Ablaufplan: IT-Grundschutz-Übung

Ablaufplan: IT-Grundschutz-Übung (Demo mit eigener Anwendung)

Wo IT-Grundschutz einsortiert wird

• Ein ISMS ist der große Rahmen: Sicherheitsrichtlinien, Risikomanagement, Zugriffskontrollen, Schulung, kontinuierliche Verbesserung, Incident Management
• IT-Grundschutz ist eine von mehreren Methoden, um genau dieses ISMS praktisch umzusetzen – steht gleichrangig neben ISO/IEC 27001, NIST Cybersecurity Framework, COBIT
• Unterschied zu den anderen: IT-Grundschutz liefert fertige Checklisten (Bausteine), man fängt nicht bei null an

Was genau üben wir?

• Aus den ISMS-Kernbestandteilen üben wir konkret einen Baustein:
  • Risikomanagement – Bausteine zuordnen und Maßnahmen bewerten ist genau das. „Nicht erfüllt" = identifizierte Schwachstelle = Risiko
• Nicht Teil dieser Übung: Sicherheitsrichtlinien schreiben, Schulungskonzepte, Incident Management – andere ISMS-Bausteine, die woanders drankommen

Wohin das Ergebnis geht (ISMS-Bezug)

Was im Tool passiert	Wohin das im ISMS gehört
Maßnahme steht auf „nicht erfüllt"	Risikomanagement – wird als Risiko bewertet und behandelt
Offene-Punkte-Liste am Ende	Grundlage für Sicherheitsrichtlinien/Maßnahmenplan
CSV-Export	Audit-Unterstützung – Nachweis für ISO-27001- oder BSI-Zertifizierung
Erneute Prüfung später	Kontinuierliche Verbesserung in Aktion

Grundbegriffe

System

Ein Rechner/Server, der etwas macht

Anwendung

Die Software, die die eigentliche Aufgabe erfüllt

Baustein

Checkliste für eine bestimmte Eigenschaft eines Systems (z. B. „ist ein Server", „ist ein Linux-Server", „ist ein Webserver"). Ein System bekommt so viele Bausteine wie Eigenschaften – die stapeln sich

Anforderung

Einzelner Punkt in einer Checkliste

BASIC / STANDARD / HIGH

BASIC = immer Pflicht · STANDARD = Pflicht bei normalem Schutzbedarf · HIGH = nur bei hohem Schutzbedarf

Umsetzungsstatus (Ampel)

erfüllt / teilweise / nicht erfüllt, jeweils mit kurzer Begründung/Nachweis

Killerkriterium

Eine BASIC-Anforderung, deren Nichterfüllen die Basis-Absicherung des gesamten Systems zunichtemacht – unabhängig davon, wie gut alle anderen Anforderungen erfüllt sind

Handlungsanweisung: IT-Grundschutz-Übung – Webserver mit WAF und Firewall

Vorbereitung

• Tool öffnen: grundschutz-waf-webserver.html

Organisation

• Felder stehen auf den kit-GmbH-Werten
• Bearbeiter-Feld: eigenen Namen eintragen (erscheint später im CSV-Dateinamen)
• Scope bei Bedarf anpassen
• Weiter

Systeme & Anwendungen

• Eigene Anwendung statt Beispiel eintragen (Name, Typ, Beschreibung)
• Weiter

Bausteine zuordnen

• Webserver01 → SYS.1.1, SYS.1.3, APP.3.2
• WAF → SYS.1.1, SYS.1.3, APP.3.2
• Firewall → NET.3.2
• Webshop → APP.3.1
• Weiter

Maßnahmen bewerten – Webserver01 (wird vorgemacht)

• Geeignete Aufstellung (BASIC): ✓ „Server steht im abgeschlossenen Serverraum, Zutritt nur für Admins."
• Benutzerauthentisierung an Servern (BASIC): ✓ „Jeder Admin hat einen eigenen Account, Root-Login ist deaktiviert."
• Deaktivierung nicht benötigter Dienste (BASIC): ✕ „Es wurde noch nie geprüft, welche Dienste überhaupt laufen." – Killerkriterium: BASIC nicht erfüllt, Basis-Absicherung damit nicht erreicht
• Einsatz von Virenschutz-Programmen (BASIC): ~ „Virenschutz ist installiert, aber die Signaturen werden nicht automatisch aktualisiert."
• Protokollierung (BASIC): ~ „Logs werden gesammelt, aber niemand schaut regelmäßig rein."
• Einrichtung lokaler Paketfilter (STANDARD): ✓ „Nur die benötigten Ports sind offen, Rest ist geblockt."

Übergabe an die Teilnehmer

• Bei WAF eine Zeile zusätzlich vorgemacht (z. B. Geeignete Aufstellung)
• Teilnehmer bewerten WAF zu Ende, danach Firewall und Webshop selbstständig

Ergebnis

• Übersicht und offene Punkte prüfen
• Killerkriterium in der offene-Punkte-Tabelle wiederfinden und benennen
• CSV exportieren