Hoe begin ik met een assetinventarisatie?

Doelgroep

Je hebt een rol bij het verbeteren van de digitale weerbaarheid van jouw organisatie. Jouw organisatie begint met cybersecurity, of valt wellicht onder de Cyberbeveiligingswet. Na het lezen van dit artikel weet je wat asset management is en hoe je kan beginnen met een assetinventarisatie om overzicht te krijgen over je assets. 

Definities

Assets: alle middelen die essentieel zijn voor het functioneren van de organisatie. Denk aan fysieke middelen (zoals hardware), digitale middelen (zoals data en software) en immateriële middelen (zoals intellectueel eigendom en reputatie), maar ook personeel en processen. In dit artikel ligt de focus op assets voornamelijk in de vorm van hardware en software.

Assetinventarisatie: een volledig en up-to-date overzicht creëren van de assets van een organisatie. 

Asset management: het inventariseren en beheren van assets noemen we assetbeheer of asset management. Vanuit een cybersecurityperspectief gaat asset management om het opzetten, onderhouden en monitoren van volledige en accurate informatie over je assets gedurende de volledige levensduur, op een risicogebaseerde manier.  In dit artikel richten we ons hierbij op de hard- en software van een organisatie. 

Wat je niet ziet, kun je niet beveiligen

Als organisatie maak je gebruik van veel verschillende middelen (hierna: assets) om je doelstellingen na te streven. Door digitalisering zijn veel van deze assets niet altijd direct zichtbaar: denk aan de verschillende softwareproducten die je gebruikt binnen je organisatie. Hoewel veel assets goed zichtbaar zijn, zoals de telefoons die worden gebruikt, is het goed mogelijk dat je binnen je organisatie geen volledig overzicht hebt. 

Zonder volledig zicht op je assets kunnen kwetsbare systemen onopgemerkt actief zijn binnen je omgeving. Zo’n systeem is een potentiële toegangspoort voor kwaadwillenden. Wanneer je geen zicht hebt op deze assets, kun je niet effectief en efficiënt beveiligingsmaatregelen toepassen. Ook werken veel belangrijke security processen, zoals het opsporen van zwakke plekken of het signaleren van verdachte activiteiten, alleen als je weet waar je moet kijken.

Om je systemen te beveiligen, is het fundamenteel om je assets inzichtelijk te hebben. Het inventariseren en beheren van deze assets noemen we: asset management. Om grip te krijgen op de assets in je organisatie is het maken van een assetinventarisatie de eerste stap. Hiermee creëer je overzicht. 

Dit artikel gaat in op wat asset management precies inhoudt en bevat praktische tips om aan de slag te gaan met het opzetten van een assetinventarisatie. 

1. Aan de slag met een assetinventarisatie

Het inventariseren van je assets geeft je inzicht in welke systemen beschermd moeten worden. Een assetinventarisatie houdt in dat je een overzicht maakt van de verschillende assets, zoals hardware en software, en de gegevens over deze assets. 

Denk bij het inventariseren aan de volgende onderdelen: 

• IT-middelen zoals computers, laptops en telefoons. Deze apparaten bevatten belangrijke bedrijfsinformatie en zijn vaak onmisbaar om werkzaamheden te kunnen uitvoeren. Bedenk of er nog andere devices zijn die medewerkers dagelijks gebruiken. 
• Netwerkapparatuur. Binnen een netwerkomgeving vind je al snel veel verschillende netwerkapparaten die communicatie met elkaar en het internet mogelijk maken. Denk hierbij aan wifi-access points, firewalls, switches en routers. Kijk hier ook meteen naar: welke apparatuur is internet-facing? Welke apparaten hiervan zijn edge devices? Aanvallers zoeken vaak naar zwakke plekken in edge devices om een ingang te vinden naar jouw netwerk. 
• Software. Een goed beeld van de verschillende soorten software die je gebruikt binnen je organisatie is belangrijk. Denk bijvoorbeeld aan het CRM-systeem, boekhoudsysteem, kantoorautomatisering of de interne chat-applicatie. 

Voorbeeld

Onderzoeksinstituut WetenSchappelijk heeft veel waardevolle kennis binnen de organisatie, maar weet niet precies welke systemen ze allemaal gebruiken. Zonder dit overzicht kunnen ze zich niet goed verdedigen tegen kwaadwillenden. Daarom beginnen ze met de allerbelangrijkste stap: een inventarisatie. Ze maken een lijst van alle apparaten en programma’s. Alleen als je weet wat je hebt, kun je het ook daadwerkelijk beveiligen.

2. Welke informatie leg ik vast?

Hoe meer informatie je verzamelt, hoe meer overzicht je hebt. Maar hoe meer inspanning het vraagt om het overzicht actueel te houden. Kies daarom bewust welke informatie over jouw assets je opslaat. Denk bij het verzamelen van informatie aan de volgende gegevens:

• Fabrikant of leverancier: deze kennis maakt duidelijk bij wie je terecht kunt voor ondersteuning of garantie. Het geeft je inzicht in je ketenafhankelijkheid. Als een serviceprovider assets voor je onderhoudt, is dit ook waardevol om vast te leggen.
• Serienummer: deze zijn belangrijk om informatie en ondersteuning te krijgen van de fabrikant of leverancier. 
• Versienummer: inzicht in de geïnstalleerde softwareversie maakt het mogelijk na te gaan of software up-to-date is of dat je een versie gebruikt die kwetsbaar is. 
• Aankoopdatum en levenscyclus: geeft informatie die helpt garantietermijnen bij te houden en is noodzakelijk voor het plannen (voor budget) om assets te vervangen wanneer dat nodig is. Hoelang wordt er bijvoorbeeld ondersteuning geleverd voor dit product?
• Licentiecode: geeft overzicht welke licenties je gebruikt, waar en hoeveel. 
• Eigenaar: het is belangrijk om eigenaarschap vast te leggen voor je assets. De eigenaar kan beslissen wat er moet gebeuren met deze asset. 
• Functie: wat is de functie van deze asset?

Voorbeeld

De mensen van Onderzoeksinstituut WetenSchappelijk krijgen een steeds beter beeld van hun assets. Voor het ontwikkelen van kennis maken ze gebruik van verschillende soorten databasesoftware. Als de data in deze databases verloren gaat, heeft dit grote financiële consequenties voor het instituut. Het is dus belangrijk voor WetenSchappelijk dat ze goed weten welke databasesoftware binnen hun organisatie wordt gebruikt, zodat deze systemen goed beschermd kunnen worden. 

3. Hoe leg ik dit vast? 

Als je net begint met een assetinventarisatie kun je je inventarisatie handmatig invoeren en bijhouden in een spreadsheet. Hierbij kan je formules toepassen om bijvoorbeeld in te stellen dat je een waarschuwing krijgt wanneer je een licentie moet vernieuwen voor een bepaalde datum. Dit overzicht noem je een assetregister.

Tooling kan je uiteindelijk helpen om de inventarisatie van jouw assets te automatiseren. Dit maakt het makkelijker om het asset-register up-to-date te houden. Dit geldt zeker wanneer het aantal assets en de details groeien, aangezien het bijhouden hiervan veel tijd kost. Tools waarmee je een assetinventarisatie kunt automatiseren bieden vaak de mogelijkheid je bedrijfsnetwerk te scannen en zo details over hard- en software te detecteren. Er zijn veel softwareleveranciers die dergelijke oplossingen leveren.

Voorbeeld

Onderzoeksinstituut WetenSchappelijk is begonnen met het inventariseren van hun assets. Om dit vast te leggen gebruiken ze een spreadsheet waarin ze makkelijk gegevens kunnen invullen. Daarnaast onderzoeken ze welke betere geautomatiseerde tools er bestaan, zodat ze in de toekomst efficiënter te werk kunnen gaan.

Begin met je asset inventarisatie

Om effectief beveiligingsmaatregelen toe te kunnen passen is het cruciaal om een goed overzicht te hebben van je assets. Want: als je niet weet wat je hebt, kun je het ook niet beveiligen. Ga daarom vandaag nog aan de slag!

Het inventariseren van je assets is een eerste stap om je asset management-proces op gang te helpen. Om dit proces effectief en duurzaam in te richten zul je de governance ervan goed moeten inrichten. 

Handige vervolgstap: een rechtenmatrix opstellen

Als je je assets geïnventariseerd hebt, is een handige vervolgstap om de rechtenmatrix op te stellen. Hierbij inventariseer je welke medewerkers tot welke bedrijfsapplicaties toegang hebben. Wie heeft leesrechten, wie schrijfrechten en wie mag rechten toekennen? Ook deze inventarisatie draagt bij aan het vergroten je weerbaarheid tegen cyberincidenten.