ISO 27001 Asset Management: Werte von der Beschaffung bis zur Aussonderung

ISO 27001 Asset Management scheitert selten am Willen, meist an einem Asset Register, das den Alltag nicht mitmacht. Anhang A der ISO 27001 verlangt Nachweise über den gesamten Weg eines Werts. Dieser Leitfaden zeigt, welche Maßnahmen in welcher Phase greifen und woran ein Auditor gelebte Praxis erkennt.
Zwei Personen in einem leeren Büroraum, auf dem Boden der vollständige Arbeitsplatz als Klebebandumriss, daneben ungeöffnete Lieferkartons. Sinnbild für ISO 27001 Asset Management, das mit der Beschaffung beginnt und nicht mit der Inbetriebnahme.
© KI-generiert (TenMedia)

Warum ISO 27001 Asset Management im Audit zuerst geprüft wird

Ein Zertifizierungsaudit beginnt selten bei der Firewall, sondern bei der Liste, auf der steht, was überhaupt geschützt werden soll. Dort zeigt sich, ob ein Managementsystem gelebt wird oder nur beschrieben ist. Wie groß der Abstand ausfällt, zeigt eine Auswertung zur IT-Modernisierung, nach der 61 Prozent der deutschen Unternehmen den Großteil ihrer Hauptgeschäftsanwendungen auf veralteten Plattformen betreiben und nur 30 Prozent die Abschaltung von Altsystemen unternehmensweit umsetzen.

Was die Norm unter einem Wert versteht

Als Wert gilt nach ISO 27001 jede Information und jede damit verbundene Ressource mit Nutzen für die Organisation, also Daten, Anwendungen, Server, Endgeräte, Speichermedien, Cloud-Dienste und die zugehörigen Verträge. Anhang A 5.9 fordert ein Verzeichnis der Werte, im englischen Normtext Information Assets, mit benannten Eigentümern. Das Asset Register ist damit kein Nebenprodukt der Dokumentation, sondern die Bezugsgröße, auf die sich jede weitere Maßnahme stützt.

Bei extern bezogenen Diensten teilt sich die Verantwortung. Welche Werte dann ins eigene Register gehören, ordnet die Seite zu ISO 27001 in Cloud und SaaS ein.

Wer das Asset Register verantwortet, wenn die Zertifizierung ansteht

Die Verantwortung verteilt sich auf zwei Rollen, die selten zusammenfallen. Die Informationssicherheitsbeauftragung trägt die fachliche Seite, also Schutzbedarf, Eigentümerzuordnung und Risikobezug. Die Qualitätsmanagementbeauftragung trägt die Lenkung, also Freigabe, Versionsstand, Prüfrhythmus und Archivierung. Fällt eine der beiden Seiten aus, veraltet das Register binnen weniger Monate. Wie sich das in die übrigen Anforderungen der ISO 27001 einfügt, entscheidet der Geltungsbereich.

Vier Angaben prüft ein Auditor am Register fast immer zuerst:

ISO 27001 Anhang A: welche Maßnahmen einen Wert begleiten

Die Maßnahmen zum Umgang mit Werten stehen nicht mehr beisammen. In der Fassung von 2013 gab es dafür im Anhang A, im englischen Original Annex A, ein eigenes Kapitel A.8 mit dem Titel Asset Management. Seit 2022 sind diese Inhalte über die neue Struktur verteilt, aus A.8.1.1 und A.8.1.2 wurde A.5.9, aus A.8.1.3 wurde A.5.10, aus A.8.1.4 wurde A.5.11. Ältere Checklisten führen hier in die Irre, weil sie ein Kapitel ansteuern, das es nicht mehr gibt. Für die Umsetzung in Anwendungen zahlt sich eine frühe Verzahnung mit der IT-Compliance aus.

Die sieben Maßnahmen entlang des Lebenszyklus

Sieben Maßnahmen greifen ineinander, sobald ein Wert beschafft, genutzt und abgegeben wird:

Anhang A umfasst insgesamt 93 Maßnahmen in vier Themenbereichen. Die sieben oben genannten sind jene, die sich einem einzelnen Wert über die Zeit zuordnen lassen. Was hinter A.8.32 steckt, erklärt der Beitrag zum Änderungs- und Konfigurationsmanagement. Eine reine IT-Inventarisierung deckt nur den Anfang ab, weil sie Geräte zählt, ohne Informationen einzustufen.

Was ein Asset Register nach ISO 27001 enthalten muss

Die Norm schreibt keine Feldliste vor, sondern verlangt ein Inventar, das seinen Zweck erfüllt. In der Praxis braucht jeder Wert eine Bezeichnung, eine Einstufung, eine verantwortliche Person und einen Lebenszyklusstatus. Die Stufen liefert die Informationsklassifizierung nach Anhang A 5.12, zugleich der Eingang in die ISO-27001-Risikobewertung. Alles darüber hinaus muss sich im Betrieb rechnen, sonst pflegt es niemand. Ein Register mit vierzig Feldern, von denen drei gefüllt sind, steht im Audit schwächer da als eine Asset-Liste mit sechs. Eine Hardware-Inventarisierung trägt nicht weit, weil Anwendungen und Datenbestände dieselbe Behandlung brauchen.

Wer gilt nach ISO 27001 als Eigentümer eines Werts?

Eigentümer ist nicht, wer das Gerät bezahlt hat, sondern wer über seine Nutzung und seinen Schutz entscheidet. Der englische Normtext nennt diese Rolle Asset Owner. Bei extern bezogenen Anwendungen bleibt sie im Haus und löst zusätzlich die Anforderungen aus dem ISO-27001-Lieferantenmanagement aus. An der Rolle hängen konkrete Pflichten, nämlich die Einstufung aktuell zu halten, Zugriffsrechte regelmäßig zu prüfen, Änderungen zu melden und den Wert am Ende ordnungsgemäß abzugeben. Eine Abteilung kann diese Rolle nicht ausfüllen, weil ein Auditor eine Person ansprechen können muss. Ohne benannte Eigentümer bricht auch das Schwachstellenmanagement nach Anhang A 8.8 zusammen, weil kein Fund einen Adressaten findet.

ISO 27001 Asset Management von der Beschaffung bis zur Aussonderung

Asset Management nach ISO 27001 unterscheidet drei Phasen, die jeweils andere Anforderungen an denselben Datensatz stellen. In der Beschaffung entsteht der Eintrag, im Betrieb muss er der Wirklichkeit standhalten, in der Aussonderung einen Abschluss belegen. Die meisten Registerlücken entstehen an den Übergängen, nicht innerhalb der Phasen.

Beschaffung: aufnehmen, einstufen, zuordnen

Der Eintrag entsteht nicht bei der Inbetriebnahme, sondern mit der Beschaffungsentscheidung. Dann sind Zweck, Datenarten und Schutzbedarf bekannt, später werden sie rekonstruiert. Bei extern bezogenen Anwendungen entstehen zwei Einträge, der Dienst als Wert und der Anbieter als Lieferant. Beide Einträge müssen aufeinander verweisen, sonst fehlt im Vorfall die Zuständigkeit.

Diese Angaben stehen bei der Beschaffung bereits fest:

Betrieb: das Register gegen die Wirklichkeit halten

Im Betrieb altert jeder Eintrag. Personen wechseln die Abteilung, Systeme werden migriert, Testumgebungen wachsen unbemerkt. Anhang A 8.32 verlangt, Änderungen an Systemen gesteuert und nachvollziehbar durchzuführen, was ohne aktuellen Bestand nicht prüfbar ist. Ein Register ohne Änderungsanlass wird zur Karteileiche. Bewährt hat sich, die Pflege an bestehende Anlässe zu koppeln, etwa an Beschaffungsfreigaben, Rollenwechsel und Wartungsfenster.

Was verlangt Anhang A 5.11 zur Rückgabe von Werten?

Anhang A 5.11 verlangt, dass Beschäftigte und externe Beteiligte alle überlassenen Werte zurückgeben, sobald das Arbeitsverhältnis oder der Vertrag endet. Gemeint sind Notebooks und Ausweise, dazu Konten, Schlüsselmaterial und Kopien auf privaten Speichermedien. Eine ausgebliebene Rückgabe gilt als offener Punkt, der dokumentiert und behandelt werden muss. Bei Cloud-Diensten tritt an die Stelle der Rückgabe der geordnete Ausstieg samt Löschbestätigung des Anbieters.

Wie ein Asset Register nach ISO 27001 die Aussonderung belegt

Die Aussonderung hat die dünnste Beweislage, weil der Gegenstand verschwunden ist. Übrig bleibt der Eintrag. Anhang A 7.14 verlangt die sichere Entsorgung oder geprüfte Wiederverwendung von Geräten, Anhang A 7.10 deckt die sichere Entsorgung von Datenträgern als Teil ihres gesamten Umlaufs ab, Anhang A 8.10 regelt die Löschung von Informationen. Der Nachweis entsteht nicht durch die Handlung, sondern durch ihre Aufzeichnung.

Vier Angaben sollte jeder abgeschlossene Eintrag tragen:

Was ein Softwarepartner zur Nachweiskette beiträgt

Die Verwaltung der Werte lebt von Daten, die anderswo entstehen. Beschaffungsfreigaben liegen im Einkauf, Rollenwechsel in der Personalverwaltung, Versions- und Supportstände im Betrieb. Solange diese Quellen von Hand zusammenlaufen, entscheidet die Sorgfalt Einzelner über die Auditfähigkeit. Schnittstellen ersetzen keine Verantwortung, aber sie ersetzen die Abschrift. Genau hier wird ISO 27001 Asset Management von einer Dokumentationsaufgabe zu einer Softwarefrage.

Individualsoftware als Träger des Registers

TenMedia entwickelt und betreibt Individualsoftware innerhalb eines selbst nach ISO 27001 zertifizierten Managementsystems. Liegt der Bestand über mehrere Standorte verteilt, entsteht daraus ein Register, das an vorhandene Systeme angebunden ist statt neben ihnen zu stehen, wie die standortübergreifende Inventurlösung für die GesBiT GmbH zeigt. Für extern betriebene Anwendungen liefern Softwarebetrieb und Wartung die Versions- und Supportstände zu, die im Register sonst fehlen. Beratung zur Einführung eines Managementsystems und die Zertifizierung selbst gehören in andere Hände.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.

FAQs

Wie oft muss ein Verzeichnis der Werte überprüft werden? keyboard_arrow_down keyboard_arrow_up
Die Norm nennt kein Intervall. Üblich ist eine vollständige Durchsicht einmal jährlich vor dem Überwachungsaudit, ergänzt um anlassbezogene Aktualisierungen bei Beschaffung, Rollenwechsel und Außerbetriebnahme. Nachweisbar sein muss der festgelegte Rhythmus, nicht seine Länge.
Prüft ein Auditor das Werkzeug des Bestandsregisters oder den Prozess dahinter? keyboard_arrow_down keyboard_arrow_up
Geprüft wird der Prozess. Eine Tabellenkalkulation ist zulässig, solange Vollständigkeit, Aktualität und Freigaben nachweisbar sind. Fällt die Pflege bei Stichproben dagegen auf, hilft auch eine teure Plattform nicht über die Abweichung hinweg. Das Werkzeug ist eine Kostenfrage, keine Konformitätsfrage.
Unterstützt TenMedia beim Aufbau eines Bestandsregisters für ein Zertifizierungsvorhaben? keyboard_arrow_down keyboard_arrow_up
TenMedia ist eine Softwareagentur und keine Zertifizierungsstelle, führt also weder Audits durch noch berät zur Einführung eines Managementsystems. Der Beitrag liegt auf der technischen Seite. Dazu gehört die Entwicklung eines Registers, das Schutzbedarf, Eigentümer und Lebenszyklusstatus führt und Beschaffungs-, Personal- und Betriebsdaten über Schnittstellen übernimmt, statt sie abschreiben zu lassen. Für extern betriebene Anwendungen liefern Wartung und Support die Versions- und Supportstände zu. Beides entsteht innerhalb eines selbst nach ISO 27001 zertifizierten Managementsystems und stützt damit das ISO 27001 Asset Management auf Auftraggeberseite.