ISO 27001 Asset Management: Werte von der Beschaffung bis zur Aussonderung
Warum ISO 27001 Asset Management im Audit zuerst geprüft wird
Ein Zertifizierungsaudit beginnt selten bei der Firewall, sondern bei der Liste, auf der steht, was überhaupt geschützt werden soll. Dort zeigt sich, ob ein Managementsystem gelebt wird oder nur beschrieben ist. Wie groß der Abstand ausfällt, zeigt eine Auswertung zur IT-Modernisierung, nach der 61 Prozent der deutschen Unternehmen den Großteil ihrer Hauptgeschäftsanwendungen auf veralteten Plattformen betreiben und nur 30 Prozent die Abschaltung von Altsystemen unternehmensweit umsetzen.
Was die Norm unter einem Wert versteht
Als Wert gilt nach ISO 27001 jede Information und jede damit verbundene Ressource mit Nutzen für die Organisation, also Daten, Anwendungen, Server, Endgeräte, Speichermedien, Cloud-Dienste und die zugehörigen Verträge. Anhang A 5.9 fordert ein Verzeichnis der Werte, im englischen Normtext Information Assets, mit benannten Eigentümern. Das Asset Register ist damit kein Nebenprodukt der Dokumentation, sondern die Bezugsgröße, auf die sich jede weitere Maßnahme stützt.
Bei extern bezogenen Diensten teilt sich die Verantwortung. Welche Werte dann ins eigene Register gehören, ordnet die Seite zu ISO 27001 in Cloud und SaaS ein.
Wer das Asset Register verantwortet, wenn die Zertifizierung ansteht
Die Verantwortung verteilt sich auf zwei Rollen, die selten zusammenfallen. Die Informationssicherheitsbeauftragung trägt die fachliche Seite, also Schutzbedarf, Eigentümerzuordnung und Risikobezug. Die Qualitätsmanagementbeauftragung trägt die Lenkung, also Freigabe, Versionsstand, Prüfrhythmus und Archivierung. Fällt eine der beiden Seiten aus, veraltet das Register binnen weniger Monate. Wie sich das in die übrigen Anforderungen der ISO 27001 einfügt, entscheidet der Geltungsbereich.
Vier Angaben prüft ein Auditor am Register fast immer zuerst:
- Vollständigkeit gegenüber dem festgelegten Geltungsbereich
- benannte Personen als Eigentümer statt Abteilungskürzel
- Einstufung nach Schutzbedarf
- Datum und Ergebnis der letzten Überprüfung
ISO 27001 Anhang A: welche Maßnahmen einen Wert begleiten
Die Maßnahmen zum Umgang mit Werten stehen nicht mehr beisammen. In der Fassung von 2013 gab es dafür im Anhang A, im englischen Original Annex A, ein eigenes Kapitel A.8 mit dem Titel Asset Management. Seit 2022 sind diese Inhalte über die neue Struktur verteilt, aus A.8.1.1 und A.8.1.2 wurde A.5.9, aus A.8.1.3 wurde A.5.10, aus A.8.1.4 wurde A.5.11. Ältere Checklisten führen hier in die Irre, weil sie ein Kapitel ansteuern, das es nicht mehr gibt. Für die Umsetzung in Anwendungen zahlt sich eine frühe Verzahnung mit der IT-Compliance aus.
Die sieben Maßnahmen entlang des Lebenszyklus
Sieben Maßnahmen greifen ineinander, sobald ein Wert beschafft, genutzt und abgegeben wird:
- A.5.9 Inventar der Werte
- A.5.10 Zulässige Nutzung
- A.5.11 Rückgabe von Werten
- A.7.10 Speichermedien
- A.7.14 Sichere Entsorgung
- A.8.10 Löschung von Informationen
- A.8.32 Änderungsmanagement
Anhang A umfasst insgesamt 93 Maßnahmen in vier Themenbereichen. Die sieben oben genannten sind jene, die sich einem einzelnen Wert über die Zeit zuordnen lassen. Was hinter A.8.32 steckt, erklärt der Beitrag zum Änderungs- und Konfigurationsmanagement. Eine reine IT-Inventarisierung deckt nur den Anfang ab, weil sie Geräte zählt, ohne Informationen einzustufen.
Was ein Asset Register nach ISO 27001 enthalten muss
Die Norm schreibt keine Feldliste vor, sondern verlangt ein Inventar, das seinen Zweck erfüllt. In der Praxis braucht jeder Wert eine Bezeichnung, eine Einstufung, eine verantwortliche Person und einen Lebenszyklusstatus. Die Stufen liefert die Informationsklassifizierung nach Anhang A 5.12, zugleich der Eingang in die ISO-27001-Risikobewertung. Alles darüber hinaus muss sich im Betrieb rechnen, sonst pflegt es niemand. Ein Register mit vierzig Feldern, von denen drei gefüllt sind, steht im Audit schwächer da als eine Asset-Liste mit sechs. Eine Hardware-Inventarisierung trägt nicht weit, weil Anwendungen und Datenbestände dieselbe Behandlung brauchen.
Wer gilt nach ISO 27001 als Eigentümer eines Werts?
Eigentümer ist nicht, wer das Gerät bezahlt hat, sondern wer über seine Nutzung und seinen Schutz entscheidet. Der englische Normtext nennt diese Rolle Asset Owner. Bei extern bezogenen Anwendungen bleibt sie im Haus und löst zusätzlich die Anforderungen aus dem ISO-27001-Lieferantenmanagement aus. An der Rolle hängen konkrete Pflichten, nämlich die Einstufung aktuell zu halten, Zugriffsrechte regelmäßig zu prüfen, Änderungen zu melden und den Wert am Ende ordnungsgemäß abzugeben. Eine Abteilung kann diese Rolle nicht ausfüllen, weil ein Auditor eine Person ansprechen können muss. Ohne benannte Eigentümer bricht auch das Schwachstellenmanagement nach Anhang A 8.8 zusammen, weil kein Fund einen Adressaten findet.
ISO 27001 Asset Management von der Beschaffung bis zur Aussonderung
Asset Management nach ISO 27001 unterscheidet drei Phasen, die jeweils andere Anforderungen an denselben Datensatz stellen. In der Beschaffung entsteht der Eintrag, im Betrieb muss er der Wirklichkeit standhalten, in der Aussonderung einen Abschluss belegen. Die meisten Registerlücken entstehen an den Übergängen, nicht innerhalb der Phasen.
Beschaffung: aufnehmen, einstufen, zuordnen
Der Eintrag entsteht nicht bei der Inbetriebnahme, sondern mit der Beschaffungsentscheidung. Dann sind Zweck, Datenarten und Schutzbedarf bekannt, später werden sie rekonstruiert. Bei extern bezogenen Anwendungen entstehen zwei Einträge, der Dienst als Wert und der Anbieter als Lieferant. Beide Einträge müssen aufeinander verweisen, sonst fehlt im Vorfall die Zuständigkeit.
Diese Angaben stehen bei der Beschaffung bereits fest:
- Zweck und fachliche Verantwortung
- verarbeitete Datenarten
- Einstufung nach Schutzbedarf
- Betriebsmodell, also eigener Betrieb, Hosting oder SaaS
- geplante Nutzungsdauer und Supportende
Betrieb: das Register gegen die Wirklichkeit halten
Im Betrieb altert jeder Eintrag. Personen wechseln die Abteilung, Systeme werden migriert, Testumgebungen wachsen unbemerkt. Anhang A 8.32 verlangt, Änderungen an Systemen gesteuert und nachvollziehbar durchzuführen, was ohne aktuellen Bestand nicht prüfbar ist. Ein Register ohne Änderungsanlass wird zur Karteileiche. Bewährt hat sich, die Pflege an bestehende Anlässe zu koppeln, etwa an Beschaffungsfreigaben, Rollenwechsel und Wartungsfenster.
Was verlangt Anhang A 5.11 zur Rückgabe von Werten?
Anhang A 5.11 verlangt, dass Beschäftigte und externe Beteiligte alle überlassenen Werte zurückgeben, sobald das Arbeitsverhältnis oder der Vertrag endet. Gemeint sind Notebooks und Ausweise, dazu Konten, Schlüsselmaterial und Kopien auf privaten Speichermedien. Eine ausgebliebene Rückgabe gilt als offener Punkt, der dokumentiert und behandelt werden muss. Bei Cloud-Diensten tritt an die Stelle der Rückgabe der geordnete Ausstieg samt Löschbestätigung des Anbieters.
Wie ein Asset Register nach ISO 27001 die Aussonderung belegt
Die Aussonderung hat die dünnste Beweislage, weil der Gegenstand verschwunden ist. Übrig bleibt der Eintrag. Anhang A 7.14 verlangt die sichere Entsorgung oder geprüfte Wiederverwendung von Geräten, Anhang A 7.10 deckt die sichere Entsorgung von Datenträgern als Teil ihres gesamten Umlaufs ab, Anhang A 8.10 regelt die Löschung von Informationen. Der Nachweis entsteht nicht durch die Handlung, sondern durch ihre Aufzeichnung.
Vier Angaben sollte jeder abgeschlossene Eintrag tragen:
- Datum der Außerbetriebnahme
- Verfahren der Datenlöschung oder Vernichtung
- Beleg oder Zertifikat der ausführenden Stelle
- Freigabe durch den benannten Eigentümer
Was ein Softwarepartner zur Nachweiskette beiträgt
Die Verwaltung der Werte lebt von Daten, die anderswo entstehen. Beschaffungsfreigaben liegen im Einkauf, Rollenwechsel in der Personalverwaltung, Versions- und Supportstände im Betrieb. Solange diese Quellen von Hand zusammenlaufen, entscheidet die Sorgfalt Einzelner über die Auditfähigkeit. Schnittstellen ersetzen keine Verantwortung, aber sie ersetzen die Abschrift. Genau hier wird ISO 27001 Asset Management von einer Dokumentationsaufgabe zu einer Softwarefrage.
Individualsoftware als Träger des Registers
TenMedia entwickelt und betreibt Individualsoftware innerhalb eines selbst nach ISO 27001 zertifizierten Managementsystems. Liegt der Bestand über mehrere Standorte verteilt, entsteht daraus ein Register, das an vorhandene Systeme angebunden ist statt neben ihnen zu stehen, wie die standortübergreifende Inventurlösung für die GesBiT GmbH zeigt. Für extern betriebene Anwendungen liefern Softwarebetrieb und Wartung die Versions- und Supportstände zu, die im Register sonst fehlen. Beratung zur Einführung eines Managementsystems und die Zertifizierung selbst gehören in andere Hände.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.