Hoe krijg ik grip op mijn asset management proces?

Doelgroep

Je hebt een rol bij het inrichten en organiseren van de cyberweerbaarheid van een organisatie die mogelijk onder de Cyberbeveiligingswet valt. Je bent bijvoorbeeld CISO, ISO of security manager. Je weet al wat een assetinventarisatie inhoudt en bent op zoek naar de stappen die daarna komen zodat je je asset management-proces structureel op orde krijgt. 

Definities

Assets: alle middelen die essentieel zijn voor het functioneren van de organisatie. Denk aan fysieke middelen (zoals hardware), digitale middelen (zoals cloud oplossingen, data en software) en immateriële middelen (zoals intellectueel eigendom en reputatie), maar ook personeel en processen. In dit artikel ligt de focus voornamelijk op assets in de vorm van hardware en software.

Asset management: het inventariseren en beheren van deze assets noemen we assetbeheer of asset management. Asset management vanuit een cybersecurityperspectief gaat om het opzetten, onderhouden en monitoren van volledige en accurate informatie over je assets gedurende de hele levensduur, op een risicogebaseerde manier. 

Het belang van grip op je assets 

Een gemiddelde organisatie beschikt al snel over een groot aantal IT-producten en -diensten. Afdelingen en bedrijfsprocessen hebben veel verschillende IT-behoeften en daarom worden er verschillende producten en diensten aangeschaft. Hier is niks mis mee, de IT-afdeling is er immers om de organisatie en haar werknemers te faciliteren. De grote en groeiende hoeveelheid assets in versnipperde omgevingen maakt het echter uitdagend om hier zicht en grip op te houden. 

Wat gebeurt er als je geen grip hebt op je assets? Er ontstaan aanzienlijke veiligheidsrisico’s. Onbekende apparaten, verouderde software en niet-gepatchte systemen blijven onopgemerkt en zijn potentiële toegangspunten voor aanvallers. Dit kan resulteren in bijvoorbeeld datalekken en ransomware-aanvallen, die de belangen van jouw organisatie beschadigen. De Cyberbeveiligingswet (Cbw) noemt dan ook het uitvoeren van ‘beheer van assets” onder de zorgplicht (artikel 21). Hiermee krijgen organisaties die onder de Cbw vallen ook een wettelijke verplichting om asset management uit te voeren, om hun netwerk- en informatiesystemen te beschermen. 

Hoe behoud je zicht en grip op de assets?

Effectief asset management biedt organisaties een gestructureerde aanpak om digitale bedrijfsmiddelen te identificeren, registreren en beheren. Het overzicht dat je hiermee krijgt, vormt de basis waarop allerlei je allerlei veiligheidsmaatregelen bouwt. Denk bijvoorbeeld aan identiteits- en toegangsbeheer, kwetsbaarhedenbeheer of detectie. Voor al deze securityprocessen geldt dat je eerste zicht moet hebben op wat je hebt. Daarna implementeer je passende veiligheidsmaatregelen.

Een assetinventarisatie maken is een eerste stap om goed zicht te krijgen op jouw assets, maar hiermee ben je nog niet klaar. Je zult samen met de rest van jouw organisatie verder op moeten blijven trekken. Alleen samen zul je daadwerkelijk zicht en grip behouden op de assets. In dit artikel lees je daarom vijf punten waar je rekening mee moet houden. 

1. Trek gezamenlijk op met andere stakeholders in jouw organisatie

De kennis en expertise over de verschillende assets ligt niet bij één stakeholder, maar is verspreid over de gehele organisatie. Verschillende personen en afdelingen (bijvoorbeeld IT, finance, inkoop- en leveranciersmanagement) hebben allemaal een stukje van de puzzel. Om een zo volledig mogelijk beeld te krijgen, is het nodig om al deze puzzelstukjes bij elkaar te leggen. Als de verschillende afdelingen niet samen optrekken, zal elke afdeling haar eigen (incomplete) assetregister inrichten. Mogelijk mis je hierdoor waardevolle informatie over assets. 

Wat kun je doen? 

• Doe een stakeholderanalyse en inventariseer welke stakeholders behoefte hebben aan een assetregister. 
• Organiseer een workshop en concretiseer de behoeftes van de verschillende stakeholders. 
• Kom met de stakeholders tot een gezamenlijke definitie van wat een asset nu eigenlijk is (wat je wel en niet identificeert als asset). 
• Creëer een template voor welke attributes (eigenschappen: bijv. versienummer, aanschafdatum) geregistreerd moeten worden voor een bepaalde asset. Stap 5 gaat hier verder op in.

Dit proces zal tijd kosten en je zult waarschijnlijk veel koffie moeten drinken om tot een gezamenlijk beeld te komen, maar dat is het waard. Als je niet samen optrekt om goed asset management in te richten, zullen er in de organisatie incomplete of meerdere assetregisters ontstaan. Het is ook in het belang van de security-afdeling om tot een zo compleet mogelijk beeld te komen. 

Voorbeeld

Onderzoeksinstituut WetenSchappelijk heeft veel waardevolle kennis binnen de organisatie. Deze kennis is verspreid over verschillende systemen, die op hun beurt weer verspreid zijn over de verschillende afdelingen van de organisatie. De CISO van WetenSchappelijk wil zorgen dat deze kennis goed beschermd is. Ooit is er een in het verleden een Excel-lijst ingericht met verschillende IT-assets, maar deze lijst is niet langer up-to-date. Daarom besluit de CISO hier zelf mee aan de slag te gaan. Hij maakt een stakeholderanalyse en benadert de verschillende stakeholders. Er wordt een projectteam ingericht met de verschillende stakeholders, waaronder de CISO. Zij zijn onderdeel van de stuurgroep voor het projectteam asset management. In dit projectteam worden verschillende werkzaamheden uitgevoerd, zoals het inventariseren en registreren van de verschillende assets. 

2. Van inventarisatie naar bruikbare sturing door prioritering

De hoeveelheid assets in een gemiddelde organisatie is groot. Daarom zul je moeten prioriteren welke assets het meeste aandacht krijgen zodat je risicogebaseerd aan de slag kunt gaan. Let op! Elke stakeholder heeft een andere prioritering. Vanuit cybersecurityperspectief zijn de volgende variabelen het belangrijkst om in kaart te brengen:

1. Bevindt de asset zich aan de rand van jouw netwerk of is deze verbonden met het netwerk? Assets die zich aan de rand van jouw netwerk bevinden (ook wel: edge devices) of met het internet zijn verbonden zijn een aantrekkelijk doelwit voor aanvallers om initiële toegang te verkrijgen tot jouw netwerk. Het is daarom belangrijk dat jij goed zicht hebt op deze assets. 
2. Is de asset van belang voor het goed functioneren van de primaire processen van de organisatie? Het primaire proces leunt op een aantal kritieke assets. Prioriteer jouw assets door te analyseren welke assets essentieel zijn voor jouw primaire bedrijfsprocessen. Zo breng je gericht je meest waardevolle assets (je kroonjuwelen) in kaart. Het artikel Hoe breng ik mijn technische te beschermen belangen in kaart? helpt je met het identificeren van je belangrijkste technische assets. 

Voorbeeld

Terwijl het projectteam bezig is, maakt de CISO een analyse om te bepalen welke assets voor hem het meest relevant zijn. Hij komt uiteindelijk tot de conclusie dat (1) assets die zich aan de rand van het netwerk bevinden en (2) assets die ten grondslag liggen aan het primaire proces vanuit securityperspectief prioriteit moeten krijgen. Tijdens het stuurgroepoverleg probeert hij ervoor te zorgen dat deze twee variabelen zo hoog mogelijk op de prioriteitenlijst komen bij in kaart brengen van de assets.

3. Richt een continu proces in, zodat je assetregister up-to-date blijft

Het assetlandschap van jouw organisatie verandert continu. Blijf daarom investeren om het de lijst van IT-assets zo compleet mogelijk te houden. Er zijn verschillende manieren om dit bij te houden:

• Tooling: er zijn verschillende vormen van tooling die jouw organisatie helpen om beter zicht te krijgen op jouw assets. Het gaat zowel om tooling die het interne netwerk scant, als om tooling die de buitenkant van jouw netwerk scant. 
• Facturen: kijk ook eens naar facturen die je binnenkrijgt. Dit kan een erg belangrijke bron zijn voor jouw assetregister. Zorg ervoor dat het overzicht van facturen en het assetregister regelmatig naast elkaar worden geanalyseerd.

4. Wijs eigenaarschap toe

Het zorgvuldig omgaan met eigenaarschap is essentieel voor goede besluitvorming, onderhoud van je assets en het afhandelen van uitzonderingen. 

Zo ga je te werk: 

1. Benoem per asset een eigenaar. Begin bij je kroonjuwelen: van alle belangrijke assets moet duidelijk zijn wie verantwoordelijk is. Elke asset heeft uiteindelijk een eigenaar. De eigenaar besluit over de mate van security van de asset. Als securityprofessional adviseer je hierover. 
2. Creëer een eigenaarsregister en leg rollen vast met een RACI-matrix. 

Let op, dit is een voorbeeld van een tabel. Mogelijk werkt het voor jouw organisatie beter om een register net op een andere manier in te richten. Het belangrijkste is dat eigenaarschap wordt belegd en dat dit duidelijk is voor iedereen die hier een rol in heeft. 

5. Zorg ervoor dat het assetregister de juiste informatie bevat

Een volledig assetregister is pas bruikbaar als dit informatie bevat over de verschillende assets waar jij of de organisatie iets aan heeft. Zorg ervoor dat de juiste attributes worden opgenomen in het assetregister. Voorbeelden van zulke attributes zijn de eigenaar, versienummer, laatste update, etc. Voor het securityteam zijn de volgende attributes van een asset het meest interessant:

• Welke softwareversie heeft de asset? Bevat deze versie kwetsbaarheden? Wanneer is de laatste security update uitgevoerd?
• Is de asset End of Life (EOL) of End of Support (EOS)?
• Voldoet de asset aan onze security- baselines en standaarden? 
• Wat is het belang van deze asset voor de primaire processen?
• Waar bevindt de asset zich? Is dit aan de rand van het netwerk?

Voorbeeld

Om zoveel mogelijk securitywaarde uit het assetregister te halen doet de CISO een korte analyse van de informatie die hij graag in het assetregister wil zien. Vanuit security-perspectief bepaalt hij dat twee attributes het belangrijkst zijn: (1) de End of Life (EOL) of End of Support (EOS) van de assets en (2) de huidige softwareversies. Beide attributes zijn belangrijk om te bepalen of een asset bekende kwetsbaarheden bevat. Hij benadert het projectteam met zijn behoefte en zorgt ervoor dat in de stuurgroep deze assets officieel worden vastgelegd.

Aan de slag

Asset management is iets waar je de hele organisatie voor nodig hebt. Alleen samen krijg en behoud je een volledig beeld. Daarnaast is het belangrijk om asset management niet als een eenmalige klus te zien, maar als continu proces en kritisch te blijven op de informatie die je verzamelt. Ga vandaag nog aan de slag door de eerste gesprekken in te plannen en krijg zicht en grip op de assets van jouw organisatie voordat het te laat is.