IT-Grundschutz.
Izprotiet BSI Grundschutz: standarti, kompendijs un ceļš no informācijas sistēmu kopuma līdz pārbaudītai ISMS.
- BSI standarti 200-1 līdz 200-4
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
IT-Grundschutz ir BSI metodika informācijas drošības pārvaldības sistēmas izveidei un darbībai. BSI standarts 200-2 apraksta pieeju, savukārt IT-Grundschutz kompendijs satur drošības prasības tipiskām lietošanas jomām. Uzņēmumi un iestādes norobežo informācijas sistēmu kopumu, nosaka aizsardzības vajadzības un pārbauda ieviešanu. Viens no iespējamiem apliecinājumiem ir ISO 27001 sertifikācija uz IT-Grundschutz pamata.
BSI standarti un IT-Grundschutz kompendijs.
IT-Grundschutz savieno drošības procesu ar atkārtoti izmantojamu drošības prasību katalogu. Informācijas drošības pārvaldības sistēma jeb ISMS nosaka, kā organizācija aizsargā informāciju, pieņem lēmumus un pārbauda savu pasākumu efektivitāti. BSI standarts 200-1 apraksta šo pārvaldības sistēmu; BSI standarts 200-2 konkretizē Grundschutz metodiku.
IT-Grundschutz kompendijs sakārto drošības prasības moduļos dažādām tēmām un mērķobjektiem. Tie ietver drošības pārvaldību, personālu, lietotnes, IT sistēmas, tīklus un infrastruktūru. Izstrādājot moduļus, BSI ir ņēmis vērā tipiskos riskus normālu aizsardzības vajadzību gadījumā. Papildu ieviešanas norādījumi skaidro iespējamos pasākumus, taču ir atsevišķs palīglīdzeklis.
Standarti papildina cits citu ar atšķirīgiem uzdevumiem. BSI standarts 200-3 apraksta papildu risku analīzi; BSI standarts 200-4 aplūko darbības nepārtrauktības pārvaldību, proti, sagatavošanos pārtraukumiem un svarīgu darbības procesu turpināšanu. Tādējādi katalogs vien neaizstāj ne drošības organizēšanu, ne lēmumus par pašu aizsardzības vajadzībām.
Šīs izpētes laikā skatītajā BSI pārskatā norādīts IT-Grundschutz kompendija 2023. gada izdevums. Konkrētam projektam jāfiksē izmantotais izdevums, attiecīgie labojumi un spēkā esošais pārbaudes pamats. Vēlākām kataloga versijas izmaiņām drošības koncepcijā jābūt izsekojamām.
Kam piemērots BSI Grundschutz.
IT-Grundschutz paredzēts uzņēmumiem, iestādēm un citām organizācijām, kas vēlas sistemātiski organizēt informācijas drošību. BSI standarta 200-1 1.3. nodaļā ņemtas vērā arī mazākas institūcijas. To, vai piemērošana konkrētajā gadījumā ir obligāta, nosaka attiecīgās tiesību aktu, iestāžu vai līgumu prasības; pati metodika nav vispārēji piemērojams uzņēmumu darbības likums.
Pamata aizsardzība nodrošina plašu sākumpunktu ar pamatprasībām. Kodola aizsardzība koncentrējas uz īpaši svarīgiem darbības procesiem un tiem vajadzīgajiem resursiem. Standarta aizsardzība ietver pilnu metodisko ceļu noteiktajam informācijas sistēmu kopumam. BSI standarta 200-2 3.3. nodaļā un 6.–8. nodaļā aprakstītas šīs trīs pieejas.
Izvēle atkarīga no mērķa un pārvaldāmas darbības jomas. Arī sākotnēji aizsargājot īpaši kritiskus pakalpojumus, nepieciešamas skaidras saskarnes ar atbalsta pakalpojumiem. Ja mērķis ir sertifikācija, paredzētais izpētes objekts savlaicīgi jāsaskaņo ar audita komandu; saskaņā ar BSI standarta 200-2 11. nodaļu pamata aizsardzība vien tam nav pietiekama.
IT-Grundschutz pamatprasības.
IT-Grundschutz pieprasa izsekojamu drošības koncepciju un nepārtrauktu drošības procesu. Tālāk minētās jomas apraksta metodiku vispārīgā līmenī; konkrētās prasības izriet no norobežotā informācijas sistēmu kopuma un izvēlētās pieejas.
Atbildība un drošības organizēšana.
Vadība nosaka drošības mērķus, uzņemas kopējo atbildību un nodrošina resursus. Atbildības sadalījumam un saziņas ceļiem jāatbilst organizācijai. BSI standarta 200-1 4. un 7. nodaļā aplūkoti pārvaldības principi un drošības process; tehnoloģiju iegāde vien vēl neveido ISMS.
Informācijas sistēmu kopums un struktūras analīze.
Struktūras analīzē apzina darbības jomas procesus, informāciju un mērķobjektus ar to atkarībām. BSI standarta 200-2 8.1. nodaļā cita starpā aplūkotas lietotnes, tīkli, IT sistēmas un telpas. Aprakstam jāskaidro, kuri resursi faktiski nodrošina izvērtētos pakalpojumus.
Pamatoti noteikt aizsardzības vajadzības.
Aizsardzības vajadzību noteikšanā vērtē iespējamo kaitējumu konfidencialitātei, integritātei un pieejamībai. BSI standarta 200-2 8.2. nodaļā šim nolūkam aprakstītas kategorijas — normāls, augsts un ļoti augsts līmenis — un to attiecināšana uz atkarīgajiem mērķobjektiem. Klasifikācijai nepieciešami pamatoti pieņēmumi no atbildīgajām struktūrvienībām, nevis tikai tehnisku rādītāju atlase.
Modelēt piemērotos moduļus.
Modelēšanā izvēlas piemērotus IT-Grundschutz kompendija moduļus un piešķir tos izvērtētajiem mērķobjektiem. BSI standarta 200-2 8.3. nodaļā skaidrota atlase un pielāgošana. Izšķirošs ir informācijas sistēmu kopuma aptvērums: gara moduļu uzskaite bez pamatotas saiknes ar reālo struktūru nav uzticama drošības koncepcija.
Pārbaudīt un pilnveidot ieviešanu.
IT-Grundschutz pārbaudē pēta faktisko ieviešanas stāvokli atbilstoši būtiskajām prasībām. BSI standarta 200-2 8.4. nodaļā aprakstīta sagatavošana, vēlamā un faktiskā stāvokļa salīdzināšana un dokumentēšana. Intervijas un pārbaudāmi dokumenti palīdz pamatot apgalvojumus; nepārtraukta drošības procesa kontrole un pilnveide aplūkota BSI standarta 200-1 7. nodaļā.
Apstrādāt papildu riskus.
Papildu risku analīze nepieciešama jo īpaši augstu vai ļoti augstu aizsardzības vajadzību, piemērotu moduļu trūkuma vai īpašu lietošanas scenāriju gadījumā. BSI standarta 200-3 1.2. un 1.3. nodaļā skaidroti šie gadījumi. Apdraudējumu pārskats, risku klasifikācija un apstrāde ļauj pieņemt pamatotus lēmumus un vajadzības gadījumā noteikt papildu pasākumus.
Pieeja saskaņā ar BSI standartu 200-2.
Noteikt uzdevumu un pieeju.
Vienojieties ar vadību par drošības mērķiem, atbildīgajiem un resursiem un izvēlieties pamata, kodola vai standarta aizsardzību saskaņā ar BSI standarta 200-2 3.3. nodaļu.
Apzināt informācijas sistēmu kopumu.
Norobežojiet darbības jomu un dokumentējiet procesus, informāciju, mērķobjektus un atkarības struktūras analīzē saskaņā ar BSI standarta 200-2 8.1. nodaļu.
Pamatot aizsardzības vajadzības.
Kopā ar atbildīgajiem speciālistiem nosakiet iespējamo kaitējumu un attieciniet aizsardzības vajadzības uz atbalsta resursiem saskaņā ar BSI standarta 200-2 8.2. nodaļu.
Modelēt un pārbaudīt ieviešanu.
Izvēlieties piemērotos moduļus un pārbaudiet to ieviešanas stāvokli ar IT-Grundschutz pārbaudi saskaņā ar BSI standarta 200-2 8.3. un 8.4. nodaļu.
Pieņemt lēmumus par riskiem un pasākumiem.
Papildiniet ar nepieciešamajām risku analīzēm saskaņā ar BSI standartu 200-3 un nosakiet pasākumus ar prioritātēm, atbildību un ieviešanas termiņiem.
Sekot efektivitātei un izmaiņām.
Regulāri un pēc būtiskām izmaiņām pārskatiet pasākumus un drošības koncepciju, lai drošības process saskaņā ar BSI standarta 200-1 7. nodaļu paliktu efektīvs.
Grundschutz sertifikācija un pārbaudāmi pierādījumi.
Formālais apliecinājums ir ISO 27001 sertifikāts uz IT-Grundschutz pamata. BSI sertificēts auditors pārbauda noteikto informācijas sistēmu kopumu; BSI sertifikācijas iestāde novērtē audita ziņojumu un lemj par sertifikātu. BSI standarta 200-2 11. nodaļa paredz šo ceļu standarta aizsardzībai un principā arī kodola aizsardzībai.
Atsauces dokumenti parāda ceļu no drošības mērķiem līdz ieviešanai. BSI auditēšanas shēmas 2.3. nodaļā nosaukta drošības politika un vadlīnijas, struktūras analīze, aizsardzības vajadzību noteikšana, modelēšana, Grundschutz pārbaude, risku analīze un īstenošanas plāns. Tādēļ auditā pārbauda vairāk nekā tikai dokumentu esamību: aprakstītajiem pasākumiem pārbaudītajā kopumā jābūt izsekojami ieviestiem.
Izpētes laikā pārbaudītās BSI sertifikācijas shēmas 2.8.1. nodaļa paredz trīs gadu derīguma termiņu ar ikgadējiem uzraudzības auditiem. 2.8.3. nodaļā aplūkota atkārtota sertifikācija. Jāņem vērā būtiskas izmaiņas sertificētajā informācijas sistēmu kopumā; notiekoša atjaunošanas procedūra automātiski nepagarina sertifikātu, kura derīguma termiņš beidzies.
Lasiet vairāk emuārā.
- Praktiska pieeja GrundschutzPlānojiet pārskatāmu sākumu ar skaidru struktūru un izsekojamu atbildību.
- Aizsardzības vajadzību sasaistīšanaApvienojiet aizsardzības vajadzības un risku novērtējumu vienotā darba modelī.
- IT-Grundschutz++ un OSCALLasiet ar konkrēto laiku saistīto skaidrojumu par Grundschutz attīstību mašīnlasāmā formātā.
Citu ietvaru konteksts.
ISO 27001 apraksta ISMS prasības; IT-Grundschutz sasaista šādu pārvaldības sistēmu ar BSI metodiku un kompendiju. NIS2 attiecas uz noteiktu struktūru likumā noteiktajiem pienākumiem, kuru izpildi nevar secināt tikai no Grundschutz sertifikāta. BSI standarts 200-4 piedāvā darbības nepārtrauktības pārvaldības metodiku; ISO 22301 aplūko prasības attiecīgai pārvaldības sistēmai.
Secani vidē.
Secani nodrošina darba vietas struktūras analīzei, aizsardzības vajadzību noteikšanai, modelēšanai un Grundschutz pārbaudei. Darbu papildina riski un īstenošanas plāns. Tas ļauj dokumentēt speciālistu lēmumus un to ieviešanas stāvokli Grundschutz projektā; pārbaude un sertifikācijas lēmums paliek audita komandas un atbildīgās iestādes ziņā.
Sāciet ar norobežotu informācijas sistēmu kopumu.
Pirmais solis ir kopīga izpratne par darbības jomu. Nosauciet izvērtētos darbības procesus un to atbildīgos, apziniet atbalsta resursus un izlemiet, kura pieeja atbilst jūsu mērķim. BSI standarta 200-2 3. un 8.1. nodaļa nodrošina metodisko sākumpunktu.
Avoti.
- ISO 22301:2019: darbības nepārtrauktības pārvaldības sistēmas
- BSI standarts 200-1: informācijas drošības pārvaldības sistēmas
- BSI standarts 200-2: IT-Grundschutz metodika
- BSI standarts 200-3: risku analīze uz IT-Grundschutz pamata
- BSI standarts 200-4: darbības nepārtrauktības pārvaldība
- BSI: IT-Grundschutz kompendijs
- BSI: ISO 27001 sertifikācijas shēma uz IT-Grundschutz pamata
- BSI: ISO 27001 auditu shēma uz IT-Grundschutz pamata
Biežākie jautājumi.
Nē. Saskaņā ar BSI standartu 200-2 informācijas sistēmu kopums var aptvert arī norobežotu organizācijas daļu. Tomēr jāņem vērā šīs daļas darbības procesiem būtiskās atkarības un saskarnes.
Nē. Modelēšanā izvēlas informācijas sistēmu kopumam piemērotos moduļus. BSI standarta 200-2 8.3. nodaļā aprakstīta atlase un pamatota pielāgošana.
Ne tikai tāpēc, ka to darbina ārējs pakalpojumu sniedzējs. BSI standarta 200-2 8.3.5. un 8.3.7. nodaļā modelēšanā ņemtas vērā mākoņsistēmas un ārējie pakalpojumu sniedzēji. Atbildība un saskarnes ir drošības koncepcijas daļa.
Nē. ISO 27001 sertifikāts uz IT-Grundschutz pamata attiecas uz pārbaudīto informācijas sistēmu kopumu un saistīto ISMS. BSI sertifikācijas shēma apraksta pārbaudes objektu; no tās neizriet vispārēja visu izmantoto produktu sertifikācija.
Pārvaldiet Grundschutz izsekojamā veidā.
Pārrunājiet ar mums, kā strukturēt savu Grundschutz projektu Secani vidē.
Šī lapa skaidro BSI metodiku. Noteicošas ir BSI publikācijas un attiecīgajam projektam spēkā esošais pārbaudes pamats.