IT-Grundschutz
IT-Grundschutz - Vorgehensweise zum Aufbau eines Informationssicherheits-Managementsystem (ISMS)
Beschreibung
| Standards | |
|---|---|
| 200-1 | Anforderungen an ein ISMS |
| 200-2 | Umsetzung der Anforderungen |
| 200-3 | Risikoanalyse |
| 200-4 | Business Continuity Management |
| Kompendium | |
| Kapitel 1 | IT-Grundschutz/Kompendium/Vorspann |
| Kapitel 2 | Schichtenmodell / Modellierung |
| Elementare Gefährdungen |
Elementare Gefährdungen |
| Schichten | Prozesse Systeme |
Identifizieren und Umsetzen von Sicherheitsmaßnahmen
- Bestandteile
| Standards | Vorgehen zur Gewährleistung von Informationssicherheit, Organisatorischer Rahmen |
| Kompendium | mit dem die in den Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können |
- Sicherheitsniveau
- Mittel
- Im Allgemeinen ausreichend und angemessen
- Erweiterbar für erhöhten Schutzbedarf
Anforderungen
| Bereich | Beschreibung |
|---|---|
| Technisch | Geräte, Netzwerke, Strukturen, ... |
| Infrastrukturell | Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ... |
| Organisatorisch | Ablauforganisation, Aufbauorganisation |
| Personell | Rollen, Zuständigkeiten, Schnittstellen, Informationsaustausch, ... |
Zertifizierung
- ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz
Nachweis eines
- Systematischen Vorgehens (Informationssicherheits-Managementsystem (ISMS))
- Absicherung von IT-Systemen gegen Gefährdungen
Bedeutung von Informationen
Wichtigkeit und Bedeutung von Informationen
- Für Unternehmen und Behörden ist es unerlässlich, dass Informationen korrekt vorliegen und vertraulich behandelt werden
- Entsprechend wichtig ist auch, dass die technischen Systeme, auf denen Informationen gespeichert, verarbeitet oder übertragen werden, reibungslos funktionieren und wirksam gegen vielfältige, immer wieder neuartige Gefährdungen geschützt sind
IT-Grundschutz des BSI
- Grundlage
- Herausforderungen professionell gerecht werden
- Bemühungen für Informationssicherheit strukturieren
- IT-Grundschutz ermöglicht
- Systematische Schwachstellensuche
- Prüfen der Angemessenheit von Schutzmaßnahmen
- Sicherheitskonzepte entwickeln und fortschreiben
- passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
- Allgemein anerkannten Standards zu genügen
- Best Practice
Konzept
- Verzicht auf initiale Risikoanalysen
Pauschale Gefährdungen
- Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird zunächst verzichtet
Schutzbedarf
- Drei Schutzbedarfskategorien
Schutzbedarf des Untersuchungsgegenstandes festlegen
| Kategorie | Schaden |
|---|---|
| Normal | überschaubar |
| Hoch | beträchtlich |
| Sehr Hoch | existenzgefährdend |
Anforderungen
- Sicherheitsmaßnahmen
Passende Sicherheitsmaßnahmen auswählen
- personell
- technisch
- organisatorisch
- infrastrukturell
Kochrezepte
- Basierend auf dem IT-Grundschutz-Kompendium
BSI-Standard 200-2 bietet „Kochrezepte“ für ein Normales Schutzniveau
- Eintrittswahrscheinlichkeit und Schadenshöhe
Dabei werden neben Eintrittswahrscheinlichkeiten und potenzieller Schadenshöhe auch die Kosten der Umsetzung berücksichtigt
- IT-Grundschutz-Kompendium
Durch die Verwendung des IT-Grundschutz-Kompendiums entfällt eine aufwendige Sicherheitsanalyse
- das Expertenwissen erfordert
- da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
- Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen
- Erfolgreiche Umsetzung
Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines Informationssicherheitsmanagementsystems (ISMS) wird vom BSI ein Zertifikat ISO/IEC 27001 auf Basis von IT-Grundschutz vergeben
- Basis dieses Verfahrens sind die neuen BSI-Sicherheitsstandards
- Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
- Unternehmen, die sich nach dem ISO/IEC 27001-Standard zertifizieren lassen, sind zur Risikoanalyse verpflichtet
- Um es sich komfortabler zu gestalten, wird meist auf die Schutzbedarfsfeststellung gemäß IT-Grundschutz-Katalogen ausgewichen
- Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ISO/IEC 27001, als auch eine Konformität zu den strengen Richtlinien des BSI
- Darüber hinaus bietet das BSI einige Hilfsmittel wie Musterrichtlinien an
- Datenschutz
Es liegt auch ein Baustein für den Datenschutz vor, der von dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die IT-Grundschutz-Kataloge integriert wurde
- Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung