IT-Grundschutz/Verbesserungsprozess
IT-Grundschutz Verbesserungsprozess - Aufrechterhaltung und Verbesserung
Beschreibung
| Verfahren | Beschreibung |
|---|---|
| Informationssicherheitsprozess prüfen | |
| Prüfen der Umsetzung | |
| Sicherheitsrevision | |
| Aktualität von Sicherheitszielen | |
| Übernahme der Ergebnisse in den Informationssicherheitsprozess | |
| Informationsfluss | |
| Zertifizierung | |
| Effizienz und Effektivität der Vorkehrungen |
- Informationssicherheit prüfen
- Abarbeitung einfacher Checklisten
- Punktuelle Prüfung der Netzsicherheit mittels Penetrationstests
- Umfassenden Prüfung
- Angemessenheit und Wirksamkeit
- der Umgesetzten
- technischen und organisatorischen Schutzmaßnahmen
- Regelmäßigen Intervalle
- Grundsätzlich gilt, dass umfassende Prüfungen in regelmäßigen Intervallen (jährlich bis maximal drei Jahre) durchgeführt werden sollten.
- Aber auch fallweise Prüfungen sind zweckmäßig, beispielsweise bei der Änderung von Geschäftsprozessen und insbesondere nach Sicherheitsvorfällen.
- Sicherheitsvorfall
Sicherheitsvorfälle sollten immer ein Anlass sein, die Sicherheitskonzeption zu hinterfragen
- Dies sollte offen und sorgfältig geschehen, um Schwachstellen, die einen Vorfall begünstigt haben, identifizieren und beseitigen zu können
- Zweckmäßige Verfahren
Zwei zweckmäßige Verfahren, mit den Sie Ihr Sicherheitskonzept und das erreichte Schutzniveau prüfen können, sind die -Revision und der Cyber-Sicherheits-Check:
- Mit einer Informationssicherheitsrevision (-Revision) können Sie nach einem festgelegten Verfahren und von kompetenten Revisoren überprüfen lassen, ob das Sicherheitskonzept Ihrer Institution wie beabsichtigt umgesetzt ist und es nach wie vor den aktuellen Anforderungen gerecht wird.
- Die -Revision liefert sowohl den Verantwortlichen für Informationssicherheit als auch der Leitung einer Institution belastbare Informationen über den aktuellen Zustand der Informationssicherheit.
- Kurz-, Querschnitts- und Partialrevision
- Neben einer umfassenden Prüfung, die auf die vollständige und vertiefte Überprüfung der Informationssicherheit in einer Institution abhebt, gibt es mit der Kurz-, Querschnitts- und Partialrevision Varianten, bei denen Tiefe und Umfang der Prüfung begrenzt sind.
- Cyber-Sicherheits-Check
Wenn Sie noch wenig Erfahrung mit diesem Thema haben, kann der Cyber-Sicherheits-Check eine wichtige Hilfe bei der Überprüfung des Sicherheitsniveaus Ihrer Institution sein.
- Er gibt ihnen Hinweise zur Anfälligkeit gegen Cyberangriffe und ist so angelegt, dass die regelmäßige Durchführung das Risiko verringert, zum Opfer solcher Angriffe zu werden.
- Vorgehensmodell IT-Revision
Für die Durchführung der IT-Revision hat das BSI ein eigenes Vorgehensmodell entwickelt, das im Leitfaden -Revision beschrieben ist.
- Dort erfahren Sie auch mehr zu Prüfumfang und -tiefe sowie Einsatzzweck der unterschiedlichen Varianten des Verfahrens.
Geschäftsprozess
- Name
- Prozess-Owner
- Trigger
Vorarbeiten
- Realisierungsplan enthält Maßnahmen des Sicherheitskonzepts
- Bis wann werden Maßnahmen von wem wie umgesetzt
- Erforderliche Ressourcen
- Zwischentermine
- Begleitende Maßnahmen
- Regelmäßige Kontrollen
- Sicherstellen, dass alles wie geplant umgesetzt ist und funktioniert
- Stetiger Prozess
Informationssicherheit ist kein einmalig herzustellender und anschließend stabiler Zustand, sondern ein stetiger Prozess, der immer wieder an sich wandelnde und neue Herausforderungen angepasst werden muss.
- Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen für Informationssicherheit in Ihrer Institution kontinuierlich überwachen und verbessern
- Umsetzungsstand der im Sicherheitskonzept vorgesehenen Maßnahmen prüfen
- Vorgehen bei der Überprüfung der Wirksamkeit von Maßnahmen
- Erkenntnisse der Prüfungen in Maßnahmen zur Verbesserung Ihres Informationssicherheitsmanagements überführen
- Kennzahlen können bei der Bewertung einzelner Aspekte der Informationssicherheit helfen
- Reifegradmodell nutzen
- Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz)
Leitfragen
- Leitfragen für die Überprüfung
Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden.
- Überprüfungen sollten sich an folgenden Leitfragen orientieren
| Frage | Beschreibung |
|---|---|
| Welche Ziele der Informationssicherheit sind aktuell vordringlich? | Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern
|
| Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses? | Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann.
|
| Wie häufig sind die Verfahren zu überprüfen? | Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse.
|
- Umsetzungshinweise
ISMS.1.M11: Aufrechterhaltung der Informationssicherheit
- Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses
Informationssicherheitsprozess
- Überprüfung des Informationssicherheitsprozesses ist unabdingbar
- Fehler und Schwachstellen erkennen und abstellen
- Effizienz des IS-Prozesses optimieren
- Verbesserung der Praxistauglichkeit
- Strategie
- Maßnahmen
- Organisatorische Abläufe
Methoden zur Überprüfung
- Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden
- Realisierung der beschlossenen Maßnahmen prüfen
- deren Wirksamkeit und Effizienz überprüfen
- Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen
- Grundlagen für Messungen
- Detektion, Dokumentation und Auswertung von Sicherheitsvorfällen
- Durchführung von Übungen und Tests zur Simulation von Sicherheitsvorfällen
- Auswertung der Ergebnisse
- interne und externe Audits, Datenschutzkontrollen
- Zertifizierung nach festgelegten Sicherheitskriterien
- Internen Audits zur Erfolgskontrolle der umgesetzten Maßnahmen
- nicht durch denjenigen durchführen, der die Sicherheitskonzeption entwickelt hat
- Externe Experten mit der Durchführung solcher Prüfungsaktivitäten beauftragen
Aufwand von Audits
- hängt von der Komplexität und Größe des Informationsverbunds ab
- Anforderungen auch für kleine Institutionen geeignet
- Kleinen Einrichtungen
In kleinen Institutionen eventuell ausreichend
- Jährlicher technischer Check von IT-Systemen
- Vorhandene Dokumentationen auf Aktualität prüfen
- Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen
Überprüfung der Umsetzung
- Realisierungsplan prüfen
- Aufgabenliste und zeitliche Planung
- Ob und inwieweit dieser eingehalten wurde
- Angemessene Ressourcenplanung
- Voraussetzung für die Einhaltung geplanter Sicherheitsmaßnahmen
- Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt?
- Die Überprüfung dient auch
- Rechtzeitiger Wahrnehmung von Planungsfehlern
- Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist
- Benutzer-Akzeptanz
- Nach Einführung neuer Sicherheitsmaßnahmen
Akzeptanz bei Nutzern prüfen
- Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert
- Ursachen herauszuarbeiten und abstellen
- Oft reicht eine zusätzliche Aufklärung der Betroffenen
- Alternativen prüfen
Sicherheitsrevision
- Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen
- Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck
- Arbeitsökonomisch
- Angepasste Checkliste erstellen
- für jeden Baustein der IT-Grundschutz-Kataloge
- anhand der Maßnahmentexte
- erleichtert die Revision
- verbessert die Reproduzierbarkeit der Ergebnisse
Aktualität von Sicherheitszielen
Rahmenbedingungen und Sicherheitskonzeption
- In längeren Perspektiven prüfen
- gesetzte Sicherheitsziele
- Rahmenbedingungen
- Anpassung der Sicherheitsleitlinie und der Sicherheitsstrategie
- in schnelllebigen Branchen von elementarer Bedeutung
- Betriebliche Änderungen schon bei ihrer Planungsphase in die Sicherheitskonzeption einbeziehen
- Einsatz neuer IT-Systeme
- Umzug
- organisatorische Änderungen (z. B. Outsourcing)
- Änderungen gesetzlicher Anforderungen
- Nach jeder relevanten Änderung aktualisieren
- Sicherheitskonzeption
- dazugehörigen Dokumentation
- Im Änderungsprozess der Institution berücksichtigen
- Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren
Wirtschaftlichkeitsbetrachtung
- Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben
- Sicherheitsstrategie
- spezifische Sicherheitsmaßnahmen
- Kosten für Informationssicherheit sind schwer zu ermitteln
- oft hilfreich, für die weitere Planung: Prüfen, ob
- tatsächlich angefallene Kosten den geplanten entsprechen
- ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können
- Nutzen herausarbeiten
Ebenso wichtig: Regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten
Rückmeldungen
- Rückmeldungen von Internen und Externen
Rückmeldungen über Fehler und Schwachstellen in den Prozessen
- Informationssicherheitsorganisation
- Revision
auch von
- Mitarbeitern
- Geschäftspartnern
- Kunden oder Partnern
Wirksame Vorgehensweise festlegen
- Beschwerden und anderen Rückmeldungen von Internen und Externen verwerten
Beschwerden
- von Kunden oder Mitarbeitern können dabei ein Indikator für Unzufriedenheit sein
- Bereits entstehender Unzufriedenheit entgegenwirken!
- bei unzufriedenen Mitarbeitern/Kunden
- Gefahr von Handlungen die den Betrieb stören können
- fahrlässig
- vorsätzlich
- Rückmeldungen von Internen und Externen
- Umgang mit Beschwerden
- klar definiertes Verfahren
- eindeutig festgelegte Kompetenzen
- für den Umgang mit Beschwerden und für die Rückmeldung von Problemen an die zuständige Instanz
- Beschwerden schnellstmöglich beantworten
- damit die Hinweisgeber sich ernst genommen fühlen
- Gemeldeten Probleme bewerten
- Handlungsbedarf eingeschätzten
- angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern ergreifen
- erneutes Auftreten verhindern
Informationsfluss
Informationsfluss im Informationssicherheitsprozess
- Im Rahmen der Überprüfung und Verbesserung entstehen
- Berichte
- Audit-Reports
- Ergebnisse von Sicherheitstests
- Meldungen über sicherheitsrelevante Ereignisse
- weitere Dokumente zur Informationssicherheit
Dokumente müssen
- aussagekräftig
- für die jeweilige Zielgruppe verständlich sein
Nicht alle Informationen sind für die Leitungsebene geeignet
- es ist eine Aufgabe des IT-Sicherheitsmanagements, diese Informationen
- zu sammeln
- zu verarbeiten
- kurz und übersichtlich aufzubereiten
Berichte
- Berichte an die Leitungsebene
- Leitung benötigt Eckpunkte über den Stand der Informationssicherheit
- richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten
- Ergebnisse von Audits und Datenschutzkontrollen
- Berichte über Sicherheitsvorfall* Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form
- Ergebnisse der Überprüfungen
- Status des IS-Prozesses
- Probleme
- Erfolge
- Verbesserungsmöglichkeiten
- Leitungsebene nimmt Management-Berichte zur Kenntnis und veranlasst notwendige Maßnahmen
- Berichte an die Leitungsebene
Dokumentation
- Dokumentation im Informationssicherheitsprozess
- Entscheidend für Erfolg
Dokumentation des IS-Prozesses auf allen Ebenen
- Nur durch ausreichende Dokumentation
- werden getroffene Entscheidungen nachvollziehbar
- sind Prozesse wiederholbar und standardisierbar
- können Schwächen und Fehler erkannt und zukünftig vermieden werden
- Abhängig vom Gegenstand und vom Verwendungszweck der Dokumentation
- Technische Dokumentation und Dokumentation von Arbeitsabläufen
- Anleitungen für Mitarbeiter
- Aufzeichnung von Management-Entscheidungen
- Gesetze und Regelungen
- Technische Dokumentation Arbeitsabläufen
- Zielgruppe
- Experten
- Aktuellen Stand beschreiben
- Geschäftsprozessen
- damit verbundener IT-Systeme und Anwendungen
- Detaillierungsgrad technischer Dokumentationen
- andere Personen mit vergleichbarer Expertise sollen die Dokumentation nachvollziehen können
- Ein Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um die Systeme und Anwendungen wiederherzustellen
- Dazu gehörten z.B.
- Installations- und Konfigurationsanleitungen
- Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall
- Dokumentation von Test- und Freigabeverfahren
- Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen
- Bei Sicherheitsübungen und bei Behandlung von Sicherheitsvorfällen
- Qualität der vorhandenen Dokumentationen bewerten
- gewonnene Erkenntnisse zur Verbesserung nutzen
- Anleitungen für Mitarbeiter
Zielgruppe: Mitarbeiter
- Sicherheitsmaßnahmen in Form von Richtlinien dokumentieren
- für die Mitarbeiter verständlich
Mitarbeiter müssen informiert und geschult sein
- Existenz und Bedeutung dieser Richtlinien
- Dazu gehört
- Arbeitsabläufe und organisatorische Vorgaben
- Richtlinien zur Nutzung des Internets
- Verhalten bei Sicherheitsvorfällen
- Entscheidungen aufzeichnen
- Informationssicherheitsprozess
- Sicherheitsstrategie
- jederzeit verfügbar
- nachvollziehbar
- wiederholbar
- Gesetze und Regelungen
Zielgruppe: Leitungsebene
- Für Informationsverarbeitung sind viele unterschiedliche relevant
- Gesetze
- Regelungen
- Anweisungen
- Verträge
- Besondere Anforderungen sollten dokumentiert werden
- welche konkreten Konsequenzen ergeben sich daraus
- Geschäftsprozesse
- IT-Betrieb
- Informationssicherheit
- Aktuellen Stand der Dokumentationen sicherstellen
- Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden
Informationsfluss und Meldewege
- Richtlinie zum Informationsfluss und Meldewegen
Grundsätzliche Festlegungen
- Hol- und Bringschuld
- Kommunikationsplan
- Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis?
- von der Leitungsebene verabschieden lassen
- Aktualisierung der Meldewege
- Festlegungen für den Informationsfluss
- Zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses
- Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses
- Synergieeffekten für den Informationsfluss
- Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen
Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden
- Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden
- Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte
- besonders Optimierung von Prozessen ist für viele Bereiche relevant
- Bestimmung von Informationseigentümern
- Einstufung von Informationen nach einheitlichen Bewertungskriterien Überblick über die Abhängigkeit
- der Geschäftsprozesse von IT-Systemen und Anwendungen
- ist nicht nur für das Sicherheitsmanagement sinnvoll
- exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse
IT-Grundschutz-Zertifizierung
Bewertung
Kennzahlen
Grundschutz/Kennzahlen - Beschreibung
Beschreibung
- Kennzahlen
Bewährtes Instrument zur Kommunikation über Erfolge und Probleme
- Indikatoren für die Güte
- Sicherheitsprozesses
- Einzelner Sicherheitsaspekte
- Beispiele
Schichten des IT-Grundschutz/Kompendiums
- Technisch
- Organisatorisch
- Kennzahlen zur Informationssicherheit
| Baustein | Bezeichnung | Anforderung | Kennzahl |
|---|---|---|---|
| ISMS.1 | Sicherheitsmanagement | Die Leitungsebene SOLLTE regelmäßig über den Stand der Informationssicherheit informiert werden. | Anzahl der Leitungsmeetings mit Sicherheitsreport / Anzahl aller Leitungsmeetings |
| ORP.2 | Personal | Aufgaben und Zuständigkeiten von Mitarbeitern SOLLTEN in geeigneter Weise dokumentiert sein. | Anzahl der Mitarbeiterverträge mit Verpflichtung zur sicheren Handhabung von Informationen / Anzahl aller Mitarbeiterverträge |
| CON.3 | Datensicherungskonzept | Die Datensicherung und ein möglicherweise vorzunehmender Restore SOLLTEN regelmäßig getestet werden. | Anzahl erfolgreicher Tests / Gesamtzahl der Tests zur Wiederherstellung gesicherter Daten |
| OPS.1.1.2 | Ordnungsgemäße IT-Administration | Die Befugnisse, Aufgaben und Pflichten der -Administratoren SOLLTEN in einer Arbeitsanweisung oder Richtlinie verbindlich festgeschrieben werden. | Anzahl von Arbeitsanweisungen / Anzahl aller Administratoren |
| DER.1 | Detektion von sicherheitsrelevanten Ereignissen | Die gesammelten Ereignismeldungen der -Systeme und Anwendungssysteme SOLLTEN auf einer zentralen Protokollinfrastruktur aufbewahrt werden. | Anzahl zentral gesammelter Ereignismeldungen / Anzahl aller Ereignismeldungen |
| APP.1.1 | Office-Produkte | Neue Office-Produkte SOLLTEN vor dem Einsatz auf Kompatibilität mit etablierten Arbeitsmitteln getestet werden. | Anzahl der eingesetzten getesteten Office-Produkte / Anzahl aller eingesetzten Office-Produkte |
| SYS.1.1 | Allgemeiner Server | Ablauf, Rahmenbedingungen und Anforderungen an administrative Aufgaben sowie die Aufgabentrennungen zwischen den verschiedenen Rollen der Benutzer des -Systems SOLLTEN in einem Benutzer- und Administrationskonzept festgeschrieben werden. | Anzahl von Servern mit detailliertem Administrationskonzept / Anzahl aller Server |
- Vielzahl an Kennzahlen
Diese Beispiele verdeutlichen, dass für eine umfassende Bewertung der Informationssicherheit eine Vielzahl an Kennzahlen nötig ist.
- Erhebung, Berechnung und Aufbereitung der Kennzahlen erfordern unter Umständen einen sehr hohen Aufwand
- wobei technische Kennzahlen oft automatisiert erhoben werden können und
- damit der bei ihnen anfallende Aufwand meist geringer ist als bei organisatorischen Kennzahlen.
- Aufwand
Damit der Aufwand in einem angemessenen Verhältnis zum Ergebnis steht, ist es wichtig, dass die Ziele der Kennzahlen klar formuliert und der erforderliche Aufwand für die Erhebung der Messwerte gut abgeschätzt werden.
- Wenn Sie planen, in Ihrer Institution Kennzahlen zur Informationssicherheit einzuführen, empfiehlt es sich, zunächst mit wenigen Kennzahlen zu starten und diese dann mithilfe der gewonnenen Erfahrungen Schritt für Schritt zu ergänzen.
Reifegradmodelle
Behandlung von Prüfergebnisse
Die Ergebnisse aller Überprüfungen müssen dokumentiert und der Leitung mitgeteilt werden.
- Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln.
- Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist.
- Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen.
- Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden.
Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 Sicherheitsmanagement des -Grundschutz-Kompendiums unter ISMS.1.A12 Management-Berichte zur Informationssicherheit beschrieben.
Übernahme der Ergebnisse in den Informationssicherheitsprozess
- Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses
Es kann sich herausstellen, dass
- Sicherheitsziele,
- Sicherheitsstrategie oder
- Sicherheitskonzept
geändert und die Sicherheitsorganisation angepasst werden sollten.
- Unter Umständen sinnvoll
- grundlegende Änderungen an der IT-Umgebung
- Geschäftsprozesse verändern
- z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder
- nur umständlich (also mit hohem finanziellen oder personellen Aufwand)
- erreicht werden können.
- Management-Kreislauf schließt sich
- größere Veränderungen vorgenommen und umfangreiche Verbesserungen
- neue Planungsphase beginnen
Überprüfungen von geeigneten Personen durchführen lassen
- Kompetenz
- Unabhängigkeit
Vollständigkeits- und Plausibilitätskontrollen
- sollten nicht durch die Ersteller der Konzepte durchgeführt werden.
- Vorgehensweise zur Überprüfung und Verbesserung
- in Richtlinie dokumentieren
- von der Leitungsebene verabschieden lassen
In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden,
- wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und
- wie die Ergebnisse in den Änderungsprozess einfließen.
- Prüfergebnisse und -berichte sind
- im Allgemeinen als hochvertraulich zu betrachten und
- müssen besonders gut geschützt werden.