IT-Grundschutz.

Το IT-Grundschutz συνδυάζει μια διαδικασία ασφάλειας με έναν κατάλογο επαναλαμβανόμενων απαιτήσεων ασφάλειας. Ένα σύστημα διαχείρισης ασφάλειας πληροφοριών, ΣΔΑΠ, ορίζει πώς ένας οργανισμός προστατεύει τις πληροφορίες του, λαμβάνει αποφάσεις και ελέγχει την αποτελεσματικότητα των μέτρων του. Το πρότυπο BSI 200-1 περιγράφει αυτό το σύστημα διαχείρισης· το πρότυπο BSI 200-2 εξειδικεύει τη μεθοδολογία Grundschutz.

Η επιτομή IT-Grundschutz οργανώνει τις απαιτήσεις ασφάλειας σε ενότητες για διαφορετικά θέματα και αντικείμενα. Περιλαμβάνουν τη διαχείριση ασφάλειας, το προσωπικό, τις εφαρμογές, τα πληροφοριακά συστήματα, τα δίκτυα και τις υποδομές. Κατά την ανάπτυξη των ενοτήτων, το BSI έλαβε υπόψη τυπικούς κινδύνους για κανονικές ανάγκες προστασίας. Συμπληρωματικές οδηγίες υλοποίησης εξηγούν πιθανά μέτρα, αλλά αποτελούν ξεχωριστό βοήθημα.

Τα πρότυπα αλληλοσυμπληρώνονται αναλαμβάνοντας διαφορετικούς ρόλους. Το πρότυπο BSI 200-3 περιγράφει τη συμπληρωματική ανάλυση κινδύνων· το πρότυπο BSI 200-4 αφορά τη διαχείριση επιχειρησιακής συνέχειας, δηλαδή την προετοιμασία για διακοπές και τη συνέχιση σημαντικών επιχειρησιακών διαδικασιών. Επομένως, ένας κατάλογος από μόνος του δεν αντικαθιστά ούτε την οργάνωση της ασφάλειας ούτε τις αποφάσεις σχετικά με τις ανάγκες προστασίας του οργανισμού.

Η επισκόπηση του BSI που ανακτήθηκε κατά την παρούσα έρευνα αναφέρει την έκδοση 2023 της επιτομής IT-Grundschutz. Για ένα συγκεκριμένο εγχείρημα πρέπει να καταγράφετε την έκδοση που χρησιμοποιείται, τα αντίστοιχα παροράματα και την ισχύουσα βάση ελέγχου. Μεταγενέστερες αλλαγές στην έκδοση του καταλόγου πρέπει να παραμένουν ανιχνεύσιμες στο σχέδιο ασφάλειας.

Το IT-Grundschutz απευθύνεται σε επιχειρήσεις, αρχές και άλλους οργανισμούς που θέλουν να οργανώσουν συστηματικά την ασφάλεια πληροφοριών. Το πρότυπο BSI 200-1, κεφάλαιο 1.3, λαμβάνει υπόψη και μικρότερους φορείς. Το αν η εφαρμογή είναι δεσμευτική σε συγκεκριμένη περίπτωση προκύπτει από τις σχετικές νομοθετικές, διοικητικές ή συμβατικές απαιτήσεις· η ίδια η μεθοδολογία δεν αποτελεί γενικό νόμο για τις επιχειρήσεις.

Η βασική προστασία επιτρέπει μια ευρεία αρχική προσέγγιση με θεμελιώδεις απαιτήσεις. Η προστασία πυρήνα εστιάζει σε ιδιαίτερα σημαντικές επιχειρησιακές διαδικασίες και στους απαραίτητους πόρους τους. Η τυπική προστασία ακολουθεί ολόκληρη τη μεθοδολογική διαδρομή για το καθορισμένο σύνολο πληροφοριακών πόρων. Το πρότυπο BSI 200-2, κεφάλαιο 3.3 και κεφάλαια 6 έως 8, περιγράφει αυτές τις τρεις προσεγγίσεις.

Η απόφαση εξαρτάται από τον στόχο και από το πεδίο εφαρμογής που μπορεί να αντιμετωπιστεί. Όσοι αρχικά προστατεύουν ιδιαίτερα κρίσιμες υπηρεσίες εξακολουθούν να χρειάζονται σαφείς διεπαφές με τις υποστηρικτικές υπηρεσίες. Όσοι επιδιώκουν πιστοποίηση πρέπει να συμφωνούν εγκαίρως με την ομάδα επιθεώρησης το προβλεπόμενο αντικείμενο εξέτασης· η βασική προστασία από μόνη της δεν επαρκεί, σύμφωνα με το πρότυπο BSI 200-2, κεφάλαιο 11.

Το επίσημο τεκμήριο ονομάζεται πιστοποιητικό ISO 27001 βάσει IT-Grundschutz. Επιθεωρητής πιστοποιημένος από το BSI εξετάζει το καθορισμένο σύνολο πληροφοριακών πόρων· ο φορέας πιστοποίησης του BSI αξιολογεί την έκθεση επιθεώρησης και αποφασίζει για το πιστοποιητικό. Το πρότυπο BSI 200-2, κεφάλαιο 11, προβλέπει αυτή την οδό για την τυπική προστασία και, κατ’ αρχήν, και για την προστασία πυρήνα.

Τα έγγραφα αναφοράς δείχνουν την πορεία από τους στόχους ασφάλειας έως την υλοποίηση. Το σχήμα επιθεώρησης του BSI, κεφάλαιο 2.3, απαριθμεί την πολιτική και τις επιμέρους οδηγίες, τη δομική ανάλυση, τον προσδιορισμό αναγκών προστασίας, τη μοντελοποίηση, τον έλεγχο Grundschutz, την ανάλυση κινδύνων και το σχέδιο υλοποίησης. Συνεπώς, η επιθεώρηση εξετάζει περισσότερα από την ύπαρξη εγγράφων: τα περιγραφόμενα μέτρα πρέπει να έχουν εφαρμοστεί με επαληθεύσιμο τρόπο στο εξεταζόμενο σύνολο.

Το σχήμα πιστοποίησης του BSI που εξετάστηκε κατά την έρευνα, κεφάλαιο 2.8.1, προβλέπει τριετή ισχύ με ετήσιες επιθεωρήσεις επιτήρησης. Το κεφάλαιο 2.8.3 αφορά την επαναπιστοποίηση. Οι ουσιώδεις αλλαγές στο πιστοποιημένο σύνολο πληροφοριακών πόρων πρέπει να λαμβάνονται υπόψη· μια εκκρεμής διαδικασία ανανέωσης δεν παρατείνει αυτόματα ένα ληγμένο πιστοποιητικό.

Το ISO 27001 περιγράφει απαιτήσεις για ένα ΣΔΑΠ· το IT-Grundschutz συνδυάζει ένα τέτοιο σύστημα διαχείρισης με τη μεθοδολογία του BSI και την επιτομή. Η NIS2 αφορά νόμιμες υποχρεώσεις συγκεκριμένων οντοτήτων, των οποίων η εκπλήρωση δεν μπορεί να συναχθεί μόνο από ένα πιστοποιητικό Grundschutz. Για τη διαχείριση επιχειρησιακής συνέχειας, το πρότυπο BSI 200-4 προσφέρει μεθοδολογία· το ISO 22301 αφορά απαιτήσεις για αντίστοιχο σύστημα διαχείρισης.

Το Secani παρέχει χώρους εργασίας για τη δομική ανάλυση, τον προσδιορισμό αναγκών προστασίας, τη μοντελοποίηση και τον έλεγχο Grundschutz. Οι κίνδυνοι και ένα σχέδιο υλοποίησης συμπληρώνουν την εργασία. Έτσι μπορούν να τεκμηριώνονται οι ουσιαστικές αποφάσεις και η κατάσταση υλοποίησής τους στο εγχείρημα Grundschutz· ο έλεγχος και η απόφαση πιστοποίησης παραμένουν στην ομάδα επιθεώρησης και στον αρμόδιο φορέα.

Το πρώτο βήμα είναι μια κοινή αντίληψη του πεδίου εφαρμογής. Προσδιορίστε τις εξεταζόμενες επιχειρησιακές διαδικασίες και τους υπευθύνους τους, καταγράψτε τους υποστηρικτικούς πόρους και αποφασίστε ποια προσέγγιση ανταποκρίνεται στον στόχο σας. Το πρότυπο BSI 200-2, κεφάλαια 3 και 8.1, παρέχει τη μεθοδολογική αφετηρία.