Policy för tillgångshantering

Policy för tillgångshantering (P12) fastställer organisationens krav för att identifiera, klassificera, hantera och säkra alla informationstillgångar genom hela deras livscykel. Dokumentet syftar till att leverera företagsövergripande tillsyn och styrning och stödjer hårdvara, programvara, data, moln, mobila, fjärr- och tredjepartsförvaltade miljöer. Kärnsyftet är att säkerställa att organisationen uppnår full insyn i sin tillgångsportfölj, vilket i sin tur möjliggör effektiva säkerhetskontroller, tilldelning av ägarskap, regelefterlevnad och ansvarsfulla avvecklingsrutiner. Tillgångar som styrs av denna policy omfattar ett brett spektrum: bärbara datorer, stationära datorer, mobila enheter, flyttbara lagringsmedia, skrivare, nätverksutrustning, programvara, databaser, säkerhetskopierade data, krypteringsnycklar, strukturerade data och ostrukturerade data, rapporter, e‑post, immateriella rättigheter, molnresurser, virtuella maskiner, användarkonton, kontrollbaslinjer, licenser med mera. Alla anställda, uppdragstagare, tredjepartstjänsteleverantörer och leverantörer som använder, hanterar eller får åtkomst till informationstillgångar som ägs eller kontrolleras av organisationen omfattas av policyn. Detta omfattar även tillgångar i fjärr-, hybrid- eller utlagda miljöer, vilket säkerställer att tillgångssäkerhet och spårbarhet inte äventyras av plats. Ett grundläggande mål är att upprätthålla en centraliserad, korrekt och uppdaterad tillgångsförteckning, förvaltad av IT Asset Manager och, där det är möjligt, integrerad med andra system för konfigurationshantering. Varje tillgång som registreras i denna förteckning ska innehålla obligatoriska metadata såsom unik identifierare, ägarskap, klassificering, plats och livscykelstatus. Tillgångsägare utses för varje tillgång och ansvarar för att säkerställa korrekt klassificering, skydd och periodisk validering av registeruppgifter. Klassificeringsprocessen utgör grunden för hela policyn och säkerställer att tillgångar märks och hanteras utifrån känslighet, kritikalitet och relevanta regulatoriska krav. Märkningsrutiner tillämpas för både digitala och fysiska tillgångar, och hanteringskrav, exempelvis kryptering, låst förvaring eller begränsad åtkomst, ska motsvara klassificeringsnivåerna. Policyn beskriver säkerhetskontroller i varje steg av tillgångens livscykel: introduktion, omfördelning, hantering, användning, säker återlämning vid offboarding samt säker bortskaffning. Den anger att användning av tillgångar ska följa godtagbar användning av organisationens tillgångar och förbjuder särskilt att återanvända tillgångar för personligt bruk, installera otillåten programvara eller kringgå kontroller såsom antivirus och kryptering. Regler för fjärranvändning av tillgångar kräver användning av virtuellt privat nätverk (VPN) eller säker transporttunnel och kan omfatta lösningar för hantering av mobila enheter och slutpunktshantering. Säker avveckling och destruktion behandlas tydligt och kräver kryptografisk radering eller fysisk destruktion med bekräftelse och dokumentation. För att stödja löpande regelefterlevnad och riskhantering integreras policy för tillgångshantering med organisationens riskregister och stödjer riskbedömning, hantering av undantag och revisionsprocesser. Överträdelser, såsom oregistrerade eller otillåtna tillgångar, felaktig bortskaffning eller inaktivering av kontroller, är skäl för eskalering och kan leda till disciplinära åtgärder, leverantörssanktioner eller rättsprocess. Periodiska policyöversyner involverar flera intressentgrupper och utlöses av regulatoriska förändringar, revisionsiakttagelser, informationssäkerhetsincidenter eller väsentliga operativa förändringar. Dokumentet avslutas med hänvisning till relaterade policyer: Åtkomstkontrollpolicy, Policy för informationsklassificering och hantering, Datalagringspolicy, Loggnings- och övervakningspolicy och Policy för incidenthantering (P30), vilket säkerställer att tillgångshantering utgör en central pelare i organisationens bredare styrningsstruktur. Denna policy är inte särskilt märkt som en policy för små och medelstora företag. Den är utformad för organisationer med utsedda team såsom IT, informationssäkerhetschef (CISO), IT Asset Manager samt olika intressenter inom regelefterlevnad och drift, och uppfyller de omfattande kraven i ISO/IEC 27001:2022 och stödjande ramverk.