IT-Grundschutz/Profile: Unterschied zwischen den Versionen
| Zeile 27: | Zeile 27: | ||
== Aufbau == | == Aufbau == | ||
[[File:gsProfilaufbau.png|mini]] | [[File:gsProfilaufbau.png|mini]] | ||
=== | === Formale Aspekte === | ||
* Titel | * Titel | ||
* Autor | * Autor | ||
| Zeile 37: | Zeile 37: | ||
* Status der Anerkennung durch das BSI | * Status der Anerkennung durch das BSI | ||
=== Management Summary === | |||
* Kurzzusammenfassung der Zielgruppe, Zielsetzung und Inhalte des IT-Grundschutz-Profils | * Kurzzusammenfassung der Zielgruppe, Zielsetzung und Inhalte des IT-Grundschutz-Profils | ||
=== Geltungsbereich === | |||
* Zielgruppe | * Zielgruppe | ||
* Angestrebter Schutzbedarf | * Angestrebter Schutzbedarf | ||
| Zeile 51: | Zeile 51: | ||
* Verweise auf andere IT-Grundschutz-Profile | * Verweise auf andere IT-Grundschutz-Profile | ||
=== Referenzarchitektur === | |||
* Abgrenzung Teilinformationsverbund vom Gesamtinformationsverbund | * Abgrenzung Teilinformationsverbund vom Gesamtinformationsverbund | ||
* Informationsverbund mit | * Informationsverbund mit | ||
| Zeile 63: | Zeile 63: | ||
* Umgang bei Abweichungen zur Referenzarchitektur. | * Umgang bei Abweichungen zur Referenzarchitektur. | ||
=== Umzusetzende Anforderungen und Maßnahmen === | |||
* Zuordnung von Prozess- und System-Bausteinen auf Untersuchungsgegenstand. | * Zuordnung von Prozess- und System-Bausteinen auf Untersuchungsgegenstand. | ||
| Zeile 80: | Zeile 80: | ||
* [...] | * [...] | ||
=== Anwendungshinweise === | |||
* Zusätzliche Informationen zur Anwendung und Integration in das Gesamtsicherheitskonzept. | * Zusätzliche Informationen zur Anwendung und Integration in das Gesamtsicherheitskonzept. | ||
Version vom 11. November 2023, 12:33 Uhr
IT-Grundschutz-Profile - Schablonen für die Informationssicherheit
Beschreibung
- Anwenderspezifische Empfehlungen
- Individuelle Anpassungen des IT-Grundschutzes an die jeweiligen Bedürfnisse
- Berücksichtigt Möglichkeiten und Risiken der Institution
- Profile beziehen sich auf typische IT-Szenarien
- Profile werden durch Dritte (Verbände, Branchen, ...) erstellt, nicht durch das BSI
- Keine BSI-Vorgabe
- Diskussion: Nachweis für Umsetzung (z. B. Testat)
- Anerkennung ausgewählter Profile durch BSI
Was ist ein IT-Grundschutz-Profil?
- Definition
Ein IT-Grundschutz-Profil ist eine Schablone für ein ausgewähltes Szenario (Informationsverbund oder Geschäftsprozess), mit dem ein konkretes Beispiel für die Umsetzung der IT-Grundschutz-Vorgehensweise Schritt für Schritt exemplarisch durchgeführt wird.
- Ziel
Ziel ist es, dass Gremien oder Gruppen einer Branche für ihr spezifisches Anwendungsfeld spezifische Anforderungen und passende Sicherheitsempfehlungen definieren, um ihren Mitgliedern die Möglichkeit zu geben, dies als Rahmen für ihr firmenspezifisches Sicherheitskonzept zu adaptieren.
- Anwendung bzw. Nutzungsmöglichkeit veröffentlichter Profile
Aufbau
Formale Aspekte
- Titel
- Autor
- Verantwortlich
- Registrierungsnummer
- Versionsstand
- Revisionszyklus
- Vertraulichkeit
- Status der Anerkennung durch das BSI
Management Summary
- Kurzzusammenfassung der Zielgruppe, Zielsetzung und Inhalte des IT-Grundschutz-Profils
Geltungsbereich
- Zielgruppe
- Angestrebter Schutzbedarf
- Zugrundeliegende IT-Grundschutz-Vorgehensweise
- ISO 27001-Kompatibilität
- Rahmenbedingungen
- Abgrenzung
- Bestandteile des IT-Grundschutz-Profils
- Nicht im IT-Grundschutz-Profil berücksichtigte Aspekte
- Verweise auf andere IT-Grundschutz-Profile
Referenzarchitektur
- Abgrenzung Teilinformationsverbund vom Gesamtinformationsverbund
- Informationsverbund mit
- Prozessen,
- Infrastruktur
- Netz-Komponenten
- IT-Systemen
- Anwendungen
- Textuell und grafisch mit eindeutigen Bezeichnungen
- Wenn möglich, Gruppenbildung
- Umgang bei Abweichungen zur Referenzarchitektur.
Umzusetzende Anforderungen und Maßnahmen
- Zuordnung von Prozess- und System-Bausteinen auf Untersuchungsgegenstand.
Umsetzungsvorgabe
- „Auf geeignete Weise“
- „Durch Umsetzung der zugehörigen Maßnahmen der Umsetzungshinweise“
- „Durch Umsetzung von [...]“
Auswahl der umzusetzenden Anforderungen eines Bausteins
- Verzicht auf (einzelne) Standardanforderungen
- Verbindliche Erfüllung von Anforderungen für erhöhten Schutzbedarf
Zusätzliche Anforderungen
- Verbindliche Vorgabe einer Maßnahme zur Erfüllung einer Anforderung
- Bedingte Einschränkung für Umsetzung eines Bausteins / einer Anforderung
- [...]
Anwendungshinweise
- Zusätzliche Informationen zur Anwendung und Integration in das Gesamtsicherheitskonzept.
Risikobehandlung
- Nennung von zusätzlichen Risiken mit Behandlungsempfehlungen.
Unterstützende Informationen
- Hinweise, wo vertiefende Informationen zu finden sind
Anhang
- Glossar, zusätzliche Bausteine etc.