Die Asset-Struktur legt fest, wie Ihr Inventar gegliedert ist: in Oberkategorien, Kategorien und Status. Davon hängt ab, welche Prüfungen für ein Asset gelten. Dieser Artikel richtet sich an ISMS-Verantwortliche, die die Struktur einrichten oder anpassen.

Bevor Sie beginnen

  • Sie brauchen eine Fachrolle mit dem Recht, die Asset-Struktur zu pflegen, standardmässig die ISMS-Verantwortlichen.
  • Neue Organisationen starten mit einer vorbereiteten Struktur: den Oberkategorien Informatikmittel, Bauten, Lieferanten sowie Informationen & Prozesse, Kategorien wie Information, Prozess, Anwendung, Cloud-Dienst, Server, Endgerät, Netzwerk, Dienstleister und Gebäude, und den Status Entwurf, In Betrieb, In Wartung und Ausser Betrieb. Dazu kommt die Oberkategorie „Organisation“ mit der festen Kategorie „Organisation“ für das Asset Ihrer Organisation; für sie ist das Sicherheitsverfahren vorbelegt.
  • Sie finden alles unter ISMS-Einstellungen › Assets › Asset-Struktur.

Oberkategorien

Eine Oberkategorie bündelt Kategorien und bestimmt, welche Regeln für ihre Assets gelten. Eine weitere legen Sie mit Neue Oberkategorie an. Im Dialog einer Oberkategorie legen Sie fest:

  • Assets dieser Oberkategorie haben ein Status-Feld: Ohne Häkchen verschwindet der Status im Asset-Formular, etwa für Gebäude, Lieferanten oder Informationen. Solche Assets lassen sich dann auch nicht auf „Ausser Betrieb“ setzen.
  • Sicherheitsverfahren erforderlich: Assets dieser Oberkategorie müssen das Sicherheitsverfahren umsetzen.
  • Enthält Informationen und Prozesse: Für diese Assets wird der Schutzbedarf mit der Schutzbedarfsanalyse festgestellt und an verknüpfte Anwendungen, Systeme, Räume und Dienstleister weitergegeben.
  • Art: Informatikmittel, Bauten oder Lieferanten. Damit schlägt Varmo beim Festlegen der Anforderungen passende Kapitel der Kataloge vor.

Ob ein Asset als Information gilt, entscheidet allein die Einstellung Enthält Informationen und Prozesse, nicht der Name. Sie können Oberkategorien also gefahrlos umbenennen. Fehlt eine solche Oberkategorie, zeigt die Seite eine Warnung, denn ohne sie wird kein Schutzbedarf vererbt.

Kategorien

Jede Kategorie gehört zu genau einer Oberkategorie. Die Kategorie ist bei jedem Asset Pflicht.

So legen Sie eine Kategorie an

  1. Klicken Sie auf Neue Kategorie.
  2. Erfassen Sie den Namen und wählen Sie die Oberkategorie.
  3. Verlangt die Oberkategorie das Sicherheitsverfahren, klicken Sie auf Weiter. Im zweiten Schritt wählen Sie die Anforderungen des Sicherheitsverfahrens, die für Assets dieser Kategorie gelten: einen ganzen Katalog, ein Kapitel oder einzelne Anforderungen.
  4. Speichern Sie mit Anlegen bzw. Mit … Anforderungen anlegen. Ist die Auswahl noch unklar, wählen Sie Später festlegen. Dann erhalten die ISMS-Verantwortlichen eine Pendenz, und Assets dieser Kategorie warten bis dahin mit dem Sicherheitsverfahren.

Die Anforderungen bestehender Kategorien ändern Sie mit Anforderungen festlegen bei der Kategorie. Varmo schlägt dort Kapitel nach der Stellung der Kategorie in der Abhängigkeitskette und nach der Art der Oberkategorie vor. Vorschlag übernehmen ergänzt nur die Auswahl, gespeichert wird erst mit Speichern. Eine geänderte Auswahl gilt sofort für die Eigentümer der Assets dieser Kategorie.

Wo eine Kategorie in der Abhängigkeitskette steht (von den Informationen bis zu Räumen, Gebäuden und Dienstleistern), legen Sie unter ISMS-Einstellungen › Assets › Abhängigkeitskette fest. Die Stellung bestimmt, wohin der Schutzbedarf vererbt wird. Vor dem Speichern zeigt Varmo, wie viele Assets betroffen sind.

Status

Status gelten für Assets, deren Oberkategorie ein Status-Feld hat. Mit Neuer Status legen Sie weitere an. Setzen Sie bei einem Status das Häkchen Erst nach abgeschlossenem Sicherheitsverfahren wählbar, kann ein Asset ihn erst nach freigegebenem Sicherheitsverfahren erhalten. Vorbelegt ist das bei „In Betrieb“. Assets, die den Status schon haben, behalten ihn.

Was danach passiert

  • Änderungen wirken sofort im Asset-Formular und in den Pendenzen.
  • Fehlen für eine Kategorie die Anforderungen, erscheint die Pendenz Anforderungen des Sicherheitsverfahrens festlegen und ein offener Punkt auf der Seite ISMS-Einstellungen.
  • Hat eine Kategorie Vorschläge, die Sie noch nicht ausgewählt haben, erhalten Sie einmalig die Pendenz Vorschläge für die Anforderungen prüfen.

Häufige Fragen

Warum kann ich eine Kategorie nicht löschen?

Kategorien, die Assets verwenden, lassen sich nicht löschen. Ordnen Sie die Assets zuerst einer anderen Kategorie zu. Die Kategorie „Organisation“ ist fest.

Was gilt für Assets ohne Kategorie?

Für ältere Assets ohne Kategorie gilt bis zur Zuordnung das Sicherheitsverfahren. Das Inventar listet sie oben auf.

Wie arbeiten Asset-Struktur und Sicherheitsverfahren zusammen?

Die Oberkategorie bestimmt, ob das Sicherheitsverfahren gilt, die Kategorie, welche Anforderungen. Mehr dazu unter Sicherheitsverfahren für Assets durchführen.