Direct antwoord
Annex A-maatregel 5.9 eist een inventaris van informatie en andere gerelateerde bedrijfsmiddelen, inclusief eigenaren. Het assetregister omvat hardware, software en SaaS-diensten, informatiesoorten en waar nodig diensten en mensen met sleutelkennis. Elk middel heeft een eigenaar die verantwoordelijk is voor passende bescherming. Zonder dit register kan de risicoanalyse niet volledig zijn.
Annex A-maatregel 5.9 van ISO 27001, “Inventory of information and other associated assets”, eist een actuele inventaris van alles wat informatie draagt of verwerkt, met per middel een eigenaar. Je kunt niet beschermen wat je niet in beeld hebt: het assetregister is het fundament onder de risicoanalyse.
Wat eist de maatregel?
Een geïdentificeerde, gedocumenteerde en onderhouden inventaris van informatie en gerelateerde bedrijfsmiddelen: informatie (klantgegevens, personeelsdossiers, broncode, contracten), hardware (laptops, servers, telefoons, netwerkapparatuur), software en SaaS-diensten, en waar relevant diensten, locaties en sleutelfuncties. Elk middel heeft een toegewezen eigenaar.
Zo vul je hem in
- Start vanuit de informatie: welke informatiesoorten zijn er, waar staan ze, hoe gevoelig zijn ze? Volg daarna de dragers: systemen, apparaten, diensten.
- Groepeer slim: standaardwerkplekken als categorie, kritische systemen individueel. Detail volgt risico.
- Wijs eigenaren toe: per asset of categorie de functionaris die over toegang en bescherming beslist.
- Automatiseer waar mogelijk: MDM-tooling voor apparaten, de facturenlijst en SSO-overzichten voor het opsporen van SaaS-diensten (en schaduw-IT).
- Onderhoud structureel: koppel het register aan in- en uitdienstprocessen en aan de aanschaf van nieuwe tooling; controleer het minimaal jaarlijks.
Waar let de auditor op?
De auditor vergelijkt het register met de werkelijkheid: staat de SaaS-tool die in het teamoverleg werd genoemd erin, en de laptop van de nieuwste medewerker? Verouderde registers en ontbrekende cloud-diensten zijn de meest voorkomende bevindingen. Ook wordt de koppeling met de risicoanalyse getoetst: elk kritisch asset moet daarin terugkomen.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Hoe gedetailleerd moet het assetregister zijn?
Werk met categorieën waar dat kan: alle standaard-laptops als één regel, kritische servers en systemen afzonderlijk. Het register moet volledig genoeg zijn om risico's te beoordelen, niet elke muis en kabel bevatten.
Vallen SaaS-diensten ook onder het register?
Ja, juist die. Bij het MKB draait vaak het grootste deel van de informatie in clouddiensten. Registreer per dienst welke informatie erin staat, wie de eigenaar is en wat de leveranciersafspraken zijn.
Wie is de eigenaar van een asset?
De functionaris die beslist over het gebruik en de beveiliging ervan, niet per se degene die het middel gebruikt of beheert. De eigenaar bepaalt classificatie, toegang en beschermingseisen.