IT-Grundschutz.
BSI Grundschutzi ülevaade: standardid, kompendium ja tee infosüsteemide kooslusest auditeeritud ISMSini.
- BSI standardid 200-1 kuni 200-4
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
IT-Grundschutz on BSI metoodika infoturbe juhtimissüsteemi loomiseks ja käitamiseks. BSI standard 200-2 kirjeldab tööprotsessi ning IT-Grundschutzi kompendium sisaldab turvanõudeid tüüpilistele kasutusvaldkondadele. Ettevõtted ja ametiasutused piiritlevad oma infosüsteemide koosluse, määravad kaitsetarbe ja kontrollivad rakendamist. Üks võimalik tõend on IT-Grundschutzil põhinev ISO 27001 sertifitseerimine.
BSI standardid ja IT-Grundschutzi kompendium.
IT-Grundschutz ühendab turbeprotsessi korduvate turvanõuete kataloogiga. Infoturbe juhtimissüsteem ehk ISMS määrab, kuidas organisatsioon oma teavet kaitseb, otsuseid teeb ja meetmete tõhusust kontrollib. BSI standard 200-1 kirjeldab seda juhtimissüsteemi; BSI standard 200-2 täpsustab Grundschutzi metoodikat.
IT-Grundschutzi kompendium jaotab turvanõuded moodulitesse eri teemade ja sihtobjektide jaoks. Nende hulka kuuluvad turbejuhtimine, personal, rakendused, IT-süsteemid, võrgud ja taristu. Moodulite väljatöötamisel on BSI arvestanud tavapärase kaitsetarbe tüüpilisi riske. Täiendavad rakendusjuhised selgitavad võimalikke meetmeid, kuid on eraldi abivahend.
Standardid täiendavad üksteist eri ülesannetega. BSI standard 200-3 kirjeldab täiendavat riskianalüüsi; BSI standard 200-4 käsitleb talitluspidevuse juhtimist ehk katkestusteks valmistumist ja oluliste äriprotsesside jätkamist. Seega ei asenda kataloog üksi turbekorraldust ega otsuseid enda kaitsetarbe kohta.
Selle uurimistöö käigus vaadatud BSI ülevaade loetleb IT-Grundschutzi kompendiumi 2023. aasta väljaande. Konkreetse projekti puhul tuleks talletada kasutatav väljaanne, selle parandused ja kehtiv hindamisalus. Kataloogi versiooni hilisem muudatus peab turbekontseptsioonis jälgitavaks jääma.
Kellele BSI Grundschutz sobib.
IT-Grundschutz on suunatud ettevõtetele, ametiasutustele ja teistele organisatsioonidele, kes soovivad infoturvet süsteemselt korraldada. BSI standardi 200-1 peatükk 1.3 arvestab ka väiksemate asutustega. Rakendamise kohustuslikkus konkreetsel juhul tuleneb vastavatest õiguslikest, halduslikest või lepingulistest nõuetest; metoodika ise ei ole üldine ettevõtteid reguleeriv seadus.
Baaskaitse võimaldab laiapõhjalist alustamist põhinõuetega. Tuumikkaitse keskendub eriti olulistele äriprotsessidele ja nende jaoks vajalikele ressurssidele. Standardkaitse läbib määratletud infosüsteemide koosluse jaoks kogu metoodilise tee. BSI standardi 200-2 peatükk 3.3 ning peatükid 6–8 kirjeldavad neid kolme lähenemist.
Otsus sõltub eesmärgist ja hallatavast käsitlusalast. Ka esialgu eriti kriitilisi teenuseid kaitstes on vaja selgeid liideseid toetavate teenustega. Sertifitseerimist taotledes tuleks kavandatud hindamisobjekt varakult auditimeeskonnaga kooskõlastada; BSI standardi 200-2 peatüki 11 järgi ei piisa selleks üksnes baaskaitsest.
Mida IT-Grundschutz põhiolemuselt nõuab.
IT-Grundschutz nõuab jälgitavat turbekontseptsiooni ja pidevat turbeprotsessi. Järgmised valdkonnad kirjeldavad metoodikat üldisel tasandil; konkreetsed nõuded selguvad alles piiritletud infosüsteemide koosluse ja valitud lähenemise põhjal.
Vastutus ja turbekorraldus.
Juhtkond seab turbeeesmärgid, kannab üldvastutust ja tagab ressursid. Vastutusalad ja suhtluskanalid peavad organisatsiooniga sobima. BSI standardi 200-1 peatükid 4 ja 7 käsitlevad juhtimispõhimõtteid ja turbeprotsessi; üksnes tehnika hankimine ei moodusta veel ISMSi.
Infosüsteemide kooslus ja struktuurianalüüs.
Struktuurianalüüs kaardistab käsitlusala äriprotsessid, teabe ja sihtobjektid koos nende sõltuvustega. BSI standardi 200-2 peatükk 8.1 käsitleb muu hulgas rakendusi, võrke, IT-süsteeme ja ruume. Kirjeldus peaks selgitama, millised ressursid vaadeldavaid teenuseid tegelikult võimaldavad.
Määrake kaitsetarve põhjendatult.
Kaitsetarbe määramine hindab võimalikku kahju konfidentsiaalsusele, terviklusele ja käideldavusele. BSI standardi 200-2 peatükk 8.2 kirjeldab selleks kategooriaid tavaline, suur ja väga suur ning nende ülekandmist sõltuvatele sihtobjektidele. Liigitus vajab sisuliste valdkondade põhjendatud eeldusi, mitte pelgalt tehniliste näitajate valikut.
Modelleerige sobivad moodulid.
Modelleerimisel valitakse IT-Grundschutzi kompendiumi sobivad moodulid ja seostatakse need vaadeldavate sihtobjektidega. BSI standardi 200-2 peatükk 8.3 selgitab valikut ja kohandamist. Määrav on infosüsteemide koosluse hõlmatus: pikk moodulite loend ilma põhjendatud seoseta tegeliku struktuuriga ei ole usaldusväärne turbekontseptsioon.
Kontrollige ja arendage rakendamist.
IT-Grundschutzi kontroll uurib tegelikku rakendamise seisu asjakohaste nõuete põhjal. BSI standardi 200-2 peatükk 8.4 kirjeldab ettevalmistust, soovitud ja tegeliku olukorra võrdlust ning dokumenteerimist. Intervjuud ja kontrollitavad dokumendid aitavad väiteid tõendada; turbeprotsessi pidevat kontrollimist ning parendamist käsitleb BSI standardi 200-1 peatükk 7.
Käsitlege lisariske.
Täiendav riskianalüüs on vajalik eelkõige suure või väga suure kaitsetarbe, sobivate moodulite puudumise või eriliste kasutusstsenaariumide korral. BSI standardi 200-3 peatükid 1.2 ja 1.3 selgitavad neid juhtumeid. Ohtude ülevaade, riskide liigitamine ja käsitlemine viivad põhjendatud otsuste ning vajaduse korral lisameetmeteni.
Tööprotsess BSI standardi 200-2 järgi.
Määrake ülesanne ja lähenemine.
Leppige juhtkonnaga kokku turbeeesmärgid, vastutajad ja ressursid ning valige baas-, tuumik- või standardkaitse BSI standardi 200-2 peatüki 3.3 järgi.
Kaardistage infosüsteemide kooslus.
Piiritlege käsitlusala ja dokumenteerige äriprotsessid, teave, sihtobjektid ning sõltuvused struktuurianalüüsis BSI standardi 200-2 peatüki 8.1 järgi.
Põhjendage kaitsetarvet.
Määrake koos sisuliste vastutajatega võimalik kahju ja kandke kaitsetarve üle toetavatele ressurssidele BSI standardi 200-2 peatüki 8.2 järgi.
Modelleerige ja kontrollige rakendamist.
Valige sobivad moodulid ja kontrollige nende rakendamise seisu IT-Grundschutzi kontrolliga BSI standardi 200-2 peatükkide 8.3 ja 8.4 järgi.
Tehke otsused riskide ja meetmete kohta.
Lisage vajalikud riskianalüüsid BSI standardi 200-3 järgi ja määrake meetmed koos prioriteetide, vastutusalade ning rakendustähtaegadega.
Jälgige tõhusust ja muudatusi.
Vaadake meetmed ja turbekontseptsioon üle regulaarselt ning pärast olulisi muudatusi, et turbeprotsess jääks BSI standardi 200-1 peatüki 7 järgi tõhusaks.
Grundschutzi sertifitseerimine ja kontrollitavad tõendid.
Ametlik tõend on IT-Grundschutzil põhinev ISO 27001 sertifikaat. BSI sertifitseeritud audiitor uurib määratletud infosüsteemide kooslust; BSI sertifitseerimisasutus hindab auditiaruannet ja otsustab sertifikaadi väljastamise. BSI standardi 200-2 peatükk 11 näeb selle tee ette standardkaitsele ning põhimõtteliselt ka tuumikkaitsele.
Viitedokumendid näitavad teed turbeeesmärkidest rakendamiseni. BSI auditeerimisskeemi peatükk 2.3 nimetab üldpoliitikat ja üksikasjalikke poliitikaid, struktuurianalüüsi, kaitsetarbe määramist, modelleerimist, Grundschutzi kontrolli, riskianalüüsi ning teostusplaani. Seetõttu kontrollib audit enamat kui dokumentide olemasolu: kirjeldatud meetmed peavad uuritavas koosluses olema jälgitavalt rakendatud.
Uurimistöö käigus kontrollitud BSI sertifitseerimisskeemi peatükk 2.8.1 näeb ette kolmeaastase kehtivusaja koos iga-aastaste järelevalveaudititega. Peatükk 2.8.3 käsitleb uuesti sertifitseerimist. Sertifitseeritud infosüsteemide koosluse olulisi muudatusi tuleb arvestada; pooleliolev uuendamismenetlus ei pikenda aegunud sertifikaati automaatselt.
Teiste raamistike seosed.
ISO 27001 kirjeldab ISMSi nõudeid; IT-Grundschutz ühendab sellise juhtimissüsteemi BSI metoodika ja kompendiumiga. NIS2 puudutab teatud üksuste seadusest tulenevaid kohustusi, mille täitmist ei saa järeldada üksnes Grundschutzi sertifikaadist. Talitluspidevuse juhtimiseks pakub metoodikat BSI standard 200-4; ISO 22301 käsitleb vastava juhtimissüsteemi nõudeid.
Secanis.
Secani pakub tööalasid struktuurianalüüsiks, kaitsetarbe määramiseks, modelleerimiseks ja Grundschutzi kontrolliks. Käsitlust täiendavad riskid ja teostusplaan. Nii saab Grundschutzi projektis dokumenteerida sisulisi otsuseid ning nende rakendamise seisu; hindamine ja sertifitseerimisotsus jäävad auditimeeskonna ning pädeva asutuse ülesandeks.
Alustage piiritletud infosüsteemide kooslusega.
Esimene samm on ühine arusaam käsitlusalast. Nimetage vaadeldavad äriprotsessid ja nende vastutajad, kaardistage toetavad ressursid ning otsustage, milline lähenemine vastab teie eesmärgile. BSI standardi 200-2 peatükid 3 ja 8.1 annavad selleks metoodilise lähtekoha.
Allikad.
- ISO 22301:2019: talitluspidevuse juhtimissüsteemid
- BSI standard 200-1: infoturbe juhtimissüsteemid
- BSI standard 200-2: IT-Grundschutzi metoodika
- BSI standard 200-3: IT-Grundschutzil põhinev riskianalüüs
- BSI standard 200-4: talitluspidevuse juhtimine
- BSI: IT-Grundschutzi kompendium
- BSI: IT-Grundschutzil põhineva ISO 27001 sertifitseerimisskeem
- BSI: IT-Grundschutzil põhinevate ISO 27001 auditite auditeerimisskeem
Korduma kippuvad küsimused.
Ei. BSI standardi 200-2 järgi võib infosüsteemide kooslus hõlmata ka piiritletud osa organisatsioonist. Selle äriprotsesside jaoks olulisi sõltuvusi ja liideseid tuleb siiski arvestada.
Ei. Modelleerimisel valitakse infosüsteemide kooslusele sobivad moodulid. BSI standardi 200-2 peatükk 8.3 kirjeldab valikut ja põhjendatud kohandamist.
Mitte üksnes sellepärast, et seda käitatakse väliselt. BSI standardi 200-2 peatükid 8.3.5 ja 8.3.7 arvestavad modelleerimisel pilvsüsteeme ning väliseid teenuseosutajaid. Vastutusalad ja liidesed kuuluvad turbekontseptsiooni.
Ei. IT-Grundschutzil põhinev ISO 27001 sertifikaat puudutab auditeeritud infosüsteemide kooslust ja sellega seotud ISMSi. BSI sertifitseerimisskeem kirjeldab hindamisobjekti; sellest ei tulene kõigi kasutatavate toodete üldist sertifitseerimist.
Käsitlege Grundschutzi jälgitavalt.
Arutage meiega, kuidas oma Grundschutzi projekti Secanis struktureerida.
See leht selgitab BSI metoodikat. Määravad on BSI väljaanded ning vastava projekti jaoks kehtiv hindamisalus.