IT-Bestandsaufnahme: wissen, welche Systeme den Betrieb wirklich tragen

Mehr als eine Geräteliste erfassen

Notieren Sie je System Zweck, Betreiber, Standort oder Dienst, zuständige Person und wichtige Abhängigkeiten. Ergänzen Sie vorhandene Versionen, Sicherungswege und Informationen zum Support, soweit sie nachgewiesen sind. Fehlende Werte bleiben als unbekannt markiert, statt durch Vermutungen eine vollständige Übersicht vorzutäuschen.

Ein hypothetischer Betrieb kennt alle PCs, übersieht aber ein extern beschafftes Formularportal. Dort laufen weiterhin Kundenanfragen ein, obwohl der ursprüngliche Projektverantwortliche ausgeschieden ist. Eine Befragung der Fachabteilungen kann solche Dienste sichtbar machen, die in einer rein technischen Netzwerkliste nicht auftauchen.

Informationen aus mehreren Wegen zusammenführen

Ausgangspunkt sind vorhandene Verträge, Verwaltungsoberflächen, Dokumentation und die Angaben zuständiger Personen. Technische Erfassung kann ergänzen, was im erlaubten Prüfbereich erreichbar ist. Ein Scan allein zeigt jedoch weder sämtliche Geschäftsabhängigkeiten noch, wer eine konkrete Änderung freigeben darf.

Ordnen Sie widersprüchliche Angaben nachvollziehbar ein. Wenn der Vertrag eine Sicherung nennt, aber kein Wiederherstellungstest bekannt ist, sind das zwei verschiedene Sachverhalte. Die Bestandsaufnahme sollte diese Differenz erhalten und daraus eine konkrete Prüfaufgabe ableiten, statt das System vorschnell als abgesichert zu bewerten.

Aus der Übersicht ein Arbeitsinstrument machen

Priorisieren Sie zunächst Systeme mit hoher Geschäftsabhängigkeit, breiten Berechtigungen oder unklarer Betreuung. Ergänzen Sie Verantwortliche für fehlende Informationen. Eine kleine, gepflegte Übersicht ist wertvoller als ein umfangreicher Export, dessen Stand niemand kennt und der nach der ersten Änderung veraltet.

CyberFixNow kann das Inventar mit Sicherheitsprüfung und Notfallplanung verbinden. Als allgemeiner Rahmen eignen sich die Identifikations- und Steuerungsaufgaben des NIST-Frameworks. Der konkrete Erfassungsumfang wird vereinbart; weder Netzwerkscan noch Dokumentenprüfung beweisen automatisch, dass jede unbekannte Ressource gefunden wurde.

Häufige Fragen