- Znaczenie
- Wymagające ochrony wartości i zasoby firmy
- Przykłady
- Sprzęt, oprogramowanie, dane, usługi chmurowe, sieci
- Związek z NIS2
- Punkt wyjścia każdej analizy ryzyka
- Powiązane
- Inwentaryzacja zasobów
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym są zasoby?
Termin Zasoby (ang. assets) obejmuje wszystkie elementy, które mają dla firmy wartość i dlatego muszą być chronione: urządzenia fizyczne, takie jak serwery, laptopy i komponenty sieciowe, oprogramowanie i aplikacje, dane i bazy danych – ale również usługi chmurowe, połączenia sieciowe, a wreszcie wartości niematerialne, jak tajemnice przedsiębiorstwa czy reputacja. Pojęcie to mówi zatem, co wymaga ochrony; uporządkowanym spisaniem tych wartości zajmuje się inwentaryzacja zasobów.
Dlaczego zasoby są przy NIS2 kluczowe
NIS2 wymaga od objętych podmiotów systematycznego zarządzania ryzykiem dla własnych systemów i usług. Jest to możliwe tylko wtedy, gdy wiadomo, jakie zasoby w ogóle istnieją i jak bardzo każdy z nich wymaga ochrony. Zapomniany serwer albo nieujęta aplikacja chmurowa pozostaje niewidoczna dla obszaru, jakim jest Zarządzanie ryzykiem – a przez to niezabezpieczona. Zasoby są więc myślowym punktem wyjścia całego cyberbezpieczeństwa.
Zasoby IT i zasoby OT
Obok klasycznego IT (środowisko biurowe, serwery, urządzenia końcowe) zalicza się tu także zasoby OT , czyli technologię operacyjną (Operational Technology), która steruje maszynami, instalacjami i infrastrukturą. Zwłaszcza w sektorach objętych NIS2, takich jak energetyka, woda, ochrona zdrowia czy produkcja, jest ona szczególnie krytyczna, bo awaria uderza wprost w procesy fizyczne. Zasoby OT mają często długi cykl życia i nie da się ich dowolnie aktualizować, co wymaga własnych koncepcji ochrony.
Od zasobów do bezpieczeństwa
Zasoby są ujmowane w inwentaryzacji zasobów, ich ryzyka są oceniane, a ochronę zapewniają dobrane Zabezpieczenia – zawsze odnoszone do celów ochrony, jakimi są Poufność, integralność, dostępność, autentyczność (cztery podstawowe atrybuty bezpieczeństwa informacji). Dzięki temu ze zwykłej listy wartości powstaje sterowalny poziom bezpieczeństwa.
Typowy przypadek: Przedsiębiorstwo energetyczne inwentaryzuje nie tylko swoje IT biurowe, lecz ocenia także zdalne dostępy serwisowe do stacji transformatorowych jako krytyczne zasoby OT. Ponieważ zaklasyfikowano je jako „wymagające wysokiej ochrony”, obejmują je surowsze zabezpieczenia, takie jak segmentacja sieci oraz MFA – a nie to samo traktowanie co zwykła drukarka biurowa.
Źródło uzupełniające: BSI IT-Grundschutz – niemiecki standard bezpieczeństwa informacji
Najczęstsze pytania
Czym jest zasób (asset) w bezpieczeństwie IT?
Zasób to w kontekście bezpieczeństwa każdy element cenny dla firmy, a przez to wymagający ochrony. Należą do nich urządzenia fizyczne, takie jak serwery, laptopy i komponenty sieciowe, a także oprogramowanie i aplikacje, dane i bazy danych, usługi chmurowe oraz połączenia sieciowe. Do zasobów zalicza się również wartości niematerialne: tajemnice przedsiębiorstwa, know-how czy reputację. Pojęcie to mówi więc, co wymaga ochrony; uporządkowanym spisaniem tych wartości zajmuje się inwentaryzacja zasobów.
Dlaczego zasoby są ważne przy NIS2?
Zasoby są ważne przy NIS2, ponieważ ryzyka i środki ochrony da się określić tylko wtedy, gdy w ogóle wiadomo, co wymaga ochrony. Zapomniany serwer albo nieujęta aplikacja chmurowa pozostaje niewidoczna dla zarządzania ryzykiem – a przez to niezabezpieczona. Zasoby są więc myślowym punktem wyjścia całego zarządzania ryzykiem według NIS2 i dla celów sterowania są systematycznie ujmowane w inwentaryzacji zasobów, oceniane i obejmowane odpowiednimi środkami ochrony.
Czy technologia operacyjna też jest zasobem?
Tak, zasoby OT również się do nich zaliczają. Technologia operacyjna (Operational Technology) obejmuje układy sterowania, które kontrolują maszyny, instalacje i infrastrukturę. Zwłaszcza w sektorach objętych NIS2, takich jak energetyka, woda, ochrona zdrowia czy produkcja, technologia operacyjna jest szczególnie krytyczna, bo awaria uderza wprost w procesy fizyczne. Zasoby OT muszą więc być traktowane na równi z klasycznym IT, ale z powodu długiego cyklu życia i ograniczonej możliwości aktualizacji wymagają często własnych koncepcji ochrony.