Ein Asset ist alles, was für Ihre Organisation Wert hat und geschützt werden muss: Informationen, Prozesse, Anwendungen, IT-Systeme, Räume, Gebäude und Dienstleister (ISO/IEC 27001, Anhang A 5.9). Dieser Artikel zeigt, wie Sie Assets im Inventar erfassen, einen Eigentümer festlegen und Abhängigkeiten zwischen Assets abbilden. Er richtet sich an ISMS-Verantwortliche und an alle, die Assets anlegen oder verantworten.

Bevor Sie beginnen

  • Zum Anlegen brauchen Sie eine Fachrolle mit dem Recht, Assets anzulegen. Dürfen Sie nur eigene Assets anlegen, werden Sie automatisch Eigentümer.
  • Die Asset-Struktur (Oberkategorien, Kategorien, Status) ist bei neuen Organisationen vorbereitet. Siehe Asset-Struktur anpassen.
  • Richten Sie die Prüfungen für Assets (Freigabeweg der Schutzbedarfsanalyse, Katalog des Sicherheitsverfahrens) möglichst vorher ein. Dann erhält jeder Eigentümer gleich die passende Pendenz.
  • Ihre Organisation selbst ist seit der Einrichtung als Asset erfasst. Name und Kategorie dieses Assets lassen sich nicht ändern, und es kann nicht gelöscht werden.

Empfohlene Reihenfolge

Gehen Sie von oben nach unten vor: zuerst die wichtigsten Informationen und Geschäftsprozesse (z. B. Kundendaten, Lohnbuchhaltung), danach die Anwendungen, IT-Systeme, Räume und Dienstleister, die sie nutzen. Der Schutzbedarf wird bei den Informationen festgestellt und an die Systeme weitergegeben, die sie verarbeiten. Ein System kann seine Schutzbedarfsanalyse erst einreichen, wenn die Analysen seiner Informationen genehmigt sind.

So gehen Sie vor

  1. Öffnen Sie Assets › Inventar und klicken Sie auf Neues Asset.
  2. Erfassen Sie Name und optional eine Beschreibung.
  3. Wählen Sie die Kategorie. Sie ist Pflicht und bestimmt, welche Regeln gelten, zum Beispiel ob ein Status geführt wird und ob das Sicherheitsverfahren nötig ist. Fehlt eine Voraussetzung für eine Prüfung, zeigt das Formular schon hier einen Hinweis.
  4. Wählen Sie den Eigentümer. Wissen Sie noch nicht, wer es wird, setzen Sie das Häkchen bei Eigentümer später festlegen. Sie sind dann vorläufig Eigentümer.
  5. Wählen Sie, falls die Kategorie ihn verlangt, den Status (vorbelegt sind z. B. Entwurf, In Betrieb, In Wartung, Ausser Betrieb).
  6. Legen Sie unter Verknüpfte Assets fest, womit das Asset zusammenhängt, etwa welche Informationen eine Anwendung verarbeitet oder auf welchem Server sie läuft.
  7. Optional: Referenz und ein Dokument (PDF) ergänzen.
  8. Speichern Sie mit Speichern und öffnen oder erfassen Sie mit Speichern und weiteres erfassen gleich das nächste Asset.
  1. Informationen: Kundendatenhoch

    Ergebnis der Schutzbedarfsanalyse

    verknüpft: gibt den Schutzbedarf weiter
  2. Prozesse und Dienste: Kundenservicehochverknüpft: gibt den Schutzbedarf weiter
  3. Anwendungen: CRMhochverknüpft: gibt den Schutzbedarf weiter
  4. IT-Systeme und Netze: Serverhochverknüpft: gibt den Schutzbedarf weiter
  5. Räume, Gebäude und Dienstleister: Serverraumhoch
Abhängigkeitskette: Die Kritikalität wird nach unten vererbt

Beispiel über die fünf Stufen der Abhängigkeitskette: Information Kundendaten mit hohem Schutzbedarf, Prozess Kundenservice, Anwendung CRM, IT-System Server, Raum Serverraum. Über die Verknüpfungen erhalten die Assets der tieferen Stufen den höchsten Schutzbedarf der Informationen als Kritikalität (Maximumprinzip). Nach oben und auf derselben Stufe gibt Varmo nichts weiter.

Die Verknüpfungen eines Assets sehen Sie später im Reiter Verknüpfungen auf der Asset-Seite.

Viele Assets auf einmal importieren (ab Paket Starter)

Ab dem Paket Starter übernehmen Sie eine Liste aus Excel oder einer CSV-Datei.

  1. Im Schritt Erste Assets erfassen von ISMS einrichten laden Sie mit Vorlage herunterladen eine passende Vorlage (Kennung, Name, Kategorie, Eigentümer per E-Mail) und starten mit Aus Excel/CSV importieren. Später geht das auch über ISMS-Einstellungen › Schnittstellen mit Schnittstelle hinzufügen und Daten importieren.
  2. Ordnen Sie die Spalten zu. Vor dem Import zeigt eine Vorschau, was neu angelegt wird.
  3. Importierte Assets sind zuerst Vorschläge. Eine Person prüft jedes Asset und klickt auf seiner Seite auf Asset abnehmen. Erst danach kann es in Betrieb gehen. Das Inventar zeigt oben, welche Assets noch warten.

Einen Import können Sie rückgängig machen, solange die Assets nicht verändert wurden. Details stehen in der Anleitung zum CSV-Import. Importieren darf, wer die entsprechende Fachrolle hat, standardmässig die ISMS-Verantwortlichen.

Was danach passiert

  • Tragen Sie eine andere Person als Eigentümer ein, erhält sie die Pendenz Verantwortung als Asset-Eigentümer übernehmen. Lehnt sie mit Begründung ab, ist das Asset ohne Eigentümer, und wer alle Assets bearbeiten darf und für Assets ohne Eigentümer zuständig ist (standardmässig die ISMS-Verantwortlichen), erhält die Pendenz Eigentümer festlegen.
  • Nach der Übernahme folgen die Prüfungen, die für die Kategorie gelten: bei Informationen und Prozessen die Schutzbedarfsanalyse, bei Systemen, Gebäuden und Dienstleistern das Sicherheitsverfahren. Sind mit einem solchen Asset Informationen verknüpft, kommt vorher seine eigene Schutzbedarfsanalyse. Die Asset-Seite zeigt oben unter „Wie geht es weiter?“, was ansteht.
  • Haben Sie den Eigentümer später festgelegt, erhalten Sie die Pendenz Definitiven Eigentümer festlegen. Bis dahin kann das Asset nicht „In Betrieb“ gehen (bei Oberkategorien mit Status-Feld).
  • Verknüpfen Sie eine Information mit einem System, braucht das System eine neue Schutzbedarfsanalyse. Der Eigentümer erhält dazu eine Pendenz.

Häufige Fragen

Warum kann ich ein Asset nicht löschen?

Assets mit Analysen, Einreichungen, Nachweisen oder einer DSFA bleiben als Nachweis erhalten. Setzen Sie stattdessen den Status „Ausser Betrieb“. Das geht nur bei Oberkategorien mit Status-Feld, vorbelegt bei Informatikmitteln. Bauten, Lieferanten sowie Informationen & Prozesse haben standardmässig kein Status-Feld; wer die Asset-Struktur pflegt, kann es bei der Oberkategorie einschalten (siehe Asset-Struktur anpassen).

Wer darf den Eigentümer wechseln?

Personen, die alle Assets bearbeiten dürfen, zum Beispiel die ISMS-Verantwortlichen. Eigentümer mit Recht nur für eigene Assets können ihn nicht selbst ändern.

Warum lässt sich der Status „In Betrieb“ nicht wählen?

Der Status ist erst möglich, wenn ein definitiver Eigentümer feststeht und, falls verlangt, das Sicherheitsverfahren freigegeben ist. Hat die Oberkategorie kein Status-Feld, erscheint der Status im Formular gar nicht.

Ich sehe nur „Meine Assets“.

Ohne Recht, alle Assets zu sehen, zeigt Varmo nur die Assets, für die Sie Eigentümer sind.