IT-Grundschutz/Verbesserungsprozess: Unterschied zwischen den Versionen
K Textersetzung - „{{:Grundschutz“ durch „{{:IT-Grundschutz“ |
|||
(94 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
Zeile 1: | Zeile 1: | ||
''' | '''IT-Grundschutz Verbesserungsprozess''' - Aufrechterhaltung und Verbesserung | ||
== Beschreibung == | == Beschreibung == | ||
=== Vorarbeiten === | {| class="wikitable options" | ||
|- | |||
! Verfahren !! Beschreibung | |||
|- | |||
| [[#Informationssicherheitsprozess prüfen|Informationssicherheitsprozess prüfen]] || | |||
|- | |||
| [[#Umsetzung prüfen|Umsetzung prüfen]] || | |||
|- | |||
| [[#Sicherheitsrevision|Sicherheitsrevision]] || | |||
|- | |||
| [[#Sicherheitszielen prüfen|Sicherheitszielen prüfen]] || Aktualität von Sicherheitszielen | |||
|- | |||
| [[#Übernahme der Ergebnisse|Übernahme der Ergebnisse]] || in den Informationssicherheitsprozess | |||
|- | |||
| [[#Informationsfluss|Informationsfluss]] || | |||
|- | |||
| [[#Zertifizierung|Zertifizierung]] || | |||
|- | |||
| [[#Effizienz und Effektivität der Vorkehrungen|Effizienz und Effektivität der Vorkehrungen]] || | |||
|} | |||
; Informationssicherheit prüfen | |||
* Abarbeitung einfacher Checklisten | |||
* Punktuelle Prüfung der Netzsicherheit mittels Penetrationstests | |||
; Umfassenden Prüfung | |||
* Angemessenheit und Wirksamkeit umgesetzter Schutzmaßnahmen (technisch und organisatorisch) | |||
; Regelmäßige Intervalle | |||
Grundsätzlich gilt, dass umfassende Prüfungen in '''regelmäßigen Intervallen''' (jährlich bis maximal drei Jahre) durchgeführt werden sollten. | |||
; Sicherheitsvorfall | |||
* Aber auch '''fallweise Prüfungen''' sind zweckmäßig, beispielsweise bei der Änderung von Geschäftsprozessen und insbesondere nach Sicherheitsvorfällen. | |||
; Sicherheitsvorfälle | |||
* sollten immer ein Anlass sein, die Sicherheitskonzeption zu hinterfragen | |||
* Dies sollte offen und sorgfältig geschehen, um Schwachstellen, die einen Vorfall begünstigt haben, identifizieren und beseitigen zu können | |||
; Zweckmäßige Verfahren | |||
Zwei zweckmäßige Verfahren, mit den Sie Ihr Sicherheitskonzept und das erreichte Schutzniveau prüfen können, sind die -Revision und der Cyber-Sicherheits-Check: | |||
* Mit einer '''Informationssicherheitsrevision (-Revision)''' können Sie nach einem festgelegten Verfahren und von kompetenten Revisoren überprüfen lassen, ob das Sicherheitskonzept Ihrer Institution wie beabsichtigt umgesetzt ist und es nach wie vor den aktuellen Anforderungen gerecht wird. | |||
* Die -Revision liefert sowohl den Verantwortlichen für Informationssicherheit als auch der Leitung einer Institution belastbare Informationen über den aktuellen Zustand der Informationssicherheit. | |||
; Kurz-, Querschnitts- und Partialrevision | |||
* Neben einer umfassenden Prüfung, die auf die vollständige und vertiefte Überprüfung der Informationssicherheit in einer Institution abhebt, gibt es mit der Kurz-, Querschnitts- und Partialrevision Varianten, bei denen Tiefe und Umfang der Prüfung begrenzt sind. | |||
; Cyber-Sicherheits-Check | |||
Wenn Sie noch wenig Erfahrung mit diesem Thema haben, kann der '''Cyber-Sicherheits-Check''' eine wichtige Hilfe bei der Überprüfung des Sicherheitsniveaus Ihrer Institution sein. | |||
* Er gibt ihnen Hinweise zur Anfälligkeit gegen Cyberangriffe und ist so angelegt, dass die regelmäßige Durchführung das Risiko verringert, zum Opfer solcher Angriffe zu werden. | |||
; Vorgehensmodell IT-Revision | |||
Für die Durchführung der IT-Revision hat das BSI ein eigenes Vorgehensmodell entwickelt, das im [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ISRevision/Leitfaden_IS-Revision-v4.html Leitfaden -Revision] beschrieben ist. | |||
* Dort erfahren Sie auch mehr zu Prüfumfang und -tiefe sowie Einsatzzweck der unterschiedlichen Varianten des Verfahrens. | |||
==== Geschäftsprozess ==== | |||
* Name | |||
* Prozess-Owner | |||
* Trigger | |||
==== Vorarbeiten ==== | |||
; [[Realisierungsplan]] enthält [[Maßnahmen]] des [[Sicherheitskonzepts]] | ; [[Realisierungsplan]] enthält [[Maßnahmen]] des [[Sicherheitskonzepts]] | ||
* Bis wann werden [[Maßnahmen]] von wem wie umgesetzt | * Bis wann werden [[Maßnahmen]] von wem wie umgesetzt | ||
Zeile 22: | Zeile 82: | ||
* Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz) | * Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz) | ||
=== Leitfragen === | ==== Leitfragen ==== | ||
; Leitfragen für die Überprüfung | ; Leitfragen für die Überprüfung | ||
Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden. | Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden. | ||
; Überprüfungen sollten sich an folgenden Leitfragen orientieren | ; Überprüfungen sollten sich an folgenden Leitfragen orientieren | ||
'''Welche Ziele der Informationssicherheit sind''' '''aktuell''' '''vordringlich?''' | {| class="wikitable sortable" | ||
|- | |||
! Frage !! Beschreibung | |||
|- | |||
| '''Welche Ziele der Informationssicherheit sind''' '''aktuell''' '''vordringlich?''' || '''Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern''' | |||
* So kann es wichtiger werden, die Vertraulichkeit von Informationen zu schützen, wenn sich gesetzliche Rahmenbedingungen ändern oder aber die Institution mit Daten arbeitet, die dies verstärkt erfordern. | * So kann es wichtiger werden, die Vertraulichkeit von Informationen zu schützen, wenn sich gesetzliche Rahmenbedingungen ändern oder aber die Institution mit Daten arbeitet, die dies verstärkt erfordern. | ||
* Alle Maßnahmen zur Erhaltung der Vertraulichkeit müssen daher besonders sorgfältig geprüft werden. | * Alle Maßnahmen zur Erhaltung der Vertraulichkeit müssen daher besonders sorgfältig geprüft werden. | ||
* Eine weitere wichtige Frage ist, ob die gewählten Sicherheitsmaßnahmen noch der Gefährdungslage entsprechen. | * Eine weitere wichtige Frage ist, ob die gewählten Sicherheitsmaßnahmen noch der Gefährdungslage entsprechen. | ||
* Auch ist zu prüfen, ob neue technische Verfahren einen effizienteren und wirksameren Schutz bieten können. | * Auch ist zu prüfen, ob neue technische Verfahren einen effizienteren und wirksameren Schutz bieten können. | ||
|- | |||
'''Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses? | |'''Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses? || '''Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann. | ||
* Dann ist es wichtig, dass für verschiedene Bereiche Personen benannt sind, die diese Maßnahmen konzipieren, umsetzen, Ergebnisse dokumentieren sowie Verbesserungen planen und steuern. | * Dann ist es wichtig, dass für verschiedene Bereiche Personen benannt sind, die diese Maßnahmen konzipieren, umsetzen, Ergebnisse dokumentieren sowie Verbesserungen planen und steuern. | ||
* Bei einer solchen verteilten Verantwortung ist eine gute Zusammenarbeit mit dem wichtig, der über alle Schritte informiert werden muss. | * Bei einer solchen verteilten Verantwortung ist eine gute Zusammenarbeit mit dem wichtig, der über alle Schritte informiert werden muss. | ||
|- | |||
'''Wie häufig sind die Verfahren zu überprüfen? | | '''Wie häufig sind die Verfahren zu überprüfen? || '''Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse. | ||
* Mindestens einmal pro Jahr muss das Sicherheitskonzept darauf überprüft werden, ob es noch effektiv ist, also den Zielen der Informationssicherheit im Unternehmen oder der Behörde entspricht. | * Mindestens einmal pro Jahr muss das Sicherheitskonzept darauf überprüft werden, ob es noch effektiv ist, also den Zielen der Informationssicherheit im Unternehmen oder der Behörde entspricht. | ||
* Wenn es einen Sicherheitsvorfall gegeben hat, sollte dies Anlass für eine zusätzliche Prüfung sein. | * Wenn es einen Sicherheitsvorfall gegeben hat, sollte dies Anlass für eine zusätzliche Prüfung sein. | ||
|} | |||
; Umsetzungshinweise | ; Umsetzungshinweise | ||
Zeile 48: | Zeile 110: | ||
* Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses | * Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses | ||
== | === Informationssicherheitsprozess === | ||
; Überprüfung des Informationssicherheitsprozesses ist unabdingbar | ; Überprüfung des Informationssicherheitsprozesses ist unabdingbar | ||
* Fehler und Schwachstellen erkennen und abstellen | * Fehler und Schwachstellen erkennen und abstellen | ||
* Effizienz des IS-Prozesses optimieren | * Effizienz des IS-Prozesses optimieren | ||
;Verbesserung der Praxistauglichkeit | ; Verbesserung der Praxistauglichkeit | ||
* Strategie | * Strategie | ||
* Maßnahmen | * Maßnahmen | ||
* Organisatorische Abläufe | * Organisatorische Abläufe | ||
== Methoden zur Überprüfung | ==== Methoden zur Überprüfung ==== | ||
; Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden | ; Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden | ||
* Realisierung der beschlossenen Maßnahmen prüfen | * Realisierung der beschlossenen Maßnahmen prüfen | ||
* deren Wirksamkeit und Effizienz überprüfen | * deren Wirksamkeit und Effizienz überprüfen | ||
Informationssicherheitsstrategie sollte Leitaussagen zur Messung der | |||
Zielerreichung machen | ; Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen | ||
; Grundlagen für Messungen | ; Grundlagen für Messungen | ||
Zeile 232: | Zeile 139: | ||
Aufwand von Audits | Aufwand von Audits | ||
* hängt von der Komplexität und Größe des Informationsverbunds ab | * hängt von der Komplexität und Größe des Informationsverbunds ab | ||
* Anforderungen auch für kleine Institutionen | * Anforderungen auch für kleine Institutionen geeignet | ||
; In kleinen Institutionen eventuell ausreichend | ; Kleinen Einrichtungen | ||
* | In kleinen Institutionen eventuell ausreichend | ||
* | * Jährlicher technischer Check von IT-Systemen | ||
* Vorhandene Dokumentationen auf Aktualität prüfen | |||
* Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen | * Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen | ||
=== Überprüfung der Umsetzung === | |||
; Realisierungsplan prüfen | |||
* Aufgabenliste und zeitliche Planung | |||
* Ob und inwieweit dieser eingehalten wurde | |||
== Überprüfung der Umsetzung | |||
; | |||
* | |||
; Angemessene Ressourcenplanung | ; Angemessene Ressourcenplanung | ||
* Voraussetzung für die Einhaltung | * Voraussetzung für die Einhaltung geplanter Sicherheitsmaßnahmen | ||
* Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt? | * Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt? | ||
; Die Überprüfung dient auch | ; Die Überprüfung dient auch | ||
* | * Rechtzeitiger Wahrnehmung von Planungsfehlern | ||
* Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist | * Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist | ||
; Benutzer-Akzeptanz | |||
; Nach Einführung neuer Sicherheitsmaßnahmen | ; Nach Einführung neuer Sicherheitsmaßnahmen | ||
Akzeptanz bei Nutzern prüfen | |||
* Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert | |||
* Ursachen herauszuarbeiten und abstellen | |||
* Oft reicht eine zusätzliche Aufklärung der Betroffenen | |||
* Alternativen prüfen | |||
== Sicherheitsrevision == | === Sicherheitsrevision === | ||
; Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen | ; Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen | ||
* Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck | * Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck | ||
Zeile 275: | Zeile 182: | ||
* verbessert die Reproduzierbarkeit der Ergebnisse | * verbessert die Reproduzierbarkeit der Ergebnisse | ||
=== Aktualität von Sicherheitszielen === | |||
==== Rahmenbedingungen und Sicherheitskonzeption ==== | |||
; In längeren Perspektiven prüfen | ; In längeren Perspektiven prüfen | ||
* gesetzte Sicherheitsziele | * gesetzte Sicherheitsziele | ||
Zeile 323: | Zeile 203: | ||
* Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren | * Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren | ||
=== Wirtschaftlichkeitsbetrachtung === | |||
Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben | ; Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben | ||
* Sicherheitsstrategie | * Sicherheitsstrategie | ||
* spezifische Sicherheitsmaßnahmen | * spezifische Sicherheitsmaßnahmen | ||
Kosten für Informationssicherheit sind schwer zu ermitteln | |||
; Kosten für Informationssicherheit sind schwer zu ermitteln | |||
* oft hilfreich, für die weitere Planung: Prüfen, ob | * oft hilfreich, für die weitere Planung: Prüfen, ob | ||
** tatsächlich angefallene Kosten den geplanten entsprechen | ** tatsächlich angefallene Kosten den geplanten entsprechen | ||
** ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können | ** ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können | ||
Ebenso wichtig | ; Nutzen herausarbeiten | ||
Ebenso wichtig: | |||
Regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten | |||
=== Rückmeldungen === | |||
; Rückmeldungen von Internen und Externen | ; Rückmeldungen von Internen und Externen | ||
Rückmeldungen über Fehler und Schwachstellen in den Prozessen | |||
* Informationssicherheitsorganisation | * Informationssicherheitsorganisation | ||
* Revision | * Revision | ||
Zeile 370: | Zeile 252: | ||
* erneutes Auftreten verhindern | * erneutes Auftreten verhindern | ||
=== Informationsfluss === | |||
==== Informationsfluss im Informationssicherheitsprozess ==== | |||
== Informationsfluss == | |||
; Im Rahmen der Überprüfung und Verbesserung entstehen | ; Im Rahmen der Überprüfung und Verbesserung entstehen | ||
* Berichte | * Berichte | ||
Zeile 437: | Zeile 269: | ||
** kurz und übersichtlich aufzubereiten | ** kurz und übersichtlich aufzubereiten | ||
==== Berichte ==== | |||
; Berichte an die Leitungsebene | ; Berichte an die Leitungsebene | ||
; Leitung benötigt Eckpunkte über den Stand der Informationssicherheit | ; Leitung benötigt Eckpunkte über den Stand der Informationssicherheit | ||
* richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten | * richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten | ||
* Ergebnisse von Audits und Datenschutzkontrollen | * Ergebnisse von Audits und Datenschutzkontrollen | ||
* Berichte über | * Berichte über Sicherheitsvorfall* Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form | ||
* Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form | |||
* Ergebnisse der Überprüfungen | * Ergebnisse der Überprüfungen | ||
* Status des IS-Prozesses | * Status des IS-Prozesses | ||
Zeile 454: | Zeile 285: | ||
; Berichte an die Leitungsebene | ; Berichte an die Leitungsebene | ||
=== Dokumentation === | |||
Dokumentation im Informationssicherheitsprozess | |||
; Entscheidend für Erfolg | ; Entscheidend für Erfolg | ||
Zeile 529: | Zeile 361: | ||
* Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden | * Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden | ||
=== Informationsfluss und Meldewege === | |||
Richtlinie zum Informationsfluss und Meldewegen | ; Richtlinie zum Informationsfluss und Meldewegen | ||
Grundsätzliche Festlegungen | |||
* | * Hol- und Bringschuld | ||
; Kommunikationsplan | |||
* Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis? | |||
* von der Leitungsebene verabschieden lassen | * von der Leitungsebene verabschieden lassen | ||
; Aktualisierung der Meldewege | ; Aktualisierung der Meldewege | ||
* Festlegungen für den Informationsfluss | * Festlegungen für den Informationsfluss | ||
* | * Zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses | ||
* Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses | * Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses | ||
Zeile 545: | Zeile 378: | ||
; Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen | ; Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen | ||
Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden | |||
* | * Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden | ||
* Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte | * Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte | ||
* besonders Optimierung von Prozessen ist für viele Bereiche relevant | * besonders Optimierung von Prozessen ist für viele Bereiche relevant | ||
Zeile 555: | Zeile 388: | ||
* exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse | * exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse | ||
; | === IT-Grundschutz-Zertifizierung === | ||
[[Grundschutz/Zertifizierung]] | |||
<noinclude> | |||
== Bewertung == | |||
=== Kennzahlen === | |||
{{:IT-Grundschutz/Kennzahlen}} | |||
=== Reifegradmodelle === | |||
[[Reifegrad]] | |||
== Behandlung von Prüfergebnisse == | |||
Die '''Ergebnisse''' aller Überprüfungen müssen '''dokumentiert''' und der '''Leitung mitgeteilt''' werden. | |||
* Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln. | |||
* Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist. | |||
* Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen. | |||
* Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden. | |||
Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 ''Sicherheitsmanagement'' des -Grundschutz-Kompendiums unter ISMS.1.A12 ''Management-Berichte zur Informationssicherheit'' beschrieben. | |||
== Übernahme der Ergebnisse == | |||
Übernahme der Ergebnisse in den Informationssicherheitsprozess | |||
; Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses | |||
Es kann sich herausstellen, dass | |||
* Sicherheitsziele, | |||
* Sicherheitsstrategie oder | |||
* Sicherheitskonzept | |||
geändert und die Sicherheitsorganisation angepasst werden sollten. | |||
; Unter Umständen sinnvoll | |||
* grundlegende Änderungen an der IT-Umgebung | |||
* Geschäftsprozesse verändern | |||
** z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder | |||
** nur umständlich (also mit hohem finanziellen oder personellen Aufwand) | |||
* erreicht werden können. | |||
; Management-Kreislauf schließt sich | |||
* größere Veränderungen vorgenommen und umfangreiche Verbesserungen | |||
* neue Planungsphase beginnen | |||
Überprüfungen von geeigneten Personen durchführen lassen | |||
* Kompetenz | |||
* Unabhängigkeit | |||
Vollständigkeits- und Plausibilitätskontrollen | |||
* sollten nicht durch die Ersteller der Konzepte durchgeführt werden. | |||
; Vorgehensweise zur Überprüfung und Verbesserung | |||
* in Richtlinie dokumentieren | |||
* von der Leitungsebene verabschieden lassen | |||
In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden, | |||
* wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und | |||
* wie die Ergebnisse in den Änderungsprozess einfließen. | |||
; Prüfergebnisse und -berichte sind | |||
* im Allgemeinen als hochvertraulich zu betrachten und | |||
* müssen besonders gut geschützt werden. | |||
== Anhang == | |||
=== Siehe auch === | |||
{{Special:PrefixIndex/{{BASEPAGENAME}}}} | |||
==== Links ==== | |||
===== Weblinks ===== | |||
[[Kategorie:IT-Grundschutz/Verbesserungsprozess]] | |||
[[Kategorie:Geschäftsprozess]] | |||
<noinclude> | <noinclude> |
Aktuelle Version vom 27. Oktober 2024, 13:07 Uhr
IT-Grundschutz Verbesserungsprozess - Aufrechterhaltung und Verbesserung
Beschreibung
Verfahren | Beschreibung |
---|---|
Informationssicherheitsprozess prüfen | |
Umsetzung prüfen | |
Sicherheitsrevision | |
Sicherheitszielen prüfen | Aktualität von Sicherheitszielen |
Übernahme der Ergebnisse | in den Informationssicherheitsprozess |
Informationsfluss | |
Zertifizierung | |
Effizienz und Effektivität der Vorkehrungen |
- Informationssicherheit prüfen
- Abarbeitung einfacher Checklisten
- Punktuelle Prüfung der Netzsicherheit mittels Penetrationstests
- Umfassenden Prüfung
- Angemessenheit und Wirksamkeit umgesetzter Schutzmaßnahmen (technisch und organisatorisch)
- Regelmäßige Intervalle
Grundsätzlich gilt, dass umfassende Prüfungen in regelmäßigen Intervallen (jährlich bis maximal drei Jahre) durchgeführt werden sollten.
- Sicherheitsvorfall
- Aber auch fallweise Prüfungen sind zweckmäßig, beispielsweise bei der Änderung von Geschäftsprozessen und insbesondere nach Sicherheitsvorfällen.
- Sicherheitsvorfälle
- sollten immer ein Anlass sein, die Sicherheitskonzeption zu hinterfragen
- Dies sollte offen und sorgfältig geschehen, um Schwachstellen, die einen Vorfall begünstigt haben, identifizieren und beseitigen zu können
- Zweckmäßige Verfahren
Zwei zweckmäßige Verfahren, mit den Sie Ihr Sicherheitskonzept und das erreichte Schutzniveau prüfen können, sind die -Revision und der Cyber-Sicherheits-Check:
- Mit einer Informationssicherheitsrevision (-Revision) können Sie nach einem festgelegten Verfahren und von kompetenten Revisoren überprüfen lassen, ob das Sicherheitskonzept Ihrer Institution wie beabsichtigt umgesetzt ist und es nach wie vor den aktuellen Anforderungen gerecht wird.
- Die -Revision liefert sowohl den Verantwortlichen für Informationssicherheit als auch der Leitung einer Institution belastbare Informationen über den aktuellen Zustand der Informationssicherheit.
- Kurz-, Querschnitts- und Partialrevision
- Neben einer umfassenden Prüfung, die auf die vollständige und vertiefte Überprüfung der Informationssicherheit in einer Institution abhebt, gibt es mit der Kurz-, Querschnitts- und Partialrevision Varianten, bei denen Tiefe und Umfang der Prüfung begrenzt sind.
- Cyber-Sicherheits-Check
Wenn Sie noch wenig Erfahrung mit diesem Thema haben, kann der Cyber-Sicherheits-Check eine wichtige Hilfe bei der Überprüfung des Sicherheitsniveaus Ihrer Institution sein.
- Er gibt ihnen Hinweise zur Anfälligkeit gegen Cyberangriffe und ist so angelegt, dass die regelmäßige Durchführung das Risiko verringert, zum Opfer solcher Angriffe zu werden.
- Vorgehensmodell IT-Revision
Für die Durchführung der IT-Revision hat das BSI ein eigenes Vorgehensmodell entwickelt, das im Leitfaden -Revision beschrieben ist.
- Dort erfahren Sie auch mehr zu Prüfumfang und -tiefe sowie Einsatzzweck der unterschiedlichen Varianten des Verfahrens.
Geschäftsprozess
- Name
- Prozess-Owner
- Trigger
Vorarbeiten
- Realisierungsplan enthält Maßnahmen des Sicherheitskonzepts
- Bis wann werden Maßnahmen von wem wie umgesetzt
- Erforderliche Ressourcen
- Zwischentermine
- Begleitende Maßnahmen
- Regelmäßige Kontrollen
- Sicherstellen, dass alles wie geplant umgesetzt ist und funktioniert
- Stetiger Prozess
Informationssicherheit ist kein einmalig herzustellender und anschließend stabiler Zustand, sondern ein stetiger Prozess, der immer wieder an sich wandelnde und neue Herausforderungen angepasst werden muss.
- Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen für Informationssicherheit in Ihrer Institution kontinuierlich überwachen und verbessern
- Umsetzungsstand der im Sicherheitskonzept vorgesehenen Maßnahmen prüfen
- Vorgehen bei der Überprüfung der Wirksamkeit von Maßnahmen
- Erkenntnisse der Prüfungen in Maßnahmen zur Verbesserung Ihres Informationssicherheitsmanagements überführen
- Kennzahlen können bei der Bewertung einzelner Aspekte der Informationssicherheit helfen
- Reifegradmodell nutzen
- Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz)
Leitfragen
- Leitfragen für die Überprüfung
Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden.
- Überprüfungen sollten sich an folgenden Leitfragen orientieren
Frage | Beschreibung |
---|---|
Welche Ziele der Informationssicherheit sind aktuell vordringlich? | Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern
|
Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses? | Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann.
|
Wie häufig sind die Verfahren zu überprüfen? | Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse.
|
- Umsetzungshinweise
ISMS.1.M11: Aufrechterhaltung der Informationssicherheit
- Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses
Informationssicherheitsprozess
- Überprüfung des Informationssicherheitsprozesses ist unabdingbar
- Fehler und Schwachstellen erkennen und abstellen
- Effizienz des IS-Prozesses optimieren
- Verbesserung der Praxistauglichkeit
- Strategie
- Maßnahmen
- Organisatorische Abläufe
Methoden zur Überprüfung
- Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden
- Realisierung der beschlossenen Maßnahmen prüfen
- deren Wirksamkeit und Effizienz überprüfen
- Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen
- Grundlagen für Messungen
- Detektion, Dokumentation und Auswertung von Sicherheitsvorfällen
- Durchführung von Übungen und Tests zur Simulation von Sicherheitsvorfällen
- Auswertung der Ergebnisse
- interne und externe Audits, Datenschutzkontrollen
- Zertifizierung nach festgelegten Sicherheitskriterien
- Internen Audits zur Erfolgskontrolle der umgesetzten Maßnahmen
- nicht durch denjenigen durchführen, der die Sicherheitskonzeption entwickelt hat
- Externe Experten mit der Durchführung solcher Prüfungsaktivitäten beauftragen
Aufwand von Audits
- hängt von der Komplexität und Größe des Informationsverbunds ab
- Anforderungen auch für kleine Institutionen geeignet
- Kleinen Einrichtungen
In kleinen Institutionen eventuell ausreichend
- Jährlicher technischer Check von IT-Systemen
- Vorhandene Dokumentationen auf Aktualität prüfen
- Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen
Überprüfung der Umsetzung
- Realisierungsplan prüfen
- Aufgabenliste und zeitliche Planung
- Ob und inwieweit dieser eingehalten wurde
- Angemessene Ressourcenplanung
- Voraussetzung für die Einhaltung geplanter Sicherheitsmaßnahmen
- Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt?
- Die Überprüfung dient auch
- Rechtzeitiger Wahrnehmung von Planungsfehlern
- Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist
- Benutzer-Akzeptanz
- Nach Einführung neuer Sicherheitsmaßnahmen
Akzeptanz bei Nutzern prüfen
- Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert
- Ursachen herauszuarbeiten und abstellen
- Oft reicht eine zusätzliche Aufklärung der Betroffenen
- Alternativen prüfen
Sicherheitsrevision
- Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen
- Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck
- Arbeitsökonomisch
- Angepasste Checkliste erstellen
- für jeden Baustein der IT-Grundschutz-Kataloge
- anhand der Maßnahmentexte
- erleichtert die Revision
- verbessert die Reproduzierbarkeit der Ergebnisse
Aktualität von Sicherheitszielen
Rahmenbedingungen und Sicherheitskonzeption
- In längeren Perspektiven prüfen
- gesetzte Sicherheitsziele
- Rahmenbedingungen
- Anpassung der Sicherheitsleitlinie und der Sicherheitsstrategie
- in schnelllebigen Branchen von elementarer Bedeutung
- Betriebliche Änderungen schon bei ihrer Planungsphase in die Sicherheitskonzeption einbeziehen
- Einsatz neuer IT-Systeme
- Umzug
- organisatorische Änderungen (z. B. Outsourcing)
- Änderungen gesetzlicher Anforderungen
- Nach jeder relevanten Änderung aktualisieren
- Sicherheitskonzeption
- dazugehörigen Dokumentation
- Im Änderungsprozess der Institution berücksichtigen
- Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren
Wirtschaftlichkeitsbetrachtung
- Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben
- Sicherheitsstrategie
- spezifische Sicherheitsmaßnahmen
- Kosten für Informationssicherheit sind schwer zu ermitteln
- oft hilfreich, für die weitere Planung: Prüfen, ob
- tatsächlich angefallene Kosten den geplanten entsprechen
- ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können
- Nutzen herausarbeiten
Ebenso wichtig: Regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten
Rückmeldungen
- Rückmeldungen von Internen und Externen
Rückmeldungen über Fehler und Schwachstellen in den Prozessen
- Informationssicherheitsorganisation
- Revision
auch von
- Mitarbeitern
- Geschäftspartnern
- Kunden oder Partnern
Wirksame Vorgehensweise festlegen
- Beschwerden und anderen Rückmeldungen von Internen und Externen verwerten
Beschwerden
- von Kunden oder Mitarbeitern können dabei ein Indikator für Unzufriedenheit sein
- Bereits entstehender Unzufriedenheit entgegenwirken!
- bei unzufriedenen Mitarbeitern/Kunden
- Gefahr von Handlungen die den Betrieb stören können
- fahrlässig
- vorsätzlich
- Rückmeldungen von Internen und Externen
- Umgang mit Beschwerden
- klar definiertes Verfahren
- eindeutig festgelegte Kompetenzen
- für den Umgang mit Beschwerden und für die Rückmeldung von Problemen an die zuständige Instanz
- Beschwerden schnellstmöglich beantworten
- damit die Hinweisgeber sich ernst genommen fühlen
- Gemeldeten Probleme bewerten
- Handlungsbedarf eingeschätzten
- angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern ergreifen
- erneutes Auftreten verhindern
Informationsfluss
Informationsfluss im Informationssicherheitsprozess
- Im Rahmen der Überprüfung und Verbesserung entstehen
- Berichte
- Audit-Reports
- Ergebnisse von Sicherheitstests
- Meldungen über sicherheitsrelevante Ereignisse
- weitere Dokumente zur Informationssicherheit
Dokumente müssen
- aussagekräftig
- für die jeweilige Zielgruppe verständlich sein
Nicht alle Informationen sind für die Leitungsebene geeignet
- es ist eine Aufgabe des IT-Sicherheitsmanagements, diese Informationen
- zu sammeln
- zu verarbeiten
- kurz und übersichtlich aufzubereiten
Berichte
- Berichte an die Leitungsebene
- Leitung benötigt Eckpunkte über den Stand der Informationssicherheit
- richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten
- Ergebnisse von Audits und Datenschutzkontrollen
- Berichte über Sicherheitsvorfall* Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form
- Ergebnisse der Überprüfungen
- Status des IS-Prozesses
- Probleme
- Erfolge
- Verbesserungsmöglichkeiten
- Leitungsebene nimmt Management-Berichte zur Kenntnis und veranlasst notwendige Maßnahmen
- Berichte an die Leitungsebene
Dokumentation
Dokumentation im Informationssicherheitsprozess
- Entscheidend für Erfolg
Dokumentation des IS-Prozesses auf allen Ebenen
- Nur durch ausreichende Dokumentation
- werden getroffene Entscheidungen nachvollziehbar
- sind Prozesse wiederholbar und standardisierbar
- können Schwächen und Fehler erkannt und zukünftig vermieden werden
- Abhängig vom Gegenstand und vom Verwendungszweck der Dokumentation
- Technische Dokumentation und Dokumentation von Arbeitsabläufen
- Anleitungen für Mitarbeiter
- Aufzeichnung von Management-Entscheidungen
- Gesetze und Regelungen
- Technische Dokumentation Arbeitsabläufen
- Zielgruppe
- Experten
- Aktuellen Stand beschreiben
- Geschäftsprozessen
- damit verbundener IT-Systeme und Anwendungen
- Detaillierungsgrad technischer Dokumentationen
- andere Personen mit vergleichbarer Expertise sollen die Dokumentation nachvollziehen können
- Ein Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um die Systeme und Anwendungen wiederherzustellen
- Dazu gehörten z.B.
- Installations- und Konfigurationsanleitungen
- Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall
- Dokumentation von Test- und Freigabeverfahren
- Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen
- Bei Sicherheitsübungen und bei Behandlung von Sicherheitsvorfällen
- Qualität der vorhandenen Dokumentationen bewerten
- gewonnene Erkenntnisse zur Verbesserung nutzen
- Anleitungen für Mitarbeiter
Zielgruppe: Mitarbeiter
- Sicherheitsmaßnahmen in Form von Richtlinien dokumentieren
- für die Mitarbeiter verständlich
Mitarbeiter müssen informiert und geschult sein
- Existenz und Bedeutung dieser Richtlinien
- Dazu gehört
- Arbeitsabläufe und organisatorische Vorgaben
- Richtlinien zur Nutzung des Internets
- Verhalten bei Sicherheitsvorfällen
- Entscheidungen aufzeichnen
- Informationssicherheitsprozess
- Sicherheitsstrategie
- jederzeit verfügbar
- nachvollziehbar
- wiederholbar
- Gesetze und Regelungen
Zielgruppe: Leitungsebene
- Für Informationsverarbeitung sind viele unterschiedliche relevant
- Gesetze
- Regelungen
- Anweisungen
- Verträge
- Besondere Anforderungen sollten dokumentiert werden
- welche konkreten Konsequenzen ergeben sich daraus
- Geschäftsprozesse
- IT-Betrieb
- Informationssicherheit
- Aktuellen Stand der Dokumentationen sicherstellen
- Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden
Informationsfluss und Meldewege
- Richtlinie zum Informationsfluss und Meldewegen
Grundsätzliche Festlegungen
- Hol- und Bringschuld
- Kommunikationsplan
- Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis?
- von der Leitungsebene verabschieden lassen
- Aktualisierung der Meldewege
- Festlegungen für den Informationsfluss
- Zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses
- Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses
- Synergieeffekten für den Informationsfluss
- Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen
Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden
- Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden
- Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte
- besonders Optimierung von Prozessen ist für viele Bereiche relevant
- Bestimmung von Informationseigentümern
- Einstufung von Informationen nach einheitlichen Bewertungskriterien Überblick über die Abhängigkeit
- der Geschäftsprozesse von IT-Systemen und Anwendungen
- ist nicht nur für das Sicherheitsmanagement sinnvoll
- exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse
IT-Grundschutz-Zertifizierung
Bewertung
Kennzahlen
Grundschutz/Kennzahlen - Beschreibung
Beschreibung
- Kennzahlen
Bewährtes Instrument zur Kommunikation über Erfolge und Probleme
- Indikatoren für die Güte
- Sicherheitsprozesses
- Einzelner Sicherheitsaspekte
- Beispiele
Schichten des IT-Grundschutz/Kompendiums
- Technisch
- Organisatorisch
- Kennzahlen zur Informationssicherheit
Baustein | Bezeichnung | Anforderung | Kennzahl |
---|---|---|---|
ISMS.1 | Sicherheitsmanagement | Die Leitungsebene SOLLTE regelmäßig über den Stand der Informationssicherheit informiert werden. | Anzahl der Leitungsmeetings mit Sicherheitsreport / Anzahl aller Leitungsmeetings |
ORP.2 | Personal | Aufgaben und Zuständigkeiten von Mitarbeitern SOLLTEN in geeigneter Weise dokumentiert sein. | Anzahl der Mitarbeiterverträge mit Verpflichtung zur sicheren Handhabung von Informationen / Anzahl aller Mitarbeiterverträge |
CON.3 | Datensicherungskonzept | Die Datensicherung und ein möglicherweise vorzunehmender Restore SOLLTEN regelmäßig getestet werden. | Anzahl erfolgreicher Tests / Gesamtzahl der Tests zur Wiederherstellung gesicherter Daten |
OPS.1.1.2 | Ordnungsgemäße IT-Administration | Die Befugnisse, Aufgaben und Pflichten der -Administratoren SOLLTEN in einer Arbeitsanweisung oder Richtlinie verbindlich festgeschrieben werden. | Anzahl von Arbeitsanweisungen / Anzahl aller Administratoren |
DER.1 | Detektion von sicherheitsrelevanten Ereignissen | Die gesammelten Ereignismeldungen der -Systeme und Anwendungssysteme SOLLTEN auf einer zentralen Protokollinfrastruktur aufbewahrt werden. | Anzahl zentral gesammelter Ereignismeldungen / Anzahl aller Ereignismeldungen |
APP.1.1 | Office-Produkte | Neue Office-Produkte SOLLTEN vor dem Einsatz auf Kompatibilität mit etablierten Arbeitsmitteln getestet werden. | Anzahl der eingesetzten getesteten Office-Produkte / Anzahl aller eingesetzten Office-Produkte |
SYS.1.1 | Allgemeiner Server | Ablauf, Rahmenbedingungen und Anforderungen an administrative Aufgaben sowie die Aufgabentrennungen zwischen den verschiedenen Rollen der Benutzer des -Systems SOLLTEN in einem Benutzer- und Administrationskonzept festgeschrieben werden. | Anzahl von Servern mit detailliertem Administrationskonzept / Anzahl aller Server |
- Vielzahl an Kennzahlen
Diese Beispiele verdeutlichen, dass für eine umfassende Bewertung der Informationssicherheit eine Vielzahl an Kennzahlen nötig ist.
- Erhebung, Berechnung und Aufbereitung der Kennzahlen erfordern unter Umständen einen sehr hohen Aufwand
- wobei technische Kennzahlen oft automatisiert erhoben werden können und
- damit der bei ihnen anfallende Aufwand meist geringer ist als bei organisatorischen Kennzahlen.
- Aufwand
Damit der Aufwand in einem angemessenen Verhältnis zum Ergebnis steht, ist es wichtig, dass die Ziele der Kennzahlen klar formuliert und der erforderliche Aufwand für die Erhebung der Messwerte gut abgeschätzt werden.
- Wenn Sie planen, in Ihrer Institution Kennzahlen zur Informationssicherheit einzuführen, empfiehlt es sich, zunächst mit wenigen Kennzahlen zu starten und diese dann mithilfe der gewonnenen Erfahrungen Schritt für Schritt zu ergänzen.
Reifegradmodelle
Behandlung von Prüfergebnisse
Die Ergebnisse aller Überprüfungen müssen dokumentiert und der Leitung mitgeteilt werden.
- Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln.
- Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist.
- Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen.
- Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden.
Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 Sicherheitsmanagement des -Grundschutz-Kompendiums unter ISMS.1.A12 Management-Berichte zur Informationssicherheit beschrieben.
Übernahme der Ergebnisse
Übernahme der Ergebnisse in den Informationssicherheitsprozess
- Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses
Es kann sich herausstellen, dass
- Sicherheitsziele,
- Sicherheitsstrategie oder
- Sicherheitskonzept
geändert und die Sicherheitsorganisation angepasst werden sollten.
- Unter Umständen sinnvoll
- grundlegende Änderungen an der IT-Umgebung
- Geschäftsprozesse verändern
- z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder
- nur umständlich (also mit hohem finanziellen oder personellen Aufwand)
- erreicht werden können.
- Management-Kreislauf schließt sich
- größere Veränderungen vorgenommen und umfangreiche Verbesserungen
- neue Planungsphase beginnen
Überprüfungen von geeigneten Personen durchführen lassen
- Kompetenz
- Unabhängigkeit
Vollständigkeits- und Plausibilitätskontrollen
- sollten nicht durch die Ersteller der Konzepte durchgeführt werden.
- Vorgehensweise zur Überprüfung und Verbesserung
- in Richtlinie dokumentieren
- von der Leitungsebene verabschieden lassen
In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden,
- wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und
- wie die Ergebnisse in den Änderungsprozess einfließen.
- Prüfergebnisse und -berichte sind
- im Allgemeinen als hochvertraulich zu betrachten und
- müssen besonders gut geschützt werden.