IT-Grundschutz praktiškai

Kodėl atspirties taškas lemia audituojamumą

Daugelis IT-Grundschutz projektų prasideda ilgu reikalavimų sąrašu. Tai atrodo kruopštu, tačiau greitai atsiranda išsibarsčiusių skaičiuoklių, nenuoseklios atsakomybės ir įrodymų, kuriuos tenka rinkti prieš pat auditą.

Geresnis atspirties taškas – aiški taikymo sritis. Kurie organizaciniai padaliniai, procesai, programos, IT sistemos, tinklai ir paslaugų teikėjai iš tikrųjų priklauso saugumo koncepcijai? Šis sprendimas lemia, kurie moduliai yra aktualūs ir kurie įrodymai vėliau turės atlaikyti auditą.

• Taikymo sritį apibrėžkite raštu ir įvardykite atsakingus savininkus
• Tikslinius objektus užfiksuokite su vienareikšmiais pavadinimais, kategorijomis ir savininkais
• Padarykite matomus ryšius tarp procesų, duomenų, programų ir infrastruktūros

Modeliavimas yra darbo modelis, o ne forma

Modeliavimas susieja realius tikslinius objektus su tinkamais IT-Grundschutz moduliais. Jo vertė kyla ne vien iš priskyrimo, o iš to, ar informacinės srities struktūra atvaizduota nuosekliai.

Jei ypatingos svarbos procesas priklauso nuo programos, tinklo segmento ir išorinio paslaugų teikėjo, ši priklausomybė turi būti matoma saugumo koncepcijoje. Tik tada galima įtikinamai paaiškinti apsaugos poreikius, įgyvendinimo būseną ir likutines rizikas.

• Paaiškinkite kiekvieno modulio priskyrimą jo tiksliniam objektui
• Prieš vertindami apsaugos priemones, dokumentuokite priklausomybes
• Išimtis ir ypatingus atvejus anksti pažymėkite kaip atvirus klausimus

Protinga minimali taikymo sritis pirmajam etapui

Pirmajam pagrįstam etapui aiški ir kompaktiška taikymo sritis dažnai naudingesnė nei plati, bet miglota. Pradėkite nuo reprezentatyvios informacinės srities, kurios procesai, programos ir infrastruktūra gerai suprantami.

Tada metodą galima kartoti: pridėti tikslinių objektų, išplėsti modulių priskyrimus, perduoti apsaugos poreikius, nustatyti atvirų apsaugos priemonių prioritetus ir grupuoti įrodymus pagal atsakomybę.

• Pirmąją saugumo koncepciją kurkite aiškaus gylio, o ne maksimalaus pločio
• Atvirų apsaugos priemonių prioritetus nustatykite pagal riziką, svarbą auditui ir įgyvendinamumą
• Įrodymus susiekite ten, kur vertinamas atitinkamas reikalavimas