IT-Grundschutz.
Razumijte BSI Grundschutz: standarde, kompendij i put od informacijske cjeline do provjerenog ISMS-a.
- BSI-jevi standardi 200-1 do 200-4
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
IT-Grundschutz je BSI-jeva metodologija za uspostavu i rad sustava upravljanja informacijskom sigurnošću. BSI-jev standard 200-2 opisuje postupak, a kompendij IT-Grundschutz sadrži sigurnosne zahtjeve za tipična područja primjene. Poduzeća i tijela određuju informacijsku cjelinu, utvrđuju potrebe zaštite i provjeravaju provedbu. Jedan mogući dokaz jest certifikacija ISO 27001 na temelju IT-Grundschutza.
BSI-jevi standardi i kompendij IT-Grundschutz.
IT-Grundschutz povezuje sigurnosni proces s katalogom ponavljajućih sigurnosnih zahtjeva. Sustav upravljanja informacijskom sigurnošću, odnosno ISMS, određuje kako organizacija štiti informacije, donosi odluke i provjerava učinkovitost svojih mjera. BSI-jev standard 200-1 opisuje taj sustav upravljanja; BSI-jev standard 200-2 razrađuje metodologiju Grundschutz.
Kompendij IT-Grundschutz raspoređuje sigurnosne zahtjeve u module za različite teme i ciljne objekte. Obuhvaća upravljanje sigurnošću, osoblje, aplikacije, IT sustave, mreže i infrastrukturu. Pri razvoju modula BSI je uzeo u obzir tipične rizike za uobičajenu potrebu zaštite. Dodatne smjernice za provedbu objašnjavaju moguće mjere, ali predstavljaju zasebno pomagalo.
Standardi se međusobno nadopunjuju različitim zadaćama. BSI-jev standard 200-3 opisuje dodatnu analizu rizika; BSI-jev standard 200-4 bavi se upravljanjem kontinuitetom poslovanja, odnosno pripremom za prekide i nastavkom važnih poslovnih procesa. Sam katalog stoga ne zamjenjuje ni sigurnosnu organizaciju ni odluke o vlastitim potrebama zaštite.
BSI-jev pregled dohvaćen tijekom ovog istraživanja navodi kompendij IT-Grundschutz, izdanje 2023. Za konkretan projekt zabilježite korišteno izdanje, pripadajuće ispravke i važeću osnovu provjere. Naknadna promjena verzije kataloga mora ostati sljediva u sigurnosnom konceptu.
Kome je BSI Grundschutz namijenjen.
IT-Grundschutz namijenjen je poduzećima, tijelima i drugim organizacijama koje žele sustavno organizirati informacijsku sigurnost. BSI-jev standard 200-1, poglavlje 1.3, uzima u obzir i manje ustanove. Obveznost primjene u pojedinom slučaju proizlazi iz relevantnih zakonskih, upravnih ili ugovornih zahtjeva; sama metodologija nije opći zakon za poduzeća.
Osnovna zaštita (Basis-Absicherung) omogućuje širok početak s temeljnim zahtjevima. Zaštita jezgre (Kern-Absicherung) usmjerena je na posebno važne poslovne procese i potrebne resurse. Standardna zaštita (Standard-Absicherung) slijedi puni metodološki put za utvrđenu informacijsku cjelinu. BSI-jev standard 200-2, poglavlje 3.3 te poglavlja 6 do 8, opisuje ta tri pristupa.
Odluka ovisi o cilju i području primjene koje je moguće obraditi. Onaj tko najprije štiti posebno kritične usluge ipak treba jasna sučelja prema potpornim uslugama. Ako težite certifikaciji, rano uskladite predviđeni predmet provjere s revizijskim timom; sama osnovna zaštita prema BSI-jevu standardu 200-2, poglavlju 11, za to nije dovoljna.
Temeljni zahtjevi IT-Grundschutza.
IT-Grundschutz zahtijeva sljediv sigurnosni koncept i trajan sigurnosni proces. Sljedeća područja opisuju metodologiju na općoj razini; konkretni zahtjevi proizlaze tek iz određene informacijske cjeline i odabranog pristupa.
Odgovornost i sigurnosna organizacija.
Uprava određuje sigurnosne ciljeve, snosi ukupnu odgovornost i osigurava resurse. Nadležnosti i komunikacijski kanali moraju odgovarati organizaciji. BSI-jev standard 200-1, poglavlja 4 i 7, obrađuje načela upravljanja i sigurnosni proces; sama nabava tehnologije još ne čini ISMS.
Informacijska cjelina i strukturna analiza.
Strukturna analiza evidentira poslovne procese, informacije i ciljne objekte područja primjene s njihovim ovisnostima. BSI-jev standard 200-2, poglavlje 8.1, obrađuje, među ostalim, aplikacije, mreže, IT sustave i prostorije. Opis treba objasniti koji resursi zaista omogućuju razmatrane usluge.
Sljedivo utvrdite potrebe zaštite.
Utvrđivanje potreba zaštite procjenjuje moguću štetu za povjerljivost, cjelovitost i dostupnost. BSI-jev standard 200-2, poglavlje 8.2, opisuje kategorije uobičajeno, visoko i vrlo visoko te prijenos na ovisne ciljne objekte. Klasifikacija zahtijeva obrazložene pretpostavke stručnih odjela, a ne puki odabir tehničkih pokazatelja.
Modelirajte odgovarajuće module.
Modeliranje odabire odgovarajuće module kompendija IT-Grundschutz i pridružuje ih razmatranim ciljnim objektima. BSI-jev standard 200-2, poglavlje 8.3, objašnjava odabir i prilagodbu. Presudna je pokrivenost informacijske cjeline: dug popis modula bez obrazložene veze sa stvarnom strukturom nije pouzdan sigurnosni koncept.
Provjeravajte i razvijajte provedbu.
Provjera IT-Grundschutz ispituje stvarni stupanj provedbe prema relevantnim zahtjevima. BSI-jev standard 200-2, poglavlje 8.4, opisuje pripremu, usporedbu željenog i stvarnog stanja te dokumentiranje. Razgovori i provjerljiva dokumentacija pomažu potkrijepiti tvrdnje; trajan nadzor i poboljšavanje sigurnosnog procesa obrađuje BSI-jev standard 200-1, poglavlje 7.
Obradite dodatne rizike.
Dopunska analiza rizika potrebna je osobito pri visokoj ili vrlo visokoj potrebi zaštite, nedostatku odgovarajućih modula ili posebnim scenarijima uporabe. BSI-jev standard 200-3, poglavlja 1.2 i 1.3, razvrstava te slučajeve. Pregled prijetnji, klasifikacija rizika i njihova obrada vode do obrazloženih odluka i, prema potrebi, dodatnih mjera.
Postupak prema BSI-jevu standardu 200-2.
Odredite mandat i pristup.
Dogovorite s upravom sigurnosne ciljeve, odgovorne osobe i resurse te odaberite osnovnu zaštitu, zaštitu jezgre ili standardnu zaštitu prema BSI-jevu standardu 200-2, poglavlju 3.3.
Evidentirajte informacijsku cjelinu.
Odredite područje primjene i dokumentirajte poslovne procese, informacije, ciljne objekte i ovisnosti u strukturnoj analizi prema BSI-jevu standardu 200-2, poglavlju 8.1.
Obrazložite potrebe zaštite.
Utvrdite moguću štetu sa stručnim odgovornim osobama i prenesite potrebe zaštite na potporne resurse prema BSI-jevu standardu 200-2, poglavlju 8.2.
Modelirajte i provjerite provedbu.
Odaberite odgovarajuće module i provjerite stupanj njihove provedbe provjerom IT-Grundschutz prema BSI-jevu standardu 200-2, poglavljima 8.3 i 8.4.
Odlučite o rizicima i mjerama.
Dopunite potrebne analize rizika prema BSI-jevu standardu 200-3 i utvrdite mjere s prioritetima, odgovornostima i rokovima provedbe.
Pratite učinkovitost i promjene.
Redovito i nakon relevantnih promjena provjeravajte mjere i sigurnosni koncept kako bi sigurnosni proces prema BSI-jevu standardu 200-1, poglavlju 7, ostao učinkovit.
Certifikacija Grundschutz i provjerljivi dokazi.
Formalni dokaz naziva se certifikat ISO 27001 na temelju IT-Grundschutza. Revizor kojeg je certificirao BSI ispituje utvrđenu informacijsku cjelinu; certifikacijsko tijelo BSI-ja ocjenjuje revizijsko izvješće i odlučuje o certifikatu. BSI-jev standard 200-2, poglavlje 11, predviđa taj put za standardnu zaštitu, a načelno i za zaštitu jezgre.
Referentni dokumenti pokazuju put od sigurnosnih ciljeva do provedbe. BSI-jeva revizijska shema, poglavlje 2.3, navodi politiku i smjernice, strukturnu analizu, utvrđivanje potreba zaštite, modeliranje, provjeru Grundschutz, analizu rizika i plan realizacije. Revizija zato provjerava više od postojanja dokumenata: opisane mjere moraju biti sljedivo provedene u ispitivanoj cjelini.
BSI-jeva certifikacijska shema provjerena tijekom istraživanja u poglavlju 2.8.1 predviđa valjanost od tri godine uz godišnje nadzorne revizije. Poglavlje 2.8.3 obrađuje ponovnu certifikaciju. Treba uzeti u obzir bitne promjene certificirane informacijske cjeline; postupak obnove koji je u tijeku ne produljuje automatski istekli certifikat.
Daljnje čitanje na blogu.
- Pragmatičan GrundschutzPlanirajte izvediv početak s jasnom strukturom i sljedivim odgovornostima.
- Povezivanje potreba zaštiteObjedinite potrebe zaštite i procjenu rizika u dosljedan radni model.
- IT-Grundschutz++ i OSCALPročitajte vremenski određen prikaz razvoja Grundschutza prema strojnoj čitljivosti.
Razumijevanje drugih okvira.
ISO 27001 opisuje zahtjeve za ISMS; IT-Grundschutz povezuje takav sustav upravljanja s BSI-jevom metodologijom i kompendijem. NIS2 odnosi se na zakonske obveze određenih subjekata čije se ispunjavanje ne može zaključiti samo iz certifikata Grundschutz. BSI-jev standard 200-4 nudi metodologiju upravljanja kontinuitetom poslovanja; ISO 22301 obrađuje zahtjeve za odgovarajući sustav upravljanja.
U Secaniju.
Secani pruža radna područja za strukturnu analizu, utvrđivanje potreba zaštite, modeliranje i provjeru Grundschutz. Rizici i plan realizacije dopunjuju obradu. Tako se mogu dokumentirati stručne odluke i njihov stupanj provedbe u projektu Grundschutz; provjera i odluka o certifikaciji ostaju u nadležnosti revizijskog tima i mjerodavnog tijela.
Počnite s određenom informacijskom cjelinom.
Prvi je korak zajedničko razumijevanje područja primjene. Navedite razmatrane poslovne procese i njihove odgovorne osobe, evidentirajte potporne resurse i odlučite koji pristup odgovara vašem cilju. BSI-jev standard 200-2, poglavlja 3 i 8.1, pruža metodološko polazište.
Izvori.
- ISO 22301:2019: sustavi upravljanja kontinuitetom poslovanja
- BSI-jev standard 200-1: sustavi upravljanja informacijskom sigurnošću
- BSI-jev standard 200-2: metodologija IT-Grundschutz
- BSI-jev standard 200-3: analiza rizika na temelju IT-Grundschutza
- BSI-jev standard 200-4: upravljanje kontinuitetom poslovanja
- BSI: kompendij IT-Grundschutz
- BSI: certifikacijska shema za ISO 27001 na temelju IT-Grundschutza
- BSI: revizijska shema za revizije ISO 27001 na temelju IT-Grundschutza
Česta pitanja.
Ne. Prema BSI-jevu standardu 200-2 informacijska cjelina može obuhvatiti i ograničeni dio organizacije. I dalje treba uzeti u obzir ovisnosti i sučelja relevantna za njegove poslovne procese.
Ne. Pri modeliranju se odabiru moduli koji odgovaraju informacijskoj cjelini. BSI-jev standard 200-2, poglavlje 8.3, opisuje odabir i obrazloženu prilagodbu.
Ne samo zato što njome upravlja vanjski pružatelj. BSI-jev standard 200-2, poglavlja 8.3.5 i 8.3.7, uzima u obzir sustave u oblaku i vanjske pružatelje usluga pri modeliranju. Odgovornosti i sučelja dio su sigurnosnog koncepta.
Ne. Certifikat ISO 27001 na temelju IT-Grundschutza odnosi se na provjerenu informacijsku cjelinu i pripadajući ISMS. BSI-jeva certifikacijska shema opisuje predmet provjere; iz nje ne proizlazi opća certifikacija svih korištenih proizvoda.
Obrađujte Grundschutz na sljediv način.
Razgovarajte s nama o strukturiranju projekta Grundschutz u Secaniju.
Ova stranica objašnjava BSI-jevu metodologiju. Mjerodavne su publikacije BSI-ja i osnova provjere važeća za pojedini projekt.