IT-Grundschutz.
Susipažinkite su BSI Grundschutz: standartais, sąvadu ir keliu nuo informacinės aplinkos iki įvertintos ISMS.
- BSI standartai 200-1–200-4
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
IT-Grundschutz yra BSI metodika informacijos saugumo vadybos sistemai kurti ir naudoti. BSI standartas 200-2 aprašo procesą, o IT-Grundschutz sąvadas pateikia saugumo reikalavimus tipinėms taikymo sritims. Įmonės ir institucijos apibrėžia savo informacinę aplinką, nustato apsaugos poreikį ir tikrina įgyvendinimą. Vienas galimų įrodymų – ISO 27001 sertifikavimas IT-Grundschutz pagrindu.
BSI standartai ir IT-Grundschutz sąvadas.
IT-Grundschutz sujungia saugumo procesą ir pasikartojančių saugumo reikalavimų katalogą. Informacijos saugumo vadybos sistema, trumpai ISMS, nustato, kaip organizacija saugo informaciją, priima sprendimus ir tikrina priemonių veiksmingumą. BSI standartas 200-1 aprašo šią vadybos sistemą; BSI standartas 200-2 detalizuoja Grundschutz metodiką.
IT-Grundschutz sąvadas suskirsto saugumo reikalavimus į modulius, skirtus skirtingoms temoms ir tiksliniams objektams. Jie apima saugumo valdymą, personalą, taikomąsias programas, IT sistemas, tinklus ir infrastruktūrą. Kurdamas modulius BSI atsižvelgė į tipinę riziką esant įprastam apsaugos poreikiui. Papildomose įgyvendinimo gairėse aiškinamos galimos priemonės, tačiau tai atskira pagalbinė priemonė.
Standartai papildo vienas kitą atlikdami skirtingas užduotis. BSI standartas 200-3 aprašo papildomą rizikos analizę; BSI standartas 200-4 skirtas veiklos tęstinumo valdymui, tai yra pasirengimui sutrikimams ir svarbių verslo procesų tęstinumui. Todėl vien katalogas nepakeičia nei saugumo organizavimo, nei sprendimų dėl savo apsaugos poreikio.
Šio tyrimo metu peržiūrėtoje BSI apžvalgoje nurodytas 2023 m. IT-Grundschutz sąvado leidimas. Konkrečiam projektui užfiksuokite naudojamą leidimą, atitinkamus klaidų ištaisymus ir galiojantį vertinimo pagrindą. Vėlesni katalogo versijos pakeitimai saugumo koncepcijoje turi likti atsekami.
Kam tinka BSI Grundschutz.
IT-Grundschutz skirtas įmonėms, institucijoms ir kitoms organizacijoms, norinčioms sistemingai organizuoti informacijos saugumą. BSI standarto 200-1 1.3 skyriuje atsižvelgiama ir į mažesnes institucijas. Ar konkrečiu atveju jo taikymas privalomas, priklauso nuo atitinkamų teisinių, institucinių ar sutartinių reikalavimų; pati metodika nėra visoms įmonėms taikomas įstatymas.
Bazinė apsauga leidžia pradėti plačiai taikant pagrindinius reikalavimus. Pagrindinių veiklų apsauga sutelkta į ypač svarbius verslo procesus ir jiems reikalingus išteklius. Standartinė apsauga apima visą metodinį kelią apibrėžtai informacinei aplinkai. Šie trys būdai aprašyti BSI standarto 200-2 3.3 ir 6–8 skyriuose.
Sprendimas priklauso nuo tikslo ir įgyvendinamos taikymo srities. Net jei iš pradžių apsaugomos tik ypač kritinės paslaugos, reikia aiškių sąsajų su pagalbinėmis paslaugomis. Siekiant sertifikavimo, numatomą vertinimo objektą reikėtų iš anksto suderinti su audito komanda; pagal BSI standarto 200-2 11 skyrių vien bazinės apsaugos tam nepakanka.
Esminiai IT-Grundschutz reikalavimai.
IT-Grundschutz reikalauja atsekamos saugumo koncepcijos ir nuolatinio saugumo proceso. Toliau metodika aprašoma bendrai; konkretūs taikomi reikalavimai nustatomi tik apibrėžus informacinę aplinką ir pasirinkus įgyvendinimo būdą.
Atsakomybė ir saugumo organizavimas.
Vadovybė nustato saugumo tikslus, prisiima bendrą atsakomybę ir skiria išteklius. Atsakomybės bei komunikacijos kanalai turi atitikti organizaciją. BSI standarto 200-1 4 ir 7 skyriuose aptariami valdymo principai ir saugumo procesas; vien technologijų įsigijimas dar nesukuria ISMS.
Informacinė aplinka ir struktūros analizė.
Struktūros analizėje užfiksuojami taikymo srities verslo procesai, informacija ir tiksliniai objektai bei jų priklausomybės. BSI standarto 200-2 8.1 skyriuje, be kita ko, aptariamos taikomosios programos, tinklai, IT sistemos ir patalpos. Aprašymas turi paaiškinti, kokie ištekliai iš tikrųjų leidžia teikti nagrinėjamas paslaugas.
Pagrįstai nustatykite apsaugos poreikį.
Nustatant apsaugos poreikį vertinama galima žala konfidencialumui, vientisumui ir prieinamumui. BSI standarto 200-2 8.2 skyriuje aprašomos įprasto, aukšto ir labai aukšto poreikio kategorijos bei jų perkėlimas priklausomiems tiksliniams objektams. Klasifikavimui reikia pagrįstų veiklos padalinių prielaidų, o ne vien techninių rodiklių pasirinkimo.
Modeliuokite tinkamus modulius.
Modeliuojant pasirenkami tinkami IT-Grundschutz sąvado moduliai ir priskiriami nagrinėjamiems tiksliniams objektams. BSI standarto 200-2 8.3 skyriuje aiškinamas pasirinkimas ir pritaikymas. Lemiamą reikšmę turi informacinės aplinkos aprėptis: ilgas modulių sąrašas be pagrįsto ryšio su tikrąja struktūra nėra patikima saugumo koncepcija.
Tikrinkite ir tobulinkite įgyvendinimą.
IT-Grundschutz patikra tiria tikrąjį įgyvendinimo lygį pagal atitinkamus reikalavimus. BSI standarto 200-2 8.4 skyriuje aprašomas pasirengimas, reikalaujamos ir esamos būklės palyginimas bei dokumentavimas. Pokalbiai ir patikrinami dokumentai padeda pagrįsti teiginius; nuolatinė saugumo proceso kontrolė ir gerinimas aptariami BSI standarto 200-1 7 skyriuje.
Valdykite papildomą riziką.
Papildoma rizikos analizė ypač reikalinga esant aukštam ar labai aukštam apsaugos poreikiui, nesant tinkamų modulių arba esant ypatingiems naudojimo scenarijams. Šie atvejai aptariami BSI standarto 200-3 1.2 ir 1.3 skyriuose. Grėsmių apžvalga, rizikos klasifikavimas ir tvarkymas leidžia priimti pagrįstus sprendimus ir prireikus nustatyti papildomas priemones.
Procesas pagal BSI standartą 200-2.
Nustatykite užduotį ir veikimo būdą.
Su vadovybe suderinkite saugumo tikslus, atsakingus asmenis ir išteklius bei pasirinkite bazinę, pagrindinių veiklų arba standartinę apsaugą pagal BSI standarto 200-2 3.3 skyrių.
Aprašykite informacinę aplinką.
Apibrėžkite taikymo sritį ir struktūros analizėje dokumentuokite verslo procesus, informaciją, tikslinius objektus ir priklausomybes pagal BSI standarto 200-2 8.1 skyrių.
Pagrįskite apsaugos poreikį.
Su atitinkamų sričių atsakingais asmenimis nustatykite galimą žalą ir perkelkite apsaugos poreikį pagalbiniams ištekliams pagal BSI standarto 200-2 8.2 skyrių.
Modeliuokite ir tikrinkite įgyvendinimą.
Pasirinkite tinkamus modulius ir patikrinkite jų įgyvendinimo lygį atlikdami IT-Grundschutz patikrą pagal BSI standarto 200-2 8.3 ir 8.4 skyrius.
Priimkite sprendimus dėl rizikos ir priemonių.
Prireikus papildykite rizikos analize pagal BSI standartą 200-3 ir nustatykite priemones, jų prioritetus, atsakomybes bei įgyvendinimo terminus.
Stebėkite veiksmingumą ir pokyčius.
Reguliariai ir po reikšmingų pakeitimų tikrinkite priemones bei saugumo koncepciją, kad saugumo procesas pagal BSI standarto 200-1 7 skyrių išliktų veiksmingas.
Grundschutz sertifikavimas ir patikrinami įrodymai.
Formalus įrodymas vadinamas ISO 27001 sertifikatu IT-Grundschutz pagrindu. BSI sertifikuotas auditorius tiria apibrėžtą informacinę aplinką; BSI sertifikavimo įstaiga įvertina audito ataskaitą ir priima sprendimą dėl sertifikato. BSI standarto 200-2 11 skyriuje šis kelias numatytas standartinei apsaugai ir iš esmės taip pat pagrindinių veiklų apsaugai.
Pagrindiniai dokumentai rodo kelią nuo saugumo tikslų iki įgyvendinimo. BSI auditavimo schemos 2.3 skyriuje nurodoma politika ir taisyklės, struktūros analizė, apsaugos poreikio nustatymas, modeliavimas, Grundschutz patikra, rizikos analizė ir įgyvendinimo planas. Todėl auditas tikrina daugiau nei dokumentų buvimą: aprašytos priemonės turi būti atsekamai įgyvendintos tiriamoje aplinkoje.
Tyrimo metu patikrintos BSI sertifikavimo schemos 2.8.1 skyriuje numatytas trejų metų galiojimas ir kasmetiniai priežiūros auditai. 2.8.3 skyriuje aptariamas pakartotinis sertifikavimas. Būtina atsižvelgti į reikšmingus sertifikuotos informacinės aplinkos pakeitimus; vykstantis atnaujinimo procesas automatiškai nepratęsia pasibaigusio sertifikato.
Skaitykite tinklaraštyje.
- Praktiškas Grundschutz taikymasSuplanuokite valdomos apimties pradžią su aiškia struktūra ir atsekamomis atsakomybėmis.
- Apsaugos poreikio susiejimasSujunkite apsaugos poreikį ir rizikos vertinimą į nuoseklų darbo modelį.
- IT-Grundschutz++ ir OSCALSkaitykite su konkrečiu laikotarpiu susijusią Grundschutz plėtros į mašininio skaitymo formatą apžvalgą.
Ryšys su kitomis sistemomis.
ISO 27001 aprašo ISMS reikalavimus; IT-Grundschutz tokią vadybos sistemą susieja su BSI metodika ir sąvadu. NIS2 nustato teisines pareigas tam tikriems subjektams, kurių vykdymo negalima nustatyti vien iš Grundschutz sertifikato. Veiklos tęstinumo valdymui BSI standartas 200-4 pateikia metodiką; ISO 22301 aprašo atitinkamos vadybos sistemos reikalavimus.
„Secani“ sistemoje.
„Secani“ suteikia darbo sritis struktūros analizei, apsaugos poreikio nustatymui, modeliavimui ir Grundschutz patikrai. Darbą papildo rizikos ir įgyvendinimo planas. Taip galima dokumentuoti pagrįstus Grundschutz projekto sprendimus ir jų įgyvendinimo būklę; vertinimas ir sprendimas dėl sertifikavimo lieka audito komandai ir kompetentingai įstaigai.
Pradėkite nuo apibrėžtos informacinės aplinkos.
Pirmasis žingsnis – bendras taikymo srities supratimas. Įvardykite nagrinėjamus verslo procesus ir už juos atsakingus asmenis, užfiksuokite pagalbinius išteklius ir nuspręskite, koks įgyvendinimo būdas atitinka jūsų tikslą. BSI standarto 200-2 3 ir 8.1 skyriai tam suteikia metodinį pagrindą.
Šaltiniai.
- ISO 22301:2019: veiklos tęstinumo vadybos sistemos
- BSI standartas 200-1: informacijos saugumo vadybos sistemos
- BSI standartas 200-2: IT-Grundschutz metodika
- BSI standartas 200-3: rizikos analizė IT-Grundschutz pagrindu
- BSI standartas 200-4: veiklos tęstinumo valdymas
- BSI: IT-Grundschutz sąvadas
- BSI: ISO 27001 sertifikavimo IT-Grundschutz pagrindu schema
- BSI: ISO 27001 auditų IT-Grundschutz pagrindu schema
Dažniausi klausimai.
Ne. Pagal BSI standartą 200-2 informacinė aplinka gali apimti ir apibrėžtą organizacijos dalį. Vis tiek reikia atsižvelgti į jos verslo procesams svarbias priklausomybes ir sąsajas.
Ne. Modeliuojant pasirenkami informacinei aplinkai tinkami moduliai. BSI standarto 200-2 8.3 skyriuje aprašomas pasirinkimas ir pagrįstas pritaikymas.
Vien tai, kad ją valdo išorės teikėjas, nėra pagrindas jos neįtraukti. BSI standarto 200-2 8.3.5 ir 8.3.7 skyriuose modeliuojant atsižvelgiama į debesijos sistemas ir išorės paslaugų teikėjus. Atsakomybės ir sąsajos yra saugumo koncepcijos dalis.
Ne. ISO 27001 sertifikatas IT-Grundschutz pagrindu taikomas įvertintai informacinei aplinkai ir susijusiai ISMS. BSI sertifikavimo schema apibrėžia vertinimo objektą; tai nereiškia bendro visų naudojamų produktų sertifikavimo.
Atsekamai įgyvendinkite Grundschutz.
Aptarkite su mumis, kaip struktūruoti Grundschutz projektą „Secani“ sistemoje.
Šiame puslapyje paaiškinama BSI metodika. Lemiamą reikšmę turi BSI publikacijos ir konkrečiam projektui galiojantis vertinimo pagrindas.