🔍 Was beobachte ich?

In Audits bekomme ich Asset-Verzeichnisse zu sehen, die einander gleichen: Seriennummer, Anschaffungsdatum, Standort, Kostenstelle, Abschreibung. Sie stammen aus der Anlagenbuchhaltung, und man sieht es ihnen an. Den GeschĂ€ftsprozess, der die Zahlungen auslöst, oder die Schnittstelle, ĂŒber die Kundendaten das Haus verlassen, finde ich darin nicht.

🎯 Was soll eigentlich erreicht werden?

ISO 27001:2022 verlangt in A.5.9 ein Verzeichnis der Informationen und zugehörigen Werte – ausdrĂŒcklich nicht nur der GerĂ€te. Was man nicht kennt, betreibt man schlecht. SchĂŒtzen kann man es gar nicht.

⚠ Warum funktioniert das nicht?

Das Kriterium der Buchhaltung lautet: Asset ist, was sich kaufen, zĂ€hlen und abschreiben lĂ€sst. Ein GeschĂ€ftsprozess hat keine Seriennummer, eine Vertrauensbeziehung zwischen zwei Systemen keinen Anschaffungswert, ein Kryptoverfahren samt SchlĂŒssellĂ€nge und Modus keine Kostenstelle. Dienste, Anwendungen, Informationen, IdentitĂ€ten und DatenflĂŒsse ebenso wenig. Fertige Werkzeuge beheben das nicht, sie schreiben es fest: Ihr Objektmodell ist das der Anlagenbuchhaltung oder des IT-Betriebs. Was dort nicht vorkommt, ist nicht bloß undokumentiert – es hat keine verantwortliche Stelle, keinen Schutzbedarf und im Vorfall niemanden, der nach ihm fragt. Und was vorkommt, pflegt jemand von Hand. Das kostet Zeit, und niemand macht es gern. Also bleibt das Verzeichnis lĂŒckenhaft, widersprĂŒchlich und veraltet. Geöffnet wird es nur fĂŒrs Audit: write once, read never.

💡 Was funktioniert besser?

Erst die Sprache, dann das Werkzeug. ArchiMate trennt GeschĂ€ft, Anwendung und Technik. Wichtiger sind die Beziehungen dazwischen: Welche Anwendung unterstĂŒtzt welchen Prozess, welche Daten fließen dabei, welche Technik fĂŒhrt das aus. Wer so modelliert, sieht AbhĂ€ngigkeiten statt Zeilen. Und die Attribute entscheiden mit: Ein Kryptoverfahren ohne SchlĂŒssellĂ€nge und Ablaufdatum ist eine Notiz, kein Inventareintrag. Offene CMDBs wie DataGerry lassen solche Objekttypen frei definieren und ĂŒber eine API fĂŒllen, ein Anlagenverzeichnis nicht. Was Discovery, Monitoring und Verzeichnisdienst ohnehin wissen, muss niemand abtippen.

📚🔍