Du erfasst deine Systeme, Dienstleister und Standorte einmal als Assets und verknüpfst sie mit den Geschäftsprozessen, die sie nutzen. Den Schutzbedarf jedes Assets berechnet das ISMS-Modul dann selbst: Vertraulichkeit, Integrität und Datenschutz kommen aus den Informationen, die Verfügbarkeit aus der Business-Impact-Analyse. So siehst du sofort, welche Systeme für dein Geschäft kritisch sind, und kannst den Schutzbedarf im Audit begründen.
Voraussetzungen
- Jede Rolle darf Assets anlegen. Bearbeiten darfst du ein Asset, wenn du unter Personen als Verantwortlich oder Beteiligte Person eingetragen bist oder die Rolle Key User oder Admin hast.
- Die Asset-Kategorien sind angelegt. Kategorien pflegen Key User und Admins unter Einstellungen > Kategorien.
- Für Abhängigkeiten vom Prozess aus brauchst du Bearbeitungsrechte am Geschäftsprozess.
Asset anlegen
Unter Sekundäre Assets in der Navigation hat jede Asset-Kategorie deiner Organisation einen eigenen Eintrag, zum Beispiel Software, Hardware oder Lieferanten.
- Klicke in der Navigation auf die passende Kategorie.
- Klicke oben rechts auf + Erstellen.
- Gib einen Titel ein und wähle die Kategorie. Die Kategorie ist bei Assets Pflicht und kann nicht entfernt werden.
Den Lebenszyklus eines Assets steuern
Jedes neue Asset startet im Status Vorgeschlagen. Über das Menü … auf der Detailseite bringst du es durch seinen Lebenszyklus. So siehst du jederzeit, welche Systeme noch geprüft werden und welche produktiv laufen.
| Status | Bedeutung | Nächste Aktion im Menü … |
|---|---|---|
| Vorgeschlagen | Neu erfasst, noch nicht geprüft | Prüfung starten oder Verwerfen |
| In Prüfung | Wird geprüft | Für den Einsatz freigeben oder Verwerfen |
| Im Einsatz | Produktiv im Einsatz | Außer Einsatz nehmen |
| Außer Einsatz | Lebensende erreicht, die meisten Änderungen sind gesperrt | Reaktivieren, danach wieder Vorgeschlagen |
Abhängigkeiten anlegen
Abhängigkeiten zeigen, welcher Prozess welches Asset nutzt und welche Informationen dabei verarbeitet werden. Erst über sie erbt ein Asset seinen Schutzbedarf.
| Richtung | Wo du sie anlegst | Erlaubt? |
|---|---|---|
| Geschäftsprozess → Asset | Am Prozess unter Genutzte Assets | ✓ |
| Asset → Asset | Am Asset unter Nutzung („Asset hinzufügen, das dieses Asset nutzt“) | ✓ |
| Asset → Geschäftsprozess | – | nein |
| Geschäftsprozess → Geschäftsprozess | – | nein |
So verknüpfst du einen Prozess mit einem Asset
- Öffne den Geschäftsprozess und klicke in der Seitenleiste bei Genutzte Assets auf +.
- Suche das Asset und wähle es aus.
- Wähle den Abhängigkeitsmodus (siehe unten).
- Hake die Informationen an, die über dieses Asset verarbeitet werden. Die Anzeige „n von n Informationen ausgewählt“ zeigt dir, wie viele du gewählt hast.
- Klicke auf Abhängigkeit hinzufügen.
Abhängigkeiten zwischen zwei Assets, etwa CRM nutzt Datenbankserver, legst du genauso am nutzenden Asset unter Nutzung an.
Den passenden Abhängigkeitsmodus wählen
Der Modus legt fest, wie stark ein Ausfall des Assets auf die Verfügbarkeit durchschlägt. Wähle ihn ehrlich: Er entscheidet, wie schnell das Asset wieder laufen muss.
Erforderlich
Ohne das Asset steht der Prozess sofort
Ein Ausfall schlägt sofort durch, es gibt keinen tragfähigen Workaround. Das Asset übernimmt die Verfügbarkeitskurve des Prozesses unverändert.
Wann nutze ich das?
- Das CRM für den Prozess „Angebot erstellen“
- Die Maschinensteuerung in der Fertigung
Workaround möglich
Es gibt vorübergehend einen Ausweg
Fällt das Asset aus, kannst du eine Zeit lang anders weiterarbeiten. Die Verfügbarkeitsanforderung verschiebt sich deshalb um einen BIA-Zeitraum nach hinten.
Wann nutze ich das?
- Angebote lassen sich übergangsweise mit einer Vorlage erstellen
- Ein Ersatzgerät steht bereit
Optional
Für die Verfügbarkeit nicht nötig
Das Asset wird genutzt, sein Ausfall gefährdet den Prozess aber nicht. Die Verfügbarkeit wird nicht weitergegeben. Vertraulichkeit, Integrität und Datenschutz der verknüpften Informationen erbt das Asset trotzdem.
Wann nutze ich das?
- Ein Reporting-Tool, das nur gelegentlich genutzt wird
So entsteht der Schutzbedarf am Asset
Unter Schutzbedarf zeigt dir das Asset seinen abgeleiteten Schutzbedarf. Du musst ihn nicht selbst bewerten, das ISMS-Modul berechnet ihn aus deinen Prozessen und Informationen.
| Informationen und BIA V, I und Datenschutz an den Informationen, Verfügbarkeit aus der BIA des Prozesses | → | Abhängigkeit Angehakte Informationen und Abhängigkeitsmodus | → | Schutzbedarf am Asset Berechnet, nicht bearbeitbar |
| Schutzziel | Wie es berechnet wird |
|---|---|
| Vertraulichkeit und Integrität | Höchster Wert aller Informationen, die an den Abhängigkeiten dieses Assets angehakt sind (Maximalprinzip). |
| Datenschutz | Personenbezogen, Art. 9 oder Art. 10 DSGVO, sobald mindestens eine dieser Informationen das Merkmal hat. |
| Verfügbarkeit | Verfügbarkeitskurve aus den BIAs der Prozesse, weitergegeben über die ganze Abhängigkeitskette. Jede Abhängigkeit mit Workaround möglich verschiebt die Kurve um einen Zeitraum. Nutzen mehrere Prozesse das Asset, gilt je Zeitraum der höchste Wert. |
Die Verfügbarkeit siehst du als Zeitreihe über die BIA-Zeiträume. Hängt kein Prozess mit Verfügbarkeitswirkung am Asset, steht dort „Keine Verfügbarkeitsauswirkung übertragen.“
Beispiel
Der Prozess „Angebot erstellen“ hat eine MTA von 24 Stunden und verarbeitet Kalkulationsdaten (V und I schwerwiegend) sowie Kundenkontaktdaten (personenbezogen). Du verknüpfst das CRM mit dem Modus Erforderlich und hakst beide Informationen an. Das CRM erbt damit Vertraulichkeit und Integrität „schwerwiegend“, das Merkmal personenbezogen und die Verfügbarkeitskurve des Prozesses.
Zusammenhänge im Graph sehen
Auf der Detailseite von Prozess und Asset zeigt dir der Bereich Abhängigkeiten alle Verbindungen als Graph. Du kannst die Tiefe einstellen, zoomen und mit Ansicht zentrieren zurück zur Mitte springen. So erkennst du schnell kritische Infrastruktur, etwa einen Server, von dem viele Prozesse abhängen.
Verwandte Artikel
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren