Was als Asset gilt
Ein Asset ist alles, dessen Verlust, Beschädigung oder Kompromittierung der Organisation schaden würde. Die Definition geht über Computer hinaus: Eine Kundendatenbank, ein Signaturschlüssel oder ein Administratorkonto können Assets sein, und jedes braucht einen benannten Verantwortlichen. Das IT-Asset-Management (ITAM) setzt bei dieser Liste an.
Schwierig ist die Abgrenzung. Ein Objekt gehört ins Register, wenn die Organisation dafür verantwortlich ist. Ein privates Cloud-Konto, auf dem Kundendateien liegen, bleibt deshalb außen vor, bis es jemand erfasst. Die Daten eines Assets bestimmen den nötigen Schutz, daher sollte jeder Eintrag auch die Datenklassifizierung der gespeicherten Inhalte enthalten.
Fünf Gruppen von Assets
Die meisten Register kombinieren fünf Gruppen:
| Gruppe | Beispiele |
|---|---|
| Hardware | Arbeitsplatzrechner, Notebooks, Server, Netzwerk- und Druckgeräte, mobile Geräte |
| Software | Betriebssysteme, Geschäftsanwendungen, Entwicklungswerkzeuge und deren Lizenzen |
| Daten und Informationen | Datenbanken, Dokumentenablagen, Zugangsdaten, kryptografische Schlüssel |
| Personen | Mitarbeitende und externe Dienstleister mit ihren Kenntnissen und Zugriffsrechten |
| Dienste und Einrichtungen | Cloud-Dienste, Büroflächen, Strom und Konnektivität |
Materielle und immaterielle Assets
Die häufigste Unterscheidung erfolgt nach der physischen Form. Materielle Assets wie Computer, Geräte, Kabel, Serverschränke und Druckmedien haben Seriennummern, lassen sich kennzeichnen, und ihr Verschwinden fällt bei einer Prüfung auf.
Immaterielle Assets wie Lizenzen, Daten, geistiges Eigentum und Reputation haben keine physische Form. Sie werden über Datensätze, Lizenzschlüssel und Klassifizierungsetiketten verfolgt, und sie lassen sich leichter unbemerkt kopieren als verlieren. Software und ihre Lizenzen bilden ein eigenes Fachgebiet, das im Software-Asset-Management behandelt wird.
Assets werden außerdem nach Kritikalität gestuft: missionskritisch, wichtig oder unterstützend. Das Schutzbudget ist begrenzt, deshalb zeigt das Register, welche Assets die stärksten Kontrollen verdienen.
Lebenszyklus eines Assets
Assets werden über einen Lebenszyklus gesteuert und nicht als statische Einträge. Ein typisches Modell umfasst fünf Phasen:
- 1
Planung und Beschaffung
Legen Sie fest, was die Organisation braucht, kaufen oder least Sie es und erfassen es im Register.
- 2
Inbetriebnahme
Nehmen Sie das Asset in Betrieb und weisen Sie Verantwortliche, Status und Standort zu. Für Computer legen Sie eine feste Referenzkonfiguration fest.
- 3
Betrieb
Verfolgen Sie Nutzung, Überwachung, Wartung und Updates. Bei Software kontrollieren Sie Versionen und Lizenzabdeckung.
- 4
Änderungen
Erfassen Sie Umzüge zwischen Arbeitsplätzen und Abteilungen, Neuzuweisungen und Statuswechsel, etwa in Nutzung oder ausgemustert.
- 5
Außerbetriebnahme
Nehmen Sie das Asset außer Betrieb, löschen Sie die Daten sicher und schreiben Sie es ab. Der Eintrag wird geschlossen, ohne seine Historie zu verlieren.
So sieht das Register in Anexet aus
Das Modul IT-Inventar führt für jeden Computer eine Karte mit Status, Verantwortlichem, Organisation, Abteilung und Arbeitsplatz. Jede Änderung der Karte landet im Audit-Log, sodass sich das Register später prüfen lässt.
Verantwortung und Kontrolle
Einige Kontrollen machen aus einer Objektliste eine gesteuerte Asset-Basis. In größeren Umgebungen wächst das Register zur Configuration Management Database (CMDB), die auch die Abhängigkeiten zwischen Assets abbildet. Drei Rollen halten das Register korrekt:
| Rolle | Verantwortung | Zugriff |
|---|---|---|
| Asset-EigentümerLeitung der Fachabteilung | Verantwortet Zustand, Nutzung und Sicherheit des Assets | Genehmigt Umzüge und Abschreibungen |
| Asset-VerwalterIT-Administration | Hält den Eintrag und die Gerätekonfiguration aktuell | Bearbeitet die Inventarkarte |
| SicherheitsverantwortlicheSicherheitsteam | Reagiert auf Abweichungsmeldungen zur Referenzkonfiguration | Liest Meldungen und Audit-Log |
Häufige Fehler
Das Register scheitert auf vorhersehbare Weise. Die meisten Lücken entstehen durch Shadow IT, also Werkzeuge, die gut funktionieren und nie erfasst werden. Drei weitere Fehler treten häufig auf:
Ein Asset, das nicht im Register steht, kann nicht gepatcht, überwacht oder von der Reaktion auf Vorfälle erfasst werden.
- Assets einmal von Hand erfassen und danach nie aktualisieren, sodass das Register nach der ersten Umstrukturierung nicht mehr stimmt.
- Die Erkennung als einmalige Prüfung behandeln. Ein unautorisiertes Gerät, das nach der Prüfung angeschlossen wird, bleibt bis zur nächsten unsichtbar.
- Den Eintrag bei der Abschreibung löschen statt schließen, wodurch die Historie verloren geht, die das Audit braucht.
Wo man anfängt
Beginnen Sie mit den Assets, deren Verlust den größten Schaden anrichten würde, und ergänzen Sie dann jeweils Verantwortlichen, Standort und Status. Die automatische Erkennung hält die Liste zwischen den Prüfungen aktuell, und die Nutzer korrigieren die Details, die sie täglich verwenden.
Prüfen Sie das Register nach festem Zeitplan und nicht erst nach einem Vorfall, denn es ist nur so lange nützlich, wie es der realen Umgebung entspricht.
Weiterlesen: Informationssicherheit: Definition, Anforderungen, Modelle und Phasen.
Ein Asset, das Sie nicht sehen, können Sie nicht schützen.
Anexet TeamWie Anexet das löst
Anexet behandelt Assets als etwas, das automatisch erfasst statt von Hand eingetippt werden soll. Das Modul Inventory baut die Asset-Basis aus Daten auf, die Endpoint-Agents sammeln, sodass Hardware- und Softwareeinträge ohne manuelle Dateneingabe entstehen und aktuell bleiben:
Da die Plattform on-premise betrieben wird, bleiben das Asset-Register, seine Audit-Historie und die gesammelten Konfigurationsdaten innerhalb der eigenen Infrastruktur der Organisation.
Computer und Geräte
Agents erkennen Workstations, PCs, Laptops, Server, und ihre Komponenten; ein Import-Assistent übernimmt die erkannte Hardware in das Inventar. Jede Karte enthält Status (im Einsatz, nicht im Einsatz, im Service, zur Abschreibung), Verantwortliche, Abteilung und Arbeitsplatz. Rund zwanzig Gerätetypen werden unterstützt, von Monitoren und Laufwerken bis zu Netzwerkgeräten und Druckern, und mehrere Komponenten lassen sich zu einem zusammengesetzten Gerät mit gemeinsamer Inventarnummer zusammenfassen.
Software-Inventar
für jeden Computer erfasst das Modul installierte Anwendungen mit Hersteller, Installationsdatum, Größe, Version und Speicherort, die Daten, die für Lizenz- und Update-Kontrolle nötig sind.
Abweichungserkennung
für jeden Computer lässt sich eine Referenzkonfiguration festlegen; wird ein Gerät außerhalb der Konfiguration angeschlossen oder fehlt ein konfiguriertes Gerät unter den angeschlossenen, kennzeichnet das Modul die Abweichung und benachrichtigt den Sicherheitsverantwortlichen in Echtzeit.
Büroplan
ein Grundriss lässt sich hochladen und mit Geräten belegen, sodass Computer, ihre aktiven Nutzer und Abweichungsindikatoren an ihrem physischen Standort sichtbar sind.
Geräte-Manager
ein eigenes Werkzeug verknüpft Geräte mit Computerkarten und verwaltet die Zusammensetzung der Konfigurationen.
Audit-Trail und Export
jede Operation, Hinzufügen, Löschen, Verschieben, Konfiguration, Status- oder Eigentümerwechsel, landet im Audit-Log; Computerlisten, Gerätelisten und der Büroplan lassen sich als xlsx oder pdf exportieren.
Anexet Inventory
Mehr erfahren