IT-Grundschutz i praksis

Hvorfor udgangspunktet afgør, om arbejdet kan auditeres

Mange IT-Grundschutz-projekter begynder med en lang liste af krav. Det ser grundigt ud, men det fører hurtigt til spredte regneark, uensartet ejerskab og dokumentation, der skal samles lige før en audit.

Et bedre udgangspunkt er et rent omfang. Hvilke organisatoriske enheder, processer, applikationer, IT-systemer, netværk og tjenesteudbydere hører reelt til i sikkerhedskonceptet? Den beslutning afgør, hvilke moduler der er relevante, og hvilken dokumentation der senere skal kunne holde til en audit.

• Definér omfanget skriftligt, og navngiv ansvarlige ejere
• Registrér målobjekter med entydige navne, kategorier og ejere
• Gør sammenhængene mellem processer, data, applikationer og infrastruktur synlige

Modellering er en arbejdsmodel, ikke en formular

Modelleringen forbinder reelle målobjekter med passende IT-Grundschutz-moduler. Dens værdi kommer ikke fra selve tildelingen, men fra, om informationsdomænets struktur er gengivet sammenhængende.

Hvis en kritisk proces afhænger af en applikation, et netværkssegment og en ekstern udbyder, skal den afhængighed være synlig i sikkerhedskonceptet. Først da kan beskyttelsesbehov, implementeringsstatus og restrisici forklares overbevisende.

• Forklar hver modultildeling for det pågældende målobjekt
• Dokumentér afhængigheder, før sikkerhedsforanstaltninger vurderes
• Markér undtagelser og særtilfælde som åbne punkter tidligt

Et fornuftigt minimumsomfang til første gennemløb

Til det første gennemløb, der kan forsvares, er et klart og kompakt omfang ofte mere nyttigt end et bredt, men vagt. Begynd med et repræsentativt informationsdomæne, hvis processer, applikationer og infrastruktur er velkendte.

Metoden kan derefter gentages: tilføj målobjekter, udvid modultildelingerne, nedarv beskyttelsesbehov, prioritér åbne sikkerhedsforanstaltninger, og gruppér dokumentationen efter ejerskab.

• Opbyg det første sikkerhedskoncept med klar dybde i stedet for maksimal bredde
• Prioritér åbne sikkerhedsforanstaltninger efter risiko, auditrelevans og gennemførlighed
• Knyt dokumentationen til det sted, hvor det tilsvarende krav vurderes