DER IT-GRUNDSCHUTZ NACH BSI-LOS14
In drei Schritten zur Informationssicherheit
Initiierung des Sicherheitsprozesses
- Übernahme der Verantwortung durch die Leitungsebene
- Geltungsbereichbestimmen
- Sicherheitsziele festlegen und Leitlinie erstellen
Organisation des Sicherheitsprozesses
- Aufbau einer Organisationsstruktur einer Informationssicherheits
- Integration in bestehende Abläufe und Prozesse
- Konzeption und Planung des Sicherheitsprozesses
Durchführung des Sicherheitsprozesses
- Auswahl und Priorisierung der Bausteine
- IT-Grundschutz-Check
- Umsetzung der Sicherheitskonzeption
Sicherheitsrelevante Themen für die Leitungsebene
- Sicherheitsrisiken für die Institution und deren Informationen
- Auswirkungen und Kosten im Schadensfall
- Auswirkungen von Sicherheitsvorfällen auf kritische Geschäftsprozesse
- Sicherheitsanforderungen, die sich aus gesetzlichen und vertraglichen Vorgaben ergeben
- die für eine Branche typischen Vorgehensweisen zur Informationssicherheit
- der aktuelle Stand der Informationssicherheit in der Institution mit abgeleiteten Handlungsempfehlungen
Verantwortung durch die Leitungsebene
- Die Leitungsebene trägt die Gesamtverantwortung für Informationssicherheit.
- Die Leitungsebene muss jederzeit über mögliche Risiken und Konsequenzen für die Informationssicherheit informiert sein.
- Die Leitungsebene initiiert den Informationssicherheitsprozess innerhalb der Institution und benennt einen Verantwortlichen Informationssicherheitsbeauftragten (ISB).
- Die Leitungsebene unterstützt den ISB vollständig und stellt ausreichende Ressourcen bereit, um die gesetzten Ziele erreichen zu können.
Zuständigkeiten und Aufgaben des ISB
- Informationssicherheitsprozess steuern und bei allen damit zusammenhängenden Aufgaben mitwirken
- die Leitungsebene bei der Erstellung der Leitlinie zur Informationssicherheit unterstützen
- die Erstellung des Sicherheitskonzepts, des Notfallvorsorgekonzepts und Sicherheitsrichtlinien koordinieren sowie weitere Richtlinien und Regelungen zur Informationssicherheit erlassen
- die Realisierung von Sicherheitsmaßnahmen initiieren und überprüfen
- der Leitungsebene über den Status quo der Informationssicherheit berichten
- sicherheitsrelevante Projekte koordinieren
- Sicherheitsvorfälle untersuchen
- Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit initiieren und koordinieren
Definition des Informationsverbundes
- Festlegen, welche kritischen Geschäftsprozesse, Fachaufgaben oder Teile der Institution der Geltungsbereich beinhalten soll.
- Den Geltungsbereich eindeutig abgrenzen.
- Schnittstellen zu externen Partnern beschreiben.
Beispiele für Sicherheitsziele
- hohe Verlässlichkeit des Handelns, auch in Bezug auf den Umgang mit Informationen (Verfügbarkeit, Integrität, Vertraulichkeit)
- Gewährleistung der guten Reputation der Institution in der Öffentlichkeit
- Erhaltung der in Technik, Informationen, Arbeitsprozesse und Wissen investierten Werte
- Sicherung der hohen, möglicherweise unwiederbringlichen Werte der verarbeiteten Informationen
- Gewährleistung der aus gesetzlichen Vorgaben resultierenden Anforderungen
- Schutz von natürlichen Personen hinsichtlich ihrer körperlichen und geistigen Unversehrtheit
Grundlegenden Inhalte für eine Sicherheitsleitlinie
- Stellenwert der Informationssicherheit und Bedeutung der wesentlichen Informationen, Geschäftsprozesse und der IT für die Aufgabenerfüllung
- Bezug der Informationssicherheitsziele zu den Geschäftszielen oder Aufgaben der Institution
- Sicherheitsziele und die Kernelemente der Sicherheitsstrategie für die Geschäftsprozesse und die eingesetzte IT
- Zusicherung, dass die Sicherheitsleitlinie von der Institutionsleitung durchgesetzt wird
- Leitaussagen zur Erfolgskontrolle
- Beschreibung der geplanten Organisationsstruktur
- Aufgaben und Zuständigkeiten im Sicherheitsprozess sollten aufgezeigt werden
- Programme zur Förderung der Informationssicherheit durch Schulungs- und Sensibilisierungsmaßnahmen können angekündigt werden
- wichtige Gefährdungen, relevante gesetzliche Regelungen etc. können eingangs skizziert werden.
Erstellung einer Sicherheitsleitlinie
- zu beteiligende Organisationseinheiten für die Sicherheitsleitlinie identifizieren
- gemeinsam Geltungsbereich und Inhalte festlegen
- Inkraftsetzung der Sicherheitsleitlinie durch die Leitungsebene veranlassen
- Sicherheitsleitlinie bekannt geben
- Sicherheitsleitlinie regelmäßig überprüfen und gegebenenfalls aktualisieren
Grundregeln bei der Definition von Rollen im Informationssicherheitsmanagement
- Die Gesamtverantwortung für die ordnungsgemäße und sichere Aufgabenerfüllung obliegt der Leitungsebene.
- Es ist mindestens eine Person zum ISB zu ernennen, die den Informationssicherheitsprozess koordiniert und steuert.
- Alle Mitarbeiter sind gleichermaßen sowohl für ihre originären Aufgaben als auch für die Aufrechterhaltung der Informationssicherheit an ihrem Arbeitsplatz und in ihrer Umgebung verantwortlich.
- Informationssicherheit muss in Abläufe und Prozesse innerhalb der gesamten Institution integriert und Ansprechpartner müssen festgelegt werden. Ziel ist es, dass bei allen strategischen Entscheidungen die notwendigen Sicherheitsaspekte frühzeitig berücksichtigt werden
Aufbau der IS-Organisation in einer kleinen Institution
- Informationssicherheitsbeauftragter (ISB)
- Betrieblicher Datenschutzbeauftragten (bDSB)
Organisation des Sicherheitsprozesses
- Rollen für die Gestaltung des Informationssicherheitsprozesses festlegen
- Aufgaben und Verantwortungsbereiche den Rollen zuordnen
- Personelle Ausstattung der Rollen festlegen
- IS-Organisation dokumentieren
- Informationssicherheitsmanagement in die Abläufe und Prozesse integrieren
Allgemeine Einflussfaktoren
Informationssicherheit auf einem angemessenen Niveau trägt einen elementaren Anteil daran, dass eine Institution ihre Geschäftsziele erreichen kann. Daher müssen die folgenden Einflussfaktoren betrachtet werden:
- Geschäftsziele: Welche Faktoren sind wesentlich für den Erfolg des Unternehmens oder der Behörde? Welche Produkte, Angebote und Aufträge bilden die Grundlage der Geschäftstätigkeit? Was sind die generellen Ziele der Institution? Welche Rolle spielt Informationssicherheit hierbei?
- Organisationsstruktur: Wie ist die Institution organisiert und strukturiert? Welche Managementsysteme sind vorhanden (beispielsweise Risikomanagement oder Qualitätsmanagement)?
- Zusammenarbeit mit Externen: Wer sind die wichtigsten Kunden, Partner und Gremien? Welche grundlegenden Anforderungen und Erwartungen an die Informationssicherheit der Institution bringen sie mit? Wer sind die wichtigsten Dienstleister und Zulieferer? Welche Rolle spielen diese für die Informationssicherheit der Institution?
- Strategischer Kontext: Was sind die wesentlichen Herausforderungen für die Institution? Wie ist die Wettbewerbsposition?
Wichtige interne und externe Rahmenbedingungen abklären
- Welche Geschäftsprozesse gibt es in der Institution und wie hängen diese mit den Geschäftszielen zusammen?
- Welche Geschäftsprozesse hängen von einer funktionierenden Informationstechnik ab?
- Welche Informationen werden bei diesen Geschäftsprozessen verarbeitet?
- Welche Informationen sind besonders wichtig und damit in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit schützenswert, und warum (z. B. personenbezogene Daten, Kundendaten, sensible Firmeninterna)?
- Zu jedem Geschäftsprozess und zu jeder Fachaufgabe muss ein verantwortlicher Ansprechpartner benannt werden.
- Was sind die gesetzlichen Rahmenbedingungen (nationale und internationale Gesetze und Bestimmungen)?
- Wie sehen Anforderungen von Kunden, Lieferanten und Geschäftspartnern, die aktuelle Marktlage, Wettbewerbssituation und weitere relevante marktspezifische Abhängigkeiten aus?
- Was sind branchenspezifische Sicherheitsstandards?
Erfassung der relevanten Objekte
- Geschäftsprozess oder Fachaufgabe: Name und (falls erforderlich) Beschreibung, Fachverantwortlicher
- Anwendung: Name, (falls erforderlich) Beschreibung und dazugehöriger Geschäftsprozess
- IT-, ICS-Systeme und sonstige Objekte: Name, Plattform und sofern sinnvoll Aufstellungsort
- Betriebsrelevante Räume, die ein höheres Sicherheitsniveau erfordern (z.B. Serverräume): Art, Raumnummer und Gebäude
Erstellung eines grafischen Netzplans
- IT-Systeme, d. h. Clients und Server sowie aktive Netzkomponenten,
- Netzverbindungen zwischen diesen Systemen,
- Verbindungen des betrachteten Bereichs nach außen.
Konzeption und Planung des Sicherheitsprozesses
- Ansprechpartner für alle Geschäftsprozesse und Fachaufgaben benennen
- Grobeinschätzung der Wertigkeit und des Sicherheitsniveaus von Informationen, Geschäftsprozessen und Fachaufgaben durchführen
- Interne und externe Rahmenbedingungen ermitteln
- Bedeutung der Geschäftsprozesse, Fachaufgaben und Informationen abschätzen
- Allgemeine Informationssicherheitsziele festlegen
- Konsolidierte Übersicht der vorhandenen Assets mit den zuvor gewonnenen Erkenntnissen erstellen
Schematisches Vorgehen nach der Basis-Absicherung
Auswahl und Priorisierung
Der betrachtete Informationsverbund muss mit Hilfe der vorhandenen Bausteine aus dem IT Grundschutz-Kompendium nachgebildet werden.
IT-Grundschutz-Check
In diesem Schritt wird überprüft, ob oder inwieweit die in den Basisanforderungen nach IT-Grundschutz formulierten Vorgaben bereits erfüllt sind und welche Sicherheitsmaßnahmen noch fehlen.
Realisierung
Für die bisher nicht erfüllten Basisanforderungen müssen geeignete Sicherheitsmaßnahmen festgelegt und umgesetzt werden.
Auswahl der folgenden Vorgehensweise
Die Basis-Absicherung dient als Einstiegsvorgehensweise. Es muss daher festgelegt werden, zu welchem Zeitpunkt und mit welcher IT-Grundschutz-Vorgehensweise das Sicherheitsniveau weiter angehoben werden soll.
Modellierung nach IT-Grundschutz
Um einen meist komplexen Informationsverbund nach ITGrundschutz zu modellieren, müssen die passenden Bausteine aus dem IT-Grundschutz-Kompendium ausgewählt und umgesetzt werden
Das erstellte IT-Grundschutz-Modell ist unabhängig davon, ob der Informationsverbund aus bereits im Einsatz befindlichen Komponenten besteht oder ob es sich um einen Informationsverbund handelt, der geplant wird. Das Modell kann daher unterschiedlich verwendet werden:
- Der ISB kann mit dem IT-Grundschutz-Modell eines bestehenden Informationsverbundes auf Basis der Bausteine relevante Sicherheitsanforderungen identifizieren. Es kann in Form eines Prüfplans benutzt werden, um einen Soll-IstVergleich durchzuführen.
- Das IT-Grundschutz-Modell eines geplanten Informationsverbundes stellt hingegen einen Entwicklungsplan dar. Es beschreibt mit den ausgewählten Bausteinen, welche Sicherheitsanforderungen bei der Realisierung des Informationsverbunds erfüllt werden müssen.
Die Einordnung der Modellierung und die möglichen Ergebnisse
Einteilung der Sicherheitsanforderungen
- bereits erfüllte Sicherheitsanforderungen,
- die bei Durchführung des Soll-Ist-Vergleichs als unzureichend oder gar nicht erfüllt identifizierten Anforderungen
- Anforderungen, die sich für die in Planung befindlichen Anteile des Informationsverbunds ergeben.
Zuordnung von Bausteinen
- Vollständiger Titel und Nummer des Bausteins (z. B. SYS.3.1 Laptop)
- Zielobjekt oder Zielgruppe: Dies kann z. B. die Identifikationsnummer einer Komponente oder einer Gruppe bzw. der Name eines Gebäudes oder einer Organisationseinheit sein.
- Ansprechpartner: Diese Spalte dient zunächst nur als Platzhalter. Der Ansprechpartner wird nicht im Rahmen der Modellierung, sondern erst bei der Planung des eigentlichen Soll-Ist-Vergleichs im IT-Grundschutz-Check ermittelt.
- Reihenfolge: Es sollte die Umsetzungsreihenfolge (R1, R2, R3)des Bausteins eingetragen werden.
- Hinweise: In dieser Spalte können ergänzende Informationen oder Begründungen für die Modellierung dokumentiert werden.
Modellierung eines Informationsverbunds
- Kapitel „Schichtenmodell und Modellierung“ aus dem ITGrundschutz-Kompendium systematisch durcharbeiten.
- Für jeden Baustein des IT-Grundschutz-Kompendiumsermitteln, auf welche Zielobjekte er im betrachteten Informationsverbund anzuwenden ist.
- Zuordnung von Bausteinen zu Zielobjekten („IT-Grundschutz-Modell“) sowie die entsprechendenAnsprechpartner dokumentieren.
- Zielobjekte, die nicht geeignet modelliert werden können,vormerken.
- Reihenfolge für die Umsetzung der Bausteine festlegen
Organisatorische Vorarbeiten des IT-Grundschutz-Checks
- Hausinterne Dokumente mit Verfügungen und Regelungen sichten und Zuständigkeiten für diese Unterlagen klären.
- Feststellen, in welchem Umfang externe Stellen beteiligt werden müssen.
- Hauptansprechpartner für jeden in der Modellierung angewandten Baustein festlegen.
Soll ist Vergleich der Bausteine
entbehrlich
Die Erfüllung der Anforderung ist in der vorgeschlagenen Art nicht notwendig, weil dieAnforderung im betrachteten Informationsverbund nicht relevant ist (z. B. weil Dienstenichtaktiviert wurden) oder bereits durch Alternativmaßnahmen erfüllt wurde.
ja
Zu der Anforderung wurden geeignete Maßnahmen vollständig, wirksam und angemessen umgesetzt.
teilweise
Die Anforderung wurde nur teilweise umgesetzt.
nein
Die Anforderung wurde noch nicht erfüllt, alsogeeignete Maßnahmen sind größtenteils nochnicht umgesetzt worden.
Durchführung des Soll-Ist-Vergleichs
- Je nach Fachgebiet vorab Checklisten erstellen.
- Umsetzungsstatus der einzelnen Anforderungen mit dem Ansprechpartner erarbeiten.
- Falls erforderlich, Umsetzungsstatus anhand von Stichproben am Objekt verifizieren.
Dokumentation des IT-Grundschutz-Checks
- Die Nummer und die Bezeichnung des Objektes oder derGruppe von Objekten, welcher der Baustein bei der Modellierung zugeordnet wurde,
- der Standort der zugeordneten Objekte bzw. Gruppe von Objekten,
- das Erfassungsdatum und der Name des Erfassers und
- die befragten Ansprechpartner.
Ergebnisse des Soll-Ist-Vergleichs sollten folgendes enthalten
Umsetzungsgrad (entbehrlich/ja/teilweise/nein)
Der im Interview ermittelte Umsetzungsstatus der jeweiligenAnforderung ist zu erfassen.
Termin für die Umsetzung
Ein solches Feld ist sinnvoll, auch wenn es während eines ITGrundschutz-Checks im Allgemeinen nicht ausgefüllt wird.Es dient als Platzhalter, um in der Realisierungsplanung an dieser Stelle zu dokumentieren, bis zu welchem Termin die Anforderung vollständig umgesetzt sein soll.
Verantwortliche
Falls es bei der Durchführung des Soll-Ist-Vergleichs eindeutig ist, welche Mitarbeiter für die vollständige Umsetzung einer noch nicht erfüllten Anforderung oder Maßnahme verantwortlich sind, sollte das namentlich in diesem Feld dokumentiert werden. Andernfalls ist im Zuge der späteren Realisierungsplanung ein Verantwortlicher zu bestimmen.
Bemerkungen/Begründungen
Ein solches Feld ist wichtig, um getroffene Entscheidungenspäter nachvollziehen zu können. Bei Anforderungen, deren Umsetzung entbehrlich erscheint, ist hier die Begründung zu nennen. Bei Anforderungen, die noch nicht oder nur teilweise umgesetzt sind, sollte in diesem Feld dokumentiert werden, welche Maßnahmen noch umgesetzt werden müssen. In dieses Feld sollten auch alle anderen Bemerkungen eingetragen werden, die bei der Beseitigung von Defiziten hilfreich oder im Zusammenhang mit der Anforderung zu berücksichtigen sind.
Defizite/Kostenschätzung
Für Anforderungen, die nicht oder nur teilweise erfüllt wurden, ist das damit verbundene Risiko in geeigneter Form zu ermitteln und zu dokumentieren. Bei solchen Maßnahmen sollte außerdem geschätzt werden, welchen finanziellen und personellen Aufwand die Beseitigung der Defizite erfordert.
Dokumentation der Ergebnisse
- Stamminformationen über jedes Zielobjekt erfassen
- Informationen zum IT-Grundschutz-Check und zum Umsetzungsstatus dokumentieren
- Felder beziehungsweise Platzhalter für die Realisierungsplanung vorsehen
Aktionspunkte zu Umsetzung der Sicherheitskonzeption
- Fehlende oder nur teilweise umgesetzte IT-GrundschutzAnforderungen sowie ergänzende Sicherheitsmaßnahmen zusammenfassen
- Sicherheitsmaßnahmen formulieren, welche die Basisanforderungen erfüllen
- Sicherheitsmaßnahmen konsolidieren, das heißt, überflüssige Maßnahmen streichen, allgemeine Maßnahmen an die Gegebenheiten anpassen und alle Maßnahmen auf Eignung prüfen
- Einmalige und wiederkehrende Kosten und Aufwand für die umzusetzenden Maßnahmen ermitteln
- Geeignete Ersatzmaßnahmen für nicht finanzierbare oder nicht leistbare Maßnahmen ermitteln
- Entscheidung herbeiführen, welche Ressourcen für die Umsetzung der Maßnahmen eingesetzt werden sollen
- Gegebenenfalls Restrisiko aufzeigen und Entscheidung der Leitungsebene darüber einholen
- Umsetzungsreihenfolge für die Maßnahmen festlegen, begründen und dokumentieren
- Termine für die Umsetzung festlegen und Verantwortung zuweisen
- Verlauf der Umsetzung und Einhaltung der Termine überwachen
- Betroffene Mitarbeiter schulen und sensibilisieren