Scope van de opdracht
Binnen iedere organisatie zijn bedrijfsmiddelen, sleutels, certificaten en softwarelicenties essentieel voor de continuïteit van de dienstverlening en de beveiliging van informatie. Het doel van deze opdracht was om inzichtelijk te maken welke kritieke assets aanwezig zijn, wie verantwoordelijk is voor deze assets, welke personen beschikken over fysieke en digitale sleutels en welke softwarelicenties binnen de organisatie in gebruik zijn. Door deze informatie centraal vast te leggen ontstaat meer grip op eigenaarschap, beheer, beveiliging en compliance en kan sneller worden gereageerd op wijzigingen binnen de organisatie.
Uitvoering van de opdracht
Voor deze opdracht zijn verschillende administratieve matrixen ontwikkeld waarmee bedrijfsmiddelen, sleutels en licenties op een gestructureerde wijze kunnen worden beheerd. Binnen de assetadministratie is gekozen om in ieder geval de belangrijkste bedrijfskritische assets vast te leggen. Afhankelijk van de organisatie kan dit worden uitgebreid met een volledige inventarisatie vanuit bijvoorbeeld Azure, Microsoft Intune of andere beheerplatformen. Per asset wordt vastgelegd wie eigenaar is, waarvoor het bedrijfsmiddel wordt gebruikt en welke afhankelijkheden er bestaan met andere processen en systemen.
Voor het beheer van fysieke sleutels is een aparte registratie ingericht waarin wordt bijgehouden welke sleutels zijn uitgegeven, aan wie deze zijn verstrekt en wanneer uitgifte of inname heeft plaatsgevonden. Om de beheersing verder te professionaliseren zijn hiervoor standaardformulieren ontwikkeld waarmee uitgifte en inname aantoonbaar kunnen worden geregistreerd. Een vergelijkbare werkwijze is toegepast voor bedrijfsmiddelen die aan medewerkers worden verstrekt.
Naast fysieke sleutels is aandacht besteed aan het beheer van digitale sleutels en certificaten. Hierbij worden certificaten geregistreerd inclusief vervaldatum, verantwoordelijke eigenaar en toepassingsgebied. Private keys worden versleuteld opgeslagen om ongeautoriseerde toegang te voorkomen. Daarnaast zijn mogelijkheden ingericht om certificaten periodiek te toetsen met externe beoordelingsplatformen zoals Internet.nl, SecurityHeaders.com en SSL Labs. Hierdoor ontstaat inzicht in de technische kwaliteit en veiligheid van de gebruikte certificaten en configuraties.
Voor softwarelicenties is een afzonderlijke licentiematrix ontwikkeld waarin licenties, contractinformatie, gebruikersaantallen, verlengingsmomenten en relevante licentiesleutels worden vastgelegd. Deze administratie wordt periodiek gecontroleerd zodat tijdig kan worden vastgesteld of aanvullende licenties nodig zijn, contracten moeten worden verlengd of ongebruikte licenties kunnen worden beëindigd.
Lessons Learned
Tijdens de uitvoering van deze opdracht werd duidelijk dat het beheer van assets, sleutels en licenties een continu proces is. Vooral in organisaties met veel personeelswisselingen, nieuwe apparatuur en regelmatig veranderende softwarelandschappen vraagt het actueel houden van deze registraties veel aandacht. Zonder duidelijke processen ontstaat al snel het risico dat informatie veroudert en het overzicht verloren gaat.
Een belangrijke les was het toepassen van de Lean-filosofie. In eerste instantie bestond de neiging om zoveel mogelijk gegevens vast te leggen en te beheren. In de praktijk bleek dit te leiden tot veel administratieve werkzaamheden zonder directe toegevoegde waarde. Door kritisch te kijken naar welke informatie daadwerkelijk nodig is voor beheer en besluitvorming kon de administratie aanzienlijk worden vereenvoudigd.
Een concreet voorbeeld hiervan was het beheer van hardware-assets. In plaats van iedere muis, toetsenbord of monitor afzonderlijk te registreren, is ervoor gekozen om alleen bedrijfskritische assets of assets met een hogere waarde individueel te beheren. Hierdoor werd de administratieve last sterk verminderd terwijl het inzicht in de belangrijkste bedrijfsmiddelen behouden bleef. Hetzelfde principe werd toegepast op softwarelicenties en certificaten, waarbij de focus kwam te liggen op systemen en toepassingen die daadwerkelijk relevant zijn voor de continuïteit en informatiebeveiliging van de organisatie.
Daarnaast bleek dat automatisering een belangrijke rol speelt bij het beheersbaar houden van deze registraties. Door koppelingen te maken met bestaande beheerplatformen kan veel informatie automatisch worden bijgewerkt, waardoor de kans op fouten afneemt en de kwaliteit van de gegevens verbetert. Hierdoor ontstaat een efficiënter beheerproces dat beter aansluit bij de dagelijkse praktijk van de organisatie.
Tot slot werd zichtbaar dat een actuele administratie niet alleen van belang is voor informatiebeveiliging en audits, maar ook een belangrijke bijdrage levert aan operationeel beheer, contractmanagement en bedrijfscontinuïteit. Wanneer duidelijk is welke assets aanwezig zijn, welke sleutels zijn uitgegeven en welke licenties actief zijn, ontstaat een stevige basis voor professioneel beheer en risicobeheersing.
Of het nu gaat om informatiebeveiliging, teamontwikkeling, projectleiding of technologie: ik geloof dat de beste oplossingen ontstaan door samen het gesprek aan te gaan. Ik maak graag tijd vrij voor een kennismaking.