BSI/200-3/Gefährdungsübersicht: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
K Textersetzung - „[[Grundschutz“ durch „[[IT-Grundschutz“
 
(33 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 3: Zeile 3:
: Abb_7_04_Schritt_1.png (Schritte bei der Risikoanalyse: Gefährdungsübersicht erstellen
: Abb_7_04_Schritt_1.png (Schritte bei der Risikoanalyse: Gefährdungsübersicht erstellen
-->
-->
; Erster Schritt einer Risikoanalyse
Erster Schritt einer Risikoanalyse
* Risiken identifizieren, denen ein [[Zielobjekt]] ausgesetzt ist
* Risiken identifizieren, denen ein [[Zielobjekt]] ausgesetzt ist


Beschreiben
; Beschreibung
* Welchen Gefährdungen das Objekt unterliegt
* Welchen Gefährdungen das Objekt unterliegt
* Anhand der '''elementaren Gefährdungen als Ausgangspunkt'''
* Anhand der '''elementaren Gefährdungen als Ausgangspunkt'''


=== Grundschutz Bausteine ===
; Abdeckung mit Grundschutz Bausteine
; Abdeckung mit Grundschutz Bausteine
{| class="wikitable options"
{| class="wikitable options"
Zeile 15: Zeile 16:
! Abdeckung !! Beschreibung
! Abdeckung !! Beschreibung
|-
|-
| Ausreichend || Passende Bausteine für das Zielobjekt vorhanden
| Ausreichend || Alle Aspekte des Zielobjektes können vollständig mit [[IT-Grundschutz-Baustein]]en modelliert werden
* Es wurden Risikoanalysen für den betreffenden Zielobjekt-Typ durchgeführt
* Risikoanalysen für normalen Schutzbedarf in den Bausteinen enthalten
* In den Bausteinen tabellarisch dargestellt, welche elementaren Gefährdungen relevant sind und mit welchen Anforderungen diesen Gefährdungen jeweils begegnet wird
* In den Bausteinen tabellarisch dargestellt, welche elementaren Gefährdungen relevant sind und mit welchen Anforderungen diesen Gefährdungen jeweils begegnet wird
|-
|-
| Unzureichend ||  
| Unzureichend || Keine ausreichende Abdeckung durch [[IT-Grundschutz-Baustein]]e
* Es gibt für ein Zielobjekt keinen passenden Baustein
* Vollständige Liste der elementaren Gefährdungen prüfen, welche der Gefährdungen für das betreffende Zielobjekt relevant sind
* Vollständige Liste der elementaren Gefährdungen prüfen, welche der Gefährdungen für das betreffende Zielobjekt relevant sind
|}
|}


; Relevanz einer Gefährdung
=== Relevanz einer Gefährdung ===
Es ist Ihre Aufgabe, zu prüfen, ob weitere elementare Gefährdungen einen nennenswerten Schaden hervorrufen können
Nur Gefährdungen mit direkter Relevanz in die Gefährdungsübersicht aufnehmen


; Einwirkung
; Einwirkungen
Die Relevanz einer Gefährdung bestimmen Sie mithilfe der möglichen Einwirkung einer Gefährdung
{| class="wikitable options"
* Dabei ist zu unterscheiden, ob eine Gefährdung unmittelbar (direkt) oder nur indirekt über andere, allgemeinere Gefährdungen auf das betrachtete Objekt einwirkt
| direkt || unmittelbar
* Nur Gefährdungen mit direkter Relevanz nehmen Sie in die Gefährdungsübersicht auf
|-
| indirekt || über andere, allgemeinere Gefährdungen auf das betrachtete Objekt einwirkend
|}
 
; Aufgabe
Prüfen, ob weitere elementare Gefährdungen einen nennenswerten Schaden hervorrufen können
* Die Relevanz einer Gefährdung mit der möglichen Einwirkung einer Gefährdung bestimmen
 
=== Erstellung einer Gefährdungsübersicht ===
=== Zusätzliche Gefährdungen ===
Ermittlung zusätzlicher Gefährdungen
[[BSI/200-3/Gefährdungsübersicht#Zusätzliche_Gefährdungen]]


== Beispiel ==
==== Beispiel ====
Für den Virtualisierungsserver S007 sind gemäß der Modellierung die folgenden drei Grundschutz-Bausteine relevant: SYS.1.1 ''Allgemeiner Server'', SYS.1.3 ''Server unter Unix'' und SYS.1.5 ''Virtualisierung''
; Relevante [[IT-Grundschutz-Baustein]]e für ''Virtualisierungsserver S007''
* SYS.1.1 ''Allgemeiner Server''
* SYS.1.3 ''Server unter Unix''  
* SYS.1.5 ''Virtualisierung''


; Referenzierten elementaren Gefährdungen
; Referenzierten elementaren Gefährdungen
Aus den in diesen Bausteinen referenzierten elementaren Gefährdungen lässt sich die folgende auszugsweise wiedergegebene Übersicht relevanter Gefährdungen zusammenstellen:
Aus den in diesen Bausteinen referenzierten elementaren Gefährdungen lässt sich die folgende auszugsweise wiedergegebene Übersicht relevanter Gefährdungen zusammenstellen
{| class="wikitable sortable options"
{| class="wikitable options"
|-
|-
! Gefährdung !! Beschreibung
! Gefährdung !! Beschreibung
Zeile 75: Zeile 89:
| G 0.46 || Integritätsverlust schützenswerter Informationen
| G 0.46 || Integritätsverlust schützenswerter Informationen
|}
|}
== Gefährdungsübersicht ==
Erstellung einer Gefährdungsübersicht
[[BSI/200-3/Elementaren Gefährdungen]]
=== Zusätzliche Gefährdungen ===
Ermittlung zusätzlicher Gefährdungen
[[BSI/200-3/Gefährdungsübersicht/Zusätzliche Gefährdungen]]
== Risikoanalyse-Meeting ==
[[Risikoanalyse/Meeting]]


<noinclude>
<noinclude>


=== Anhang ===
== Anhang ==
==== Siehe auch ====
=== Siehe auch ===
{{Special:PrefixIndex/{{BASEPAGENAME}}}}
{{Special:PrefixIndex/{{BASEPAGENAME}}}}
===== Links =====
==== Links ====
====== Weblinks ======
===== Weblinks =====
 
[[Kategorie:BSI/200-3]]
[[Kategorie:BSI/Standard/200-3]]


</noinclude>
</noinclude>

Aktuelle Version vom 31. Oktober 2024, 13:36 Uhr

Beschreibung

Erster Schritt einer Risikoanalyse

  • Risiken identifizieren, denen ein Zielobjekt ausgesetzt ist
Beschreibung
  • Welchen Gefährdungen das Objekt unterliegt
  • Anhand der elementaren Gefährdungen als Ausgangspunkt

Grundschutz Bausteine

Abdeckung mit Grundschutz Bausteine
Abdeckung Beschreibung
Ausreichend Alle Aspekte des Zielobjektes können vollständig mit IT-Grundschutz-Bausteinen modelliert werden
  • Risikoanalysen für normalen Schutzbedarf in den Bausteinen enthalten
  • In den Bausteinen tabellarisch dargestellt, welche elementaren Gefährdungen relevant sind und mit welchen Anforderungen diesen Gefährdungen jeweils begegnet wird
Unzureichend Keine ausreichende Abdeckung durch IT-Grundschutz-Bausteine
  • Vollständige Liste der elementaren Gefährdungen prüfen, welche der Gefährdungen für das betreffende Zielobjekt relevant sind

Relevanz einer Gefährdung

Nur Gefährdungen mit direkter Relevanz in die Gefährdungsübersicht aufnehmen

Einwirkungen
direkt unmittelbar
indirekt über andere, allgemeinere Gefährdungen auf das betrachtete Objekt einwirkend
Aufgabe

Prüfen, ob weitere elementare Gefährdungen einen nennenswerten Schaden hervorrufen können

  • Die Relevanz einer Gefährdung mit der möglichen Einwirkung einer Gefährdung bestimmen

Erstellung einer Gefährdungsübersicht

Zusätzliche Gefährdungen

Ermittlung zusätzlicher Gefährdungen BSI/200-3/Gefährdungsübersicht#Zusätzliche_Gefährdungen

Beispiel

Relevante IT-Grundschutz-Bausteine für Virtualisierungsserver S007
  • SYS.1.1 Allgemeiner Server
  • SYS.1.3 Server unter Unix
  • SYS.1.5 Virtualisierung
Referenzierten elementaren Gefährdungen

Aus den in diesen Bausteinen referenzierten elementaren Gefährdungen lässt sich die folgende auszugsweise wiedergegebene Übersicht relevanter Gefährdungen zusammenstellen

Gefährdung Beschreibung
G 0.14 Ausspähen von Informationen (Spionage)
G 0.15 Abhören
G 0.18 Fehlplanung oder fehlende Anpassung
G 0.19 Offenlegung schützenswerter Informationen
G 0.21 Manipulation von Hard- oder Software
G 0.22 Manipulation von Informationen
G 0.23 Unbefugtes Eindringen in IT-Systeme
G 0.25 Ausfall von Geräten oder Systemen
G 0.26 Fehlfunktion von Geräten oder Systemen
G 0.28 Software-Schwachstellen oder -Fehler
G 0.30 Unberechtigte Nutzung oder Administration von Geräten und Systemen
G 0.31 Fehlerhafte Nutzung oder Administration von Geräten und Systemen
G 0.32 Missbrauch von Berechtigungen
G 0.40 Verhinderung von Diensten (Denial of Service)
G 0.43 Einspielen von Nachrichten
G 0.45 Datenverlust
G 0.46 Integritätsverlust schützenswerter Informationen


Anhang

Siehe auch

Links

Weblinks


Abgerufen von „https://wiki.foxtom.de/index.php?title=BSI/200-3/Gefährdungsübersicht&oldid=113212“