IT-Grundschutz praksē

Kāpēc sākumpunkts nosaka auditējamību

Daudzi IT-Grundschutz projekti sākas ar garu prasību sarakstu. Tas izskatās rūpīgi, taču ātri noved pie izkaisītām izklājlapām, nekonsekventas atbildības un pierādījumiem, kas jāsavāc tieši pirms audita.

Labāks sākumpunkts ir skaidri noteikts tvērums. Kuras organizatoriskās vienības, procesi, lietotnes, IT sistēmas, tīkli un pakalpojumu sniedzēji patiešām ietilpst drošības koncepcijā? Šis lēmums nosaka, kuri moduļi ir būtiski un kuriem pierādījumiem vēlāk būs jāiztur audits.

• Rakstiski definējiet tvērumu un nosauciet atbildīgos īpašniekus
• Reģistrējiet mērķa aktīvus ar nepārprotamiem nosaukumiem, kategorijām un īpašniekiem
• Padariet redzamas sakarības starp procesiem, datiem, lietotnēm un infrastruktūru

Modelēšana ir darba modelis, nevis veidlapa

Modelēšana sasaista reālus mērķa aktīvus ar piemērotiem IT-Grundschutz moduļiem. Tās vērtību nosaka nevis pati piesaiste, bet gan tas, vai informācijas jomas struktūra ir attēlota saskaņoti.

Ja kritisks process ir atkarīgs no lietotnes, tīkla segmenta un ārēja pakalpojumu sniedzēja, šai atkarībai jābūt redzamai drošības koncepcijā. Tikai tad aizsardzības vajadzības, ieviešanas statusu un atlikušos riskus var pārliecinoši izskaidrot.

• Pamatojiet katra moduļa piesaisti tā mērķa aktīvam
• Dokumentējiet atkarības, pirms novērtējat drošības pasākumus
• Laikus atzīmējiet izņēmumus un īpašos gadījumus kā atklātus jautājumus

Saprātīgs minimālais tvērums pirmajai kārtai

Pirmajai pamatojamajai kārtai skaidrs un kompakts tvērums bieži ir noderīgāks par plašu, bet neskaidru. Sāciet ar reprezentatīvu informācijas jomu, kuras procesi, lietotnes un infrastruktūra ir labi izprasti.

Pēc tam metodi var atkārtot: pievienot mērķa aktīvus, paplašināt moduļu piesaisti, pārnest aizsardzības vajadzības, noteikt prioritātes atklātajiem drošības pasākumiem un grupēt pierādījumus pēc atbildības.

• Veidojiet pirmo drošības koncepciju ar skaidru dziļumu, nevis maksimālu plašumu
• Nosakiet atklāto drošības pasākumu prioritātes pēc riska, nozīmes auditā un īstenojamības
• Sasaistiet pierādījumus tur, kur tiek novērtēta attiecīgā prasība