anhang A 5.12 sieht vor, Informationen nach Vertraulichkeit, Integrität, Verfügbarkeit und den Anforderungen interessierter Parteien zu klassifizieren. Ein Ausschluss braucht eine Begründung in der Erklärung zur Anwendbarkeit. Die Klasse gehört als Merkmal ins Inventar.
Was passiert mit Werten, wenn jemand das Unternehmen verlässt?
Sie werden zurückgegeben. Das sieht Anhang A 5.11 bei Beendigung oder Änderung von Beschäftigung, Vertrag oder Vereinbarung vor. Das Inventar zeigt, was zurückzufordern ist.
Brauchen wir dafür ein spezielles Werkzeug?
Nein, die Norm schreibt keines vor. Für den Anfang genügt eine gepflegte Tabelle, solange Eigentümer, Abhängigkeiten und Änderungen nachvollziehbar sind.
Sehen Sie, wie das in UniqSuite aussieht.
In einer halben Stunde zeigen wir Ihnen den Ablauf mit Ihren eigenen Fragen.