IT-Grundschutz käytännössä

Miksi lähtökohta ratkaisee auditoitavuuden

Monet IT-Grundschutz-hankkeet alkavat pitkästä vaatimusluettelosta. Se näyttää perusteelliselta, mutta tuottaa nopeasti hajanaisia taulukoita, epäjohdonmukaisia vastuita ja näyttöä, joka on koottava juuri ennen auditointia.

Parempi lähtökohta on selkeä soveltamisala. Mitkä organisaatioyksiköt, prosessit, sovellukset, IT-järjestelmät, verkot ja palveluntarjoajat todella kuuluvat tietoturvakonseptiin? Tämä päätös määrittää, mitkä moduulit ovat merkityksellisiä ja minkä näytön on myöhemmin kestettävä auditointi.

• Määritä soveltamisala kirjallisesti ja nimeä vastuulliset omistajat
• Kirjaa kohdeobjektit yksiselitteisin nimin, luokin ja omistajin
• Tee prosessien, tietojen, sovellusten ja infrastruktuurin väliset suhteet näkyviksi

Mallinnus on työskentelymalli, ei lomake

Mallinnus kytkee todelliset kohdeobjektit sopiviin IT-Grundschutz-moduuleihin. Sen arvo ei synny pelkästä kohdistamisesta, vaan siitä, esitetäänkö tietoympäristön rakenne johdonmukaisesti.

Jos kriittinen prosessi riippuu sovelluksesta, verkkosegmentistä ja ulkoisesta palveluntarjoajasta, tämän riippuvuuden on näyttävä tietoturvakonseptissa. Vain silloin suojaustarpeet, toteutuksen tila ja jäännösriskit voidaan selittää vakuuttavasti.

• Perustele kunkin moduulin kohdistaminen sen kohdeobjektille
• Dokumentoi riippuvuudet ennen suojatoimien arviointia
• Merkitse poikkeukset ja erikoistapaukset avoimiksi kohdiksi varhaisessa vaiheessa

Järkevä vähimmäissoveltamisala ensimmäiselle kierrokselle

Ensimmäisellä puolustettavalla kierroksella selkeä ja tiivis soveltamisala on usein hyödyllisempi kuin laaja mutta epämääräinen. Aloita edustavasta tietoympäristöstä, jonka prosessit, sovellukset ja infrastruktuuri tunnetaan hyvin.

Menetelmä voidaan sitten toistaa: lisää kohdeobjekteja, laajenna moduulien kohdistuksia, periytä suojaustarpeet, priorisoi avoimet suojatoimet ja ryhmittele näyttö omistajuuden mukaan.

• Rakenna ensimmäinen tietoturvakonsepti selkeällä syvyydellä eikä mahdollisimman laajana
• Priorisoi avoimet suojatoimet riskin, auditoinnin kannalta merkityksellisyyden ja toteutettavuuden mukaan
• Kytke näyttö siihen kohtaan, jossa vastaava vaatimus arvioidaan