Asset Inventory

Wat is een Asset Inventory?

Een Asset Inventory is een georganiseerde, actueel gehouden lijst van alle systemen, apparaten, software en componenten van een organisatie, met per asset de kenmerken die nodig zijn voor beheer, risicoanalyse en beveiliging. Het overzicht omvat zowel IT-assets (servers, laptops, switches) als OT-assets (PLC’s, SCADA-servers, HMI’s, sensoren en actuatoren). Het principe is eenvoudig: u kunt alleen beveiligen wat u kent. Daarom staat de inventaris aan het begin van vrijwel elk cybersecurityprogramma en van elke norm voor industriële beveiliging.

🎯 Waarom is een Asset Inventory belangrijk?

Zonder inventaris weet u niet welke apparaten kwetsbaar zijn, welke verbindingen er bestaan en wat er gebeurt als een systeem uitvalt. Een goede inventaris levert:

• Inzicht in kwetsbaarheden - firmware- en softwareversies koppelen aan CVE’s en de KEV-catalogus van CISA voor vulnerability management
• Detectie van onbekende apparatuur - een rogue device valt pas op als u weet wat er hoort te zijn
• Basis voor segmentatie en toegangsbeheer - zones en regels zijn alleen te ontwerpen als bekend is welke assets samen communiceren
• Compliance - NIS2, IEC 62443, ISO 27001 en NIST CSF vragen allemaal om een inventaris
• Zicht op het aanvalsoppervlak - elk onbekend of vergeten apparaat is een mogelijke ingang voor een aanvaller
• Sneller herstel - bij incident response, forensisch onderzoek en herstel weet u direct welke back-ups, reserveonderdelen en leveranciers nodig zijn
• Efficiënter onderhoud - vervangingsplanning voor legacy systemen die het einde van hun levensduur naderen
• Betere samenwerking - IT, OT, onderhoud en security werken vanuit één gedeeld beeld van de installatie

📜 Welke normen en richtlijnen eisen een Asset Inventory?

In augustus 2025 publiceerden CISA, NSA, FBI en EPA samen met partners uit Australië, Canada, Duitsland (BSI), Nieuw-Zeeland en Nederland (NCSC) de gezamenlijke richtlijn Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators. Die beschrijft vijf stappen: scope en doelen bepalen, assets identificeren en attributen verzamelen, een OT-taxonomie maken, data beheren en levenscyclusbeheer invoeren. De richtlijn bevat voorbeeldtaxonomieën voor olie en gas, elektriciteit en drinkwater/afvalwater.

📦 Wat legt u per asset vast?

De gezamenlijke richtlijn noemt veertien attributen met hoge prioriteit. In de praktijk ziet een OT-record er zo uit:

Voeg waar mogelijk een SBOM toe voor software met veel componenten. Leg ook vast welke assets samen communiceren: die communicatiepaden vormen later de conduits in het zones-en-conduits-model.

🔍 Hoe brengt u OT-assets veilig in kaart?

In OT combineert u meerdere methoden, omdat geen enkele methode alles ziet:

Klassieke netwerkscans met Nmap of IT-scanners zijn in OT riskant. NIST SP 800-82 Rev. 3 waarschuwt dat actieve scans oudere controllers kunnen overbelasten. Begin daarom met passieve monitoring en asset discovery, vul aan met gerichte queries in een onderhoudsvenster en controleer het resultaat met een walkdown.

🛠️ Welke tools gebruikt u voor een Asset Inventory?

🔄 Hoe verhoudt een Asset Inventory zich tot CMDB en Asset Discovery?

• Asset Discovery is het proces dat assets vindt. De inventaris is het resultaat dat u valideert, verrijkt en beheert.
• CMDB is de configuratiedatabase uit IT-servicemanagement. Die kan de inventaris bevatten, maar legt vooral relaties en configuraties voor configuratiebeheer vast.
• Asset Management is het bredere vakgebied dat waarde, onderhoud en vervanging over de hele levensduur stuurt. De inventaris is daarvan de gegevensbasis.

🔐 Hoe houdt u de inventaris actueel?

Een inventaris veroudert snel. Deze afspraken houden hem bij:

1. Koppel aan MOC en change management - elke installatie, vervanging of verwijdering werkt de inventaris bij, ook bij noodwijzigingen.
2. Benoem eigenaren - per zone of installatie één verantwoordelijke die gegevens valideert.
3. Laat passieve monitoring continu draaien - nieuwe apparaten en firmwarewijzigingen geven dan direct een melding.
4. Herzie periodiek - minstens halfjaarlijks, zoals CIS Control 1 voorschrijft, en na elke grote stilstand.
5. Beveilig de inventaris zelf - de lijst is een routekaart voor aanvallers; beperk toegang en bewaar een offline kopie.

Gebruik de inventaris daarna actief: voor patchmanagement, netwerksegmentatie, het toewijzen van security levels (SL) volgens IEC 62443 en het beheer van remote access, VPN en jump servers.

❓ Veelgestelde vragen

Wat is het verschil tussen een asset inventory en asset discovery?

Asset discovery is het proces waarmee apparaten en software op een netwerk worden gevonden, passief of actief. Een asset inventory is de gevalideerde en verrijkte lijst die daaruit ontstaat, aangevuld met gegevens als eigenaar, kriticiteit en locatie. Discovery levert dus de grondstof, de inventory is het beheerde eindproduct.

Is een asset inventory verplicht onder NIS2?

NIS2 noemt assetbeheer expliciet in artikel 21 als onderdeel van de zorgplicht. In Nederland is die zorgplicht via de Cyberbeveiligingswet sinds 15 augustus 2026 van kracht voor essentiële en belangrijke entiteiten. Zonder asset inventory is aan die zorgplicht praktisch niet te voldoen.

Mag ik een OT-netwerk scannen met Nmap?

Een OT-netwerk scannen met Nmap of andere IT-scanners kan oudere PLC’s en RTU’s verstoren of laten vastlopen. Gebruik voor een asset inventory in OT bij voorkeur passieve monitoring en, alleen waar nodig, veilige native protocolvragen in een onderhoudsvenster. Overleg vooraf met de leverancier en de proceseigenaar.

Hoe vaak moet een asset inventory worden bijgewerkt?

Een asset inventory moet bij elke wijziging worden bijgewerkt, gekoppeld aan het change-managementproces. CIS Control 1 vraagt daarnaast om minstens een halfjaarlijkse volledige herziening. Continue passieve monitoring helpt om afwijkingen tussen inventaris en werkelijkheid direct te zien.

Welke gegevens zijn het belangrijkst in een OT asset inventory?

De gezamenlijke richtlijn van CISA en partners noemt onder meer assetnummer, rol, fabrikant, model, besturingssysteem of firmware, IP- en MAC-adres, protocollen, poorten, gebruikersaccounts, logging, locatie en kriticiteit. Begin met die kern en breid uit met eigenaar, serienummer en end-of-support-datum.

Kan een CMDB dienen als asset inventory?

Een CMDB kan als centrale opslag voor de asset inventory dienen, mits de OT-specifieke velden zoals firmware, protocollen en zone erin passen. Veel organisaties koppelen een OT-zichtbaarheidsplatform aan de CMDB, zodat ontdekte assets automatisch worden bijgewerkt. Een CMDB zonder actuele OT-gegevens geeft echter een vals gevoel van overzicht.

📌 Samengevat

Een Asset Inventory is de actuele, gevalideerde lijst van alle IT- en OT-assets met hun kenmerken, en vormt de basis voor kwetsbaarhedenbeheer, segmentatie, compliance en incident response. In OT bouwt u hem veilig op met passieve monitoring, gerichte queries, configuratiebestanden en walkdowns, en houdt u hem actueel via change management en vaste eigenaren. Zonder betrouwbare assetgegevens is goede beveiliging, monitoring of risicobeheer niet mogelijk.