Normity

Asset management is het systematisch beheren van de waardevolle bezittingen van een organisatie — zowel fysiek (apparatuur, machines, gebouwen) als digitaal (licenties, software, data). Voor informatiebeveiliging gaat asset management over inventarisatie, classificatie, beheer en afvoer van ICT-assets. ISO 55000 is de algemene asset management-norm.

Je kunt alleen beschermen wat je kent. Zonder volledig overzicht van apparatuur, software en data weet je niet waar je kwetsbaar bent. ISO 27001 en de BIO eisen daarom een actueel asset register met eigenaar, classificatie en beveiligingsmaatregelen per asset. Incidenten beginnen vaak bij niet-gedocumenteerde assets.

Een asset register is de centrale lijst met alle ICT-assets (hardware, software, virtuele machines, cloud-services, data, licenties) binnen een organisatie. Per asset worden eigenaar, classificatie, locatie, leverancier, gebruiksduur en beveiligingsmaatregelen vastgelegd. Moderne tooling genereert dit deels automatisch via netwerk- en endpoint-scans.

Asset classificatie rangschikt assets naar belangrijkheid of gevoeligheid — bijvoorbeeld openbaar, intern, vertrouwelijk en geheim. De classificatie bepaalt welke beveiligingsmaatregelen minimaal nodig zijn. Het is een basiscomponent van ISO 27001, de BIO en NEN 7510.

Een CMDB (Configuration Management Database) is specifiek voor ICT-configuraties: welke servers, applicaties en services zijn er, en hoe zijn ze verbonden. Asset management is breder en omvat ook financiële aspecten (afschrijving, licentiekosten) en fysieke assets. In volwassen organisaties voeden ze elkaar.

Software asset management is het beheren van softwarelicenties: wat heeft de organisatie gekocht, wat wordt gebruikt, wat is in compliance met licentievoorwaarden? SAM voorkomt zowel over-licensing (te veel kopen) als under-licensing (juridisch risico). De belangrijkste norm is ISO 19770-1 voor een SAM-managementsysteem.

ISO 27001 bevat controls voor asset management: identificatie van assets, eigenaarschap, acceptabel gebruik, retour bij einde dienstverband en veilige afvoer. Het begint met een actueel asset register — zonder dat kun je geen risicoanalyse doen en geen maatregelen kiezen. Asset management is daarmee fundamenteel voor een werkend ISMS.

Een asset blijft in het register zolang hij in gebruik is, plus vaak een retentieperiode daarna (voor audits en incidentanalyse). Na veilige afvoer wordt de asset gearchiveerd — inclusief bewijs dat data is gewist (certificaat van vernietiging). Voor hardware geldt vaak minimaal vijf jaar retentie in het asset log.