De flesta team bygger sitt säkerhetsprogram uppifrån och ned. De väljer ett ramverk, läser igenom kontrollerna och börjar skriva policyer. Sedan ställer en revisor en enkel fråga: vad är det egentligen ni skyddar? Och rummet tystnar, för ingen har en komplett och aktuell lista över systemen, tjänsterna och datan som företaget vilar på.

Ett tillgångsregister svarar på den frågan. Det är inventeringen av allt som är värt att skydda, tillsammans med vem som äger det, hur känsligt det är och vad som slutar fungera om det går ner. Nästan varje säkerhets- och efterlevnadsramverk förutsätter att du har ett, och det mesta av arbetet du gör senare faller isär utan det. Den här guiden går igenom vad som hör hemma i ett tillgångsregister, hur du bygger ett som förblir användbart och hur OptiTech håller det kopplat till resten av ditt program.

Vad räknas som en tillgång

I ett efterlevnadssammanhang är en tillgång allt som har värde för verksamheten och behöver skydd. Det är betydligt bredare än en lista över datorer. Ett användbart register täcker:

• System och tjänster. Applikationerna, plattformarna och molntjänsterna du driver eller är beroende av.
• Datalager. Där du håller personuppgifter, ekonomiska uppgifter, kundinnehåll och allt annat känsligt.
• Enheter. Datorer, telefoner, servrar och nätverksutrustning.
• Människor och processer. Ägarna, teamen och arbetsflödena som håller varje tillgång i gång.

Den sista kategorin är den som brukar glömmas bort. En tillgång utan ägare är en tillgång ingen uppdaterar, övervakar eller svarar för när något går fel. Att lista tekniken är den enkla halvan. Att namnge personen som är ansvarig för den är det som gör en lista till ett register.

Varför varje ramverk förutsätter en inventering

Du hittar inget seriöst ramverk som hoppar över inventeringen. Det är det tysta antagandet under allt annat.

ISO 27001 gör hantering av tillgångar till en uttalad del av standarden. Du identifierar dina tillgångar, tilldelar ägarskap och klassificerar dem efter känslighet. NIS2 förväntar sig att väsentliga och viktiga verksamheter förstår och skyddar sina nätverks- och informationssystem, vilket är omöjligt om du inte vet vilka de systemen är. DORA driver finansiella aktörer att kartlägga sina IKT-tillgångar och beroendena mellan dem, hela vägen ut till de tredjeparter de förlitar sig på.

Mönstret upprepas i varje ramverk du möter. Innan du kan hantera risk måste du veta vad som är i riskzonen. Registret är lagret som resten av ditt program vilar på, och att bygga kontroller utan det är som att försäkra ett hus du aldrig gått igenom.

Klassificera det du har

En platt lista berättar vad du äger. Klassificeringen berättar vad du ska skydda först.

Klassificera varje tillgång utifrån två saker: hur känslig datan är och hur kritisk tillgången är för verksamheten. En publik marknadssida och ett lager med kundernas personuppgifter är båda tillgångar, men de förtjänar inte samma uppmärksamhet. De flesta team landar i en enkel skala, till exempel publik, intern, konfidentiell och begränsad för känslighet, plus en kritikalitetsgrad för hur mycket verksamheten skulle skadas utan den.

Klassificering är inte pappersarbete för sakens skull. Det är det som låter dig lägga säkerhetsbudgeten där den gör nytta, tillämpa rätt kontroller på rätt tillgångar och förklara för en revisor varför ett system har hårdare åtkomstregler än ett annat.

Sätt säkerhetsmål och återställningsmål

För varje tillgång, bestäm vad det faktiskt betyder att skydda den. Det tydligaste sättet att rama in det är de tre säkerhetsmålen, ofta kallade CIA-triaden:

• Konfidentialitet. Vem som får se den, och hur du håller alla andra ute.
• Riktighet. Om du kan lita på att datan inte har ändrats eller skadats.
• Tillgänglighet. Om den finns där när verksamheten behöver den.

Olika tillgångar lutar sig mot olika mål. En signeringsnyckel står och faller med konfidentialitet och riktighet. En kundvänd tjänst står och faller med tillgänglighet. Att skriva ner målen tvingar fram samtalet om vad du egentligen försvarar.

Lägg sedan till återställningsmål för allt som är kritiskt. Ett mål för återställningstid säger hur snabbt du behöver en tillgång tillbaka efter ett avbrott. Ett mål för återställningspunkt säger hur mycket data du har råd att förlora. De två siffrorna förvandlar "vi borde ha säkerhetskopior" till ett mål du kan testa och bevisa.

Kartlägg beroenden och tilldela ägare

Tillgångar står sällan för sig själva. Din faktureringstjänst är beroende av ett datalager, som är beroende av en molnregion, som är beroende av en leverantör. När en länk brister fortplantar sig effekten genom allt nedströms. En beroendekarta gör de kedjorna synliga innan en incident gör det.

Beroenden spelar störst roll när du resonerar om påverkan. Om en enda leverantör ligger under tio av dina tjänster är det en koncentrationsrisk du behöver se och hantera, och det är precis den typ av relation DORA vill att finansiella aktörer ska förstå.

Ägare sluter cirkeln. Varje tillgång behöver en namngiven tillgångsägare som är ansvarig för att hålla den klassificerad, uppdaterad och återställningsbar. Ägarskapet är det som gör registret till något levande i stället för en ögonblicksbild som ruttnar. När en ägare slutar blir överlämningen tydlig, inte en olycka som väntar på att dyka upp mitt under en revision.

Vad registret möjliggör

Här är varför inventeringen måste komma först: arbetet alla förknippar med ett moget säkerhetsprogram är beroende av den.

• Riskhantering. Du bedömer risk mot tillgångar. Utan listan är ditt riskregister gissningar, och du missar systemen ingen tänkte på att nämna.
• Konsekvensanalys. En verksamhetspåverkansanalys rangordnar tillgångar efter vad deras förlust skulle kosta. Du kan inte rangordna det du inte har inventerat, klassificerat och gett återställningsmål.
• Incidenthantering. Under en incident är de första frågorna alltid vad som är påverkat, vem som äger det och vad som är beroende av det. Om du svarar på dem ur minnet klockan två på natten har du redan förlorat tid du inte hade.

Hoppa över registret och var och en av de här blir en stressig jakt. Bygg det en gång, så hämtar de alla från samma källa.

Håll det kopplat i OptiTech

Ett register i ett kalkylark är inaktuellt dagen efter att du byggt det, och det är frånkopplat från allt det borde informera. OptiTech håller ditt tillgångsregister som en levande del av ditt program i stället för en statisk fil.

I OptiTech Console bär varje tillgång sin klassificering, sina säkerhets- och återställningsmål och sin plats i en beroendegraf du faktiskt kan se. Ännu viktigare är att varje tillgång kopplas till de risker, sårbarheter och kontroller som rör den. När en ny sårbarhet dyker upp kan du spåra den rakt till tillgångarna den påverkar och kontrollerna som är tänkta att täcka dem. När en revisor frågar hur du skyddar ett visst system är svaret en sammankopplad vy i stället för tre kalkylark och en gissning.

Kom igång

Du behöver inte kartlägga hela företaget innan registret börjar löna sig. En realistisk första omgång ser ut så här:

1. Lista dina mest kritiska system och datalager. Börja där den känsliga datan och intäkterna finns.
2. Klassificera var och en efter känslighet och kritikalitet, och tilldela en namngiven ägare.
3. Sätt säkerhets- och återställningsmål för allt verksamheten inte kan gå utan.
4. Kartlägg de uppenbara beroendena och koppla varje tillgång till sina kända risker och kontroller.

Ett tillgångsregister är inte den spännande delen av säkerhet, men det är delen allt annat står på. Bygg det en gång, håll det aktuellt, så blir din riskhantering, dina revisioner och din incidenthantering enklare på samma gång.

Redo att bygga ett tillgångsregister som kopplas till resten av ditt program? Boka en demo och se hur OptiTech länkar ihop dina tillgångar, risker och kontroller på ett ställe.