IT-Grundschutz на практика

Защо отправната точка определя възможността за одит

Много проекти по IT-Grundschutz започват с дълъг списък от изисквания. Това изглежда задълбочено, но бързо води до разпръснати електронни таблици, непоследователни отговорности и доказателства, които трябва да се събират непосредствено преди одит.

По-добрата отправна точка е ясно определен обхват. Кои организационни единици, процеси, приложения, ИТ системи, мрежи и доставчици на услуги наистина принадлежат към концепцията за сигурност? Това решение определя кои модули са относими и кои доказателства по-късно ще трябва да издържат на одит.

• Определете обхвата писмено и посочете отговорните лица
• Запишете целевите обекти с еднозначни имена, категории и отговорници
• Направете видими връзките между процеси, данни, приложения и инфраструктура

Моделирането е работен модел, а не формуляр

Моделирането свързва реалните целеви обекти с подходящи модули на IT-Grundschutz. Стойността му не идва само от самото назначаване, а от това дали структурата на информационната област е представена последователно.

Ако критичен процес зависи от приложение, мрежов сегмент и външен доставчик, тази зависимост трябва да бъде видима в концепцията за сигурност. Само тогава нуждите от защита, статусът на изпълнение и остатъчните рискове могат да бъдат обяснени убедително.

• Обяснете всяко назначаване на модул за неговия целеви обект
• Документирайте зависимостите, преди да оценявате защитните мерки
• Отбелязвайте изключенията и специалните случаи като отворени въпроси навреме

Разумен минимален обхват за първия цикъл

За първия защитим цикъл ясният и компактен обхват често е по-полезен от широкия, но неясен. Започнете с представителна информационна област, чиито процеси, приложения и инфраструктура са добре разбрани.

След това методът може да се повтаря: добавяйте целеви обекти, разширявайте назначаванията на модули, пренасяйте нуждите от защита, приоритизирайте отворените защитни мерки и групирайте доказателствата според отговорностите.

• Изградете първата концепция за сигурност с ясна дълбочина, а не с максимална широчина
• Приоритизирайте отворените защитни мерки според риска, значимостта за одита и изпълнимостта
• Свързвайте доказателствата там, където се оценява съответното изискване