Assetmanagement begint met een saaie maar nuttige vraag: wat hebben we eigenlijk? Voor een softwarebedrijf is het antwoord breder dan laptops en telefoons. Het gaat ook over klantapplicaties, broncode, documentatie, gegevens, accounts, externe diensten, mensen met toegang en intellectueel eigendom.
Als je niet weet welke assets bestaan, kun je ook niet goed bepalen wie ervoor verantwoordelijk is, welke informatie erin zit en wat er moet gebeuren als iets verandert. Daarom houden we een assetregister bij. Niet als spreadsheet om een spreadsheet te hebben, maar als geheugensteun voor de organisatie.
Zes soorten assets
We delen assets grofweg in zes soorten in:
- SaaS-diensten
- Klantapplicaties
- Mensen
- Hardware
- Intellectueel eigendom
- Data & informatie
Die indeling helpt omdat elk type andere vragen oproept.
Bij een klantapplicatie kijken we bijvoorbeeld naar omgevingen, afhankelijkheden, gegevensstromen en de beveiligingseisen van het project. Bij hardware gaat het om beheer, veilige configuratie en wat er moet gebeuren bij vervanging of inlevering. Bij mensen gaat het om rollen, training, toegang en wat er verandert bij instroom, doorstroom of vertrek.
Voor elk relevant asset leggen we een eigenaar vast. Een asset owner is de rol die erop let dat het asset blijft kloppen: doel, gebruik, classificatie, wijzigingen en eventuele afbouw. Dat voorkomt dat iets "van iedereen" is en daardoor in de praktijk van niemand.
Classificatie: wat vraagt extra zorg?
Een vast onderdeel van registratie is classificatie. We kijken naar vertrouwelijkheid, integriteit en beschikbaarheid: moet informatie geheim blijven, moet zij aantoonbaar juist blijven en hoe belangrijk is het dat het systeem beschikbaar is?
Die drie woorden worden vaak afgekort tot CIA. Het klinkt alsof we een zonnebril op moeten zetten, maar het is gewoon een praktische checklist:
| Aspect | Voorbeeld |
|---|---|
| Vertrouwelijkheid | Een systeem met gevoelige klantdata vraagt andere maatregelen dan een publieke websitepagina. |
| Integriteit | Een dataset die beslissingen beïnvloedt vraagt extra aandacht voor juistheid. |
| Beschikbaarheid | Een dienst die nodig is voor support vraagt aandacht voor beschikbaarheid. |
Classificatie is dus geen label voor de vorm. Het bepaalt hoe we omgaan met toegang, opslag, overdracht, back-up, logging, review en afbouw.
Nieuwe diensten eerst beoordelen. Voordat we een nieuwe externe dienst gebruiken, kijken we of die past bij de informatie die we eraan willen toevertrouwen. Daarbij letten we op:
- gegevenslocatie;
- ondersteuning voor sterke authenticatie;
- exportmogelijkheden;
- beschikbare beveiligingsverklaringen;
- subprocessors en auditmogelijkheden;
- het incidentproces;
- eigenaarschap van data.
Dat is vooral belangrijk bij SaaS en cloud. Daar werken we altijd in een gedeeld verantwoordelijkheidsmodel. Een leverancier kan veel beveiliging goed regelen, maar wij blijven verantwoordelijk voor de keuze, inrichting, toegang en het gebruik. "De leverancier doet security" is dus geen volledige zin.
Kernpunt: een leverancier regelt veel, maar wij blijven verantwoordelijk voor de keuze, inrichting, toegang en het gebruik.
Materiële wijzigingen tellen ook mee. Een dienst kan van eigenaar veranderen, functies kunnen verdwijnen, certificeringen kunnen verlopen of het gebruik kan groter worden dan oorspronkelijk bedoeld. Dan moet het asset opnieuw bekeken worden.
Inkoop hoort bij assetmanagement. Ook de inkoopprocedure raakt assetmanagement. Als we iets aanschaffen, willen we vooraf helder hebben wat er nodig is, waarvoor het wordt gebruikt en of er aanvullende vragen zijn. Bij twijfel stellen we die vóór de bestelling, zeker wanneer een aankoop meer impact heeft op werk, beveiliging of kosten.
Na bestelling hoort de administratieve kant erbij: een zakelijke factuur of bon, bij voorkeur als PDF, met voldoende informatie voor de boekhouding. Bij fysieke spullen hoort ook ontvangst, controle en zo nodig retour of herstel. Als het om hardware of een dienst gaat die informatie verwerkt of toegang geeft, komt daar registratie in het assetregister bij.
Zo loopt "iets kopen" niet los van beveiliging. Een nieuw apparaat, abonnement of hulpmiddel kan handig zijn, maar het moet ook beheersbaar worden.
Review en opruimen. Assets veranderen voortdurend. Mensen starten of vertrekken, hardware wordt vervangen, applicaties krijgen nieuwe koppelingen en diensten worden aangepast. Daarom werken we met periodieke reviews én met trigger-based updates: bij onboarding, offboarding, vervanging, nieuwe leveranciers, uitgefaseerde applicaties of belangrijke wijzigingen.
Opruimen is daarbij even belangrijk als toevoegen. Accounts moeten worden ingetrokken, data moet worden geëxporteerd of verwijderd, apparaten moeten veilig worden gewist en de status in het register moet kloppen.
Ons assetregister houden we actueel met continu verbeteren: ontbrekende assets, onduidelijke eigenaren of verouderde registraties worden verbeterpunten met een eigenaar.
Goed assetmanagement maakt beveiliging minder afhankelijk van geheugen. We weten wat er is, waarom het er is, wie erop let en wanneer er opnieuw naar gekeken moet worden.