|
|
| Zeile 74: |
Zeile 74: |
| * Allgemein anerkannten Standards zu genügen | | * Allgemein anerkannten Standards zu genügen |
| * [[Best Practice]] | | * [[Best Practice]] |
|
| |
| == Wege zur Informationssicherheit ==
| |
| Es gibt viele Wege zur Informationssicherheit
| |
| * Mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten
| |
| * Grundschutz will nicht nur eine Landkarte, sondern ein Wegweiser für Informationssicherheit sein
| |
|
| |
| === Herausforderungen ===
| |
| {| class="table table-striped table-hover options"
| |
| |-
| |
| ! Herausforderung !! Beschreibung
| |
| |-
| |
| | Komplexität || '''Komplexität der Gefährdungslage'''
| |
| * Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt
| |
| |-
| |
| | Ganzheitlichkeit || '''Ganzheitlichkeit der Sicherheitskonzepte'''
| |
| * Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe
| |
| |-
| |
| | Zusammenwirken || '''Zusammenwirken der Sicherheitsmaßnahmen'''
| |
| * Damit die eingesetzten Sicherheitsmaßnahmen die komplexe Gefährdungslage hinreichend in den Griff bekommen können, müssen die organisatorischen, technischen und infrastrukturellen Schutzvorkehrungen zu der jeweiligen Institution passen, an der tatsächlich bestehenden Gefährdungslage ausgerichtet sein, sinnvoll zusammenwirken und von der Leitung und den Beschäftigten unterstützt und beherrscht werden
| |
| |-
| |
| | Angemessenheit || '''Angemessenheit der Sicherheitsmaßnahmen'''
| |
| * Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten
| |
| * Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern
| |
| * Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden
| |
| |-
| |
| | Externe Anforderungen || '''Erfüllung externer Anforderungen'''
| |
| * Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben
| |
| * Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet
| |
| |-
| |
| | Nachhaltigkeit || '''Nachhaltigkeit der Sicherheitsmaßnahmen'''
| |
| * Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand
| |
| * Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter
| |
| * Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln
| |
| |}
| |
|
| |
| === Konzept ===
| |
| ; Verzicht auf initiale Risikoanalysen
| |
| Pauschale Gefährdungen
| |
| * Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird zunächst verzichtet
| |
|
| |
| === Schutzbedarf ===
| |
| [[Schutzbedarf]] festlegen
| |
|
| |
| ; Schutzbedarfskategorien
| |
| {| class="table table-striped table-hover options"
| |
| |-
| |
| ! Kategorie !! Schaden
| |
| |-
| |
| | Normal || überschaubar
| |
| |-
| |
| | Hoch || beträchtlich
| |
| |-
| |
| | Sehr Hoch || existenzgefährdend
| |
| |}
| |
|
| |
| === Anforderungen ===
| |
| ; Sicherheitsmaßnahmen
| |
| [[Sicherheitsmaßnahmen]] auswählen
| |
|
| |
| ; [[IT-Grundschutz-Kompendium]]
| |
| * personell
| |
| * technisch
| |
| * organisatorisch
| |
| * infrastrukturell
| |
|
| |
| === Kochrezepte ===
| |
| ; Basierend auf dem [[IT-Grundschutz/Kompendium|IT-Grundschutz-Kompendium]]
| |
| BSI-Standard 200-2 bietet "Kochrezepte" für ein [[Normales Schutzniveau]]
| |
|
| |
| ; Eintrittswahrscheinlichkeit und Schadenshöhe
| |
| Dabei werden neben Eintrittswahrscheinlichkeiten und potenzieller Schadenshöhe auch die Kosten der Umsetzung berücksichtigt
| |
|
| |
| ; IT-Grundschutz-Kompendium
| |
| Durch die Verwendung des ''IT-Grundschutz-Kompendiums'' entfällt eine aufwendige Sicherheitsanalyse
| |
| * das Expertenwissen erfordert
| |
| * da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
| |
| * Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen
| |
|
| |
| ; Erfolgreiche Umsetzung
| |
| Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines [[Information Security Management System|Informationssicherheitsmanagementsystems (ISMS)]] wird vom BSI ein Zertifikat ''[[ISO/IEC 27001]] auf Basis von IT-Grundschutz'' vergeben
| |
| * Basis dieses Verfahrens sind die neuen [[BSI-Sicherheitsstandards]]
| |
| * Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
| |
| * Unternehmen, die sich nach dem ''ISO/IEC 27001''-Standard zertifizieren lassen, sind zur [[Risikoanalyse]] verpflichtet
| |
| * Um es sich komfortabler zu gestalten, wird meist auf die [[IT-Grundschutz#Schutzbedarfsfeststellung|Schutzbedarfsfeststellung]] gemäß ''IT-Grundschutz-Katalogen'' ausgewichen
| |
| * Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ''ISO/IEC 27001'', als auch eine Konformität zu den strengen Richtlinien des BSI
| |
| * Darüber hinaus bietet das BSI einige [[Hilfsmittel]] wie Musterrichtlinien an
| |
|
| |
| ; Datenschutz
| |
| Es liegt auch ein Baustein für den [[Datenschutz]] vor, der von dem [[Bundesbeauftragter für den Datenschutz und die Informationsfreiheit|Bundesbeauftragten für den Datenschutz und die Informationsfreiheit]] in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die ''IT-Grundschutz-Kataloge'' integriert wurde
| |
| * Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung
| |
|
| |
| <noinclude>
| |
|
| |
|
| == Anhang == | | == Anhang == |
IT-Grundschutz - Aufbau eines Information Security Management System (ISMS)
Beschreibung
- Identifizieren und Umsetzen von Sicherheitsmaßnahmen
Übersicht
- Bestandteile
Sicherheitsniveau
- Mittel
- Im Allgemeinen ausreichend und angemessen
- Erweiterbar für erhöhten Schutzbedarf
Anforderungen
| Bereich |
Beschreibung
|
| Technik |
Geräte, Netzwerke, Strukturen, ...
|
| Infrastruktur |
Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ...
|
| Organisation |
Ablauforganisation, Aufbauorganisation
|
| Personal |
Rollen, Zuständigkeiten, Schnittstellen, Informationsaustausch, ...
|
Zertifizierung
ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz
- Nachweis
Systematisches Vorgehen
Absicherung
- Wichtigkeit und Bedeutung von Informationen
Für Unternehmen und Behörden ist es unerlässlich, dass Informationen
- korrekt vorliegen
- vertraulich behandelt werden
- Entsprechend wichtig ist, dass
Technischen Systeme, mit denen Informationen gespeichert, verarbeitet oder übertragen werden
- reibungslos funktionieren
- wirksam gegen vielfältige Gefährdungen geschützt sind
IT-Grundschutz des BSI
- Grundlage
- Herausforderungen professionell gerecht werden
- Bemühungen für Informationssicherheit strukturieren
- IT-Grundschutz ermöglicht
- Systematische Schwachstellensuche
- Prüfen der Angemessenheit von Schutzmaßnahmen
- Sicherheitskonzepte entwickeln und fortschreiben
- passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
- Allgemein anerkannten Standards zu genügen
- Best Practice
Anhang
Projekt
- IT-Grundschutz Startseite des BSI
Weblinks
- https://de.wikipedia.org/wiki/IT-Grundschutz
