IT-Grundschutz.
BSI:n IT-Grundschutz: standardit, kompendium ja polku tietojenkäsittelykokonaisuudesta tarkastettuun tietoturvan hallintajärjestelmään.
- BSI-standardit 200-1–200-4
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
IT-Grundschutz on BSI:n menetelmä tietoturvan hallintajärjestelmän rakentamiseen ja ylläpitoon. BSI-standardi 200-2 kuvaa menettelyn, ja IT-Grundschutz-kompendium sisältää tyypillisten käyttöympäristöjen turvallisuusvaatimukset. Yritykset ja viranomaiset rajaavat tietojenkäsittelykokonaisuutensa, määrittävät suojaustarpeen ja arvioivat toteutuksen. Yksi mahdollinen tapa osoittaa vaatimustenmukaisuus on IT-Grundschutziin perustuva ISO 27001 -sertifiointi.
BSI-standardit ja IT-Grundschutz-kompendium.
IT-Grundschutz yhdistää turvallisuusprosessin ja toistuvien turvallisuusvaatimusten luettelon. Tietoturvan hallintajärjestelmä eli ISMS määrittää, miten organisaatio suojaa tietonsa, tekee päätöksiä ja arvioi toimenpiteidensä vaikuttavuutta. BSI-standardi 200-1 kuvaa tämän hallintajärjestelmän, ja BSI-standardi 200-2 täsmentää IT-Grundschutz-menetelmän.
IT-Grundschutz-kompendium ryhmittelee turvallisuusvaatimukset eri aiheita ja kohteita koskeviksi moduuleiksi. Näitä ovat turvallisuuden hallinta, henkilöstö, sovellukset, tietojärjestelmät, verkot ja infrastruktuuri. BSI on moduuleja kehittäessään huomioinut tavanomaisen suojaustarpeen tyypilliset riskit. Täydentävät toteutusohjeet kuvaavat mahdollisia toimenpiteitä, mutta ne ovat erillinen apuväline.
Standardit täydentävät toisiaan eri tehtävissä. BSI-standardi 200-3 kuvaa täydentävän riskianalyysin. BSI-standardi 200-4 käsittelee liiketoiminnan jatkuvuuden hallintaa eli keskeytyksiin varautumista ja tärkeiden liiketoimintaprosessien jatkamista. Pelkkä luettelo ei siis korvaa turvallisuusorganisaatiota eikä oman suojaustarpeen määrittämistä.
Tämän selvityksen yhteydessä haettu BSI:n yleiskatsaus sisältää IT-Grundschutz-kompendiumin vuoden 2023 painoksen. Konkreettisessa hankkeessa on syytä kirjata käytettävä painos, siihen liittyvät oikaisut ja voimassa oleva tarkastusperusta. Luetteloversion myöhempien muutosten on oltava jäljitettävissä turvallisuussuunnitelmassa.
Kenelle BSI:n IT-Grundschutz sopii.
IT-Grundschutz on tarkoitettu yrityksille, viranomaisille ja muille organisaatioille, jotka haluavat järjestää tietoturvansa järjestelmällisesti. BSI-standardin 200-1 luku 1.3 huomioi myös pienet organisaatiot. Soveltamisen sitovuus yksittäistapauksessa määräytyy asianomaisten laki-, viranomais- tai sopimusvaatimusten perusteella. Menetelmä itsessään ei ole yleinen yrityksiä koskeva laki.
Perussuojaus (Basis-Absicherung) mahdollistaa laajan aloituksen perustason vaatimuksilla. Ydinsuojaus (Kern-Absicherung) keskittyy erityisen tärkeisiin liiketoimintaprosesseihin ja niiden resursseihin. Standardisuojaus (Standard-Absicherung) kattaa koko menetelmäpolun määritellylle tietojenkäsittelykokonaisuudelle. BSI-standardin 200-2 luku 3.3 sekä luvut 6–8 kuvaavat nämä kolme lähestymistapaa.
Valinta riippuu tavoitteesta ja käsiteltävissä olevasta soveltamisalasta. Vaikka ensin suojattaisiin erityisen kriittiset palvelut, rajapinnat tukipalveluihin on silti määritettävä selkeästi. Sertifiointia tavoittelevan on hyvä sopia suunnitellusta tarkastuskohteesta ajoissa auditointitiimin kanssa. Pelkkä perussuojaus ei BSI-standardin 200-2 luvun 11 mukaan riitä.
IT-Grundschutzin keskeiset vaatimukset.
IT-Grundschutz edellyttää jäljitettävää turvallisuussuunnitelmaa ja jatkuvaa turvallisuusprosessia. Seuraavat osa-alueet kuvaavat menetelmää yleisellä tasolla. Konkreettiset vaatimukset määräytyvät vasta rajatun tietojenkäsittelykokonaisuuden ja valitun lähestymistavan perusteella.
Vastuu ja turvallisuusorganisaatio.
Johto asettaa turvallisuustavoitteet, kantaa kokonaisvastuun ja varaa resurssit. Vastuiden ja viestintäkanavien on sovittava organisaatioon. BSI-standardin 200-1 luvut 4 ja 7 käsittelevät johtamisperiaatteita ja turvallisuusprosessia. Pelkkä tekniikan hankinta ei muodosta tietoturvan hallintajärjestelmää.
Tietojenkäsittelykokonaisuus ja rakenneanalyysi.
Rakenneanalyysi kartoittaa soveltamisalan liiketoimintaprosessit, tiedot ja kohteet riippuvuuksineen. BSI-standardin 200-2 luku 8.1 käsittelee muun muassa sovelluksia, verkkoja, tietojärjestelmiä ja tiloja. Kuvauksen tulee selvittää, mitkä resurssit todella mahdollistavat tarkasteltavat palvelut.
Suojaustarpeen perusteltu määrittäminen.
Suojaustarpeen arvioinnissa tarkastellaan luottamuksellisuuteen, eheyteen ja saatavuuteen kohdistuvia mahdollisia vahinkoja. BSI-standardin 200-2 luku 8.2 kuvaa tasot normaali, korkea ja erittäin korkea sekä suojaustarpeen siirtymisen riippuvaisiin kohteisiin. Luokittelu edellyttää toimintayksiköiden perusteltuja oletuksia, ei pelkkää teknisten mittareiden valintaa.
Sopivien moduulien mallintaminen.
Mallinnuksessa valitaan IT-Grundschutz-kompendiumin sopivat moduulit ja kohdistetaan ne tarkasteltaviin kohteisiin. BSI-standardin 200-2 luku 8.3 selittää valinnan ja mukauttamisen. Ratkaisevaa on tietojenkäsittelykokonaisuuden kattavuus: pitkä moduuliluettelo ilman perusteltua yhteyttä todelliseen rakenteeseen ei ole luotettava turvallisuussuunnitelma.
Toteutuksen arviointi ja kehittäminen.
IT-Grundschutz-tarkistus selvittää toteutuksen todellisen tilan asianomaisten vaatimusten perusteella. BSI-standardin 200-2 luku 8.4 kuvaa valmistelun, tavoite- ja nykytilan vertailun sekä dokumentoinnin. Haastattelut ja tarkistettavat asiakirjat auttavat todentamaan väitteet. Turvallisuusprosessin jatkuvaa valvontaa ja parantamista käsittelee BSI-standardin 200-1 luku 7.
Täydentävien riskien käsittely.
Täydentävä riskianalyysi tarvitaan erityisesti silloin, kun suojaustarve on korkea tai erittäin korkea, sopivia moduuleja ei ole tai käyttötilanteet ovat poikkeavia. BSI-standardin 200-3 luvut 1.2 ja 1.3 määrittelevät nämä tapaukset. Uhkien kartoitus, riskiluokittelu ja käsittely johtavat perusteltuihin päätöksiin ja tarvittaessa lisätoimenpiteisiin.
BSI-standardin 200-2 mukainen menettely.
Määrittäkää toimeksianto ja lähestymistapa.
Sopikaa johdon kanssa turvallisuustavoitteista, vastuuhenkilöistä ja resursseista sekä valitkaa perus-, ydin- tai standardisuojaus BSI-standardin 200-2 luvun 3.3 mukaisesti.
Kartoittakaa tietojenkäsittelykokonaisuus.
Rajatkaa soveltamisala ja dokumentoikaa liiketoimintaprosessit, tiedot, kohteet ja riippuvuudet BSI-standardin 200-2 luvun 8.1 mukaiseen rakenneanalyysiin.
Perustelkaa suojaustarve.
Määrittäkää mahdolliset vahingot toiminnasta vastaavien kanssa ja siirtäkää suojaustarve tukiresursseille BSI-standardin 200-2 luvun 8.2 mukaisesti.
Mallintakaa ja arvioikaa toteutus.
Valitkaa sopivat moduulit ja arvioikaa niiden toteutus IT-Grundschutz-tarkistuksella BSI-standardin 200-2 lukujen 8.3 ja 8.4 mukaisesti.
Päättäkää riskeistä ja toimenpiteistä.
Täydentäkää tarvittavat riskianalyysit BSI-standardin 200-3 mukaisesti ja määrittäkää toimenpiteet prioriteetteineen, vastuineen ja toteutusmääräaikoineen.
Seuratkaa vaikuttavuutta ja muutoksia.
Arvioikaa toimenpiteet ja turvallisuussuunnitelma säännöllisesti sekä olennaisten muutosten jälkeen, jotta BSI-standardin 200-1 luvun 7 mukainen turvallisuusprosessi säilyy vaikuttavana.
IT-Grundschutz-sertifiointi ja tarkastettava näyttö.
Muodollinen osoitus on IT-Grundschutziin perustuva ISO 27001 -sertifikaatti. BSI:n sertifioima auditoija tarkastaa määritellyn tietojenkäsittelykokonaisuuden. BSI:n sertifiointielin arvioi auditointiraportin ja päättää sertifikaatista. BSI-standardin 200-2 luku 11 mahdollistaa tämän polun standardisuojaukselle ja lähtökohtaisesti myös ydinsuojaukselle.
Viiteasiakirjat kuvaavat polun turvallisuustavoitteista toteutukseen. BSI:n auditointiohjeiston luku 2.3 nimeää tietoturvapolitiikan ja ohjeet, rakenneanalyysin, suojaustarpeen arvioinnin, mallinnuksen, IT-Grundschutz-tarkistuksen, riskianalyysin ja toteutussuunnitelman. Auditoinnissa tarkastetaan siksi muutakin kuin asiakirjojen olemassaolo: kuvattujen toimenpiteiden on oltava todennettavasti toteutettuja tarkasteltavassa kokonaisuudessa.
Selvityksessä tarkastetun BSI:n sertifiointiohjeiston luku 2.8.1 määrittää kolmen vuoden voimassaoloajan ja vuosittaiset valvonta-auditoinnit. Luku 2.8.3 käsittelee uudelleensertifiointia. Sertifioidun tietojenkäsittelykokonaisuuden olennaiset muutokset on huomioitava. Käynnissä oleva uusimismenettely ei automaattisesti pidennä vanhentunutta sertifikaattia.
Lue lisää blogista.
- IT-Grundschutz käytännönläheisestiSuunnitelkaa hallittava aloitus, selkeä rakenne ja jäljitettävät vastuut.
- Suojaustarpeen yhdistäminenYhdistäkää suojaustarve ja riskien arviointi johdonmukaiseksi toimintamalliksi.
- IT-Grundschutz++ ja OSCALLukekaa ajankohtaan sidottu katsaus IT-Grundschutzin koneellisesti luettavaan jatkokehitykseen.
Suhde muihin viitekehyksiin.
ISO 27001 kuvaa tietoturvan hallintajärjestelmän vaatimukset. IT-Grundschutz yhdistää tällaisen hallintajärjestelmän BSI:n menetelmään ja kompendiumiin. NIS2 koskee tiettyjen toimijoiden lakisääteisiä velvollisuuksia, joiden täyttymistä ei voida päätellä pelkästä IT-Grundschutz-sertifikaatista. BSI-standardi 200-4 tarjoaa menetelmän liiketoiminnan jatkuvuuden hallintaan. ISO 22301 käsittelee vastaavan hallintajärjestelmän vaatimuksia.
Secanissa.
Secani tarjoaa työalueet rakenneanalyysille, suojaustarpeen arvioinnille, mallinnukselle ja IT-Grundschutz-tarkistukselle. Riskit ja toteutussuunnitelma täydentävät käsittelyä. Näin IT-Grundschutz-hankkeen asiantuntijapäätökset ja toteutuksen tila voidaan dokumentoida. Tarkastus ja sertifiointipäätös kuuluvat edelleen auditointitiimille ja toimivaltaiselle elimelle.
Aloittakaa rajatusta tietojenkäsittelykokonaisuudesta.
Ensimmäinen vaihe on yhteinen käsitys soveltamisalasta. Nimetkää tarkasteltavat liiketoimintaprosessit ja niiden vastuuhenkilöt, kartoittakaa tukiresurssit ja päättäkää, mikä lähestymistapa vastaa tavoitettanne. BSI-standardin 200-2 luvut 3 ja 8.1 tarjoavat menetelmällisen lähtökohdan.
Lähteet.
- ISO 22301:2019: liiketoiminnan jatkuvuuden hallintajärjestelmät
- BSI-standardi 200-1: tietoturvan hallintajärjestelmät
- BSI-standardi 200-2: IT-Grundschutz-menetelmä
- BSI-standardi 200-3: IT-Grundschutziin perustuva riskianalyysi
- BSI-standardi 200-4: liiketoiminnan jatkuvuuden hallinta
- BSI: IT-Grundschutz-kompendium
- BSI: IT-Grundschutziin perustuvan ISO 27001 -sertifioinnin ohjeisto
- BSI: IT-Grundschutziin perustuvien ISO 27001 -auditointien ohjeisto
Usein kysytyt kysymykset.
Ei. BSI-standardin 200-2 mukaan tietojenkäsittelykokonaisuus voi kattaa myös rajatun osan organisaatiosta. Sen liiketoimintaprosessien kannalta merkitykselliset riippuvuudet ja rajapinnat on silti otettava huomioon.
Ei. Mallinnuksessa valitaan tietojenkäsittelykokonaisuuteen sopivat moduulit. BSI-standardin 200-2 luku 8.3 kuvaa valinnan ja perustellun mukauttamisen.
Ei pelkästään siksi, että sitä ylläpitää ulkopuolinen. BSI-standardin 200-2 luvut 8.3.5 ja 8.3.7 huomioivat mallinnuksessa pilvijärjestelmät ja ulkoiset palveluntarjoajat. Vastuut ja rajapinnat kuuluvat turvallisuussuunnitelmaan.
Ei. IT-Grundschutziin perustuva ISO 27001 -sertifikaatti koskee tarkastettua tietojenkäsittelykokonaisuutta ja sen tietoturvan hallintajärjestelmää. BSI:n sertifiointiohjeisto kuvaa tarkastuskohteen. Se ei merkitse kaikkien käytettyjen tuotteiden yleistä sertifiointia.
Käsitelkää IT-Grundschutzia jäljitettävästi.
Keskustelkaa kanssamme siitä, miten jäsennätte IT-Grundschutz-hankkeenne Secanissa.
Tämä sivu kuvaa BSI:n menetelmää. Ratkaisevia ovat BSI:n julkaisut ja kunkin hankkeen voimassa oleva tarkastusperusta.