Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Informations- und Assetinventar aufbauen und pflegen

Führe Informationen und die zugehörigen Assets mit ihren Verantwortlichen an nachvollziehbaren Stellen. Übernimm geeignete vorhandene Bestände und ergänze nur, was fehlt.

Verantwortlich: Fachlich Verantwortliche mit IT- und BestandsverwaltungFachlich geprüft am

Vorhandene Unterlagen nutzen

Nutze geeignete vorhandene Informations-, Geräte-, Anwendungs- und Dienstbestände weiter. Die Inventarvorlage ergänzt fehlende Einträge und verbindet sie über beständige Verweise. Schutzklassen und Handhabungsregeln bleiben in Informationen schützen.

Was du konkret tun musst

  1. 1

    Vorhandene Bestände abgleichen

    Bestimme den benötigten Bestand anhand eures ISMS-Geltungsbereichs. Prüfe vorhandene Daten-, Anwendungs-, Geräte- und Dienstverzeichnisse gemeinsam mit den zuständigen Personen. Berücksichtige auch Informationen ohne Personenbezug wie Quellcode, Baupläne und Betriebswissen. Nutze geeignete Register weiter und halte ihre führenden Ablageorte fest. Ergänze fehlende Einträge im passenden Bestand, statt eine zweite Liste desselben Inhalts zu pflegen.

  2. 2

    Informationen, Assets und Verantwortung verbinden

    Ordne jedem relevanten Eintrag eine fachliche Verantwortung zu. Verbinde Informationen mit den dafür genutzten Anwendungen, Diensten, Geräten oder anderen Assets. Verwende beständige IDs oder eindeutige Eintragsverweise, die nach einer Sortierung noch stimmen. Mache die geltenden Schutzanforderungen über den Informationseintrag oder einen vorhandenen Klassifizierungsverweis erreichbar. Gruppen sind sinnvoll, wenn Verantwortung, Schutzbedarf und relevante Bestandteile nachvollziehbar bleiben.

  3. 3

    Änderungen im Betrieb nachführen

    Verbinde die Inventarpflege mit Beschaffung, Inbetriebnahme, Änderungen und Stilllegung. Ordne die Verantwortung bei einem Wechsel oder Ausscheiden der fachlich Verantwortlichen neu zu. Gleiche den Bestand in passenden Abständen mit den tatsächlichen Informationen und Assets ab. Kläre fehlende oder widersprüchliche Einträge mit den Verantwortlichen. Dokumentiere das Prüfergebnis und nötige Korrekturen im vorhandenen Bestand oder Vorgang.

  4. 4

    Einen nachvollziehbaren Dateistand führen

    Lege die führende Datei mit Zuständigkeit an einer gemeinsamen zugriffsgeschützten Stelle ab. Nutze den vorhandenen Versionsverlauf. Fehlt er, sichere nachvollziehbare Stände wie V1, V2 und V3 und halte wesentliche Änderungen mit Datum und Verantwortlichen fest. Vermeide parallele Arbeitskopien. Historische Einträge und Beziehungen bleiben soweit nötig für die spätere Nachvollziehbarkeit erhalten.

Praxisbeispiel

Ein neues Git-System fehlt im Bestand

Die Entwicklung zieht ihren Quellcode auf einen neuen Git-Dienst um. Im Geräteverzeichnis stehen die Notebooks, im Informationsbestand der Quellcode. Der neue Dienst und seine Verantwortung fehlen.

Quellcode, Git-Dienst und Entwicklungsgeräte
FestlegungDie Verantwortlichen behalten den führenden Quellcodeeintrag bei, ergänzen den neuen Dienst mit zuständiger Rolle und verbinden ihn mit dem Informationswert und dem vorhandenen Gerätebestand. Beim Wechsel prüfen sie die noch benötigten Beziehungen zum alten Dienst.
NachweisAktualisierte Bestände und Verknüpfungen. Der bestehende Änderungsvorgang hält den geprüften Stand und noch offene Arbeit fest.

Ergebnis festhalten

  • Führende Bestände mit Informationen, zugehörigen Assets, fachlicher Verantwortung und erreichbaren Schutzvorgaben.
  • Nachgeführte Änderungen, geprüfte Beziehungen und benötigte frühere Stände im vorhandenen Datei- oder Systemverlauf.

Häufige Fehler bei der Umsetzung

Mehrere Kopien werden unabhängig gepflegt

Lege fest, welcher Bestand welche Angaben führt. Verknüpfe vorhandene Einträge beständig, damit unterschiedliche Dateien nicht widersprüchliche Verantwortliche oder Systemstände zeigen.

Eine Gruppe verdeckt relevante Unterschiede

Fasse gleichartige Assets nur zusammen, wenn Verantwortung, Schutzanforderungen und relevante Bestandteile nachvollziehbar bleiben. Trenne Einträge, wenn unterschiedliche Zuständigkeiten oder Schutzanforderungen sonst verschwinden.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.9 · Inventarisierung von Informationen und zugehörigen Vermögenswerten

    Der Ablauf verbindet Aufbau, Eigentümerschaft, Verknüpfung und laufende Pflege von Informationen und zugehörigen Assets. Die Arbeitsvorlage nimmt fehlende Bestände auf und verweist auf geeignete vorhandene Register. Die Organisation bestimmt ihren tatsächlichen Umfang und führt die Arbeit aus.

  • TISAX · 1.3.1

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Der verknüpfte Informations- und Assetbestand mit Verantwortung, erreichbarer Schutzvorgabe und gepflegten Änderungen unterstützt den Überblick über relevante Informationswerte und unterstützende Assets. Die weiteren ISA-Anforderungen, Schutzbedarfsentscheidungen und die tatsächliche Umsetzung bleiben gesondert zu behandeln.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen