Der BSI IT Grundschutz ist nicht nur für Behörden, sondern auch für Unternehmen eine bewährte Vorgehensweise, um in der digitalisierten Welt zu überleben. Ransomwareangriffe, Schwachstellen wie log4j und andere Vorfälle erscheinen fast täglich in den Nachrichten.
Die Herausforderung ist jedoch, dass viele IT-Leiter das IT-Grundschutz-Kompendium als Buch mit sieben Siegeln betrachten. Dabei ist der BSI IT Grundschutz absichtlich so gestaltet, dass sogar technisch weniger versierte Personen die benötigten Maßnahmen identifizieren und umsetzen können. Mit unserer langjährige Erfahrung aus erfolgreichen Projekten zur Informationssicherheit nach IT Grundschutz und gelangen so schneller und effizienter zum Ziel.
Schreiben Sie uns gern oder rufen uns an. Wir gehen mit Ihnen zum Ziel!
BSI IT Grundschutz
Schauen wir uns an, wie der BSI IT Grundschutz Kompendium aufgebaut ist und welche Bausteine zum Aufbau des ISMS und zur Absicherung der eingesetzten Informationstechnik nötig sind. Das IT-Grundschutz Kompendium (2022) steht zum freien Download für Jedermann zur Verfügung.
Der IT Grundschutz des deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) ist eine definierte Vorgehensweise zum Schutz von Informationen einer Organisation. Er soll Unternehmen, Behörden und Kommunen helfen, notwendige Sicherheitsmaßnahmen strukturiert zu identifizieren und umzusetzen.
Vorgehensweise IT Grundschutz
Ziel der vorgegebenen Vorgehensweise ist das Erreichen eines angemessenen und ausreichenden Schutzniveaus Ihrer Informationen. Dieses erreichen Sie über:
- die Systembausteine zur Absicherung Ihrer IT-Infrastruktur und des Gebäudes
- die Prozessbausteine zur Einführung von organisatorischen Regelungen
Gemäß der definierten Vorgehensweise sind dabei folgende Schritte zu durchlaufen:
- Definition des Informationsverbundes
- Durchführung einer IT-Strukturanalyse
- Durchführung einer Schutzbedarfsfeststellung
- Modellierung der Bausteine auf Ihre Komponenten
- Durchführung eines Basis-Sicherheitschecks
- Durchführung einer ergänzenden Sicherheitsanalyse (evtl. anschließende Risikoanalyse)
- Konsolidierung der Maßnahmen
- Umsetzung der IT-Grundschutzmaßnahmen
Abgrenzung zur ISO 27001
Der wesentliche Unterschied zur internationalen Standardreihe ISO/IEC 2700x ist, dass der IT-Grundschutz auf eine detaillierte, individuelle Risikoanalyse mit Unterscheidung nach Eintrittswahrscheinlichkeiten und Schadensauswirkungen verzichtet. Stattdessen geht er von pauschalen Gefährdungen der IT-Systeme aus und definiert darauf aufbauend Standardmethoden und -maßnahmen, die die verschiedenen Bereiche Personal, Gebäude, Software, Hardware, Organisation und Kommunikationsnetze abdecken. Der Grundschutz stellt damit eine Art Rahmenwerk zur Umsetzung eines normalen Schutzniveaus zur Verfügung.
Dem IT Grundschutz Rahmenwerk liegt die Annahme zugrunde, dass individuellen Analysen (individuelle Identifikationen der zu schützenden Assets) und individuelle Sicherheitskonzepte bei Anwendungen mit normalem Schutzbedarf zu aufwendig sind. Er soll vielmehr auch technisch weniger versierte Personen ermöglichen, benötigten Maßnahmen zu identifizieren und deren Umsetzung zu veranlassen.
Nicht desto trotzt ist es auch beim IT Grundschutz notwendig, im Rahmen der Schutzbedarfsfeststellung individuell für jedes IT-System die zu erwartenden Schäden abzuschätzen, die bei einer Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen können, um hieraus die richtige Schutzbedarfskategorie und damit den eigentlichen Schutzbedarf zu ermitteln.
Was kann schief gehen?
Natürlich sind nicht immer alle Projekte so klar und einfach wie sie sein sollten. Es gibt einige Stolpersteine, die wir Ihnen gern ersparen würden.
Bei der Einführung des ISMS arbeiten verschiedene Abteilungen miteinander. Die Geschäftsführung sollte den Prozess initieren. Die Beteiligten verfolgen im Projekt unterschiedliche Ziele. So ist der Unternehmensleitung meist eine ressourcensparende, effektive Vorgehensweise wichtig. Die IT- Abteilung möchte den Mehraufwand gern in Grenzen halten.
- Was können Sie als Informationssicherheitsbeauftragter beitragen, um allen Parteien gerecht zu werden?
- Muss von Anfang an ein Tool zum Einsatz kommen?
- Wie werden die Vorgaben aus den Richtlinien den Mitarbeitern verpflichtend zur Kenntnis gegeben?
- Muss die Geschäftsführung alle Dokumente unterzeichnen?
- Weg vom Papier hin zum digitalen Prozess – wie können Sie das realisieren?
- Lange Passwörter – 2-Faktor Authentifizierung und abgeschlossenen Büroräume. Was kann getan werden, wenn das Verständnis der Mitarbeiter für den Mehraufwand zu wünschen übrig lässt?
Bei der Umsetzung der IT Grundschutz Vorgehensweise kann es hilfreich sein, sich externe Expertise einzuholen. Viele Schritte können so gezielt herbeigeführt werden um das Projekt zum Erfolg zu führen.
Für all diese Fragen stehen wir Ihnen gern zur Verfügung.
