IT-Grundschutz.
A BSI Grundschutz áttekintése: szabványok, kompendium és az út az információs rendszerkörnyezettől az auditált ISMS-ig.
- BSI-Standard 200-1–200-4
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
Az IT-Grundschutz a BSI módszertana az információbiztonság-irányítási rendszer kialakítására és működtetésére. A BSI-Standard 200-2 a folyamatot írja le, az IT-Grundschutz-Kompendium pedig tipikus alkalmazási területekre tartalmaz biztonsági követelményeket. A vállalatok és hatóságok lehatárolják információs rendszerkörnyezetüket, meghatározzák védelmi szükségleteiket és ellenőrzik a megvalósítást. Az egyik lehetséges igazolás az IT-Grundschutz alapú ISO 27001 tanúsítás.
BSI-szabványok és IT-Grundschutz-Kompendium.
Az IT-Grundschutz a biztonsági folyamatot ismétlődő biztonsági követelmények katalógusával kapcsolja össze. Az információbiztonság-irányítási rendszer, röviden ISMS, meghatározza, hogyan védi a szervezet az információit, hogyan hoz döntéseket és hogyan ellenőrzi intézkedései hatékonyságát. A BSI-Standard 200-1 ezt az irányítási rendszert írja le; a BSI-Standard 200-2 a Grundschutz módszertanát részletezi.
Az IT-Grundschutz-Kompendium különböző témák és célobjektumok szerint modulokba rendezi a biztonsági követelményeket. Ide tartozik a biztonságirányítás, a személyzet, az alkalmazások, az informatikai rendszerek, a hálózatok és az infrastruktúra. A modulok kidolgozásánál a BSI a normál védelmi igényhez tartozó tipikus kockázatokat vette figyelembe. A kiegészítő megvalósítási útmutatók lehetséges intézkedéseket ismertetnek, de önálló segédeszközt alkotnak.
A szabványok különböző feladatokkal egészítik ki egymást. A BSI-Standard 200-3 a kiegészítő kockázatelemzést írja le; a BSI-Standard 200-4 az üzletmenet-folytonosság irányításával foglalkozik, vagyis a megszakításokra való felkészüléssel és a fontos üzleti folyamatok fenntartásával. Önmagában egy katalógus ezért sem a biztonsági szervezetet, sem a saját védelmi szükségletről hozott döntéseket nem helyettesíti.
A kutatás során megtekintett BSI-áttekintés az IT-Grundschutz-Kompendium 2023-as kiadását sorolja fel. Egy konkrét projektnél rögzítse az alkalmazott kiadást, annak hibajegyzékét és az érvényes vizsgálati alapot. A katalógus verziójának utólagos módosítása követhető kell maradjon a biztonsági koncepcióban.
Kinek megfelelő a BSI Grundschutz?
Az IT-Grundschutz azoknak a vállalatoknak, hatóságoknak és más szervezeteknek szól, amelyek rendszeresen kívánják megszervezni az információbiztonságot. A BSI-Standard 200-1 1.3. fejezete a kisebb intézményeket is figyelembe veszi. Az, hogy alkalmazása egy adott esetben kötelező-e, az irányadó jogszabályi, hatósági vagy szerződéses előírásokból következik; maga a módszertan nem általános vállalati törvény.
Az alapvédelem (Basis-Absicherung) alapvető követelményekkel tesz lehetővé széles körű kezdést. A magvédelem (Kern-Absicherung) a különösen fontos üzleti folyamatokra és a hozzájuk szükséges erőforrásokra összpontosít. A standard védelem (Standard-Absicherung) a meghatározott információs rendszerkörnyezet teljes módszertani folyamatát járja végig. A BSI-Standard 200-2 3.3., valamint 6–8. fejezete ismerteti ezt a három megközelítést.
A döntés a céltól és a kezelhető alkalmazási területtől függ. Aki először a különösen kritikus szolgáltatásokat védi, annak is egyértelmű kapcsolódási pontokra van szüksége a támogató szolgáltatásokhoz. Aki tanúsítást szeretne, annak érdemes korán egyeztetnie a tervezett vizsgálati tárgyat az auditcsapattal; a BSI-Standard 200-2 11. fejezete szerint az alapvédelem önmagában ehhez nem elegendő.
Az IT-Grundschutz alapvető követelményei.
Az IT-Grundschutz követhető biztonsági koncepciót és folyamatos biztonsági folyamatot követel meg. Az alábbi területek általános szinten ismertetik a módszertant; a konkrét követelmények csak a lehatárolt információs rendszerkörnyezetből és a választott megközelítésből következnek.
Felelősség és biztonsági szervezet.
A vezetés kitűzi a biztonsági célokat, viseli az átfogó felelősséget és biztosítja az erőforrásokat. A felelősségi köröknek és kommunikációs útvonalaknak illeszkedniük kell a szervezethez. A BSI-Standard 200-1 4. és 7. fejezete az irányítási alapelvekkel és a biztonsági folyamattal foglalkozik; a technikai eszközök beszerzése önmagában még nem alkot ISMS-t.
Információs rendszerkörnyezet és struktúraelemzés.
A struktúraelemzés az alkalmazási terület üzleti folyamatait, információit és célobjektumait, valamint függőségeiket rögzíti. A BSI-Standard 200-2 8.1. fejezete többek között az alkalmazásokkal, hálózatokkal, informatikai rendszerekkel és helyiségekkel foglalkozik. A leírásnak meg kell mutatnia, mely erőforrások teszik ténylegesen lehetővé a vizsgált szolgáltatásokat.
A védelmi szükséglet követhető meghatározása.
A védelmi szükséglet felmérése a bizalmasságot, sértetlenséget és rendelkezésre állást érő lehetséges károkat értékeli. A BSI-Standard 200-2 8.2. fejezete ehhez normál, magas és nagyon magas kategóriákat, valamint a függő célobjektumokra történő átvitelüket írja le. A besoroláshoz a szakterületek indokolt feltételezéseire van szükség, pusztán technikai mutatók kiválasztása nem elegendő.
A megfelelő modulok modellezése.
A modellezés során kiválasztják az IT-Grundschutz-Kompendium megfelelő moduljait, és hozzárendelik őket a vizsgált célobjektumokhoz. A BSI-Standard 200-2 8.3. fejezete a kiválasztást és a testreszabást ismerteti. Az információs rendszerkörnyezet lefedettsége a döntő: egy hosszú modullista a tényleges struktúrával való indokolt kapcsolat nélkül nem megalapozott biztonsági koncepció.
A megvalósítás ellenőrzése és továbbfejlesztése.
Az IT-Grundschutz-Check a releváns követelmények alapján vizsgálja a megvalósítás tényleges állapotát. A BSI-Standard 200-2 8.4. fejezete az előkészítést, az elvárt és tényleges állapot összevetését és a dokumentálást ismerteti. Interjúk és ellenőrizhető iratok segítenek az állítások bizonyításában; a biztonsági folyamat folyamatos ellenőrzésével és fejlesztésével a BSI-Standard 200-1 7. fejezete foglalkozik.
A további kockázatok kezelése.
Kiegészítő kockázatelemzés különösen magas vagy nagyon magas védelmi igény, megfelelő modulok hiánya vagy különleges alkalmazási helyzetek esetén szükséges. A BSI-Standard 200-3 1.2. és 1.3. fejezete határolja körül ezeket az eseteket. A fenyegetések áttekintése, a kockázati besorolás és a kezelés indokolt döntésekhez és szükség esetén további intézkedésekhez vezet.
A BSI-Standard 200-2 szerinti folyamat.
A megbízás és a megközelítés meghatározása.
Egyeztesse a vezetéssel a biztonsági célokat, felelősöket és erőforrásokat, majd válasszon alap-, mag- vagy standard védelmet a BSI-Standard 200-2 3.3. fejezete szerint.
Az információs rendszerkörnyezet felmérése.
Határolja le az alkalmazási területet, és dokumentálja az üzleti folyamatokat, információkat, célobjektumokat és függőségeket a BSI-Standard 200-2 8.1. fejezete szerinti struktúraelemzésben.
A védelmi szükséglet indokolása.
A szakmai felelősökkel határozza meg a lehetséges károkat, és vigye át a védelmi szükségletet a támogató erőforrásokra a BSI-Standard 200-2 8.2. fejezete szerint.
Modellezés és a megvalósítás ellenőrzése.
Válassza ki a megfelelő modulokat, és ellenőrizze megvalósításukat az IT-Grundschutz-Check segítségével a BSI-Standard 200-2 8.3. és 8.4. fejezete szerint.
Döntés a kockázatokról és intézkedésekről.
Egészítse ki a szükséges kockázatelemzéseket a BSI-Standard 200-3 szerint, és határozza meg az intézkedéseket prioritásokkal, felelősségi körökkel és megvalósítási határidőkkel.
A hatékonyság és a változások követése.
Rendszeresen és releváns változások után vizsgálja felül az intézkedéseket és a biztonsági koncepciót, hogy a BSI-Standard 200-1 7. fejezete szerinti biztonsági folyamat hatékony maradjon.
Grundschutz-tanúsítás és ellenőrizhető bizonyítékok.
A hivatalos igazolás neve IT-Grundschutz alapú ISO 27001 tanúsítvány. Egy BSI által tanúsított auditor megvizsgálja a meghatározott információs rendszerkörnyezetet; a BSI tanúsító szervezete értékeli az auditjelentést és dönt a tanúsítványról. A BSI-Standard 200-2 11. fejezete ezt az utat a standard védelemnél és elvileg a magvédelemnél is lehetővé teszi.
A referenciadokumentumok bemutatják a biztonsági céloktól a megvalósításig vezető utat. A BSI auditálási sémájának 2.3. fejezete az alapelveket és szabályzatokat, a struktúraelemzést, a védelmi szükséglet felmérését, a modellezést, a Grundschutz-Check vizsgálatot, a kockázatelemzést és a megvalósítási tervet sorolja fel. Egy audit ezért a dokumentumok puszta megléténél többet vizsgál: a leírt intézkedéseknek követhetően meg kell valósulniuk a vizsgált rendszerkörnyezetben.
A kutatás során ellenőrzött BSI tanúsítási séma 2.8.1. fejezete hároméves érvényességet és évenkénti felügyeleti auditokat ír elő. A 2.8.3. fejezet az újratanúsítással foglalkozik. A tanúsított információs rendszerkörnyezet lényeges változásait figyelembe kell venni; a folyamatban lévő megújítási eljárás nem hosszabbítja meg automatikusan a lejárt tanúsítványt.
További olvasnivalók a blogon.
- Gyakorlatias GrundschutzÁtlátható kezdés tervezése egyértelmű struktúrával és követhető felelősségi körökkel.
- A védelmi szükséglet összekapcsolásaA védelmi szükséglet és a kockázatértékelés egységes munkamodellbe foglalása.
- IT-Grundschutz++ és OSCALA Grundschutz géppel olvasható továbbfejlesztéséről szóló, időponthoz kötött áttekintés elolvasása.
Más keretrendszerek elhelyezése.
Az ISO 27001 az ISMS követelményeit írja le; az IT-Grundschutz egy ilyen irányítási rendszert kapcsol össze a BSI módszertanával és a kompendiummal. A NIS2 bizonyos szervezetek jogszabályi kötelezettségeire vonatkozik, amelyek teljesítése pusztán egy Grundschutz-tanúsítványból nem következik. Az üzletmenet-folytonosság irányításához a BSI-Standard 200-4 módszertant nyújt; az ISO 22301 a megfelelő irányítási rendszer követelményeit tárgyalja.
A Secaniban.
A Secani munkaterületeket biztosít a struktúraelemzéshez, a védelmi szükséglet felméréséhez, a modellezéshez és a Grundschutz-Check vizsgálathoz. A munkát kockázatok és megvalósítási terv egészítik ki. Így dokumentálhatók a szakmai döntések és megvalósításuk állapota a Grundschutz-projektben; a vizsgálat és a tanúsítási döntés továbbra is az auditcsapat és az illetékes szervezet feladata.
Induljon lehatárolt információs rendszerkörnyezettel.
Az első lépés az alkalmazási terület közös meghatározása. Nevezze meg a vizsgált üzleti folyamatokat és felelőseiket, mérje fel a támogató erőforrásokat, és döntse el, melyik megközelítés felel meg a céljának. Ehhez a BSI-Standard 200-2 3. és 8.1. fejezete adja a módszertani kiindulópontot.
Források.
- ISO 22301:2019: üzletmenet-folytonossági irányítási rendszerek
- BSI-Standard 200-1: információbiztonság-irányítási rendszerek
- BSI-Standard 200-2: IT-Grundschutz-módszertan
- BSI-Standard 200-3: IT-Grundschutz alapú kockázatelemzés
- BSI-Standard 200-4: üzletmenet-folytonosság irányítása
- BSI: IT-Grundschutz-Kompendium
- BSI: tanúsítási séma az IT-Grundschutz alapú ISO 27001 tanúsításhoz
- BSI: auditálási séma az IT-Grundschutz alapú ISO 27001 auditokhoz
Gyakori kérdések.
Nem. A BSI-Standard 200-2 szerint az információs rendszerkörnyezet a szervezet egy lehatárolt részét is magában foglalhatja. Az üzleti folyamataihoz tartozó releváns függőségeket és kapcsolódási pontokat azonban figyelembe kell venni.
Nem. A modellezés során az információs rendszerkörnyezethez illeszkedő modulokat választják ki. A BSI-Standard 200-2 8.3. fejezete ismerteti a kiválasztást és az indokolt testreszabást.
Önmagában azért nem, mert külső üzemeltetésű. A BSI-Standard 200-2 8.3.5. és 8.3.7. fejezete a felhőrendszereket és a külső szolgáltatókat is figyelembe veszi a modellezésben. A felelősségi körök és a kapcsolódási pontok a biztonsági koncepció részei.
Nem. Az IT-Grundschutz alapú ISO 27001 tanúsítvány a vizsgált információs rendszerkörnyezetre és az ahhoz tartozó ISMS-re vonatkozik. A BSI tanúsítási sémája írja le a vizsgálat tárgyát; ebből nem következik minden felhasznált termék általános tanúsítása.
Követhetően dolgozzon a Grundschutzon.
Beszéljük meg, hogyan szervezheti meg Grundschutz-projektjét a Secaniban.
Ez az oldal a BSI módszertanát mutatja be. A BSI kiadványai és az adott projekthez érvényes vizsgálati alap az irányadó.