IT-Grundschutz/Modellierung
IT-Grundschutz-Modellierung - Zuordnung von Grundschutz-Bausteinen zu Zielobjekte
Beschreibung
- IT-Grundschutz-Modell für einen Informationsverbund erstellen
- Sicherheitsanforderungen für Zielobjekte bestimmen
- Abhängigkeiten berücksichtigen
- Modellierung
Anwendung der Bausteine IT-Grundschutz-Kompendiums auf die Komponenten des eines Informationsverbundes
- IT-Grundschutz-Modell
| Ergebnis | Beschreibung |
|---|---|
| Prüfplan | Bestehende Systeme und Verfahren |
| Entwicklungskonzept | Geplante Teile des Informationsverbundes
|
Vorarbeiten
| Arbeitsschritte | Beschreibung |
|---|---|
| Informationsverbund | Definition des Geltungsbereiches des Sicherheitskonzeptes |
| Strukturanalyse | Identifikation der Zielobjekte |
| Schutzbedarfsfeststellung | Festlegung des Schutzbedarfes für die Zielobjekte |
Vorgehen
- Entwicklung des Grundschutz-Modells
- Auf Basis des IT-Grundschutz-Kompendiums
- Auswahl der Grundschutz-Bausteine
- die für die Sicherheit des betrachteten Informationsverbundes benötigen werden
- Festlegung, welche Bausteine der einzelnen Schichten für welches Zielobjekt anzuwenden ist
- Hilfestellungen dazu finden Sie in Kapitel 2.2 Zuordnung anhand Schichtenmodell des IT-Grundschutz-Kompendiums.
- Ideal
- Alle Zielobjekte des Informationsverbundes werden angemessen durch Grundschutz-Bausteine abgebildet
- Kein passender Baustein für Zielobjekt
- Risikoanalyse
- Dabei werden Gefährdungen und Sicherheitsanforderungen identifiziert
- Diese sind in einem benutzerdefinierten Baustein zu dokumentieren
- Abgrenzung von Bausteinen
Nicht jeder Baustein ist relevant
- Zum Beispiel müssen Sie den Baustein CON.7 Informationssicherheit auf Auslandsreisen natürlich nur dann anwenden, wenn solche Reisen in Ihrer Einrichtung üblich sind, und ebenso selbstverständlich erübrigt sich die Anwendung spezieller technischer Bausteine wie SYS.2.2.2 Clients unter Windows 8.1, wenn dieser Typ von -Systemen bei Ihnen nicht eingesetzt wird.
- Geben Sie in solchen Fällen gleichwohl eine hinreichende Begründung für die Nichtanwendung eines Bausteins an, sie muss aussagekräftig, aber nicht lang sein.
Prozessorientierte Bausteine
- Technischen Aspekten übergeordnet
- Einheitlich Regelung je Informationsverbund
- Anwendung
- In der Regel einmal pro Informationsverbund
- Wichtige Bausteine
- Informationssicherheitsmanagement
- Organisation des IT-Betriebs
- Schulung und Sensibilisierung des Personals
- Detektion von und Reaktion auf Sicherheitsvorfälle
Systemorientierte Bausteine
Anwendung
- Technische Objekte
- Auf jedes System (Gruppe) einmal anwenden, das im Baustein adressiert wird
- Mögliche Objekte
- Anwendungen
- IT-Systeme (z.B. Client, Server oder mobile Geräte)
- Objekte aus dem Bereich der industriellen IT
- Netze
- Infrastrukturobjekte (Räume, Rechenzentrum, Verkabelung)
Mehrere Bausteine
- Meist sind für IT-Systeme mehrere Bausteine anzuwenden
- Alle Sicherheitsanforderungen angemessen berücksichtigen
- Betriebssystemunabhängige Bausteine
Grundsätzliche Sicherheitsanforderungen
- SYS.2.1 Allgemeiner Client
- SYS.1.1 Allgemeiner Server
- Betriebssystemspezifische Bausteine
Anforderungen für einzelne Betriebssysteme
- SYS.2.2.3 Client unter Windows 10
- SYS.1.2.2 Windows Server 2012
- ...
- Beispiel: Webserver
Webserver mit Unix
- SYS.1.1 Allgemeiner Server
- SYS.1.3 Server unter Unix
- APP.3.2 Webserver
Virtuelle Systeme
- Virtuelle Systeme werden modelliert wie physische
es sind also die Funktionen
- der Systeme,
- ihr Betriebssystem und
- die bereitgestellten Anwendungen und Dienste
zu berücksichtigen.
- Beispiel
Wird ein Unix-Server als Virtualisierungsserver betrieben, so sind folgende Bausteine anzuwenden
- SYS.1.1 Allgemeiner Server
- SYS.1.3 Server unter Unix und
- SYS.1.5 Virtualisierung
- Physischen Server
Zusätzlich sind für jeden auf diesem physischen Server bereitgestellten virtuellen Server die üblichen Bausteine für Server anzuwenden.
- Bare Metal Server
Für auf spezieller Hardware beruhende Virtualisierungsserver (sogenannte Bare Metal Server) gibt es keinen passenden Grundschutz-Baustein.
- Solche IT-Systeme sind daher für eine Risikoanalyse vorzumerken
Dokumentation
- Beispiel
- In der Spalte Relevanz vermerken Sie, ob Bausteine für den Informationsverbund von Bedeutung sind oder nicht.
- Diese Entscheidung können Sie unter Begründung näher erläutern.
- Baustein nicht relevant
- Hinreichende Begründung unabdingbar!
- Dokumentation der Modellierung
| Baustein | Zielobjekte | Relevanz | Begründung | Ansprechpartner |
|---|---|---|---|---|
| APP.5.2 Microsoft Exchange/Outlook | Ja | IT-Betrieb | ||
| INF.1 Allgemeines Gebäude | Ja | Haustechnik | ||
| INF.2 Rechenzentrum sowie Serverraum | Ja | IT-Betrieb | ||
| INF.4 IT-Verkabelung | Informationsverbund | Ja | ||
| INF.7 Büroarbeitsplatz | bis | Ja | ||
| INF.8 Häuslicher Arbeitsplatz | Ja | Die Vertriebsbüros werden wie Home Offices behandelt. | ||
| IND.2.2 Speicherprogrammierbare Steuerung (SPS) | Ja | |||
| SYS.1.5 Virtualisierung | Ja | IT-Betrieb | ||
| SYS.3.1 Laptops | bis | Ja | IT-Betrieb | |
| OPS.3.1 Outsourcing für Dienstleister | Nein | Solche Dienste werden nicht angeboten. |
Siehe auch Modellierung für die RECPLAST
Anforderungen anpassen
- Grundschutz-Bausteine beschreiben Anforderungen, die eine Institution umsetzen MUSS oder SOLLTE
- In ihnen ist also dargestellt, was zu geschehen ist, nicht aber, wie dies zu erfolgen hat.
- Für die Ausarbeitung von Sicherheitskonzepten wie auch für ein Prüfkonzept ist es notwendig, zu den einzelnen Anforderungen geeignete Sicherheitsmaßnahmen zu formulieren.
- Umsetzungshinweise
- Als Hilfsmittel hierfür gibt es zu den meisten Bausteinen des Grundschutz-Kompendiums Umsetzungshinweise
- Angemessene Maßnahmen
| Bewertung | Beschreibung |
|---|---|
| wirksam | Vor möglichen Gefährdungen schützen und den festgelegten identifizierten Schutzbedarf abdecken |
| geeignet | Tatsächlich umsetzbar sein, ohne
|
| praktikabel | Leicht verständlich, einfach anzuwenden und wenig fehleranfällig |
| akzeptabel | Barrierefrei, niemanden diskriminieren oder beeinträchtigen |
| wirtschaftlich | Eingeführt und betrieben werden können, der mit ihrer Umsetzung verbundene Aufwand also in einem angemessenen Verhältnis zu den zu schützenden Werten steht. |
Standard-Absicherung
Bei der Vorgehensweise Standard-Absicherung sollten neben den verpflichtenden Basis-Anforderungen in der Regel immer auch alle Standard-Anforderungen eines Bausteins erfüllt werden.
- Gleichwohl kann es in Einzelfällen zu Ausnahmen kommen, etwa weil eine Anforderung nicht relevant ist oder ihre Erfüllung mit der Erfüllung anderer Anforderungen im Widerspruch steht.
- Dies ist auch bei Basis-Anforderungen möglich.
- Solche Abweichungen sollten Sie nachvollziehbar begründen.
- Für zwar relevante, aber mit vertretbarem Aufwand nicht erfüllbare Anforderungen sollten Sie Ersatzlösungen festlegen.