IT-Grundschutz: Unterschied zwischen den Versionen

Aktuelle Version vom 16. November 2024, 21:59 Uhr

IT-Grundschutz - Vorgehensweise zum Aufbau eines Informationssicherheits-Managementsystem (ISMS)

Beschreibung

Standards
200-1	Anforderungen an ein ISMS
200-2	Umsetzung der Anforderungen
200-3	Risikoanalyse

200-4	Business Continuity Management
Kompendium
Kapitel 1	IT-Grundschutz/Kompendium/Vorspann
Kapitel 2	Schichtenmodell / Modellierung
Elementare Gefährdungen	Elementare Gefährdungen
Schichten	Prozesse Systeme

Identifizieren und Umsetzen von Sicherheitsmaßnahmen

Bestandteile

Standards	Vorgehen zur Gewährleistung von Informationssicherheit, Organisatorischer Rahmen
Kompendium	mit dem die in den Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können

Sicherheitsniveau

Mittel
Im Allgemeinen ausreichend und angemessen
Erweiterbar für erhöhten Schutzbedarf

Anforderungen

Bereich	Beschreibung
Technisch	Geräte, Netzwerke, Strukturen, ...
Infrastrukturell	Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ...
Organisatorisch	Ablauforganisation, Aufbauorganisation
Personell	Rollen, Zuständigkeiten, Schnittstellen, Informationsaustausch, ...

Zertifizierung

ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz

Nachweis eines

Systematischen Vorgehens (Informationssicherheits-Managementsystem (ISMS))
Absicherung von IT-Systemen gegen Gefährdungen

Bedeutung von Informationen

Wichtigkeit und Bedeutung von Informationen

Für Unternehmen und Behörden ist es unerlässlich, dass Informationen

korrekt vorliegen
vertraulich behandelt werden

Entsprechend wichtig ist, dass

Technischen Systeme, mit denen Informationen gespeichert, verarbeitet oder übertragen werden

reibungslos funktionieren
wirksam gegen vielfältige Gefährdungen geschützt sind

IT-Grundschutz des BSI

Grundlage

Herausforderungen professionell gerecht werden
Bemühungen für Informationssicherheit strukturieren

IT-Grundschutz ermöglicht

Systematische Schwachstellensuche
Prüfen der Angemessenheit von Schutzmaßnahmen
Sicherheitskonzepte entwickeln und fortschreiben
- passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
Allgemein anerkannten Standards zu genügen
Best Practice

Wege zur Informationssicherheit

Es gibt viele Wege zur Informationssicherheit

Mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten
Grundschutz will nicht nur eine Landkarte, sondern ein Wegweiser für Informationssicherheit sein

Herausforderungen

Herausforderung	Beschreibung
Komplexität	Komplexität der Gefährdungslage Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt
Ganzheitlichkeit	Ganzheitlichkeit der Sicherheitskonzepte Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe
Zusammenwirken	Zusammenwirken der Sicherheitsmaßnahmen Damit die eingesetzten Sicherheitsmaßnahmen die komplexe Gefährdungslage hinreichend in den Griff bekommen können, müssen die organisatorischen, technischen und infrastrukturellen Schutzvorkehrungen zu der jeweiligen Institution passen, an der tatsächlich bestehenden Gefährdungslage ausgerichtet sein, sinnvoll zusammenwirken und von der Leitung und den Beschäftigten unterstützt und beherrscht werden
Angemessenheit	Angemessenheit der Sicherheitsmaßnahmen Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden
Externe Anforderungen	Erfüllung externer Anforderungen Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet
Nachhaltigkeit	Nachhaltigkeit der Sicherheitsmaßnahmen Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln

Konzept

Verzicht auf initiale Risikoanalysen

Pauschale Gefährdungen

Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird zunächst verzichtet

Schutzbedarf

Drei Schutzbedarfskategorien

Schutzbedarf des Untersuchungsgegenstandes festlegen

Kategorie	Schaden
Normal	überschaubar
Hoch	beträchtlich
Sehr Hoch	existenzgefährdend

Anforderungen

Sicherheitsmaßnahmen

Passende Sicherheitsmaßnahmen auswählen

IT-Grundschutz-Kompendium

personell
technisch
organisatorisch
infrastrukturell

Kochrezepte

Basierend auf dem IT-Grundschutz-Kompendium

BSI-Standard 200-2 bietet „Kochrezepte“ für ein Normales Schutzniveau

Eintrittswahrscheinlichkeit und Schadenshöhe

Dabei werden neben Eintrittswahrscheinlichkeiten und potenzieller Schadenshöhe auch die Kosten der Umsetzung berücksichtigt

IT-Grundschutz-Kompendium

Durch die Verwendung des IT-Grundschutz-Kompendiums entfällt eine aufwendige Sicherheitsanalyse

das Expertenwissen erfordert
da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen

Erfolgreiche Umsetzung

Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines Informationssicherheitsmanagementsystems (ISMS) wird vom BSI ein Zertifikat ISO/IEC 27001 auf Basis von IT-Grundschutz vergeben

Basis dieses Verfahrens sind die neuen BSI-Sicherheitsstandards
Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
Unternehmen, die sich nach dem ISO/IEC 27001-Standard zertifizieren lassen, sind zur Risikoanalyse verpflichtet
Um es sich komfortabler zu gestalten, wird meist auf die Schutzbedarfsfeststellung gemäß IT-Grundschutz-Katalogen ausgewichen
Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ISO/IEC 27001, als auch eine Konformität zu den strengen Richtlinien des BSI
Darüber hinaus bietet das BSI einige Hilfsmittel wie Musterrichtlinien an

Datenschutz

Es liegt auch ein Baustein für den Datenschutz vor, der von dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die IT-Grundschutz-Kataloge integriert wurde

Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung

Anhang

Projekt

IT-Grundschutz Startseite des BSI

Weblinks

https://de.wikipedia.org/wiki/IT-Grundschutz

@@ Zeile 1: / Zeile 1: @@
-'''IT-Grundschutz''' - Vorgehensweise zum Identifizieren und Umsetzen von Sicherheitsmaßnahmen in der [[Informationstechnik|Informationstechnik (IT)]]
+'''IT-Grundschutz''' - Vorgehensweise zum Aufbau eines Informationssicherheits-Managementsystem (ISMS)
 == Beschreibung ==
-; Ziel
+<div class="float" style="width: 40%">
-Mittleres, angemessenes und ausreichendes Schutzniveau
+{{:BSI/Uebersicht}}
+</div>
-; Vorgehen
+Identifizieren und Umsetzen von Sicherheitsmaßnahmen
-Zum Erreichen des Ziels
+* [[Informationssicherheit]]
+* [[Informationstechnik|Informationstechnik (IT)]]
-empfiehlt das [[IT-Grundschutz-Kompendium]]
+; Bestandteile
+{| class="wikitable options"
+|-
+| [[BSI/Standard|Standard]]s || Vorgehen zur Gewährleistung von Informationssicherheit, Organisatorischer Rahmen
+|-
+| [[Kompendium]] || mit dem die in den Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können
+|}
-(vormals: [[IT-Grundschutz-Kataloge]])
+; Sicherheitsniveau
+* Mittel
+* Im Allgemeinen ausreichend und angemessen
+* Erweiterbar für erhöhten Schutzbedarf
+<br clear=all>
-technische Sicherheitsmaßnahmen und infrastrukturelle, organisatorische und personelle Schutzmaßnahmen.
+=== Anforderungen ===
+{| class="wikitable options big"
-; ''ISO/IEC 27001-Zertifikats auf Basis von IT-Grundschutz''
+|-
-* Nachweis eines systematisches Vorgehens
+! Bereich !! Beschreibung
-* Absicherung von [[IT-System]]e gegen Gefährdungen der [[IT-Sicherheit]]
+|-
-* [[Information Security Management System|Informationssicherheits-Managementsystem (ISMS)]]
+| Technisch || Geräte, [[Netzwerke]], Strukturen, ...
-; Bestandteile
-{| class="wikitable options"
 |-
-! Bestandteil !! Beschreibung
+| Infrastrukturell || Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ...
 |-
-| Standards || Vorgehen zur Gewährleistung von Informationssicherheit, Organisatorischer Rahmen
+| Organisatorisch || [[Ablauforganisation]], [[Aufbauorganisation]]
 |-
-| Kompendium || mit dem die in den -Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können
+| Personell || [[IT-Grundschutz/Kompendium/Rollen|Rollen]], [[Zuständigkeiten]], [[Schnittstellen]], [[Informationsaustausch]], ...
 |}
-; BSI-Standards und IT-Grundschutz-Kataloge
+=== Zertifizierung ===
-* Durch die Umstrukturierung und Erweiterung des [[IT-Grundschutz-Kataloge|IT-Grundschutzhandbuchs]] im Jahr 2006 durch das [[Bundesamt für Sicherheit in der Informationstechnik]] (BSI) wurden die ''Methodik'' und die ''IT-Grundschutz-Kataloge'' getrennt.
+; ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz
-* Seit diesem Zeitpunkt gleicht das BSI seine eigenen Standards regelmäßig an internationale Normen wie der [[ISO/IEC 27001]] an.
+Nachweis eines
+* Systematischen Vorgehens ([[Information Security Management System|Informationssicherheits-Managementsystem (ISMS)]])
+* Absicherung von [[IT-System]]en gegen [[Gefährdung]]en
-; Die frei verfügbaren ''BSI-Standards''
+=== Bedeutung von Informationen ===
-* enthalten Angaben zum Aufbau eines [[Information Security Management System|Informationssicherheitsmanagementsystems (ISMS)]] und zur Umsetzung des IT-Grundschutzes.
+; Wichtigkeit und Bedeutung von Informationen
-* Im Oktober 2017 lösten die BSI-Standards 200-1, 200-2 und 200-3 die BSI-Standards der Reihe 100-x weitgehend ab
+Für Unternehmen und Behörden ist es unerlässlich, dass [[Informationen]]
-* Nur der 2008 veröffentlichte BSI-Standard 100-4 ist weiterhin gültig, er vereint Elemente aus dem [[BS 25999]] sowie dem [[ITIL]] Service Continuity Management mit den relevanten Bausteinen der IT-Grundschutz-Kataloge.
+* korrekt vorliegen
-* Mit Umsetzung dieses Standards ist eine [[Zertifizierung]] gemäß BS 25999-2 möglich.
+* vertraulich behandelt werden
-* Der designierte Nachfolger BSI-Standard 200-4 („Business Continuity Management“) liegt Stand 23. Februar 2022 als Community Draft vor.
-== Motivation ==
+; Entsprechend wichtig ist, dass
-; Wichtigkeit und Bedeutung von Informationen
+'''Technischen Systeme''', mit denen Informationen gespeichert, verarbeitet oder übertragen werden
-* Für Unternehmen und Behörden ist es unerlässlich, dass '''Informationen''' korrekt vorliegen und vertraulich behandelt werden
+* '''reibungslos funktionieren'''
-* Entsprechend wichtig ist auch, dass die '''technischen Systeme,''' auf denen Informationen gespeichert, verarbeitet oder übertragen werden, reibungslos funktionieren und '''wirksam gegen vielfältige, immer wieder neuartige Gefährdungen geschützt''' sind.
+* '''wirksam''' gegen vielfältige Gefährdungen '''geschützt''' sind
-; Fragen zur Informationssicherheit
+== IT-Grundschutz des BSI ==
-* Wüssten Sie gerne, ob die bei Ihnen umgesetzten Maßnahmen für Informationssicherheit ausreichen, um schwere Schäden zu verhindern und auf Sicherheitsvorfälle angemessen reagieren zu können?
+; Grundlage
-* Benötigen Sie Hilfe bei der Entwicklung eines Sicherheitskonzepts?
+* Herausforderungen professionell gerecht werden
-* Suchen Sie Unterstützung für die systematische Überprüfung der in Ihrem Zuständigkeitsbereich vorhandenen oder geplanten Sicherheitsmaßnahmen?
+* Bemühungen für Informationssicherheit strukturieren
-* Möchten Sie, dass diese Maßnahmen allgemein anerkannten Standards genügen?
-Wenn Sie eine dieser Fragen mit „Ja“ beantworten, dann sollten Sie sich mit dem '''-Grundschutz''' beschäftigen.
+; IT-Grundschutz ermöglicht
-* Dort wird detailliert beschrieben, welche '''Anforderungen''' erfüllt sein müssen, um kostengünstig ein für übliche Einsatzbereiche und Schutzanforderungen angemessenes und bei höherem Schutzbedarf leicht ausbaufähiges Sicherheitsniveau zu erlangen.
+* Systematische Schwachstellensuche
-* Er bietet zudem eine weithin anerkannte '''Methodik''', mit der Sie auf effiziente Weise ein zu den Gegebenheiten Ihrer Einrichtung passendes Sicherheitskonzept entwickeln und überprüfen können.
+* Prüfen der Angemessenheit von Schutzmaßnahmen
+* Sicherheitskonzepte entwickeln und fortschreiben
+** passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
+* Allgemein anerkannten Standards zu genügen
+* [[Best Practice]]
-; Wege zur Informationssicherheit
+== Wege zur Informationssicherheit ==
-* Es gibt viele Wege zur Informationssicherheit, mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten.
+Es gibt viele Wege zur Informationssicherheit
+* Mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten
 * Grundschutz will nicht nur eine Landkarte, sondern ein Wegweiser für Informationssicherheit sein
-; Herausforderungen
+=== Herausforderungen ===
-Informationssicherheit muss '''vielfältigen Herausforderungen''' gerecht werden:
+{| class="wikitable options big"
-{| class="wikitable options"
+|-
+! Herausforderung !! Beschreibung
+|-
+| Komplexität || '''Komplexität der Gefährdungslage'''
+* Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt
+|-
+| Ganzheitlichkeit || '''Ganzheitlichkeit der Sicherheitskonzepte'''
+* Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe
+|-
+| Zusammenwirken || '''Zusammenwirken der Sicherheitsmaßnahmen'''
+* Damit die eingesetzten Sicherheitsmaßnahmen die komplexe Gefährdungslage hinreichend in den Griff bekommen können, müssen die organisatorischen, technischen und infrastrukturellen Schutzvorkehrungen zu der jeweiligen Institution passen, an der tatsächlich bestehenden Gefährdungslage ausgerichtet sein, sinnvoll zusammenwirken und von der Leitung und den Beschäftigten unterstützt und beherrscht werden
 |-
-! Option !! Beschreibung
+| Angemessenheit || '''Angemessenheit der Sicherheitsmaßnahmen'''
+* Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten
+* Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern
+* Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden
 |-
-| Komplexität der Gefährdungslage || Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt.
+| Externe Anforderungen || '''Erfüllung externer Anforderungen'''
+* Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben
+* Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet
 |-
-| Ganzheitlichkeit der Sicherheitskonzepte || Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe.
+| Nachhaltigkeit || '''Nachhaltigkeit der Sicherheitsmaßnahmen'''
+* Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand
+* Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter
+* Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln
+|}
+[[Kategorie:IT-Grundschutz]]
+=== Konzept ===
+; Verzicht auf initiale Risikoanalysen
+Pauschale Gefährdungen
+* Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird zunächst verzichtet
+=== Schutzbedarf ===
+; Drei Schutzbedarfskategorien
+[[Schutzbedarf]] des Untersuchungsgegenstandes festlegen
+{| class="wikitable options"
 |-
-| Zusammenwirken der Sicherheitsmaßnahmen || Damit die eingesetzten Sicherheitsmaßnahmen die komplexe Gefährdungslage hinreichend in den Griff bekommen können, müssen die organisatorischen, technischen und infrastrukturellen Schutzvorkehrungen zu der jeweiligen Institution passen, an der tatsächlich bestehenden Gefährdungslage ausgerichtet sein, sinnvoll zusammenwirken und von der Leitung und den Beschäftigten unterstützt und beherrscht werden.
+! Kategorie !! Schaden
 |-
-| Angemessenheit der Sicherheitsmaßnahmen || Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten.
+| Normal || überschaubar
-* Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern.
-* Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden.
 |-
-| Erfüllung externer Anforderungen || Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben.
+| Hoch || beträchtlich
-* Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet.
 |-
-| Nachhaltigkeit der Sicherheitsmaßnahmen || Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand.
+| Sehr Hoch || existenzgefährdend
-* Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter.
-* Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln.
 |}
-; IT-Grundschutz des BSI
+=== Anforderungen ===
-* Bietet eine gute Grundlage dafür, diesen Herausforderungen auf professionelle Weise gerecht zu werden und die Bemühungen für Informationssicherheit zu strukturieren.
+; Sicherheitsmaßnahmen
-* Er ermöglicht es Unternehmen und Behörden, systematisch nach Schwachstellen zu suchen
+Passende Sicherheitsmaßnahmen auswählen
-* die Angemessenheit umgesetzter Schutzmaßnahmen zu prüfen
-* Sicherheitskonzepte zu entwickeln und fortzuschreiben, die zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen der Institution passen
-* Allgemein anerkannten Standards zu genügen
-== Konzept ==
+; [[IT-Grundschutz-Kompendium]]
-{{:IT-Grundschutz/Konzept}}
+* personell
+* technisch
+* organisatorisch
+* infrastrukturell
-== BSI-Standards ==
+=== Kochrezepte ===
-{{:BSI-Standards}}
+; Basierend auf dem [[IT-Grundschutz/Kompendium|IT-Grundschutz-Kompendium]]
+BSI-Standard 200-2 bietet „Kochrezepte“ für ein [[Normales Schutzniveau]]
-== Hilfsmittel ==
+; Eintrittswahrscheinlichkeit und Schadenshöhe
-{{:Grundschutz/Hilfsmittel}}
+Dabei werden neben Eintrittswahrscheinlichkeiten und potenzieller Schadenshöhe auch die Kosten der Umsetzung berücksichtigt
-<noinclude>
+; IT-Grundschutz-Kompendium
-== Anhang ==
+Durch die Verwendung des ''IT-Grundschutz-Kompendiums'' entfällt eine aufwendige Sicherheitsanalyse
-=== Siehe auch ===
+* das Expertenwissen erfordert
-{{Special:PrefixIndex/Grundschutz}}
+* da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
+* Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen
-==== Dokumentation ====
+; Erfolgreiche Umsetzung
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-1-Managementsysteme-fuer-Informationssicherheit:bsi-standard-200-1-managementsysteme-fuer-informationssicherheit_node.html ''BSI-Standard 200-1: Managementsysteme für Informationssicherheit'']
+Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines [[Information Security Management System|Informationssicherheitsmanagementsystems (ISMS)]] wird vom BSI ein Zertifikat ''[[ISO/IEC 27001]] auf Basis von IT-Grundschutz'' vergeben
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/bsi-standard-200-2-it-grundschutz-methodik_node.html ''BSI-Standard 200-2: IT-Grundschutz-Methodik'']
+* Basis dieses Verfahrens sind die neuen [[BSI-Sicherheitsstandards]]
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-3-Risikomanagement/bsi-standard-200-3-risikomanagement_node.html ''BSI-Standard 200-3: Risikomanagement'']
+* Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-100-4-Notfallmanagement/bsi-standard-100-4-notfallmanagement_node.html ''BSI-Standard 100-4: Notfallmanagement'']
+* Unternehmen, die sich nach dem ''ISO/IEC 27001''-Standard zertifizieren lassen, sind zur [[Risikoanalyse]] verpflichtet
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-4-Business-Continuity-Management/bsi-standard-200-4_Business_Continuity_Management_node.html ''BSI-Standard 200-4: Business Continuity Management (Community Draft)'']
+* Um es sich komfortabler zu gestalten, wird meist auf die [[IT-Grundschutz#Schutzbedarfsfeststellung|Schutzbedarfsfeststellung]] gemäß ''IT-Grundschutz-Katalogen'' ausgewichen
+* Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ''ISO/IEC 27001'', als auch eine Konformität zu den strengen Richtlinien des BSI
+* Darüber hinaus bietet das BSI einige [[Hilfsmittel]] wie Musterrichtlinien an
-==== Links ====
+; Datenschutz
-===== Einzelnachweise =====
+Es liegt auch ein Baustein für den [[Datenschutz]] vor, der von dem [[Bundesbeauftragter für den Datenschutz und die Informationsfreiheit|Bundesbeauftragten für den Datenschutz und die Informationsfreiheit]] in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die ''IT-Grundschutz-Kataloge'' integriert wurde
-<references />
+* Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung
-===== Projekt =====
+<noinclude>
-===== Weblinks =====
+== Anhang ==
+=== Projekt ===
+# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html IT-Grundschutz Startseite des [[BSI]]]
+=== Weblinks ===
 # https://de.wikipedia.org/wiki/IT-Grundschutz
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html IT-Grundschutz] – Seite beim ''[[Bundesamt für Sicherheit in der Informationstechnik]]''
-# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Kompendium/Alternative-IT-Grundschutztools/alternative-it-grundschutztools_node.html Tools zum IT-Grundschutz]
-# [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Task Force "IT-Sicherheit in der Wirtschaft"] Service des [[Eco – Verband der deutschen Internetwirtschaft|eco Verband der deutschen Internetwirtschaft e.V]] gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi)
-[[Kategorie:Grundschutz]]
-= TMP =
+[[Kategorie:IT-Grundschutz]]
-; Wie auch im Bundesdatenschutzgesetz werden die Begriffe Sicherheit und Schutz vermengt
-* Der IT-Grundschutz ist ein griffiger Titel für eine Zusammenstellung von grundlegenden [[Sicherheit]]smaßnahmen und dazu ergänzenden [[Sicherheit|Schutz]]programmen für Behörden und Unternehmen.
-* Damit werden auch technische Maßnahmen für Datenschutz umgesetzt, aber aufgrund eines anderen Schutzobjekts, nämlich den einzelnen Betroffenen, kann IT-Grundschutz die operativen Anforderungen des Datenschutzes nicht erfüllen.
-* In methodischer Analogie zum IT-Grundschutz ist dafür das [[Standard-Datenschutzmodell]] (SDM) entwickelt worden, das auch die Basis für ein entwickeltes Datenschutz-Management ist.
 </noinclude>