ISA 1.3 Assetmanagement

Alle informationssicherheitsrelevanten Assets des Unternehmens sind einer Assetklasse zugeordnet. Assets einer Klasse unterliegen den selben Bedrohungen und derselben Klassifikation und dienen daher als Basis für die Risikobeurteilung und -behandlung. Wichtig ist die Berücksichtigung von Informationen als Assetklasse. Für Assetklassen und die zugeordneten Informationsträger müssen die Verantwortlichen benannt werden.

Durch die Einführung von geeigneten Assetklassen kann der von VDA ISA geforderte Verwaltungsaufwand deutlich reduziert werden.

Ein weiteres Ziel einer Klassifizierung von Informationswerten ist die beständige Ermittlung ihres Schutzbedarfs. Zu diesem Zweck wird der Wert der Information für die Organisation auf Basis der Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) ermittelt und in ein Klassifizierungsschema eingeordnet. Dies ermöglicht der Organisation die Umsetzung von angemessenen Schutzmaßnahmen.
Bei organisationsfremden IT-Diensten, die mit verhältnismäßig geringen Kosten oder kostenfrei genutzt werden können, besteht ein erhöhtes Risiko, dass die Beschaffung und Inbetriebnahme ohne geeignete Berücksichtigung der Informationssicherheitsanforderungen erfolgt und somit die Sicherheit nicht sichergestellt wird. Es werden keine organisationsfremden IT-Dienste ohne explizite Bewertung und Umsetzung der Informationssicherheitsanforderungen eingesetzt
Die Informationsverarbeitung erfolgt meist mit spezieller Software. Sicherheitsprobleme in der Software werden leicht zu einem Risiko für die verarbeiteten Informationen. Entsprechend muss die Software angemessen verwaltet werden.

Folgende Dokumente sind in dem Produkt vorhanden:

ISA 1.3.1 Assetklassen und Assetverzeichnis (.xlsx)
ISA 1.3.1 Assetliste_Standardkunde(xlsx)
ISA 1.3.2 Regelungen für die Klassifizierung von Informationen – Schutzmatrix
ISA 1.3.3 Richtlinie zur Freigabe externer IT-Dienste
ISA 1.3.4 Umgang mit Software Installation und Software Whitelist.docx

Diese Dokumente müssen an die Unternehmenssituation angepasst werden