IT-Grundschutz a gyakorlatban

Miért a kiindulópont határozza meg az auditálhatóságot

Sok IT-Grundschutz-projekt egy hosszú követelménylistával kezdődik. Ez alaposnak tűnik, de hamar szétszórt táblázatokhoz, következetlen felelősségi körökhöz és olyan bizonyítékokhoz vezet, amelyeket közvetlenül az audit előtt kell összegyűjteni.

Jobb kiindulópont egy tiszta hatókör. Mely szervezeti egységek, folyamatok, alkalmazások, informatikai rendszerek, hálózatok és szolgáltatók tartoznak valóban a biztonsági koncepcióba? Ez a döntés határozza meg, mely modulok relevánsak, és mely bizonyítékoknak kell később helytállniuk egy auditon.

• Rögzítse írásban a hatókört, és nevezze meg a felelősöket
• A célobjektumokat egyértelmű nevekkel, kategóriákkal és felelősökkel rögzítse
• Tegye láthatóvá a folyamatok, adatok, alkalmazások és az infrastruktúra közötti kapcsolatokat

A modellezés munkamodell, nem űrlap

A modellezés a valós célobjektumokat a megfelelő IT-Grundschutz-modulokhoz kapcsolja. Értékét nem önmagában a hozzárendelés adja, hanem az, hogy az információs tartomány szerkezete következetesen jelenik-e meg.

Ha egy kritikus folyamat egy alkalmazástól, egy hálózati szegmenstől és egy külső szolgáltatótól függ, ennek a függőségnek láthatónak kell lennie a biztonsági koncepcióban. Csak így magyarázható meg meggyőzően a védelmi igény, a megvalósítási állapot és a maradványkockázat.

• Indokolja meg minden modul hozzárendelését az adott célobjektumhoz
• Dokumentálja a függőségeket, mielőtt értékeli a védelmi intézkedéseket
• A kivételeket és különleges eseteket már korán jelölje nyitott pontként

Észszerű minimális hatókör az első körhöz

Az első, védhető körhöz gyakran hasznosabb egy világos és tömör hatókör, mint egy széles, de homályos. Kezdjen egy reprezentatív információs tartománnyal, amelynek folyamatai, alkalmazásai és infrastruktúrája jól ismertek.

A módszer ezután megismételhető: vegyen fel további célobjektumokat, bővítse a modulhozzárendeléseket, örököltesse tovább a védelmi igényeket, rangsorolja a nyitott védelmi intézkedéseket, és csoportosítsa a bizonyítékokat felelősség szerint.

• Az első biztonsági koncepciót világos mélységgel építse fel, ne maximális szélességgel
• A nyitott védelmi intézkedéseket kockázat, auditrelevancia és megvalósíthatóság szerint rangsorolja
• A bizonyítékokat ott kapcsolja be, ahol a megfelelő követelményt értékelik