Ablaufplan: IT-Grundschutz-Übung (Demo mit eigener Anwendung)

Wo IT-Grundschutz einsortiert wird

Ein ISMS ist der große Rahmen: Sicherheitsrichtlinien, Risikomanagement, Zugriffskontrollen, Schulung, kontinuierliche Verbesserung, Incident Management
IT-Grundschutz ist eine von mehreren Methoden, um genau dieses ISMS praktisch umzusetzen – steht gleichrangig neben ISO/IEC 27001, NIST Cybersecurity Framework, COBIT
Unterschied zu den anderen: IT-Grundschutz liefert fertige Checklisten (Bausteine), man fängt nicht bei null an

Aus den ISMS-Kernbestandteilen üben wir konkret einen Baustein:
- Risikomanagement – Bausteine zuordnen und Maßnahmen bewerten ist genau das. „Nicht erfüllt" = identifizierte Schwachstelle = Risiko
Nicht Teil dieser Übung: Sicherheitsrichtlinien schreiben, Schulungskonzepte, Incident Management – andere ISMS-Bausteine, die woanders drankommen

Was im Tool passiert	Wohin das im ISMS gehört
Maßnahme steht auf „nicht erfüllt"	Risikomanagement – wird als Risiko bewertet und behandelt
Offene-Punkte-Liste am Ende	Grundlage für Sicherheitsrichtlinien/Maßnahmenplan
CSV-Export	Audit-Unterstützung – Nachweis für ISO-27001- oder BSI-Zertifizierung
Erneute Prüfung später	Kontinuierliche Verbesserung in Aktion

System: Ein Rechner/Server, der etwas macht
Anwendung: Die Software, die die eigentliche Aufgabe erfüllt
Baustein: Checkliste für eine bestimmte Eigenschaft eines Systems (z. B. „ist ein Server", „ist ein Linux-Server", „ist ein Webserver"). Ein System bekommt so viele Bausteine wie Eigenschaften – die stapeln sich
Anforderung: Einzelner Punkt in einer Checkliste
BASIC / STANDARD / HIGH: BASIC = immer Pflicht · STANDARD = Pflicht bei normalem Schutzbedarf · HIGH = nur bei hohem Schutzbedarf
Umsetzungsstatus (Ampel): erfüllt / teilweise / nicht erfüllt, jeweils mit kurzer Begründung/Nachweis

Geeignete Aufstellung (BASIC): ✓ „Server steht im abgeschlossenen Serverraum, Zutritt nur für Admins."
Benutzerauthentisierung an Servern (BASIC): ✓ „Jeder Admin hat einen eigenen Account, Root-Login ist deaktiviert."
Deaktivierung nicht benötigter Dienste (BASIC): ✕ „Es wurde noch nie geprüft, welche Dienste überhaupt laufen."
Einsatz von Virenschutz-Programmen (BASIC): ~ „Virenschutz ist installiert, aber die Signaturen werden nicht automatisch aktualisiert."
Protokollierung (BASIC): ~ „Logs werden gesammelt, aber niemand schaut regelmäßig rein."
Einrichtung lokaler Paketfilter (STANDARD): ✓ „Nur die benötigten Ports sind offen, Rest ist geblockt."