IT-Grundschutz.
Orientace v BSI Grundschutz: standardy, kompendium a cesta od informačního celku k ověřenému ISMS.
- Standardy BSI 200-1 až 200-4
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
IT-Grundschutz je metodika BSI pro vybudování a provoz systému řízení bezpečnosti informací. Standard BSI 200-2 popisuje postup, kompendium IT-Grundschutz obsahuje bezpečnostní požadavky pro typické oblasti použití. Podniky a úřady vymezí svůj informační celek, určí potřebu ochrany a ověří zavedení. Možným dokladem je certifikace ISO 27001 na základě IT-Grundschutz.
Standardy BSI a kompendium IT-Grundschutz.
IT-Grundschutz spojuje bezpečnostní proces s katalogem opakujících se bezpečnostních požadavků. Systém řízení bezpečnosti informací, zkráceně ISMS, stanoví, jak organizace chrání své informace, přijímá rozhodnutí a ověřuje účinnost opatření. Standard BSI 200-1 popisuje tento systém řízení; standard BSI 200-2 konkretizuje metodiku Grundschutz.
Kompendium IT-Grundschutz uspořádává bezpečnostní požadavky do modulů pro různá témata a cílové objekty. Patří sem řízení bezpečnosti, personál, aplikace, IT systémy, sítě a infrastruktura. BSI při vývoji modulů zohlednil typická rizika pro běžnou potřebu ochrany. Doplňující pokyny k zavedení vysvětlují možná opatření, představují však samostatnou pomůcku.
Standardy se doplňují a mají různé úlohy. Standard BSI 200-3 popisuje doplňující analýzu rizik; standard BSI 200-4 se věnuje řízení kontinuity činností, tedy přípravě na přerušení a zachování důležitých podnikových procesů. Samotný katalog tak nenahrazuje organizaci bezpečnosti ani rozhodnutí o vlastní potřebě ochrany.
Přehled BSI dostupný při této rešerši uvádí kompendium IT-Grundschutz, vydání 2023. Pro konkrétní projekt byste měli zaznamenat použité vydání, příslušná errata a platný podklad pro ověřování. Pozdější změna verze katalogu musí v bezpečnostní koncepci zůstat dohledatelná.
Pro koho je BSI Grundschutz vhodný.
IT-Grundschutz je určen podnikům, úřadům a dalším organizacím, které chtějí systematicky organizovat bezpečnost informací. Standard BSI 200-1, kapitola 1.3, zohledňuje také menší instituce. Závaznost použití v konkrétním případě vyplývá z příslušných zákonných, úředních nebo smluvních požadavků; samotná metodika není obecně platným zákonem pro podniky.
Základní zabezpečení (Basis-Absicherung) umožňuje široký vstup se základními požadavky. Zabezpečení klíčových oblastí (Kern-Absicherung) se soustředí na zvláště důležité podnikové procesy a potřebné zdroje. Standardní zabezpečení (Standard-Absicherung) uplatňuje úplný metodický postup pro vymezený informační celek. Standard BSI 200-2, kapitola 3.3 a kapitoly 6 až 8, popisuje tyto tři přístupy.
Rozhodnutí závisí na cíli a zvládnutelném rozsahu. Kdo nejprve zabezpečuje zvláště kritické služby, potřebuje přesto jasná rozhraní k podpůrným službám. Kdo usiluje o certifikaci, měl by zamýšlený předmět posouzení včas dohodnout s auditním týmem; samotné základní zabezpečení k tomu podle standardu BSI 200-2, kapitoly 11, nestačí.
Co IT-Grundschutz v zásadě požaduje.
IT-Grundschutz požaduje dohledatelnou bezpečnostní koncepci a průběžný bezpečnostní proces. Následující oblasti popisují metodiku obecně; konkrétní požadavky vyplynou až z vymezeného informačního celku a zvoleného přístupu.
Odpovědnost a organizace bezpečnosti.
Vedení stanoví bezpečnostní cíle, nese celkovou odpovědnost a poskytuje zdroje. Odpovědnosti a komunikační cesty musí odpovídat organizaci. Standard BSI 200-1, kapitoly 4 a 7, se věnuje principům řízení a bezpečnostnímu procesu; samotné pořizování techniky ISMS nevytváří.
Informační celek a analýza struktury.
Analýza struktury zachycuje podnikové procesy, informace a cílové objekty v rozsahu systému včetně jejich závislostí. Standard BSI 200-2, kapitola 8.1, se zabývá mimo jiné aplikacemi, sítěmi, IT systémy a místnostmi. Popis má vysvětlit, které zdroje skutečně umožňují poskytování posuzovaných služeb.
Průkazně určit potřebu ochrany.
Stanovení potřeby ochrany posuzuje možné škody v oblasti důvěrnosti, integrity a dostupnosti. Standard BSI 200-2, kapitola 8.2, k tomu popisuje kategorie běžná, vysoká a velmi vysoká a jejich přenos na závislé cílové objekty. Zařazení vyžaduje odůvodněné předpoklady odborných útvarů, nikoli pouhý výběr technických ukazatelů.
Modelovat vhodné moduly.
Modelování vybírá vhodné moduly kompendia IT-Grundschutz a přiřazuje je posuzovaným cílovým objektům. Standard BSI 200-2, kapitola 8.3, vysvětluje výběr a přizpůsobení. Rozhodující je pokrytí informačního celku: dlouhý seznam modulů bez odůvodněné vazby na skutečnou strukturu není spolehlivou bezpečnostní koncepcí.
Ověřovat a rozvíjet zavedení.
Kontrola IT-Grundschutz zkoumá skutečný stav zavedení podle relevantních požadavků. Standard BSI 200-2, kapitola 8.4, popisuje přípravu, porovnání požadovaného a skutečného stavu a dokumentaci. Rozhovory a ověřitelné podklady pomáhají doložit tvrzení; průběžnou kontrolou a zlepšováním bezpečnostního procesu se zabývá standard BSI 200-1, kapitola 7.
Ošetřit další rizika.
Doplňující analýza rizik je nutná zejména při vysoké nebo velmi vysoké potřebě ochrany, chybějících vhodných modulech nebo zvláštních scénářích použití. Standard BSI 200-3, kapitoly 1.2 a 1.3, tyto případy vymezují. Přehled hrozeb, klasifikace rizik a jejich ošetření vedou k odůvodněným rozhodnutím a případně k dalším opatřením.
Postup podle standardu BSI 200-2.
Stanovit zadání a přístup.
Dohodněte s vedením bezpečnostní cíle, odpovědné osoby a zdroje a zvolte základní, klíčové nebo standardní zabezpečení podle standardu BSI 200-2, kapitoly 3.3.
Zachytit informační celek.
Vymezte rozsah a v analýze struktury podle standardu BSI 200-2, kapitoly 8.1, zdokumentujte podnikové procesy, informace, cílové objekty a závislosti.
Zdůvodnit potřebu ochrany.
Spolu s odborně odpovědnými osobami určete možné škody a přeneste potřebu ochrany na podpůrné zdroje podle standardu BSI 200-2, kapitoly 8.2.
Modelovat a ověřit zavedení.
Vyberte vhodné moduly a ověřte jejich stav zavedení kontrolou IT-Grundschutz podle standardu BSI 200-2, kapitol 8.3 a 8.4.
Rozhodnout o rizicích a opatřeních.
Doplňte potřebné analýzy rizik podle standardu BSI 200-3 a stanovte opatření s prioritami, odpovědnostmi a termíny zavedení.
Sledovat účinnost a změny.
Pravidelně a po významných změnách přezkoumávejte opatření a bezpečnostní koncepci, aby bezpečnostní proces podle standardu BSI 200-1, kapitoly 7, zůstal účinný.
Certifikace Grundschutz a ověřitelné důkazy.
Formální doklad se nazývá certifikát ISO 27001 na základě IT-Grundschutz. Auditor certifikovaný BSI posoudí vymezený informační celek; certifikační orgán BSI vyhodnotí auditní zprávu a rozhodne o certifikátu. Standard BSI 200-2, kapitola 11, tento postup předpokládá pro standardní zabezpečení a v zásadě také pro zabezpečení klíčových oblastí.
Referenční dokumenty ukazují cestu od bezpečnostních cílů k zavedení. Auditní schéma BSI, kapitola 2.3, uvádí politiku a směrnice, analýzu struktury, stanovení potřeby ochrany, modelování, kontrolu Grundschutz, analýzu rizik a realizační plán. Audit proto ověřuje více než existenci dokumentů: popsaná opatření musí být v posuzovaném celku prokazatelně zavedena.
Certifikační schéma BSI ověřené při rešerši, kapitola 2.8.1, stanoví tříletou platnost s každoročními dozorovými audity. Kapitola 2.8.3 se věnuje opětovné certifikaci. Je třeba zohlednit podstatné změny certifikovaného informačního celku; probíhající proces obnovy automaticky neprodlužuje platnost již prošlého certifikátu.
Další čtení na blogu.
- Grundschutz praktickyNaplánujte zvládnutelný začátek s jasnou strukturou a dohledatelnými odpovědnostmi.
- Propojení potřeby ochranySpojte potřebu ochrany a posouzení rizik do konzistentního pracovního modelu.
- IT-Grundschutz++ a OSCALPřečtěte si časově zasazené zhodnocení vývoje Grundschutz směrem ke strojové čitelnosti.
Zařazení dalších rámců.
ISO 27001 popisuje požadavky na ISMS; IT-Grundschutz spojuje takový systém řízení s metodikou BSI a kompendiem. NIS2 se týká zákonných povinností určitých subjektů, jejichž splnění nelze odvodit pouze z certifikátu Grundschutz. Pro řízení kontinuity činností nabízí standard BSI 200-4 metodiku; ISO 22301 se zabývá požadavky na odpovídající systém řízení.
V Secani.
Secani nabízí pracovní oblasti pro analýzu struktury, stanovení potřeby ochrany, modelování a kontrolu Grundschutz. Práci doplňují rizika a realizační plán. Lze tak dokumentovat odborná rozhodnutí a stav jejich zavedení v projektu Grundschutz; posouzení a rozhodnutí o certifikaci zůstávají na auditním týmu a příslušném orgánu.
Začněte vymezeným informačním celkem.
Prvním krokem je společná představa o rozsahu. Pojmenujte posuzované podnikové procesy a odpovědné osoby, zachyťte podpůrné zdroje a rozhodněte, který přístup odpovídá vašemu cíli. Standard BSI 200-2, kapitoly 3 a 8.1, k tomu poskytuje metodický výchozí bod.
Zdroje.
- ISO 22301:2019: systémy řízení kontinuity činností
- Standard BSI 200-1: systémy řízení bezpečnosti informací
- Standard BSI 200-2: metodika IT-Grundschutz
- Standard BSI 200-3: analýza rizik na základě IT-Grundschutz
- Standard BSI 200-4: řízení kontinuity činností
- BSI: kompendium IT-Grundschutz
- BSI: certifikační schéma pro ISO 27001 na základě IT-Grundschutz
- BSI: auditní schéma pro audity ISO 27001 na základě IT-Grundschutz
Časté dotazy.
Ne. Podle standardu BSI 200-2 může informační celek zahrnovat také vymezenou část organizace. Přesto je nutné zohlednit závislosti a rozhraní relevantní pro její podnikové procesy.
Ne. Při modelování se vybírají moduly vhodné pro daný informační celek. Standard BSI 200-2, kapitola 8.3, popisuje výběr a odůvodněné přizpůsobení.
Ne pouze proto, že je provozována externě. Standard BSI 200-2, kapitoly 8.3.5 a 8.3.7, zohledňuje při modelování cloudové systémy a externí poskytovatele služeb. Odpovědnosti a rozhraní patří do bezpečnostní koncepce.
Ne. Certifikát ISO 27001 na základě IT-Grundschutz se vztahuje k posouzenému informačnímu celku a souvisejícímu ISMS. Certifikační schéma BSI popisuje předmět posouzení; neplyne z něj plošná certifikace všech používaných produktů.
Pracujte s Grundschutz přehledně a dohledatelně.
Proberte s námi, jak uspořádat svůj projekt Grundschutz v Secani.
Tato stránka vysvětluje metodiku BSI. Rozhodující jsou publikace BSI a podklad pro ověřování platný pro daný projekt.