Mit dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) steht ein für Bundesbehörden sowie deren IT-Dienstleister festgelegter Sicherheitsstandard zur Verfügung, der konkrete Anforderungen an die Absicherung gegen typische (Cyber-)Bedrohungen stellt.
Doch auch Firmen können den frei verfügbaren Standard zur Absicherung ihrer Unternehmenswerte sinnvoll nutzen. Zudem besteht die Möglichkeit einer Zertifizierung des Informationssicherheitsmanagementsystems (ISMS) nach IT-Grundschutz.
Frank Lenßen
Die Idee des IT-Grundschutz
Die Informationssicherheit muss vielfältigen Herausforderungen gerecht werden. Sie soll ihren Zweck erfüllen, darf dabei aber nicht teuer sein. Sie soll gegen jede Art von Gefährdung wirken, darf aber nicht zu viel Aufwand bedeuten.
Daher ist die grundlegende Idee, sich zunächst auf typische Aspekte zu konzentrieren, die in fast allen Institutionen bzw. Unternehmen vorhanden sind. Zusätzlich sollen auch Besonderheiten, wie z.B. ein erhöhter Schutzbedarf berücksichtigt werden.
So gibt es, unabhängig von Aufgabe oder Branche, immer wieder die gleichen typischen Komponenten. Wie z.B. Clients, Server, Drucker, Netzkomponenten, aber auch Räume und Gebäude. Diese unterliegen jeweils auch gleichen typischen Gefährdungen oder besitzen gleichartige Schwachstellen bezogen auf die Grundwerte Vertraulichkeit, Verfügbarkeit und Integrität. Um diesen Gefahren zu begegnen, werden klare Anforderungen an diese Komponenten gestellt.
Ziel des IT-Grundschutzes
Der IT-Grundschutz des BSI bietet also eine gute Grundlage dafür, den Herausforderungen auf professionelle Weise gerecht zu werden und die Bemühungen für Informationssicherheit zu strukturieren. Dabei wird ein ganzheitlicher Ansatz gewählt, indem er sowohl die Organisation selbst als auch das Personal, die Infrastruktur und die genutzte Technik betrachtet wird.
Konkrete Umsetzung des IT-Grundschutzes
Da viele Institutionen und Unternehmen bei der Umsetzung vor einer großen Herausforderung stehen, hat das BSI verschiedene Vorgehensweisen entwickelt. So kann der IT-Grundschutz sehr gut genutzt werden, egal ob das ISMS noch ganz am Anfang steht, oder ob bereits einige oder gar umfangreiche Absicherungsmaßnahmen existieren.
Die 3 Vorgehensweisen im IT-Grundschutz sind:
- Die Basis-Absicherung bietet einen einfachen Einstieg in das systematische Management der Informationssicherheit und zeigt, wie eine Institution ohne differenzierte Bewertungen des Schutzbedarfs und ergänzende Risikoanalysen ihr Sicherheitsniveau durch die Erfüllung besonders wichtiger Anforderungen signifikant erhöhen kann. Es geht vor allem darum, in der Breite essentielle Anforderungen zu erfüllen.
- Bei der Kern-Absicherung geht es um den Schutz herausragender, besonders gefährdeter Geschäftsprozesse und Ressourcen (der sogenannten Kronjuwelen). Dabei wird auf einen kleinen, aber sehr wichtigen Informationsverbund fokussiert. Dies hat den Vorteil, dass die wichtigsten Anteile der Institution bevorzugt und auch in der Tiefe abgesichert werden.
- Mit der Standard-Absicherung (Vorgabe für Bundesbehörden) kann eine Institution bzw. ein Unternehmen in seiner Gesamtheit eine umfassende Absicherung erreichen. Es wird dabei ein vollumfänglicher Sicherheitsprozess sowie eine Absicherung nach „Stand der Technik“ abgebildet.
Autor: Frank Lenßen
Inhaber
Frank Lenßen „Wordflow“
lenssen-wordflow.de
Fazit: Augen zu und durch ist keine Lösung!
Der Aufbau eines ISMS, auch mit dem IT-Grundschutz, ist sicher keine einfache Lösung und hierfür sind auch einige Ressourcen nötig. Stattdessen nichts zu tun und zu hoffen ist keine wirkliche Alternative. Auch wenn es vielleicht bislang gut gegangen sein sollte.
