Models i registres · ISO 27001 · Apartat A.5.9
Model d'inventari d'actius d'informació ISO 27001
La relació de la informació i dels sistemes que la suporten, cadascun amb el seu propietari i la seva classificació, que dona sentit a l'anàlisi de riscos i al control d'accessos.
En una frase
L'inventari d'actius d'informació relaciona la informació i els actius associats —aplicacions, equips, serveis al núvol, persones clau— amb el seu propietari, la seva ubicació i la seva classificació; l'exigeix el control 5.9 de l'annex A d'ISO/IEC 27001:2022, que demana desenvolupar-lo i mantenir-lo actualitzat.
- On ho demana la norma
- ISO 27001 · Apartat A.5.9 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Document obligatori Control 5.9 de l'annex A: es manté si la declaració d'aplicabilitat l'inclou
- Qui l'emplena
- Propietaris dels actius Sistemes el consolida; cada propietari respon que el que és seu hi sigui i sigui correcte
- Quan
- A cada alta, baixa o canvi Amb una revisió completa com a mínim abans de l'anàlisi de riscos anual
- Quant de temps es conserva
- Sempre vigent Es manté actualitzat; convé conservar l'històric d'altes i baixes per reconstruir què existia en una data
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
El cos de la norma no obliga a inventariar: ho fa el control 5.9, que demana un inventari de la informació i d'altres actius associats, amb els seus propietaris. Com que és rar que una organització l'exclogui amb fonament, a la pràctica tots els auditors l'esperen.
ISO/IEC 27002 orienta sobre el nivell de detall: prou per gestionar els riscos, no una llista de cada cable. El que importa és que cada actiu rellevant tingui propietari i que l'inventari es mantingui al dia quan hi ha altes i baixes.
L'inventari es recolza en altres controls: la classificació (5.12), l'ús acceptable (5.10) i la devolució d'actius en sortir de l'empresa (5.11).
Estructura
Camps que ha de tenir el model
- Identificador i nom de l'actiu
- Tipus: informació, aplicació, servei al núvol, equip, suport, persona clau
- Propietari
- Ubicació o proveïdor que l'allotja
- Classificació de la informació (per exemple, pública, interna, confidencial)
- Processos o serveis que en depenen
- Si conté dades personals
- Data d'alta, última revisió i baixa
Exemple
Exemple: quatre actius d'una empresa de programari
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| A-001 Base de dades de clients | Informació · Propietària: directora comercial · Confidencial · Dades personals: sí |
| A-014 Plataforma SaaS | Aplicació · Propietària: directora d'operacions · Allotjada en un proveïdor de núvol, regió UE |
| A-022 Repositori de codi | Servei al núvol · Propietari: director tècnic · Confidencial |
| A-040 Portàtils de l'equip | 82 unitats · Propietari: responsable de sistemes · Xifratge de disc obligatori |
| Última revisió | 28 d'agost de 2026, abans de l'anàlisi de riscos anual |
A l'auditoria
Errors que solen assenyalar els auditors
- Inventari només de maquinari: hi falten la informació i els serveis al núvol.
- Propietari genèric («departament d'IT») en lloc d'una persona.
- Baixes d'empleats sense la devolució d'equips registrada.
- La classificació de l'inventari no coincideix amb la que s'aplica als documents.
A Kimobox
Com es porta aquest registre a Kimobox
- 1L'inventari d'actius d'informació es construeix amb propietari i classificació per a cada actiu.
- 2El propietari de cada actiu i de cada risc s'assigna directament al sistema, i l'anàlisi de riscos s'enllaça als actius.
- 3L'inventari és un registre versionat: cada alta, baixa o canvi queda amb la seva data i el seu autor.
Preguntes freqüents
El que ens pregunten abans de començar
Quin nivell de detall necessita l'inventari?
El suficient per gestionar els riscos. Agrupar en una línia els portàtils d'un mateix model i configuració és raonable; agrupar en una sola línia tota la informació de clients, no.
Serveix el mateix inventari per a l'ENS?
Sí, amb matisos: la mesura op.exp.1 de l'ENS també demana un inventari actualitzat amb el seu responsable. Convé afegir-hi a quin sistema categoritzat pertany cada actiu.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Context de l'organització
El sistema de seguretat de la informació comença per saber quins actius cal protegir i qui té expectatives…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Model de pla de tractament de riscos ISO 27001
Què ha d'incloure el pla de tractament de riscos d'ISO 27001 (6.1.3 e): opció triada, controls, responsable…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022