Assetregister bij ISO 27001 (A.5.9) met voorbeeld
Een assetregister is een lijst van alle informatie en bedrijfsmiddelen die belangrijk zijn voor je informatiebeveiliging, met per item een eigenaar. In ISO/IEC 27001:2022 is dit beheersmaatregel A.5.9 “Inventory of information and other associated assets” uit Annex A. Het register is het startpunt voor je risicoanalyse: je kunt alleen beschermen wat je kent.
“Asset” betekent bedrijfsmiddel. Dat is breder dan hardware. Ook een klantdatabase, een SaaS-dienst, een proces of de kennis van een sleutelmedewerker kan een asset zijn. Het NCSC behandelt het in kaart brengen van je middelen als eigen thema binnen asset management.
Kort antwoord: voor ISO 27001 A.5.9 maak je een overzicht van je informatie en de systemen, diensten en apparaten waarin die informatie staat. Elk item krijgt een eigenaar en een classificatie. Een spreadsheet is genoeg, zolang het register actueel is en aansluit op je risicoanalyse.
Wat eist A.5.9 van een assetregister?
ISO 27002:2022 werkt de maatregel uit. De kern: je stelt een inventaris op van informatie en bijbehorende bedrijfsmiddelen, je houdt die actueel, en je wijst per item een eigenaar aan. De norm schrijft geen vorm voor.
A.5.9 is het begin van een kleine reeks samenhangende maatregelen:
| Maatregel | Titel (ISO/IEC 27001:2022) | Wat het toevoegt aan je register |
|---|---|---|
| A.5.9 | Inventory of information and other associated assets | De lijst zelf, met eigenaar |
| A.5.10 | Acceptable use of information and other associated assets | Regels voor het gebruik, bijvoorbeeld in een gedragscode |
| A.5.11 | Return of assets | Inleveren van laptops en passen bij vertrek |
| A.5.12 | Classification of information | De classificatie per item |
| A.7.14 | Secure disposal or re-use of equipment | Veilig afvoeren aan het eind van de levensduur |
De eigenaar is de persoon die verantwoordelijk is voor de bescherming van het item. Dat is meestal geen IT-medewerker, maar de manager die het gebruikt. De eigenaar van de salarisadministratie is bijvoorbeeld het hoofd HR.
Voorbeeld assetregister ISO 27001
Hieronder staat een fictief register van een installatiebedrijf met 45 medewerkers. Het begint bij informatie en koppelt die aan de plek waar de informatie staat. Zo zie je direct welke systemen je moet beschermen en waarom.
| ID | Asset | Type | Bevat informatie | Eigenaar | Classificatie | Locatie of leverancier | Afhankelijk van |
|---|---|---|---|---|---|---|---|
| A-01 | Klant- en projectgegevens | Informatie | Namen, adressen, offertes, tekeningen | Commercieel directeur | Vertrouwelijk | CRM, SharePoint | A-10, A-11 |
| A-02 | Personeelsdossiers | Informatie | BSN, salaris, ziekteverzuim | HR-manager | Zeer vertrouwelijk | HR-pakket (SaaS) | A-12 |
| A-03 | Financiële administratie | Informatie | Facturen, bankgegevens | Financieel manager | Vertrouwelijk | Boekhoudpakket (SaaS) | A-13 |
| A-04 | Werkinstructies en prijslijsten | Informatie | Interne procedures | Hoofd bedrijfsbureau | Intern | SharePoint | A-11 |
| A-10 | CRM-systeem | Applicatie | A-01 | Commercieel directeur | Vertrouwelijk | Leverancier X, EU-datacenter | Internet, Entra ID |
| A-11 | Microsoft 365 | Clouddienst | A-01, A-04 | IT-manager | Vertrouwelijk | Microsoft, EU-regio | Entra ID |
| A-12 | HR-pakket | Clouddienst | A-02 | HR-manager | Zeer vertrouwelijk | Leverancier Y | Entra ID |
| A-13 | Boekhoudpakket | Clouddienst | A-03 | Financieel manager | Vertrouwelijk | Leverancier Z | MFA via app |
| A-20 | Laptops (38 stuks) | Hardware | Tijdelijk A-01, A-04 | IT-manager | Vertrouwelijk | Zie MDM-overzicht | Intune |
| A-21 | Tablets monteurs (22 stuks) | Hardware | Werkbonnen | Hoofd service | Intern | Zie MDM-overzicht | Intune |
| A-30 | Kennis van de planner | Mensen | Planningslogica, klantafspraken | Operationeel directeur | Intern | n.v.t. | Vervanging geregeld |
Let op twee keuzes in dit voorbeeld. Laptops staan als groep in het register, met een verwijzing naar het beheersysteem voor de serienummers. En “kennis van de planner” staat erin omdat het wegvallen van één persoon de beschikbaarheid raakt.
Hoe gedetailleerd moet een assetregister zijn?
Zo gedetailleerd als je risicoanalyse nodig heeft, en niet meer. Elke laptop met serienummer in je ISMS-register zetten is dubbel werk als je een apparaatbeheersysteem (MDM) hebt dat dat al bijhoudt. Verwijs dan naar dat systeem.
Een goede vuistregel: groepeer items met dezelfde eigenaar, dezelfde classificatie en hetzelfde risico. Splits pas als een item een afwijkend risico heeft. De laptop van de financieel directeur met lokale exports hoort bijvoorbeeld apart als dat risico groter is.
Assetregister opzetten in vier stappen
Begin bij de informatie
Vraag elke afdeling welke informatie ze gebruiken en wat er gebeurt als die uitlekt, verandert of weg is. Dat levert de eerste regels op.
Koppel informatie aan systemen
Noteer per informatiesoort waar die staat: welke applicatie, welke clouddienst, welke apparaten. Vergeet schaduw-IT niet, zoals een gratis planningstool die één team zelf gebruikt.
Wijs eigenaren en classificaties toe
Elke regel krijgt een eigenaar met naam of functie. Ken een classificatie toe volgens je classificatieschema.
Houd het actueel
Koppel het register aan je processen: inkoop van nieuwe software, in- en uitdienst, en het afvoeren van apparatuur. Plan een jaarlijkse review met alle eigenaren.
Wat vraagt de auditor als bewijs voor A.5.9?
Tijdens de ISO 27001-audit controleert de auditor vooral of het register volledig en actueel is. Verwacht deze toetsen:
- Steekproef vanuit de praktijk. De auditor ziet een applicatie op een scherm en zoekt die op in je register.
- Steekproef vanuit het register. Hij kiest een regel en vraagt de eigenaar wat zijn rol is.
- Koppeling met de risicoanalyse. Komen de belangrijkste assets terug in je risico’s?
- Laatste wijziging. Wanneer is het register voor het laatst bijgewerkt, en sluit dat aan bij recente veranderingen?
- Inleveren bij vertrek (A.5.11). Een uitdienstformulier waarop staat dat laptop en pas zijn ingeleverd.
Een register dat alleen hardware bevat, is de meest gemaakte fout. ISO 27001 begint bij informatie. Een lijst met laptops en servers zegt niets over waar je klantgegevens staan.
Veelgemaakte fouten bij een assetregister
IT als eigenaar van alles. IT beheert systemen, maar beslist niet hoe gevoelig klantdata is. Leg eigenaarschap bij het bedrijfsonderdeel.
SaaS-diensten ontbreken. Juist clouddiensten bevatten vaak je belangrijkste gegevens. Neem ze op en koppel ze aan je leveranciersbeheer.
Eenmalig gemaakt. Een register van anderhalf jaar oud mist nieuwe tools en bevat vertrokken medewerkers als eigenaar.
Te veel detail. Vijfhonderd regels die niemand bijhoudt, zijn minder waard dan veertig regels die kloppen.
Assetregister en je verklaring van toepasselijkheid
Het register is het bewijs bij A.5.9 in je verklaring van toepasselijkheid. Het staat ook in de lijst met registraties uit Annex A op de pagina verplichte documenten. Vrijwel elke organisatie past A.5.9 toe; uitsluiten is moeilijk te onderbouwen.
Veelgestelde vragen over het assetregister
Is een CMDB hetzelfde als een assetregister?
Niet helemaal. Een CMDB (configuratiedatabase) beschrijft technische onderdelen en hun samenhang. Het ISO 27001-assetregister begint bij informatie en eigenaarschap. Een CMDB kan een bron zijn voor je register.
Welke tool heb ik nodig voor een assetregister?
Een spreadsheet volstaat voor de meeste kleine en middelgrote organisaties. Een ISMS-tool helpt als je het register wilt koppelen aan risico’s en maatregelen.
Meer informatie
- Informatie classificeren: de classificatiekolom invullen
- Risicoanalyse: van asset naar risico
- Back-upbeleid: per systeem uit het register bepalen wat je back-upt
- Kwetsbaarheidsbeheer en patching: je register als basis voor patchen
- Annex A: alle 93 beheersmaatregelen
- ISO 27002:2022 : de implementatierichtlijn bij A.5.9