Verinice/Modellierung: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
VisuellWikitext
(Die Seite wurde neu angelegt: „=== Modellierung === Die Modellierung wurde in verinice 1.17 grundsätzlich umgestellt. Beim ersten Start von verinice 1.17 oder 1.18 werden bestehende Modellierungen auf Basis von verinice 1.16 automatisch auf die neue Modellierung migriert. Bitte erstellen Sie vor der Installation bzw. dem ersten Start von verinice 1.17 und 1.18 deshalb unbedingt ein Backup Ihrer Daten! Falls Sie Ihre bisherige Modellierung nach der vorherigen Methodik beibehalten möch…“)
 
K (Textersetzung - „IT-Grundschutz/“ durch „Grundschutz/“)
 
(77 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
=== Modellierung ===
'''topic''' - Kurzbeschreibung
Die Modellierung wurde in verinice 1.17 grundsätzlich umgestellt. Beim ersten Start von verinice 1.17 oder 1.18 werden bestehende Modellierungen auf Basis von verinice
== Vorgehensweise ==
1.16 automatisch auf die neue Modellierung migriert. Bitte erstellen Sie vor der
; IT-Grunschutz-Vorgehensweise
Installation bzw. dem ersten Start von verinice 1.17 und 1.18 deshalb unbedingt ein
* Festlegung je [[Informationsverbund]]
Backup Ihrer Daten!
* Basis-, Standard- oder Kernabsicherung
Falls Sie Ihre bisherige Modellierung nach der vorherigen Methodik beibehalten möchten, können Sie dies erreichen, indem sie die gesicherten Informationsverbünde nach dem ersten Start von verinice 1.18 bzw. 1.17 neu importieren.
Wenn die Strukturanalyse durchgeführt und der Schutzbedarf festgestellt wurde, kommt es im nächsten Schritt zur eigentlichen Modellierung.


====Modellierung eines Informationsverbundes====
Bild: Vorgehensweise der Absicherung
Dazu werden die Bausteine aus dem Katalog View einzeln oder massenweise per Drag-andDrop den entsprechenden Zielobjekten im View Modernisierter IT-Grundschutz zugeordnet. In verinice werden jetzt immer alle Baustein-Anforderungen sowie die relevanten Elementaren
Gefährdungen und sofern ausgewählt Umsetzungshinweise/Maßnahmen modelliert!


Abbildung 16. Modellierung
== Filter ==
; Informationsverbünde nach Vorgehensweise der Absicherung filtern
Nur Anforderungen, Maßnahmen sowie die verknüpften Gefährdungen der für die einzelnen Informationsverbünde ausgewählten Vorgehensweise der Absicherung anzeigen
* Das BSI sieht verschiedene Möglichkeiten der zeitlichen Abfolge unterschiedlicher Vorgehensweisen vor, die sich in verinice durch mehrere Informationsverbünde mit unterschiedlichen Vorgehensweisen der Absicherung abbilden lassen.
* Soll zum Beispiel nach Umsetzung einer Kernabsicherung für einen zentralen Bereich die Basisabsicherung für die gesamte Organisation folgen, so kann dies durch Abbildung zweier getrennter Informationsverbünde geschehen.
* Auch die Erweiterung von z. B. einer Basisabsicherung auf eine Standardabsicherung kann durch Änderung der Vorgehensweise der Absicherung im Informationsverbund einfach abgebildet werden.


Dabei führt verinice folgende Aktionen aus:
== Modellierung ==
1. Alle ausgewählten Bausteine inklusive der einzelnen Anforderungen werden in den gewählten Informationsverbund unterhalb des jeweiligen Zielobjektes kopiert.
; Modellierung eines Informationsverbundes
a. Dabei wird jeweils eine Verknüpfung vom Typ Modelliert mit zwischen Zielobjekt und
* Dazu werden die Bausteine aus dem Katalog View einzeln oder massenweise per Drag-andDrop den entsprechenden Zielobjekten im View Modernisierter IT-Grundschutz zugeordnet.  
Anforderung angelegt.
* Dabei werden alle Baustein-Anforderungen, die relevanten Elementaren Gefährdungen und Umsetzungshinweise/Maßnahmen (wenn aktiviert) modelliert.
2. Alle Elementaren Gefährdungen zu den ausgewählten Bausteinen werden entsprechend der Kreuzreferenztabellen der jeweiligen Anforderung unterhalb des jeweiligen
Zielobjektes kopiert, sofern nicht bereits vorhanden. Dabei wird jeweils:


a. eine Verknüpfung vom Typ beeinflusst durch zwischen Zielobjekt und Elementarer
Bild:  Modellierung
Gefährdung angelegt.
b. eine Verknüpfung vom Typ Reduziert Risiko von zwischen den einzelnen
Anforderungen und den Elementaren Gefährdungen angelegt.
3. Alle Umsetzungshinweise inklusive der einzelnen Maßnahmen zu den ausgewählten
Bausteinen werden in den gewählten Informationsverbund unterhalb des jeweiligen
Zielobjektes kopiert.
a. Dabei wird jeweils eine Verknüpfung vom Typ erfüllt durch zwischen der Anforderung und der Maßnahme angelegt.
b. In den verknüpften Anforderungen wird die Option Umsetzungsstatus aus Maßnahme ableiten standardmäßig aktiviert.


Abbildung 17. Umsetzungshinweise verwenden
; ''verinice'' führt folgende Aktionen durch
# Alle ausgewählten Bausteine inklusive der einzelnen Anforderungen werden in den gewählten Informationsverbund unterhalb des jeweiligen Zielobjektes kopiert. Dabei wird jeweils eine Verknüpfung vom Typ Modelliert mit zwischen Zielobjekt und Anforderung angelegt.
# Alle Elementaren Gefährdungen zu den ausgewählten Bausteinen werden entsprechend der Kreuzreferenztabellen der jeweiligen Anforderung unterhalb des jeweiligen Zielobjektes kopiert, sofern nicht bereits vorhanden. Dabei wird jeweils:
## eine Verknüpfung vom Typ beeinflusst durch zwischen Zielobjekt und Elementarer Gefährdung angelegt.
## eine Verknüpfung vom Typ Reduziert Risiko von zwischen den einzelnen Anforderungen und den Elementaren Gefährdungen angelegt.
# Alle Umsetzungshinweise inklusive der einzelnen Maßnahmen zu den ausgewählten Bausteinen werden in den gewählten Informationsverbund unterhalb des jeweiligen Zielobjektes kopiert.
## Dabei wird jeweils eine Verknüpfung vom Typ erfüllt durch zwischen der Anforderung und der Maßnahme angelegt.
## In den verknüpften Anforderungen wird die Option Umsetzungsstatus aus Maßnahme ableiten standardmäßig aktiviert.


Sollen die Umsetzungshinweise des BSI keine Verwendung finden bzw. auf die Verwendung des Objekttyps Maßnahmen in verinice generell verzichtet werden, so kann dies in den
== Umsetzungshinweise ==
Einstellungen über Bearbeiten > Einstellungen > BSI IT-Grundschutz deaktiviert werden.
Bild: Umsetzungshinweise
Andererseits kann eingestellt werden, dass Blanko-Maßnahmen erstellt werden, wenn keine
Umsetzungshinweise seitens des BSI zur Verfügung stehen.
Da die Anwendung der Umsetzungshinweise optional ist, muss jede Organisation für sich entscheiden, ob in verinice mit dem Objekttyp Maßnahmen gearbeitet werden soll oder nicht.
Wie die Bausteine exakt modelliert werden, finden Sie in den Modellierungshinweisen des BSI.
Der grundsätzliche Mechanismus der Modellierung wird in dem Kapitel Vorgehensweise der
Absicherung beschrieben.


====Konsolidator====
Sollen die Umsetzungshinweise des BSI keine Verwendung finden bzw. auf die Verwendung des Objekttyps Maßnahmen in verinice generell verzichtet werden, so kann dies in den Einstellungen über Bearbeiten > Einstellungen > BSI IT-Grundschutz deaktiviert werden.
Der Konsolidator für den BSI IT-Grundschutz nach 200-x kann dafür genutzt werden, bestimmte Werte eines Bausteins, seiner Anforderungen und deren verknüpften
* Andererseits kann eingestellt werden, dass Blanko-Maßnahmen erstellt werden, wenn keine Umsetzungshinweise seitens des BSI zur Verfügung stehen.
Gefährdungen und Maßnahmen, auf ausgewählte Bausteine mit dem gleichen Identifier zu übertragen. Der Konsolidator lässt sich auf einem Baustein über das Kontextmenü starten.
* Da die Anwendung der Umsetzungshinweise optional ist, muss jede Organisation für sich entscheiden, ob in verinice mit dem Objekttyp Maßnahmen gearbeitet werden soll oder nicht.  
Dieser ausgewählte Baustein dient als Vorlage für den Konsolidator, d.h. seine Inhalte werden auf die anderen Bausteine übertragen. Nach der Abfrage, ob nur der aktuelle oder alle Scopes nach Bausteinen durchsucht werden sollen, durchsucht verinice die entsprechenden Verbünde. In der anschließenden Übersicht stehen alle gefundenen
* Wie die Bausteine exakt modelliert werden, finden Sie in den Modellierungshinweisen des BSI.  
Bausteine mit den dazugehörigen Zielobjekten und Scopes zum konsolidieren zur Auswahl.
* Der grundsätzliche Mechanismus der Modellierung wird in dem Kapitel Vorgehensweise der Absicherung beschrieben.


Abbildung 18. Konsolidator - Auswahl der Zielobjekte
== Abhängigkeiten/Relationen ==
; Verknüpfungen (Abhängigkeiten/Relationen) zwischen Objekten
* sind in verinice ein grundlegendes Element, das die Umsetzung verschiedenster Aufgaben in einem ISMS effektiv unterstützt.  
* Prinzipiell können beliebige Objekte miteinander verknüpft werden, sofern die Verknüpfungsart in der Datei SNCA.XML angelegt ist.


Nachdem diese selektiert wurden, folgt die Auswahl der zu übertragenen Inhalte.
Wie neue Verknüpfungsarten angelegt oder existierende angepasst werden können erfahren Sie im Kapitel Customizing des verinice-Handbuches.
Standardmäßig sind vordefinierte Werte selektiert, können aber den Anforderungen entsprechend geändert werden.


Abbildung 19. Konsolidator - Datenauswahl
Standardmäßig sind in verinice für jede Perspektive verschiedene Verknüpfungsarten vordefiniert, von denen einige für spezifische Funktionen zwingend erforderlich sind.
Um eine Verknüpfung zwischen zwei Zielobjekten zu erstellen, müssen Sie das gewünschte Zielobjekt per Drag-and-Drop mit der Maus auf ein anderes Zielobjekt ziehen und dort fallen lassen.
* Die so erzeugten Verknüpfungen können Sie sowohl im View Verknüpfungen sehen, wie auch im Link-Maker-Bereich, der sich im Reiter Verknüpfungen des Editors befindet.


Nach dem Fertigstellen und Bestätigen, dass die Inhalte überschrieben werden, werden die
; Link-Maker
Daten konsolidiert, neu berechnet und die View neu geladen.
Zusätzlich zu der Drag-and-Drop-Funktion können die Verknüpfungen im Link-Maker-Bereich erzeugt werden.
Ist das ausgewählte Startelement kein Baustein, kann der Konsolidator nicht gestartet werden.
* Dazu verwenden Sie die beiden Dropdown-Listen um zuerst den Typ des zu verknüpfenden Objekts und dann den Typ der Verknüpfung auszuwählen, sofern zwischen zwei gegebenen Objekttypen mehr als ein Verknüpfungstyp möglich ist.
Der Konsolidator findet anhand des Identifiers die passenden Bausteine und damit verknüpfte Gefährdungen und Maßnahmen.
* Erstellen Sie dann die Verknüpfung mit dem Button Hinzufügen.
Der Konsolidator löscht oder erzeugt keine Zielobjekte (Gefährdungen,
* Ein Suchdialogfenster erscheint, in dem Sie filtern können, ob alle Zielobjekte oder ausschließlich die des aktuellen
Anforderungen, Maßnahmen), sondern überschreibt nur vorhandene Werte im
Informationsverbundes angezeigt werden sollen.  
Zielbaustein.
* Die rechte Spalte im Dialog zeigt den Namen des Informationsverbundes, zu dem das Zielobjekt gehört.  
* Nach Auswahl des gewünschten Zielobjekts und Bestätigung per OK-Button, wird die Verknüpfung angelegt.


Der Konsolidator überschreibt die Werte nur einmalig, d.h. sollten Sie Änderungen an dem Vorlage Baustein vorgenommen haben, die für die anderen Bausteine ebenfalls relevant sind, so müssen Sie den Konsolidator erneut starten oder die Änderungen an den benötigten Bausteinen manuell vornehmen.
Bild: Verknüpfung erzeugen


==== Baustein-Referenzierung ====
; Sinnhaftigkeit der Verknüpfung
Mit der Baustein-Referenzierung ist es möglich im Informationsverbund bereits modellierte
''Verinice'' erkennt in den meisten Fällen die Sinnhaftigkeit einer Verknüpfung und ordnet die Objekte in ihrer Abhängigkeit korrekt einander zu.  
Bausteine für mehrere Zielobjekte gleichzeitig zu nutzen. Dadurch verringert sich sowohl der
* In einigen Fällen ist jedoch die Richtung der Verknüpfung maßgeblich für die Beziehungsart zwischen den Objekten (z. B.  hängt ab von oder wird benötigt für) und muss manuell ausgewählt werden, indem Sie das eine oder das andere Objekt im Editor öffnen und das Ziel der Verknüpfung auswählen.  
Aufwand für die Bearbeitung und Pflege der Bausteine, als auch die Anzahl der im
* Den Beziehungstyp können Sie jederzeit ändern.  
Informationsverbund enthaltenen Bausteine.
* Klicken Sie dazu auf die Beschreibung in der Spalte Verknüpfung in der Verknüpfungsliste im Link-Maker-Bereich
Ab verinice 1.24 wird die Referenzierung von Bausteinen vereinfacht und optisch hervorgehoben.
Um einen Baustein zu referenzieren gehen Sie wie folgt vor: Im Informationsverbund sollte ein bereits modellierter Baustein vorhanden sein. D.h. der Baustein (mit Anforderungen, elementaren Gefährdungen und ggf. Umsetzungshinweisen/Maßnahmen) ist unterhalb eines Zielobjekts in der Modernisierter IT-Grundschutz View enthalten. Nun soll dieser
Baustein auch für andere Zielobjekte herangezogen werden. Ziehen Sie hierfür den notwendigen Baustein per Drag&Drop auf das gewünschte Zielobjekt und die
Referenzierung wird durchgeführt. Bei dieser Aktion wird Folgendes im Hintergrund ausgeführt:
Das gewünschte Zielobjekt wird mit allen Anforderungen und den elementaren
Gefährdungen des Bausteins verknüpft. Dabei handelt es sich um den Verknüpfungstyp modelliert mit (Verknüpfungen zwischen Anforderung und Zielobjekt) und beeinflusst durch
(Verknüpfungen zwischen Gefährdung und Zielobjekt).
Sollten bereits Verknüpfungen zwischen dem Zielobjekt und einem Baustein (sprich
Anforderungen und Gefährdungen) mit demselben Identifier vorhanden sein, so wird mittels eines Hinweis-Dialogs abgefragt, ob die Referenzierung trotzdem erfolgen soll. Ist die zusätzliche Referenzierung gewünscht, so werden weitere Verknüpfungen angelegt. Unter
Umständen können dadurch Anforderungen mehrfach verknüpft sein.


Abbildung 20. Baustein-Referenzierung
== Baustein-Referenzierung ==
; Modellierte Bausteine für mehrere Zielobjekte
Mit der Baustein-Referenzierung ist es möglich im Informationsverbund bereits modellierte Bausteine für mehrere Zielobjekte gleichzeitig zu nutzen.
* Dadurch verringert sich sowohl der Aufwand für die Bearbeitung und Pflege der Bausteine, als auch die Anzahl der im Informationsverbund enthaltenen Bausteine.
* Ab verinice 1.24 wird die Referenzierung von Bausteinen vereinfacht und optisch hervorgehoben.


Optisch erkennen Sie die Zielobjekte, bei denen eine Baustein-Referenzierung vorliegt, an der kursiven und leicht ausgegrauten Schrift in der Baumstruktur von verinice. Weitere
; Baustein referenzieren
Informationen zu den Verknüpfungen entnehmen Sie dann der View: Verknüpfungen.
Im Informationsverbund sollte ein bereits modellierter Baustein vorhanden sein.
Sollte ein Baustein direkt auf dem Zielobjekt modelliert sein, so wird dieser nach wie vor unterhalb des Zielobjektes angezeigt. Dadurch sind Hybrid-Modellierungen möglich:
* D. h. der Baustein (mit Anforderungen, elementaren Gefährdungen und ggf. Umsetzungshinweisen/Maßnahmen) ist unterhalb eines Zielobjekts in der Modernisierter IT-Grundschutz View enthalten.  
Bausteine sind direkt (unterhalb des Zielobjektes) modelliert und als Baustein-Referenzen
* Nun soll dieser Baustein auch für andere Zielobjekte herangezogen werden.  
(durch Verknüpfungen realisiert) vorhanden.
* Ziehen Sie hierfür den notwendigen Baustein per Drag&Drop auf das gewünschte Zielobjekt und die Referenzierung wird durchgeführt.
* Bei dieser Aktion wird Folgendes im Hintergrund ausgeführt:


==== Updatefunktion für das IT-Grundschutz-Kompendium ====
; Auswirkungen
Ab verinice 1.20 werden bei Verwendung des IT-Grundschutz-Kompendiums (ab Version 7.1
Das gewünschte Zielobjekt wird mit allen Anforderungen und den elementaren Gefährdungen des Bausteins verknüpft.  
Edition 2019 und 8.0 Edition 2020 bereitgestellt durch das verinice.TEAM) alle Änderungen durch Angabe des Release der Edition, des Änderungstyps (neu, geändert, umsortiert, entfallen) und der Änderungsdetails dargestellt in:
* Dabei handelt es sich um den Verknüpfungstyp modelliert mit (Verknüpfungen zwischen Anforderung und Zielobjekt) und beeinflusst durch (Verknüpfungen zwischen Gefährdung und Zielobjekt).
*Bausteinen (Anforderungsgruppen) und Anforderungen
* Sollten bereits Verknüpfungen zwischen dem Zielobjekt und einem Baustein (sprich Anforderungen und Gefährdungen) mit demselben Identifier vorhanden sein, so wird mittels eines Hinweis-Dialogs abgefragt, ob die Referenzierung trotzdem erfolgen soll.
*Maßnahmengruppen und Maßnahmen
* Ist die zusätzliche Referenzierung gewünscht, so werden weitere Verknüpfungen angelegt.
*Gefährdungsgruppen und Gefährdungen
* Unter Umständen können dadurch Anforderungen mehrfach verknüpft sein.


Abbildung 21. Änderungshinweise IT-Grundschutz-Kompendium
Bild: Baustein-Referenzierung


Durch wiederholte Modellierung (Drag&Drop des Bausteins aus der Kataloge-View auf das entsprechende Zielobjekt im Modernisierter IT-Grundschutz-View) mit einer neueren Edition des IT-Grundschutz-Kompendiums aktualisieren Sie so existierende Informationsverbünde komfortabel und können die Änderungen prüfen und falls erforderlich nacharbeiten.
; Erkennen einer Baustein-Referenzierung
Bei der erneuten Modellierung werden folgende Aktionen ausgeführt:
Optisch erkennen Sie die Zielobjekte, bei denen eine Baustein-Referenzierung vorliegt, an der kursiven und leicht ausgegrauten Schrift in der Baumstruktur von verinice.  
1. Aktualisierung der Inhalte wie z.B. Titel, Vorgehensweise, Release, Änderungstyp,
* Weitere Informationen zu den Verknüpfungen entnehmen Sie dann der View: Verknüpfungen.  
Änderungsdetails, Objektbrowserinhalte.
* Sollte ein Baustein direkt auf dem Zielobjekt modelliert sein, so wird dieser nach wie vor unterhalb des Zielobjektes angezeigt.  
a. Dabei werden die einzelnen Elemente anhand des Identifiers abgeglichen.
* Dadurch sind Hybrid-Modellierungen möglich:
b. Wird ein Identifier nicht gefunden, so wird ein neues Element erzeugt.
Bausteine sind direkt (unterhalb des Zielobjektes) modelliert und als Baustein-Referenzen (durch Verknüpfungen realisiert) vorhanden.
2. Lautet in der neuen Edition des IT-Grundschutz-Kompendiums der Titel "ENTFALLEN", so werden a. die Inhalte nicht aktualisiert (bleiben aber weiterhin vorhanden) und b. der Änderungstyp wird standardmäßig auf "entfernt" gesetzt.
c. Waren diese Elemente bisher nicht vorhanden, so werden sie nicht neu angelegt.
3. Fehlende Verknüpfungen (zwischen Anforderungen, Maßnahmen und Gefährdungen)
werden erzeugt.
4. Ihre Bearbeitung der Objekte (z.B. Umsetzungsstatus, Erläuterungen) bleiben erhalten.
Umsortierte Bausteine werden nur aktualisiert, wenn Sie bei diesen (Baustein,
Anforderungen, Maßnahmengruppe und Maßnahmen) vorher den Identifier manuell


anpassen. Wird die Anpassung vorher nicht vorgenommen, so wird ein weiterer
<noinclude>
Baustein neu modelliert.
Bei dem Update dürfen nur minor Editionen übersprungen werden. Zu erkennen sind diese an dem Release: an der Endung 2019-0 (Beispiel: von 2020-0 auf 2020-5 ist möglich. Nicht möglich ist von 2018-0 auf 2020-0).
Die Updatefunktion ist nur Vorwärts (nicht Rückwärts) möglich. D.h. also von 2020-0
auf 2019-0 ist nicht möglich.


====Vorgehensweise der Absicherung====
== Anhang ==
Für jeden Informationsverbund können Sie die Basis-, Standard- oder Kernabsicherung als
=== Siehe auch ===
Vorgehensweise separat festlegen:
* [[Grundschutz/Modellierung]]
----
{{Special:PrefixIndex/Verinice/Modellierung}}


Abbildung 22. Vorgehensweise der Absicherung
[[Kategorie:Verinice/Anwendung]]
 
</noinclude>
Bei aktiviertem Filter Informationsverbünde nach Vorgehensweise der Absicherung filtern im Menü Ansicht, werden jeweils nur die Anforderungen, Maßnahmen sowie die verknüpften Gefährdungen der für die einzelnen Informationsverbünde ausgewählten
Vorgehensweise der Absicherung angezeigt. Das BSI sieht verschiedene Möglichkeiten der zeitlichen Abfolge unterschiedlicher Vorgehensweisen vor, die sich in verinice durch mehrere Informationsverbünde mit unterschiedlichen Vorgehensweisen der Absicherung abbilden lassen. Soll zum Beispiel nach Umsetzung einer Kernabsicherung für einen zentralen Bereich die Basisabsicherung für die gesamte Organisation folgen, so kann dies durch Abbildung zweier getrennter Informationsverbünde geschehen. Auch die Erweiterung von z.B. einer Basisabsicherung auf eine Standardabsicherung kann durch Änderung der
Vorgehensweise der Absicherung im Informationsverbund einfach abgebildet werden.
 
==== Benutzerdefinierte Bausteine ====
Benutzerdefinierte Bausteine, Anforderungen, Maßnahmen und Gefährdungen, lassen sich im View Modernisierter IT-Grundschutz komfortabel durch rechten Mausklick auf den jeweiligen Objekttyp erstellen. Das folgenden Beispiel zeigt eine einfache Kombination von neu angelegten Gruppen und Objekten:
 
Abbildung 23. Benutzerdefinierter Baustein
 
Um sämtliche Funktionen eines Bausteines in verinice nutzen zu können, legen Sie die
Verknüpfungen zwischen Anforderungen und Maßnahme (Verknüpfungstyp: erfüllt durch <>
erfüllt) und zwischen Anforderung und Elementarer Gefährdung (Verknüpfungstyp:
reduziert Risiko von <> Risiko reduziert durch) per Drag-and-Drop oder im Link-Maker-Bereich des Editors an. Benutzerdefinierte Bausteine können nun sofort mit Zielobjekten verknüpft werden (Verknüpfungstyp: modelliert <> modelliert mit).
Bitte legen Sie die Vorgehensweise in Anforderung und Maßnahme manuell fest und definieren Sie, welche Schutzbedarfsziele für Anforderungen, Maßnahmen und
Gefährdungen berücksichtigt werden sollen.
 
====Profile====
Um benutzerdefinierte Bausteine für zukünftige Modellierungen global in verinice.PRO oder lokal in der Einzelplatzversion zur Verfügung zu stellen, können Sie fertiggestellte benutzerdefinierte Bausteine als Informationsverbund exportieren und im View ITGrundschutz-Kompendium als neuen Katalog importieren. Exportieren Sie den
Informationsverbund dazu aus dem View Modernisierter IT-Grundschutz über das Icon
Exportiere Organisation in Datei… und reimportieren Sie die Datei im View IT-GrundschutzKompendium über das Icon
Importiere Organisation aus Datei…:
 
Abbildung 24. Profile
 
====Hybride Modellierung verinice unterstützt zwei Möglichkeiten Bausteine der 15. EL des IT-Grundschutzes nach den====
Standards der 100er-Reihe im BSI IT-Grundschutz nach 200-x zu verwenden um eine hybride
Modellierung durchzuführen. Die hybride Modellierung kann erforderlich sein, wenn im BSI
IT-Grundschutz nach 200-x für die Modellierung notwendige Bausteine im IT-Grundschutz
Kompendium noch nicht vorliegen.
Übernahme aus der konvertierten 15. EL (empfohlen)
 
Abbildung 25. 15. EL für den Modernisierten IT-Grundschutz
 
Das verinice.TEAM stellt eine in die Struktur des BSI IT-Grundschutz nach 200-x konvertierte
Version der 15. EL der IT-Grundschutzkataloge zur Verfügung. Da im BSI IT-Grundschutz nach 200-x neben den Maßnahmen Anforderungen modelliert werden müssen, wurden diese in der konvertierten Version der 15. EL als Kopie der alten Maßnahmen generiert.
Damit können alte Bausteine im BSI IT-Grundschutz nach 200-x analog zu den neuen
Bausteinen per Drag&Drop modelliert werden. Sämtliche erforderliche Elemente sowie alle notwendigen Verknüpfungen liegen in der konvertierten 15. EL vor und werden bei der
Modellierung korrekt mit übernommen:
 
Übernahme aus der nicht konvertierten 15. EL
Da im IT-Grundschutz-Kompendium noch nicht alle erforderlichen Bausteine zur Verfügung stehen, ermöglicht verinice die Verwendung von Bausteinen der IT-Grundschutzkataloge des bisherigen IT-Grundschutzes. Öffnen Sie dazu über das Menü den View Ansicht > Zeige
View… > GS-Kataloge um den IT-Grundschutzkatalog anzuzeigen. Falls im geöffneten View kein IT-Grundschutzkatalog angezeigt wird, laden Sie diesen wie im Kapitel BSI ITGrundschutz des verinice-Handbuches beschrieben.
Da die Bausteine des bisherigen IT-Grundschutz nur Maßnahmen und Gefährdungen, nicht aber Anforderungen beinhalten, können Sie Maßnahmen und Gefährdungen in einen nach
IT-Grundschutz-Kompendium modellierten Organisationsverbund übernehmen. Ziehen Sie dazu den gewünschten Baustein per Drag-and-Drop aus dem IT-Grundschutzkatalog im
View IT-Grundschutz mit der Maus wahlweise auf eine Maßnahmen- oder
Gefährdungsgruppe in Ihrem Informationsverbund im View Modernisierter IT-Grundschutz. Je nach Ziel werden dann aus dem Baustein des IT-Grundschutzkataloges Maßnahmen bzw.
Gefährdungen vom bisherigen auf den BSI IT-Grundschutz nach 200-x konvertiert:
 
Abbildung 26. Hybride Modellierung
 
Im obigen Beispiel wurden die Bausteine zur Verdeutlichung in zwei neu angelegte Gruppen
Maßnahmen nach IT-Grundschutzkatalog bzw. Zusätzliche Gefährdungen übernommen.
Bitte beachten Sie, dass aktuell nur die Objekte, nicht aber die Verknüpfungen übernommen werden. Darüber hinaus sind die Möglichkeiten der Anordnung und Strukturierung bewusst flexibel angelegt.
Sie können auch einzelne Maßnahmen und Gefährdungen der ITGrundschutzkataloge konvertieren. Diese Option bietet sich insbesondere an, um
Maßnahmen aus dem bisherigen IT-Grundschutz in solchen Bausteinen des BSI ITGrundschutz nach 200-x zu verwenden, zu denen noch keine Umsetzungshinweise vorliegen.
 
==== Bearbeiten der Bausteine ====
In diesem Schritt gilt es, den Status der modellierten Bausteine, konkret der einzelnen
Anforderungen und der verknüpften Maßnahmen abzuarbeiten.
Um Maßnahmen zu bearbeiten, klicken Sie im View Modernisierter IT-Grundschutz die entsprechende Maßnahme doppelt an. Der Editor zeigt nun die Eingabemaske für diese
Maßnahme. Im Link-Maker-Bereich ist die Verknüpfung zu erkennen - die Maßnahme erfüllt die jeweilige Anforderung des Bausteines:
 
Abbildung 27. Umsetzungsstatus von Maßnahmen bearbeiten
 
Setzen Sie den Umsetzungsstatus im Abschnitt Umsetzung auf einen der möglichen Werte unbearbeitet, Nein, Ja, Teilweise oder entbehrlich und speichern Sie die Änderungen über das
Icon
Speichern [Shortcut: Strg+S].
Mit doppeltem Mausklick auf die verknüpfte Anforderung im Link-Maker-Bereich öffnen Sie diese im Editor:
 
Abbildung 28. Umsetzungsstatus von Maßnahmen automatisiert ableiten
 
Im Abschnitt Umsetzung im Editor ist zu erkennen, dass der Umsetzungsstatus der
Anforderung automatisiert aus der verknüpften und im vorherigen Schritt bearbeiteten
Maßnahme abgeleitet wird. Auf diese Weise wird die zusätzliche Bearbeitung des
Umsetzungsstatus der Anforderungen erheblich vereinfacht. Die Checkbox Umsetzungsstatus aus Maßnahme ableiten ist dazu für alle Anforderungen standardmäßig aktiviert und das
Auswahlfeld für den Umsetzungsstatus selbst deaktiviert (ausgegraut).
In der Realität ist dieser Schritt langwieriger, da sich oft eine Vielzahl von Anforderungen und Maßnahmen in der Umsetzung befindet.
Nachdem alle modellierten Bausteine und Maßnahmen bearbeitet worden sind, ist ein ITGrundschutz-Check möglich.

Aktuelle Version vom 16. Dezember 2023, 18:25 Uhr

topic - Kurzbeschreibung

Vorgehensweise[Bearbeiten | Quelltext bearbeiten]

IT-Grunschutz-Vorgehensweise
Bild: Vorgehensweise der Absicherung

Filter[Bearbeiten | Quelltext bearbeiten]

Informationsverbünde nach Vorgehensweise der Absicherung filtern

Nur Anforderungen, Maßnahmen sowie die verknüpften Gefährdungen der für die einzelnen Informationsverbünde ausgewählten Vorgehensweise der Absicherung anzeigen

  • Das BSI sieht verschiedene Möglichkeiten der zeitlichen Abfolge unterschiedlicher Vorgehensweisen vor, die sich in verinice durch mehrere Informationsverbünde mit unterschiedlichen Vorgehensweisen der Absicherung abbilden lassen.
  • Soll zum Beispiel nach Umsetzung einer Kernabsicherung für einen zentralen Bereich die Basisabsicherung für die gesamte Organisation folgen, so kann dies durch Abbildung zweier getrennter Informationsverbünde geschehen.
  • Auch die Erweiterung von z. B. einer Basisabsicherung auf eine Standardabsicherung kann durch Änderung der Vorgehensweise der Absicherung im Informationsverbund einfach abgebildet werden.

Modellierung[Bearbeiten | Quelltext bearbeiten]

Modellierung eines Informationsverbundes
  • Dazu werden die Bausteine aus dem Katalog View einzeln oder massenweise per Drag-andDrop den entsprechenden Zielobjekten im View Modernisierter IT-Grundschutz zugeordnet.
  • Dabei werden alle Baustein-Anforderungen, die relevanten Elementaren Gefährdungen und Umsetzungshinweise/Maßnahmen (wenn aktiviert) modelliert.
Bild:  Modellierung
verinice führt folgende Aktionen durch
  1. Alle ausgewählten Bausteine inklusive der einzelnen Anforderungen werden in den gewählten Informationsverbund unterhalb des jeweiligen Zielobjektes kopiert. Dabei wird jeweils eine Verknüpfung vom Typ Modelliert mit zwischen Zielobjekt und Anforderung angelegt.
  2. Alle Elementaren Gefährdungen zu den ausgewählten Bausteinen werden entsprechend der Kreuzreferenztabellen der jeweiligen Anforderung unterhalb des jeweiligen Zielobjektes kopiert, sofern nicht bereits vorhanden. Dabei wird jeweils:
    1. eine Verknüpfung vom Typ beeinflusst durch zwischen Zielobjekt und Elementarer Gefährdung angelegt.
    2. eine Verknüpfung vom Typ Reduziert Risiko von zwischen den einzelnen Anforderungen und den Elementaren Gefährdungen angelegt.
  3. Alle Umsetzungshinweise inklusive der einzelnen Maßnahmen zu den ausgewählten Bausteinen werden in den gewählten Informationsverbund unterhalb des jeweiligen Zielobjektes kopiert.
    1. Dabei wird jeweils eine Verknüpfung vom Typ erfüllt durch zwischen der Anforderung und der Maßnahme angelegt.
    2. In den verknüpften Anforderungen wird die Option Umsetzungsstatus aus Maßnahme ableiten standardmäßig aktiviert.

Umsetzungshinweise[Bearbeiten | Quelltext bearbeiten]

Bild: Umsetzungshinweise

Sollen die Umsetzungshinweise des BSI keine Verwendung finden bzw. auf die Verwendung des Objekttyps Maßnahmen in verinice generell verzichtet werden, so kann dies in den Einstellungen über Bearbeiten > Einstellungen > BSI IT-Grundschutz deaktiviert werden.

  • Andererseits kann eingestellt werden, dass Blanko-Maßnahmen erstellt werden, wenn keine Umsetzungshinweise seitens des BSI zur Verfügung stehen.
  • Da die Anwendung der Umsetzungshinweise optional ist, muss jede Organisation für sich entscheiden, ob in verinice mit dem Objekttyp Maßnahmen gearbeitet werden soll oder nicht.
  • Wie die Bausteine exakt modelliert werden, finden Sie in den Modellierungshinweisen des BSI.
  • Der grundsätzliche Mechanismus der Modellierung wird in dem Kapitel Vorgehensweise der Absicherung beschrieben.

Abhängigkeiten/Relationen[Bearbeiten | Quelltext bearbeiten]

Verknüpfungen (Abhängigkeiten/Relationen) zwischen Objekten
  • sind in verinice ein grundlegendes Element, das die Umsetzung verschiedenster Aufgaben in einem ISMS effektiv unterstützt.
  • Prinzipiell können beliebige Objekte miteinander verknüpft werden, sofern die Verknüpfungsart in der Datei SNCA.XML angelegt ist.

Wie neue Verknüpfungsarten angelegt oder existierende angepasst werden können erfahren Sie im Kapitel Customizing des verinice-Handbuches.

Standardmäßig sind in verinice für jede Perspektive verschiedene Verknüpfungsarten vordefiniert, von denen einige für spezifische Funktionen zwingend erforderlich sind. Um eine Verknüpfung zwischen zwei Zielobjekten zu erstellen, müssen Sie das gewünschte Zielobjekt per Drag-and-Drop mit der Maus auf ein anderes Zielobjekt ziehen und dort fallen lassen.

  • Die so erzeugten Verknüpfungen können Sie sowohl im View Verknüpfungen sehen, wie auch im Link-Maker-Bereich, der sich im Reiter Verknüpfungen des Editors befindet.
Link-Maker

Zusätzlich zu der Drag-and-Drop-Funktion können die Verknüpfungen im Link-Maker-Bereich erzeugt werden.

  • Dazu verwenden Sie die beiden Dropdown-Listen um zuerst den Typ des zu verknüpfenden Objekts und dann den Typ der Verknüpfung auszuwählen, sofern zwischen zwei gegebenen Objekttypen mehr als ein Verknüpfungstyp möglich ist.
  • Erstellen Sie dann die Verknüpfung mit dem Button Hinzufügen.
  • Ein Suchdialogfenster erscheint, in dem Sie filtern können, ob alle Zielobjekte oder ausschließlich die des aktuellen

Informationsverbundes angezeigt werden sollen.

  • Die rechte Spalte im Dialog zeigt den Namen des Informationsverbundes, zu dem das Zielobjekt gehört.
  • Nach Auswahl des gewünschten Zielobjekts und Bestätigung per OK-Button, wird die Verknüpfung angelegt.
Bild: Verknüpfung erzeugen
Sinnhaftigkeit der Verknüpfung

Verinice erkennt in den meisten Fällen die Sinnhaftigkeit einer Verknüpfung und ordnet die Objekte in ihrer Abhängigkeit korrekt einander zu.

  • In einigen Fällen ist jedoch die Richtung der Verknüpfung maßgeblich für die Beziehungsart zwischen den Objekten (z. B.  hängt ab von oder wird benötigt für) und muss manuell ausgewählt werden, indem Sie das eine oder das andere Objekt im Editor öffnen und das Ziel der Verknüpfung auswählen.
  • Den Beziehungstyp können Sie jederzeit ändern.
  • Klicken Sie dazu auf die Beschreibung in der Spalte Verknüpfung in der Verknüpfungsliste im Link-Maker-Bereich

Baustein-Referenzierung[Bearbeiten | Quelltext bearbeiten]

Modellierte Bausteine für mehrere Zielobjekte

Mit der Baustein-Referenzierung ist es möglich im Informationsverbund bereits modellierte Bausteine für mehrere Zielobjekte gleichzeitig zu nutzen.

  • Dadurch verringert sich sowohl der Aufwand für die Bearbeitung und Pflege der Bausteine, als auch die Anzahl der im Informationsverbund enthaltenen Bausteine.
  • Ab verinice 1.24 wird die Referenzierung von Bausteinen vereinfacht und optisch hervorgehoben.
Baustein referenzieren

Im Informationsverbund sollte ein bereits modellierter Baustein vorhanden sein.

  • D. h. der Baustein (mit Anforderungen, elementaren Gefährdungen und ggf. Umsetzungshinweisen/Maßnahmen) ist unterhalb eines Zielobjekts in der Modernisierter IT-Grundschutz View enthalten.
  • Nun soll dieser Baustein auch für andere Zielobjekte herangezogen werden.
  • Ziehen Sie hierfür den notwendigen Baustein per Drag&Drop auf das gewünschte Zielobjekt und die Referenzierung wird durchgeführt.
  • Bei dieser Aktion wird Folgendes im Hintergrund ausgeführt:
Auswirkungen

Das gewünschte Zielobjekt wird mit allen Anforderungen und den elementaren Gefährdungen des Bausteins verknüpft.

  • Dabei handelt es sich um den Verknüpfungstyp modelliert mit (Verknüpfungen zwischen Anforderung und Zielobjekt) und beeinflusst durch (Verknüpfungen zwischen Gefährdung und Zielobjekt).
  • Sollten bereits Verknüpfungen zwischen dem Zielobjekt und einem Baustein (sprich Anforderungen und Gefährdungen) mit demselben Identifier vorhanden sein, so wird mittels eines Hinweis-Dialogs abgefragt, ob die Referenzierung trotzdem erfolgen soll.
  • Ist die zusätzliche Referenzierung gewünscht, so werden weitere Verknüpfungen angelegt.
  • Unter Umständen können dadurch Anforderungen mehrfach verknüpft sein.
Bild: Baustein-Referenzierung
Erkennen einer Baustein-Referenzierung

Optisch erkennen Sie die Zielobjekte, bei denen eine Baustein-Referenzierung vorliegt, an der kursiven und leicht ausgegrauten Schrift in der Baumstruktur von verinice.

  • Weitere Informationen zu den Verknüpfungen entnehmen Sie dann der View: Verknüpfungen.
  • Sollte ein Baustein direkt auf dem Zielobjekt modelliert sein, so wird dieser nach wie vor unterhalb des Zielobjektes angezeigt.
  • Dadurch sind Hybrid-Modellierungen möglich:

Bausteine sind direkt (unterhalb des Zielobjektes) modelliert und als Baustein-Referenzen (durch Verknüpfungen realisiert) vorhanden.


Anhang[Bearbeiten | Quelltext bearbeiten]

Siehe auch[Bearbeiten | Quelltext bearbeiten]

Abgerufen von „https://wiki.foxtom.de/index.php?title=Verinice/Modellierung&oldid=86319“