Ablaufplan: IT-Grundschutz-Übung: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
(Die Seite wurde neu angelegt: „= Ablaufplan: IT-Grundschutz-Übung (Demo mit eigener Anwendung) = == Wo IT-Grundschutz einsortiert wird == * Ein '''ISMS''' ist der große Rahmen: Sicherheit…“) |
|||
| Zeile 38: | Zeile 38: | ||
: erfüllt / teilweise / nicht erfüllt, jeweils mit kurzer Begründung/Nachweis | : erfüllt / teilweise / nicht erfüllt, jeweils mit kurzer Begründung/Nachweis | ||
| − | == | + | = Handlungsanweisung: IT-Grundschutz-Übung – Webserver mit WAF und Firewall = |
| − | + | ||
| − | + | == Vorbereitung == | |
| − | + | * Tool öffnen: <code>grundschutz-waf-webserver.html</code> | |
| − | + | ||
| − | + | == Organisation == | |
| − | + | * Felder stehen auf den kit-GmbH-Werten | |
| − | + | * Bearbeiter-Feld: eigenen Namen eintragen (erscheint später im CSV-Dateinamen) | |
| − | + | * Scope bei Bedarf anpassen | |
| − | + | * Weiter | |
| − | + | ||
| − | + | == Systeme & Anwendungen == | |
| − | + | * Eigene Anwendung statt Beispiel eintragen (Name, Typ, Beschreibung) | |
| − | + | * Weiter | |
| − | + | ||
| − | + | == Bausteine zuordnen == | |
| − | + | * Webserver01 → SYS.1.1, SYS.1.3, APP.3.2 | |
| − | + | * WAF → SYS.1.1, SYS.1.3, APP.3.2 | |
| − | + | * Firewall → NET.3.2 | |
| − | + | * Webshop → APP.3.1 | |
| − | + | * Weiter | |
| − | + | ||
| − | + | == Maßnahmen bewerten – Webserver01 (wird vorgemacht) == | |
| − | + | * Geeignete Aufstellung (BASIC): ✓ „Server steht im abgeschlossenen Serverraum, Zutritt nur für Admins." | |
| + | * Benutzerauthentisierung an Servern (BASIC): ✓ „Jeder Admin hat einen eigenen Account, Root-Login ist deaktiviert." | ||
| + | * Deaktivierung nicht benötigter Dienste (BASIC): ✕ „Es wurde noch nie geprüft, welche Dienste überhaupt laufen." | ||
| + | * Einsatz von Virenschutz-Programmen (BASIC): ~ „Virenschutz ist installiert, aber die Signaturen werden nicht automatisch aktualisiert." | ||
| + | * Protokollierung (BASIC): ~ „Logs werden gesammelt, aber niemand schaut regelmäßig rein." | ||
| + | * Einrichtung lokaler Paketfilter (STANDARD): ✓ „Nur die benötigten Ports sind offen, Rest ist geblockt." | ||
| + | |||
| + | == Übergabe an die Teilnehmer == | ||
| + | * Bei WAF eine Zeile zusätzlich vorgemacht (z. B. Geeignete Aufstellung) | ||
| + | * Teilnehmer bewerten WAF zu Ende, danach Firewall und Webshop selbstständig | ||
| + | |||
| + | == Ergebnis == | ||
| + | * Übersicht und offene Punkte prüfen | ||
| + | * CSV exportieren | ||
Version vom 22. Juli 2026, 19:01 Uhr
Ablaufplan: IT-Grundschutz-Übung (Demo mit eigener Anwendung)
Wo IT-Grundschutz einsortiert wird
- Ein ISMS ist der große Rahmen: Sicherheitsrichtlinien, Risikomanagement, Zugriffskontrollen, Schulung, kontinuierliche Verbesserung, Incident Management
- IT-Grundschutz ist eine von mehreren Methoden, um genau dieses ISMS praktisch umzusetzen – steht gleichrangig neben ISO/IEC 27001, NIST Cybersecurity Framework, COBIT
- Unterschied zu den anderen: IT-Grundschutz liefert fertige Checklisten (Bausteine), man fängt nicht bei null an
Was genau üben wir?
- Aus den ISMS-Kernbestandteilen üben wir konkret einen Baustein:
- Risikomanagement – Bausteine zuordnen und Maßnahmen bewerten ist genau das. „Nicht erfüllt" = identifizierte Schwachstelle = Risiko
- Nicht Teil dieser Übung: Sicherheitsrichtlinien schreiben, Schulungskonzepte, Incident Management – andere ISMS-Bausteine, die woanders drankommen
Wohin das Ergebnis geht (ISMS-Bezug)
| Was im Tool passiert | Wohin das im ISMS gehört |
|---|---|
| Maßnahme steht auf „nicht erfüllt" | Risikomanagement – wird als Risiko bewertet und behandelt |
| Offene-Punkte-Liste am Ende | Grundlage für Sicherheitsrichtlinien/Maßnahmenplan |
| CSV-Export | Audit-Unterstützung – Nachweis für ISO-27001- oder BSI-Zertifizierung |
| Erneute Prüfung später | Kontinuierliche Verbesserung in Aktion |
Grundbegriffe
- System
- Ein Rechner/Server, der etwas macht
- Anwendung
- Die Software, die die eigentliche Aufgabe erfüllt
- Baustein
- Checkliste für eine bestimmte Eigenschaft eines Systems (z. B. „ist ein Server", „ist ein Linux-Server", „ist ein Webserver"). Ein System bekommt so viele Bausteine wie Eigenschaften – die stapeln sich
- Anforderung
- Einzelner Punkt in einer Checkliste
- BASIC / STANDARD / HIGH
- BASIC = immer Pflicht · STANDARD = Pflicht bei normalem Schutzbedarf · HIGH = nur bei hohem Schutzbedarf
- Umsetzungsstatus (Ampel)
- erfüllt / teilweise / nicht erfüllt, jeweils mit kurzer Begründung/Nachweis
Handlungsanweisung: IT-Grundschutz-Übung – Webserver mit WAF und Firewall
Vorbereitung
- Tool öffnen:
grundschutz-waf-webserver.html
Organisation
- Felder stehen auf den kit-GmbH-Werten
- Bearbeiter-Feld: eigenen Namen eintragen (erscheint später im CSV-Dateinamen)
- Scope bei Bedarf anpassen
- Weiter
Systeme & Anwendungen
- Eigene Anwendung statt Beispiel eintragen (Name, Typ, Beschreibung)
- Weiter
Bausteine zuordnen
- Webserver01 → SYS.1.1, SYS.1.3, APP.3.2
- WAF → SYS.1.1, SYS.1.3, APP.3.2
- Firewall → NET.3.2
- Webshop → APP.3.1
- Weiter
Maßnahmen bewerten – Webserver01 (wird vorgemacht)
- Geeignete Aufstellung (BASIC): ✓ „Server steht im abgeschlossenen Serverraum, Zutritt nur für Admins."
- Benutzerauthentisierung an Servern (BASIC): ✓ „Jeder Admin hat einen eigenen Account, Root-Login ist deaktiviert."
- Deaktivierung nicht benötigter Dienste (BASIC): ✕ „Es wurde noch nie geprüft, welche Dienste überhaupt laufen."
- Einsatz von Virenschutz-Programmen (BASIC): ~ „Virenschutz ist installiert, aber die Signaturen werden nicht automatisch aktualisiert."
- Protokollierung (BASIC): ~ „Logs werden gesammelt, aber niemand schaut regelmäßig rein."
- Einrichtung lokaler Paketfilter (STANDARD): ✓ „Nur die benötigten Ports sind offen, Rest ist geblockt."
Übergabe an die Teilnehmer
- Bei WAF eine Zeile zusätzlich vorgemacht (z. B. Geeignete Aufstellung)
- Teilnehmer bewerten WAF zu Ende, danach Firewall und Webshop selbstständig
Ergebnis
- Übersicht und offene Punkte prüfen
- CSV exportieren