IT-Grundschutz/Modellierung
IT-Grundschutz-Modellierung - Zuordnung von Grundschutz-Bausteinen zu Zielobjekte
Beschreibung
- IT-Grundschutz-Modell für einen Informationsverbund erstellen
- Sicherheitsanforderungen für Zielobjekte bestimmen
- Abhängigkeiten berücksichtigen
- Entwicklung des Grundschutz-Modells
- Auf Basis des IT-Grundschutz-Kompendiums
- Modellierung
Anwendung der Bausteine IT-Grundschutz-Kompendiums auf die Komponenten des eines Informationsverbundes
- IT-Grundschutz-Modell
| Ergebnis | Beschreibung |
|---|---|
| Prüfplan | Bestehende Systeme und Verfahren |
| Entwicklungskonzept | Geplante Teile des Informationsverbundes
|
Vorarbeiten
| Arbeitsschritte | Beschreibung |
|---|---|
| Informationsverbund | Definition des Geltungsbereiches des Sicherheitskonzeptes |
| Strukturanalyse | Identifikation der Zielobjekte |
| Schutzbedarfsfeststellung | Schutzbedarf für Zielobjekte bestimmen |
Vorgehen
Auswahl der Grundschutz-Bausteine
- die für die Sicherheit des betrachteten Informationsverbundes benötigen werden
- Festlegung, welche Bausteine der einzelnen Schichten für welches Zielobjekt anzuwenden ist
- Hilfestellungen dazu finden Sie in Kapitel 2.2 Zuordnung anhand Schichtenmodell des IT-Grundschutz-Kompendiums.
- Ideal
- Alle Zielobjekte des Informationsverbundes werden angemessen durch Grundschutz-Bausteine abgebildet
Kein passender Baustein für Zielobjekt
- Risikoanalyse erforderlich
- Dabei werden Gefährdungen und Sicherheitsanforderungen identifiziert
- Diese sind in einem benutzerdefinierten Baustein zu dokumentieren
Abgrenzung von Bausteinen
Nicht jeder Baustein ist relevant
- Zum Beispiel müssen Sie den Baustein CON.7 Informationssicherheit auf Auslandsreisen natürlich nur dann anwenden, wenn solche Reisen in Ihrer Einrichtung üblich sind, und ebenso selbstverständlich erübrigt sich die Anwendung spezieller technischer Bausteine wie SYS.2.2.2 Clients unter Windows 8.1, wenn dieser Typ von -Systemen bei Ihnen nicht eingesetzt wird.
- Geben Sie in solchen Fällen gleichwohl eine hinreichende Begründung für die Nichtanwendung eines Bausteins an, sie muss aussagekräftig, aber nicht lang sein.
Prozessorientierte Bausteine
- Technischen Aspekten übergeordnet
- Einheitlich Regelung je Informationsverbund
- Anwendung
- In der Regel einmal pro Informationsverbund
- Wichtige Bausteine
- Informationssicherheitsmanagement
- Organisation des IT-Betriebs
- Schulung und Sensibilisierung des Personals
- Detektion und Reaktion auf Sicherheitsvorfälle
Systemorientierte Bausteine
Anwendung
- Technische Objekte
- Auf jedes System (Gruppe) einmal anwenden, das im Baustein adressiert wird
- Mögliche Objekte
- Anwendungen
- IT-Systeme (z.B. Client, Server oder mobile Geräte)
- Objekte aus dem Bereich der industriellen IT
- Netze
- Infrastrukturobjekte (Räume, Rechenzentrum, Verkabelung)
Mehrere Bausteine
- Meist sind für IT-Systeme mehrere Bausteine anzuwenden
- Alle Sicherheitsanforderungen angemessen berücksichtigen
- Betriebssystemunabhängige Bausteine
Grundsätzliche Sicherheitsanforderungen
- SYS.2.1 Allgemeiner Client
- SYS.1.1 Allgemeiner Server
- Betriebssystemspezifische Bausteine
Anforderungen für einzelne Betriebssysteme
- SYS.2.2.3 Client unter Windows 10
- SYS.1.2.2 Windows Server 2012
- ...
- Beispiel: Webserver
Webserver mit Unix
- SYS.1.1 Allgemeiner Server
- SYS.1.3 Server unter Unix
- APP.3.2 Webserver
Virtuelle Systeme
- Virtuelle Systeme werden modelliert wie physische Systeme
- System
- Betriebssystem
- Anwendungen
- Dienste
- Beispiel
Wird ein Unix-Server als Virtualisierungsserver betrieben, so sind folgende Bausteine anzuwenden
- SYS.1.1 Allgemeiner Server
- SYS.1.3 Server unter Unix und
- SYS.1.5 Virtualisierung
- Physischen Server
Zusätzlich sind für jeden auf diesem physischen Server bereitgestellten virtuellen Server die üblichen Bausteine für Server anzuwenden.
- Bare Metal Server
Für auf spezieller Hardware beruhende Virtualisierungsserver (sogenannte Bare Metal Server) gibt es keinen passenden Grundschutz-Baustein.
- Solche IT-Systeme sind daher für eine Risikoanalyse vorzumerken
Dokumentation
- Beispiel
- In der Spalte Relevanz vermerken Sie, ob Bausteine für den Informationsverbund von Bedeutung sind oder nicht.
- Diese Entscheidung können Sie unter Begründung näher erläutern.
- Baustein nicht relevant
- Hinreichende Begründung unabdingbar!
- Dokumentation der Modellierung
| Baustein | Zielobjekte | Relevanz | Begründung | Ansprechpartner |
|---|---|---|---|---|
| APP.5.2 Microsoft Exchange/Outlook | Ja | IT-Betrieb | ||
| INF.1 Allgemeines Gebäude | Ja | Haustechnik | ||
| INF.2 Rechenzentrum sowie Serverraum | Ja | IT-Betrieb | ||
| INF.4 IT-Verkabelung | Informationsverbund | Ja | ||
| INF.7 Büroarbeitsplatz | bis | Ja | ||
| INF.8 Häuslicher Arbeitsplatz | Ja | Die Vertriebsbüros werden wie Home Offices behandelt. | ||
| IND.2.2 Speicherprogrammierbare Steuerung (SPS) | Ja | |||
| SYS.1.5 Virtualisierung | Ja | IT-Betrieb | ||
| SYS.3.1 Laptops | bis | Ja | IT-Betrieb | |
| OPS.3.1 Outsourcing für Dienstleister | Nein | Solche Dienste werden nicht angeboten. |
Siehe auch Modellierung für die RECPLAST
Anforderungen anpassen
- Grundschutz-Bausteine beschreiben Anforderungen
MUSS / SOLLTE
- was zu geschehen ist
- nicht aber, wie dies zu erfolgen hat
- Sicherheitsmaßnahmen
- Für die Ausarbeitung von Sicherheitskonzepten
- wie auch für ein Prüfkonzept
- ist es notwendig
- zu den einzelnen Anforderungen
- Geeignete Sicherheitsmaßnahmen formulieren
- Umsetzungshinweise
- Als Hilfsmittel hierfür gibt es zu den meisten Bausteinen des Grundschutz-Kompendiums Umsetzungshinweise
- Angemessene Maßnahmen
| Bewertung | Beschreibung |
|---|---|
| wirksam | Vor möglichen Gefährdungen schützen und den festgelegten identifizierten Schutzbedarf abdecken |
| geeignet | Tatsächlich umsetzbar sein, ohne
|
| praktikabel | Leicht verständlich, einfach anzuwenden und wenig fehleranfällig |
| akzeptabel | Barrierefrei, niemanden diskriminieren oder beeinträchtigen |
| wirtschaftlich | Eingeführt und betrieben werden können, der mit ihrer Umsetzung verbundene Aufwand also in einem angemessenen Verhältnis zu den zu schützenden Werten steht. |
Standard-Absicherung
- Vorgehensweise Standard-Absicherung
- Neben verpflichtenden Basis-Anforderungen
- SOLLTEN in der Regel auch alle Standard-Anforderungen eines Bausteins erfüllt werden
- Ausnahmen
In Einzelfällen sind Ausnahmen möglich
- Weil eine Anforderung nicht relevant ist
- Ihre Erfüllung mit der Erfüllung anderer Anforderungen im Widerspruch steht
Dies ist auch bei Basis-Anforderungen möglich
- Abweichungen sollten nachvollziehbar begründet werden
- Aufwand
- Für relevante, aber mit vertretbarem Aufwand nicht erfüllbare Anforderungen sollten Ersatzlösungen gefunden werden