IT-Grundschutz v praxi
Derya AltinayCEO
8 Min. čtení
Proč výchozí bod rozhoduje o auditovatelnosti
Mnoho projektů IT-Grundschutz začíná dlouhým seznamem požadavků. Vypadá to důkladně, rychle to však vede k roztříštěným tabulkám, nejednotnému vlastnictví a důkazům, které je třeba shánět těsně před auditem.
Lepším výchozím bodem je čistě vymezený rozsah. Které organizační jednotky, procesy, aplikace, IT systémy, sítě a poskytovatelé služeb skutečně patří do bezpečnostní koncepce? Toto rozhodnutí určuje, které moduly jsou relevantní a které důkazy budou později muset obstát při auditu.
- Rozsah definujte písemně a jmenujte odpovědné vlastníky
- Cílové objekty zaznamenejte s jednoznačnými názvy, kategoriemi a vlastníky
- Zviditelněte vztahy mezi procesy, daty, aplikacemi a infrastrukturou
Modelování je pracovní model, ne formulář
Modelování propojuje skutečné cílové objekty s vhodnými moduly IT-Grundschutz. Jeho hodnota nespočívá jen v samotném přiřazení, ale v tom, zda je struktura informační domény znázorněna soudržně.
Pokud kritický proces závisí na aplikaci, síťovém segmentu a externím poskytovateli, musí být tato závislost v bezpečnostní koncepci viditelná. Jen tak lze přesvědčivě vysvětlit potřebu ochrany, stav implementace a zbytková rizika.
- U každého cílového objektu zdůvodněte přiřazení modulu
- Závislosti zdokumentujte dříve, než začnete hodnotit bezpečnostní opatření
- Výjimky a zvláštní případy včas označte jako otevřené body
Rozumný minimální rozsah pro první průchod
Pro první obhajitelný průchod je často užitečnější jasný a kompaktní rozsah než široký, ale vágní. Začněte reprezentativní informační doménou, jejíž procesy, aplikace a infrastruktura jsou dobře známé.
Metodu pak lze opakovat: přidávat cílové objekty, rozšiřovat přiřazení modulů, přenášet potřebu ochrany, prioritizovat otevřená bezpečnostní opatření a seskupovat důkazy podle vlastnictví.
- První bezpečnostní koncepci budujte s jasnou hloubkou místo maximální šíře
- Otevřená bezpečnostní opatření prioritizujte podle rizika, významu pro audit a proveditelnosti
- Důkazy propojujte tam, kde se posuzuje příslušný požadavek
Budujte auditovatelné procesy pro compliance
Secani propojuje rozsahy, důkazy, úkoly a agenty AI v jednom sdíleném pracovním prostoru.
Související články
Všechny článkyZákladní ochrana IT
IT-Grundschutz++ se setkává s OSCAL
Díky Stand-der-Technik-Bibliothek opouští IT-Grundschutz formát PDF: IT-Grundschutz++ vychází jako katalog OSCAL – a mění způsob, jak se organizuje práce na ISMS.
Regulace
NIS2: německá dodatečná lhůta končí
Včas se u BSI zaregistrovala jen zhruba třetina dotčených společností. Do konce července 2026 to lze napravit – potom to začne být drahé.
Správa AI
AI v GRC: citovat neznamená ověřit
Odkaz na zdroj nečiní verdikt AI spolehlivým. Vztah mezi požadavkem, důkazem a verdiktem musí být testovatelný.