Hur går hanteringen av tillgångar enligt NIS 2 artikel 12.2 och ISO 27001 bortom en enkel lista?
I dagens regelefterlevnadslandskap handlar "tillgångshantering" inte längre om att bocka av en lista med hårdvara. Det är den levande bindväven i din organisations riskposition. Enligt NIS 2 artikel 12.2 och ISO/IEC 27001:2022 (särskilt A.5.9, A.5.10, A.7.10) definieras tillgångshantering som en enhetlig, aktuell regim som omfattar hårdvara, data, SaaS, molnplattformar, operativ teknik och äldre system. Moderna tillsynsmyndigheter – ENISA, nationella myndigheter och certifieringsorgan – kräver nu bevis på att varje tillgång inte bara är listad, utan klassificerad, tilldelad en ansvarig ägare, mappad till sin policymiljö, spårad genom varje livscykelhändelse och länkad till riskregister i realtid.
Risken är inte vad du spårar, utan vad du inte spårar. Synlighet är efterlevnad; allt annat är en belastning.
Jämför detta med det gamla paradigmet med statiska tillgångslistor, där poster uppdaterades kvartalsvis – ofta bara när revisionssäsongen närmade sig. Idag bygger efterlevnad på ett kontinuerligt uppdaterat register som drivs av realtidsarbetsflöden. Varje tillgång, oavsett om den är fysisk eller virtuell, mappas direkt till en ägare och operativa kontroller, dess status är redo för export i realtid och kan filtreras av revisorer med ett ögonblick av varsel (ENISA-vägledning).
ISMS.online accelererar denna metod genom att omvandla tillgångshantering till en dynamisk stamnätsstruktur som automatiskt länkar upphandling, tilldelning, överföring och avyttring till policygodkännanden, riskgranskningar och bevisloggar. Detta stänger blinda fläckar i efterlevnaden, minskar revisionströtthet och erbjuder en revisionsklar ansvarskedja.
Vilka är de viktigaste bristerna som avslöjas av NIS 2 och varför misslyckas de flesta tillgångsregister med granskning?
De typiska bristerna i register över äldre tillgångar blir tydligt uppenbara vid granskning av NIS 2 och ISO 27001. De flesta avvikelser härrör från tre ihållande källor: oregistrerade "skuggtillgångar", bristande spårbarhet av äganderätt och fragmenterade bevisspår.
De verkliga riskerna med skuggiga och föräldralösa tillgångar
Oregistrerade SaaS-inloggningar, tillfälliga molnarbetsbelastningar, mobila slutpunkter och övergivna säkerhetskopior undgår ofta statiska listor. Moderna attackytor förändras dagligen – om ditt register laggar är du helt enkelt omedveten om exponeringspunkter. NIS 2 gör det tydligt: fullständighet och aktualitet är inte "bra att ha" – de är inte förhandlingsbara.
- Skuggtillgångar: Oövervakade SaaS-verktyg, outnyttjad molnlagring eller enheter som utfärdas i all hast blir den "mjuka undersidan" av intrång eller misslyckade granskningar.
- Föräldralösa poster: Föråldrad utrustning, bortglömda databaser eller utgångna virtuella maskiner finns ofta kvar i systemet och döljer den verkliga risken.
Skillnaden mellan en godkänd revision och ett intrång är ofta en enhet eller inloggning som ingen insåg fortfarande var aktiv. (NCSC Asset Management)
Ägarskap utan tvetydighet
Revisorer och tillsynsmyndigheter insisterar nu på att varje tillgång har en namngiven, ansvarig ägare – inga "delade" eller generiska tillskrivningar. Missat ägande innebär missat ansvar; oklarheter finner dragningskraft.
Bevis som överlever granskning
Checklistor bleknar vid direktförhör. Revisorer vill se digitala signaturer, rollbaserade godkännanden och tidsstämplade ändringsloggar för varje betydande livscykelhändelse – inte i efterhand, utan på begäran under en genomgång. Utan dessa är kontrollerna effektiva, inte skyddande.
Bemästra NIS 2 utan kalkylbladskaos
Centralisera risker, incidenter, leverantörer och bevis i en enda ren plattform.
Hur testar tillsynsmyndigheter och revisorer hantering av tillgångar – och vilka bevis vill de ha?
När en extern revisor eller tillsynsmyndighet går igenom ert ISMS letar de inte efter en statisk "inventering". De kräver en dynamisk, filtrerbar och fullt spårbar ström av tillgångshändelser – från förvärv via användning till utrangering. Guldstandarden är snabb realtidsrespons: ni ska kunna få fram vilken tillgång som helsts aktuella status, ägare, riskklassificering, livscykelstadium och kontrolllänkar inom några sekunder, inte timmar eller dagar.
Revisionstabellens insatser
| Förväntan | Operationalisering – Hur man bevisar det | ISO/IEC 27001 / Bilaga A Referens |
|---|---|---|
| **Total tillgångsomfattning** (hårdvara, SaaS, data, moln) | Fält i tillgångsregistret: typ, klassificering, ägare, risk | A.5.9, A.5.12, A.5.13 |
| **Ägarskapskoppling** | Namn + roll, mappad till användning/loggar, digital signering | A.5.10, A.5.15, A.7.10 |
| **Fullständiga bevis** | Tidsstämplade loggar, spårning av livscykeländringar, godkännande av e-signaturer | 7.5.3, A.8.15, A.8.17, 10.1 |
Live-"genomgångs"-utmaningen
- Spåra tillgångars status när som helst i dess livscykel, med alla policytilldelningar, godkännanden och överlämningar digitalt dokumenterade.
- Filtrera efter avdelning, plats, risknivå eller kontroll för att besvara revisorernas frågor på ett ögonblick.
- Markera vilka tillgångar som är försenade för granskning eller avyttring – vilket visar inte bara efterlevnad utan även proaktiv styrning.
Var och en av dessa förväntade rader måste enkelt kunna exekveras under en revision på plats eller på distans. I ISMS.online är filtreringar och exporter live, och revisionspaket genereras på några minuter – varje tillgång mappas till dess kontrollreferenser, länkade bevis och ägarens digitala signering.
Hur ska du mappa varje tillgång till kontroller, risker och bevis – inte bara spåra en lista?
Passiv spårning är dödvikt: dynamisk tillgångshantering kopplar samman varje tillgång med dess riskklassificering, tillämpliga policyer, kontrollkrav och rollbaserade godkännanden inom ett enhetligt ISMS. Detta är viktigt inte bara för framgångsrika revisioner, utan även för operativt försvar – eftersom ofullständig kartläggning är detsamma som ohanterad risk.
Verklig tillgångskartläggning i praktiken
- Registrering av en slutpunkt (t.ex. ny bärbar dator): utlöser registeruppdatering, ägartilldelning och kopplar den till policyer för användning, behörighet och säker bortskaffning. Risknivån ställs in och ägaren meddelas för introduktionsutbildning eller policygranskning.
- Registrering för SaaS-system: kräver ägar- och användartilldelning, registrerar vilka policyer som gäller och loggar varje eskalering eller avregistrering av privilegier.
- Bevis följer automatiskt med – varje redigering, överlämning till ägare och policyhändelse loggas och tidsstämplas, vilket bildar en försvarbar spårbarhetskedja.
Spårbarhetstabell: Livscykelhändelser till bevis
| Händelse (utlösare) | Risk/kontrolluppdatering | ISO-kontroll | Bevis loggad |
|---|---|---|---|
| Förvärv av tillgångar | Slutpunktsrisk, ägare | A.5.9, A.5.10 | Register + digital signering |
| Ägarbyte | Åtkomstgranskning/revision | A.5.11, A.5.15, A.7.10 | Godkännares signering, uppdaterade åtkomstloggar |
| Säker avfallshantering | Risk för dataläckage | A.7.10 | Förstörelseregister, signering |
Dessa kartläggningar låter dig ge svar på "vem gjorde vad, när, med vilken tillgång – under vilken kontroll och policy" på ett ögonblick. Revisorer och styrelser ökar förtroendet när de ser denna nivå av tydlighet.
En tillgång som inte är synkroniserad med sina kontroller är inte bara en efterlevnadsrisk – det är en potentiell incident som väntar på att hända. (ENISA, 2023)
Var NIS 2-redo från dag ett
Lansera med en beprövad arbetsyta och mallar – bara skräddarsy, tilldela och kör.
Livscykeldriven tillgångshantering: Vilka steg krävs för kontroll från vagga till grav?
Livscykelbaserad tillgångshantering är där tillgångshanteringen gör sin anspråk enligt NIS 2. Varje fas, från upphandling till slutlig avveckling, kräver utlösbara arbetsflöden, rollbaserade tilldelningar och loggade godkännanden.
Flöde från vagga till grav: Vad som krävs i varje steg
- Förvärv: Tillgången registreras omedelbart, märks med ägare och klassificering, före operativ användning.
- Aktiv användning: Varje överlämning, eskalering/minskning av privilegier eller konfigurationsändring loggas. Automatiserade påminnelser säkerställer regelbunden granskning.
- Överföring/tilldelning: Ägarförändringar (inklusive personalavgångar eller rollbyten) leder till digitala signeringar och uppdateringar av tillhörande risk-/tillämplighetsfält.
- Avyttring/utrangering: Loggar för säker destruktion eller avveckling måste visa dubbelt godkännande och länka till motsvarande register över dataradering och återkallande av behörighet.
Med ISMS.online utlöser varje livscykelhändelse en tilldelning, ett meddelande och ett rollverifierat godkännande – vilket lämnar ett outplånligt, exporterbart granskningsspår. Tillgångar kan aldrig försvinna utanför systemet utan uttrycklig, loggad åtgärd.
Tabell för livscykelbevisbrygga
| Etapp | Obligatoriskt steg | Bevis skapade |
|---|---|---|
| Sök | Ägartilldelning, klassificering | Användarregister, köplogg, ägarens e-signatur |
| Använda | Policy-/händelselogg, regelbunden granskning | Granska loggar, ägarbekräftelser |
| Pensionera/kassera | Dubbelt godkännande, destruktion undertecknad | Förstöringsregister, spårbarhetsfil |
Hur klarar högpresterande EU-företag tillsynsmyndigheternas stickprovskontroller av tillgångshantering?
Erfarna organisationer använder sina ISMS för att visa hur kapitalförvaltningen fungerar. Så här presterar framgångsrika EU-företag under tillsyn av tillsynsmyndigheter:
- Live-register med fullständig livscykelmappning.: Varje tillgång, inklusive moln och SaaS, finns inom ett enda, filtrerbart system, mappat till policyer, risknivåer och kontroller.
- Spårbarhetsloggar kan exporteras på begäran.: Digitala revisioner minskar granskningstiderna; tillsynsmyndigheter ser historik, inte bara nuläge.
- Ledningspaneler visar fullständighet för personal, tillgångar och kontroller.: Luckor och förseningar flaggas proaktivt – inte som överraskningar vid revisioner.
Den enklaste revisionsfrågan är den du kan besvara just nu – med bevisen till hands och kopplade till kontroller.
ISMS.online-superanvändare genererar granskningspaket efter tillgångstyp, ägare eller kritisk funktion – batch-exporterade med signaturer och tidslinjer. Dessa paket utgör grunden för att visa efterlevnad eller svara på förfrågningar från registrerade personer om regulatoriska uppgifter och utredningar av intrång.
Alla dina NIS 2, allt på ett ställe
Från artiklarna 20–23 till revisionsplaner – kör och bevisa efterlevnad, från början till slut.
Varför manuella register är föråldrade – och hur ISMS.online automatiserar revisionsklar tillgångshantering
Skiftet går från manuellt, kalkylbladsdrivet slit till automatiserad, ständigt pågående evidensuppbyggnad. ISMS.online ersätter osammanhängande listor, e-postöverlämningar och muntliga godkännanden med en integrerad compliance-plattform.
Vår automatiseringsmetod
- Importera tillgångar från befintliga listor eller via API; omedelbar tilldelning och obligatoriska godkännanden utlöses för varje ny post.
- Viktiga livscykelövergångar (problem, rollbyte, avyttring) leder till snabb policygranskning och uppdatering av evidensloggen.
- Ägarskap och historik mappas framåt för varje tillgång, vilket säkerställer inga skuggposter, föräldralösa data eller datarester.
- Med exportfiltre kan du paketera bevis för revisorer efter tillgångstyp, ägare, livscykelstadium eller kontrolllänk.
Oro kring tillgångshantering försvinner när ert ISMS lyfter fram varje händelse, ägare och policy – inga fler missade steg eller krångel vid revisionstillfället. (ENISA, 2023)
Personaltimmar som tidigare förbrukats på att retrospektivt "städa upp" i tillgångsregistret blir överskott för verkliga riskförbättringar – vilket ökar driftssäkerheten och andelen godkända revisioner.
Den revisionsklara efterlevnadsloopen: Gör tillgångshantering till din efterlevnadsgrund
När ert tillgångsregister uppfyller tillsynsmyndigheters och revisorers förväntningar från början – varje enhet, system, SaaS-inloggning och molnplattform dokumenteras, kartläggs och ägs för att säkerställa efterlevnaden. ISMS.online levererar inte bara ett levande tillgångsregister, utan en kartlagd miljö där kontroller, policyer och digitala bevis rör sig i affärshastighet.
Modern efterlevnad innebär att ha en aktiv, kartlagd och exportklar tillgångsmiljö som kopplar samman kontroller, minskar risker och låter revisioner bli en formalitet, inte en brandövning.
Förvandla tillgångshantering till en förtroendeaccelerator: jämför din nuvarande status, testkör liveexporter och se hur ISMS.online täcker luckor från dag ett.
Anslut nu för en verklighetstrogen genomgång eller nedladdningsbara revisionsklara mallar – se din tillgångshantering omvandlas till en konkurrenskraftig, varaktig och revisionsbevisad fördel.
Vanliga frågor om partihandel med mat och dryck
Vem fastställer reglerna för hantering av tillgångar enligt NIS 2 artikel 12.2 och ISO 27001, och vad innebär detta i praktiken?
Hantering av tillgångar lämnas inte åt tolkning – det definieras gemensamt av din tillsynsmyndighet under NIS 2 (oftast en nationell cybersäkerhetsmyndighet) och av det globalt erkända ISO/IEC 27001:2022-ramverket. Denna dubbla auktoritet gör hantering av tillgångar till en obligatorisk, granskningsbar disciplin för organisationer inom reglerade sektorer i EU och alla ISO 27001 -certifierade företag världen över. Standarden kräver att du registrerar, klassificerar, tilldelar, övervakar och slutligen kasserar alla informationstillgångar: inte bara IT-hårdvara, utan moln- och SaaS-konton, tredjepartsenheter, proprietär programvara, affärskritiska data, media och till och med fysiska dokument.
Sann efterlevnad innebär att varje tillgång är synlig, varje ägare ansvarig och varje aktivitet – från onboarding till avyttring – skapar ett spårbart, digitalt bevisspår.
Ansvaret delas. Chefer och styrelseledamöter (dataägare, IT-chefer) fastställer styrning och policy, men IT-/säkerhets- och affärsprocessägare måste hålla register uppdaterade, händelser loggade och kontroller mappade i varje livscykelfas. Det innebär att tillsynsmyndigheter och revisorer förväntar sig att din organisation ska kunna visa upp ett levande system – inte en statisk lista, utan ett uppdaterat, rollmappat register kopplat till policyer och kontroller, redo för export och detaljnivåer i realtid.
Viktiga kontrollpunkter för livscykeln förväntar sig tillsynsmyndigheter:
- Förvärv: Ingen tillgång tas i bruk utan registerpost och namngiven ägarskapsinnehavare.
- Aktiv användning: Tilldelning, åtkomst och policybekräftelse loggas digitalt.
- Överföring/avfallshantering: Varje förflyttning eller förstörelse lämnar en granskningsbar signatur, med uttryckligt godkännande.
- Föräldralösa barn/undantag: Otilldelade tillgångar upptäcks snabbt och riskbehandlas – ignoreras aldrig.
Utforska ENISA:s officiella NIS 2-riktlinjer.
Vilka tillgångstyper ingår, och hur bygger man en kompatibel, evidensklar process för tillgångsförvaltning?
Både NIS 2 och ISO 27001 kräver att alla tillgångar som kan påverka informationssäkerheten inkluderas , oavsett format eller teknik. Det betyder att din process sträcker sig långt bortom bärbara datorer eller servrar – den omfattar SaaS, molnkonton, fjärr-/användarenheter, tredjepartstillgångar, kodbaser, operativa data, papper och flyttbara medier.
Typiska tillgångskategorier och deras beviskrav
| Kategori | Exempel | Bevis krävs |
|---|---|---|
| hårdvara | Bärbara datorer, servrar, telefoner | Register, ägarloggar, tilldelningsregister |
| Moln/SaaS | CRM, produktivitetssviter | Konto-/provisioneringsloggar, policykartor |
| Papper/Media | Kontrakt, USB, rapporter | Hantering av loggar, destruktionsintyg |
| Tredjeparts-/BYOD-tjänster | Leverantörsbärbara datorer, hemdatorer | Leverantörsregister, samtyckesloggar, åtkomstspår |
| Proprietär programvara | Anpassad kod, verktyg | Källkontroll, användar-/granskningsloggar |
Fem viktiga saker för revisionssäker tillgångshantering
- Registrera allt: Ingen tillgång används förrän den är registrerad och tilldelad.
- Bindande policy: Alla uppdrag inkluderar bekräftelse av digital policy.
- Händelseloggutlösare: Alla ändringar (ägarskap, behörighet, plats, avyttring) skapar en systemlogg.
- Bevis på avyttring: Förstöring eller överföring loggas och signeras alltid; händelser som endast på papper klarar inte granskningen.
- Kontinuerlig granskning: Regelbundna, automatiserade påminnelser säkerställer att tillgångar och bevis aldrig faller utanför räckvidden.
En process som uppfyller kraven anpassas när nya risker, kontroller eller tillgångstyper uppstår – aldrig ett engångsdokument.
Var misslyckas de flesta organisationer med NIS 2- och ISO 27001-revisioner av tillgångshantering, och vilka är de dolda fällorna?
Revisionsmisslyckanden beror sällan på dramatiska försummelser – de beror på rutinmässiga brister som ackumuleras. Externa revisorer och tillsynsmyndigheter ser dessa varje månad:
- Skuggtillgångar: SaaS-verktyg, BYOD eller äldre konton som fungerar utanför det officiella registret eller utan mappade ägare.
- Överlåtna/ej tilldelade tillgångar: Enheter eller användarkonton som lämnas kvar efter att personalen slutat, uppdateras sällan och ligger utanför regelbundna granskningscykler.
- Endast manuella spår: Kassering, åtkomst eller överlämning hanteras via e-post eller papper – saknas i digitalt register eller är inte undertecknat vid åtgärdstillfället.
- Trasig policykedja: Viktiga livscykelåtgärder (överföring, förstörelse) är inte kopplade till kontroller eller godkännande, vilket leder till avbrott i revisionskedjan.
- Missade recensioner: Tillgångar som hoppats över i rutinkontroller, särskilt efter organisationsändringar eller nya regler.
Revisorer kräver nu omedelbara, filtrerbara registerexporter som täcker tillgångar, ägare, mappade kontroller, policykopplingar och signerade händelseloggar.
Den kritiska skillnaden mellan granskningsklar och misslyckad är att bevisa att varje överlämning, privilegiumändring eller kasseringssteg loggades och auktoriserades – utan dröjsmål eller kryphål.
Klassiska revisionsutlösare som avslöjar svagheter:
- Bärbara datorer tilldelade eller borttagna "i nödfall", utanför böckerna.
- SaaS- eller molnverktyg som utvecklats av affärsenheter, upptäcks endast genom oväntad fakturering eller incidenter.
- Förstöring av tillgångar bekräftad via chatt/e-post, finns inte i registret.
- Föräldralösa efter att användaren avslutat, lämnas okranskade.
- Alla bevis i pappersformat eller ad hoc-filer, omöjliga att filtrera eller exportera.
Referens:
Vilka bevis kommer revisorer och tillsynsmyndigheter att kräva fram till 2025, och vad kvalificerar som "revisionsklart"?
Senast 2025 måste ni producera exportklara digitala bevis för varje tillgång och varje livscykelhändelse – omedelbart, filtrerbart och spårbart från anskaffning till destruktion.
Primära beviskrav
| Event | Registerloggad | Klar för skärmvisning/export? |
|---|---|---|
| Överlåtelse/äganderätt | Ja | Ja |
| Policybekräftelse | Ja | Ja |
| Ändring av åtkomst eller behörighet | Ja | Ja |
| Överföring/avfallshantering/förstöring | Ja (dubbel signering) | Ja |
| Incident, granskning eller varning | Ja | Ja |
Bevisen är inte fullständiga om de inte är:
- Digitalt bevarat: E-post eller papper räcker inte som primärt bevis.
- Kartlagd från början till slut: Tillgång → Ägare → Åtgärd → Kontroll/Policy → Signatur/Tidsstämpel.
- Omfattande: Inkluderar nya, överförda, granskade, omtilldelade eller pensionerade tillgångar.
- Filtreringsbar/exporterbar: Styrelse, revisor eller tillsynsmyndighet kan skanna efter tillgång, händelse eller ägare på begäran.
Checklistor i pappersformat kan komplettera men kan inte ersätta systemloggar som granskningsbara bevis.
Hur kopplar högpresterande organisationer samman tillgångar, kontroller, risker och bevis för att skapa motståndskraft, revisionsberedskap och förtroende?
De bästa teamen i sin klass behandlar inte tillgångshantering som en silo – de kopplar varje tillgång till policyer, mappade kontroller , riskposter, användarhändelser och incidentgranskningar. Varje ny tillgång eller förändring utlöser inte bara en logg, utan en dominoeffekt över alla säkerhetsdomäner.
| Exempel på tillgång | Ägare | Tillämpade kontroller | Livscykelstatus | Bevis/Evidens |
|---|---|---|---|---|
| Bärbar dator #3481 | J. Smith | A.5.9, A.5.10 | Registrerad, i bruk | Registrera, uppdragslogg |
| Google Suite | Juridiskt team | A.5.9, A.8.13 | Tillhandahållen, granskad | Registrera, kontologg, granska |
| Leverantörsdator | Marketing | A.5.9, A.7.7 | Spårad, granskad | Leverantörsregister, bevisinmatning |
Hur spårbarhet upprätthålls i ett kompatibelt arbetsflöde
| Trigger | Riskregistrering | Kontrollreferens | Bevis krävs |
|---|---|---|---|
| Ny introduktion av tillgångar | Registret uppdaterades | A.5.9 | Tilldelning, kontrollkarta |
| Ändring av privilegier | Åtkomstgranskning | A.5.10 | Signerad logg, exportera |
| Förstöring av tillgångar | Risk för särläkemedel flaggad | A.5.11, A.7.10 | Certifikat, signering |
| Missad granskning/påminnelse | Bristande efterlevnad | A.5.10, A.5.11 | Systemlogg, post |
Automatiserade ISMS-plattformar , som ISMS.online, bundlar dessa länkar som standard: varje registerhändelse, policytilldelning, granskning eller borttagning är kopplad till kontroller och kan hämtas omedelbart.
Hur kan ni mäta er efterlevnad av regler för hantering av tillgångar – och vad bevisar att ni verkligen är "redo för revision"?
Ett revisionsklart tillgångshanteringssystem säkerställer att:
- Inga tillgångar – hårdvara, SaaS, leverantörer, data eller kod – är osynliga eller föräldralösa.
- Varje händelse (tilldelning, användning, överlämning, granskning, pensionering) loggas, signeras och mappas, med systempåminnelser som utlöser granskningar.
- Varje kontroll eller policy som mappas till en tillgång bekräftas digitalt och granskas, den arkiveras aldrig bara.
- Registerstatus, rapporter och bevis kan exporteras direkt, sorterat efter tillgång, ägare, livscykelhändelse eller mappad kontroll, för att tillgodose alla typer av revisions- eller styrelseförfrågningar.
Snabb självkontroll: Är du redo för revision?
- Är ert tillgångsregister komplett och aktivt, med alla tillgångar tilldelade och kategoriserade – inklusive tredjeparts-, SaaS- och BYOD-tjänster?
- Skapar varje betydande händelse (ägande, granskning, förstörelse) en digitalt signerad, tillgänglig post?
- Loggas recensioner och påminnelser och kan exporteras, och lämnas de aldrig kvar i e-post eller minne?
Team som går från brandövningar i revisioner till förtroende i styrelserum är de vars tillgångsregister är skärmklara, fullständigt mappade och integrerade – inte kalkylbladsskuggor som väntar på att bli upptäckta.
Med ISMS.online kan du massimportera tillgångar, automatisera påminnelser och granskningar och utlösa export av revisioner – vilket gör att din revisionsposition blir en kanal för förtroende, inte ångest.
ISO 27001:2022 revisionsbrygga mellan förväntan och operativa bevis
| Revisionsförväntan | Operationalisering | ISO 27001 / Bilaga A Ref. |
|---|---|---|
| Varje tillgång som är registrerad/ägd | Registrera + namngiven ägare | A.5.9, A.5.10 |
| Alla evenemang digitala, spårbara | Systemloggar + exporterbara rapporter | A.7.10, A.5.11 |
| Kontroller/policyer korsmappade | Länkat register, policypaket | Alla kartlagda bilagor |
| Aktiv gransknings-/påminnelseloop | Automatiserade loggar, signeringar | A.5.9, A.5.10 |
Exempel på spårbarhet
| Trigger | Riskregistrering | Kontroll/SoA | Bevis loggad |
|---|---|---|---|
| Resurs ombord | Registrera | A.5.9 | Tilldelning, policy ACK |
| Ägarbyte | Privatuppdatering | A.5.10, A.7.10 | Signerad händelse, logg |
| Förstörelse | Risk för sällsynta läkemedel | A.5.11, A.7.10 | Certifikat, signering, logg |
| Missad recension | Bristande efterlevnad | A.5.10, A.5.11 | Påminnelse, granskningslogg |
Redo att se en live, revisionsklar beviskedja?
Importera dina tillgångsdata, kör en registerexport och upplev skillnaden mellan orolig efterlevnad och förtroende på styrelsenivå. Din nästa framgångsrika revision börjar med att göra tillgångshantering till ett system, inte ett lapptäcke.
