IT-Grundschutz.
Разберете BSI Grundschutz: стандартите, сборника и пътя от информационната среда до проверена СУИС.
- BSI-Standards 200-1 до 200-4
- От Jonathan Bezdek
- Актуално към: 22.10.2026 г.
- Време за четене: 8 мин.
Кратък отговор.
IT-Grundschutz е методиката на BSI за изграждане и функциониране на система за управление на информационната сигурност. BSI-Standard 200-2 описва подхода, а сборникът IT-Grundschutz съдържа изисквания за сигурност за типични области на приложение. Предприятията и органите определят информационната си среда, необходимото ниво на защита и проверяват прилагането. Възможно доказателство е сертифицирането по ISO 27001 на основата на IT-Grundschutz.
Стандарти на BSI и сборник IT-Grundschutz.
IT-Grundschutz съчетава процес за сигурност с каталог от повтарящи се изисквания за сигурност. Системата за управление на информационната сигурност, съкратено СУИС, определя как организацията защитава информацията си, взема решения и проверява ефективността на мерките си. BSI-Standard 200-1 описва тази система за управление; BSI-Standard 200-2 конкретизира методиката Grundschutz.
Сборникът IT-Grundschutz подрежда изискванията за сигурност в модули за различни теми и целеви обекти. Те включват управление на сигурността, персонал, приложения, ИТ системи, мрежи и инфраструктура. При разработването на модулите BSI е взела предвид типични рискове при нормална потребност от защита. Допълнителните насоки за прилагане поясняват възможни мерки, но представляват отделно помощно средство.
Стандартите се допълват с различни задачи. BSI-Standard 200-3 описва допълнителния анализ на риска; BSI-Standard 200-4 разглежда управлението на непрекъснатостта на дейността, тоест подготовката за прекъсвания и продължаването на важни бизнес процеси. Следователно каталогът сам по себе си не замества нито организацията на сигурността, нито решенията за собствените потребности от защита.
Прегледът на BSI, достъпен при това проучване, посочва сборника IT-Grundschutz, издание 2023. За конкретна инициатива трябва да документирате използваното издание, съответните поправки и валидната основа за проверка. Последваща промяна във версията на каталога трябва да остане проследима в концепцията за сигурност.
За кого е подходящ BSI Grundschutz.
IT-Grundschutz е насочен към предприятия, органи и други организации, които искат системно да организират информационната сигурност. BSI-Standard 200-1, глава 1.3, отчита и по-малките институции. Дали прилагането е задължително в конкретен случай, зависи от относимите законови, административни или договорни изисквания; самата методика не е общ закон за предприятията.
Базовото осигуряване на защита позволява широк начален обхват с основни изисквания. Осигуряването на защита на ядрото се съсредоточава върху особено важни бизнес процеси и необходимите за тях ресурси. Стандартното осигуряване на защита следва пълния методически път за определената информационна среда. BSI-Standard 200-2, глава 3.3 и глави 6–8, описва тези три подхода.
Решението зависи от целта и управляемия обхват. Дори когато първо защитавате особено критични услуги, са нужни ясни интерфейси към поддържащите услуги. Ако се стремите към сертифициране, трябва рано да съгласувате предвидения предмет на проверката с одитния екип; съгласно BSI-Standard 200-2, глава 11, само базовото осигуряване на защита не е достатъчно.
Основните изисквания на IT-Grundschutz.
IT-Grundschutz изисква проследима концепция за сигурност и непрекъснат процес за сигурност. Следните области описват методиката на общо ниво; конкретно приложимите изисквания произтичат от определената информационна среда и избрания подход.
Отговорност и организация на сигурността.
Ръководството задава цели за сигурност, носи общата отговорност и осигурява ресурси. Отговорностите и комуникационните канали трябва да съответстват на организацията. BSI-Standard 200-1, глави 4 и 7, разглежда принципите на управление и процеса за сигурност; само закупуването на техника още не изгражда СУИС.
Информационна среда и структурен анализ.
Структурният анализ обхваща бизнес процесите, информацията и целевите обекти в обхвата заедно със зависимостите им. BSI-Standard 200-2, глава 8.1, разглежда наред с друго приложения, мрежи, ИТ системи и помещения. Описанието трябва да обяснява кои ресурси действително осигуряват разглежданите услуги.
Обосновано определяне на потребността от защита.
Определянето на потребността от защита оценява възможните вреди за поверителността, целостта и наличността. BSI-Standard 200-2, глава 8.2, описва категориите нормална, висока и много висока и пренасянето им върху зависими целеви обекти. Класификацията изисква обосновани допускания от съответните звена, а не само избор на технически показатели.
Моделиране с подходящи модули.
Моделирането избира подходящи модули от сборника IT-Grundschutz и ги отнася към разглежданите целеви обекти. BSI-Standard 200-2, глава 8.3, обяснява избора и адаптирането. Решаващо е покритието на информационната среда: дълъг списък с модули без обоснована връзка с действителната структура не е надеждна концепция за сигурност.
Проверка и развитие на прилагането.
Проверката IT-Grundschutz установява действителното състояние на прилагане спрямо относимите изисквания. BSI-Standard 200-2, глава 8.4, описва подготовката, сравнението между целево и текущо състояние и документацията. Интервюта и проверими документи помагат за доказване на твърденията; непрекъснатият контрол и подобряването на процеса за сигурност са разгледани в BSI-Standard 200-1, глава 7.
Третиране на допълнителни рискове.
Допълнителен анализ на риска е необходим особено при висока или много висока потребност от защита, липса на подходящи модули или специфични сценарии на използване. BSI-Standard 200-3, глави 1.2 и 1.3, разглежда тези случаи. Прегледът на заплахите, класификацията на риска и третирането водят до обосновани решения и при необходимост до допълнителни мерки.
Подходът съгласно BSI-Standard 200-2.
Определете възлагането и подхода.
Съгласувайте целите за сигурност, отговорниците и ресурсите с ръководството и изберете базово, ядрено или стандартно осигуряване на защита съгласно BSI-Standard 200-2, глава 3.3.
Опишете информационната среда.
Определете обхвата и документирайте бизнес процесите, информацията, целевите обекти и зависимостите в структурния анализ по BSI-Standard 200-2, глава 8.1.
Обосновете потребността от защита.
Определете възможните вреди заедно с отговорните специалисти и пренесете потребността от защита върху поддържащите ресурси съгласно BSI-Standard 200-2, глава 8.2.
Моделирайте и проверете прилагането.
Изберете подходящите модули и проверете прилагането им чрез проверката IT-Grundschutz съгласно BSI-Standard 200-2, глави 8.3 и 8.4.
Вземете решения за рисковете и мерките.
Допълнете необходимите анализи на риска съгласно BSI-Standard 200-3 и определете мерките с приоритети, отговорности и срокове за изпълнение.
Проследявайте ефективността и промените.
Проверявайте мерките и концепцията за сигурност редовно и след съществени промени, за да остане ефективен процесът за сигурност по BSI-Standard 200-1, глава 7.
Сертифициране по Grundschutz и проверими доказателства.
Официалното доказателство се нарича сертификат ISO 27001 на основата на IT-Grundschutz. Сертифициран от BSI одитор проверява определената информационна среда; сертифициращият орган на BSI оценява одитния доклад и решава за сертификата. BSI-Standard 200-2, глава 11, предвижда този път за стандартното, а по принцип и за ядреното осигуряване на защита.
Референтните документи показват пътя от целите за сигурност до прилагането. Схемата за одит на BSI, глава 2.3, посочва обща политика и конкретни политики, структурен анализ, определяне на потребността от защита, моделиране, проверка Grundschutz, анализ на риска и план за реализация. Затова одитът проверява повече от наличието на документи: описаните мерки трябва да са приложени по проследим начин в проверяваната среда.
Схемата за сертифициране на BSI, проверена при проучването, глава 2.8.1, предвижда тригодишен срок с годишни надзорни одити. Глава 2.8.3 разглежда повторното сертифициране. Съществените промени в сертифицираната информационна среда трябва да бъдат отчетени; текуща процедура за подновяване не удължава автоматично изтекъл сертификат.
Прочетете още в блога.
- Практичен подход към GrundschutzПланирайте управляемо начало с ясна структура и проследими отговорности.
- Свързване на потребността от защитаОбединете потребността от защита и оценката на риска в последователен работен модел.
- IT-Grundschutz++ и OSCALПрочетете обвързания с конкретен момент анализ на развитието на Grundschutz към машинночетим формат.
Мястото на другите рамки.
ISO 27001 описва изисквания към СУИС; IT-Grundschutz съчетава такава система за управление с методиката на BSI и сборника. NIS2 се отнася до законови задължения на определени субекти, чието изпълнение не може да се установи само от сертификат Grundschutz. BSI-Standard 200-4 предлага методика за управление на непрекъснатостта на дейността; ISO 22301 разглежда изискванията към съответната система за управление.
В Secani.
Secani предоставя работни области за структурен анализ, определяне на потребността от защита, моделиране и проверка Grundschutz. Рискове и план за реализация допълват работата. Така могат да се документират експертните решения и напредъкът по прилагането в инициативата Grundschutz; проверката и решението за сертифициране остават при одитния екип и компетентния орган.
Започнете с определена информационна среда.
Първата стъпка е общо разбиране на обхвата. Назовете разглежданите бизнес процеси и отговорниците им, опишете поддържащите ресурси и решете кой подход съответства на Вашата цел. BSI-Standard 200-2, глави 3 и 8.1, дава методическата отправна точка.
Източници.
- ISO 22301:2019: системи за управление на непрекъснатостта на дейността
- BSI-Standard 200-1: системи за управление на информационната сигурност
- BSI-Standard 200-2: методика IT-Grundschutz
- BSI-Standard 200-3: анализ на риска на основата на IT-Grundschutz
- BSI-Standard 200-4: управление на непрекъснатостта на дейността
- BSI: сборник IT-Grundschutz
- BSI: схема за сертифициране по ISO 27001 на основата на IT-Grundschutz
- BSI: схема за одити по ISO 27001 на основата на IT-Grundschutz
Често задавани въпроси.
Не. Съгласно BSI-Standard 200-2 информационната среда може да обхваща и определена част от организацията. Въпреки това трябва да се отчетат зависимостите и интерфейсите, относими към нейните бизнес процеси.
Не. При моделирането се избират модулите, подходящи за информационната среда. BSI-Standard 200-2, глава 8.3, описва избора и обоснованото адаптиране.
Не само защото се управлява външно. BSI-Standard 200-2, глави 8.3.5 и 8.3.7, отчита облачните системи и външните доставчици при моделирането. Отговорностите и интерфейсите са част от концепцията за сигурност.
Не. Сертификатът ISO 27001 на основата на IT-Grundschutz се отнася до проверената информационна среда и съответната СУИС. Схемата за сертифициране на BSI описва предмета на проверката; от това не следва общо сертифициране на всички използвани продукти.
Работете по Grundschutz с ясна проследимост.
Обсъдете с нас как да структурирате своята инициатива Grundschutz в Secani.
Тази страница представя методиката на BSI. Определящи са публикациите на BSI и валидната основа за проверка за съответната инициатива.