Asset-Management

Asset-Management im Sinne der Informationssicherheit umfasst die vollständige Inventarisierung sämtlicher Informationswerte (Assets) einer Organisation. Dazu zählen nicht nur Hardware und Software, sondern auch Daten, Anwendungen, Cloud-Dienste, Netzwerkkomponenten, Informationen in Papierform sowie unterstützende Werte wie Personal, Standorte und Lieferantenbeziehungen. Ohne ein belastbares Verzeichnis dieser Werte lassen sich Schutzbedarf, Risiken und Verantwortlichkeiten nicht zuverlässig bestimmen, weshalb das Asset-Management als Fundament jedes ISMS gilt.

Über die reine Erfassung hinaus verlangt ein wirksames Asset-Management die Klassifizierung der Werte nach ihrem Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit sowie die eindeutige Zuordnung von Eigentümern (Asset Owner). Diese Verantwortlichen entscheiden über zulässige Nutzung, erforderliche Schutzmaßnahmen und den gesamten Lebenszyklus eines Werts von der Beschaffung über den Betrieb bis zur sicheren Außerbetriebnahme und Entsorgung. Erst die Verbindung aus Inventar, Klassifizierung und Verantwortlichkeit ermöglicht eine risikoorientierte Steuerung der Informationssicherheit.

Normativ ist das Asset-Management fest in den gängigen Sicherheitsstandards verankert. Die ISO/IEC 27001 fordert in Annex A (Controls 5.9 bis 5.11 der Fassung 2022) ein Inventar der Informationswerte, Regeln zur akzeptablen Nutzung sowie die Rückgabe von Werten. Auch der BSI IT-Grundschutz, CISIS12 und die unter der NIS2-Richtlinie geforderten Risikomanagementmaßnahmen setzen ein aktuelles Asset-Verzeichnis voraus, weil Schutzbedarfsfeststellung, Risikobewertung und der Nachweis der Wirksamkeit von Maßnahmen ohne vollständige Kenntnis der zu schützenden Werte nicht möglich sind.