IT-Grundschutz in de praktijk

Waarom het vertrekpunt de auditbaarheid bepaalt

Veel IT-Grundschutz-projecten beginnen met een lange lijst eisen. Dat oogt grondig, maar leidt al snel tot verspreide spreadsheets, inconsistent eigenaarschap en bewijs dat vlak voor een audit nog moet worden verzameld.

Een beter vertrekpunt is een heldere reikwijdte. Welke organisatieonderdelen, processen, applicaties, IT-systemen, netwerken en dienstverleners horen werkelijk in het beveiligingsconcept thuis? Dat besluit bepaalt welke modules relevant zijn en welk bewijs later een audit moet doorstaan.

• Leg de reikwijdte schriftelijk vast en benoem verantwoordelijke eigenaren
• Registreer doelobjecten met eenduidige namen, categorieën en eigenaren
• Maak de relaties tussen processen, gegevens, applicaties en infrastructuur zichtbaar

Modellering is een werkmodel, geen formulier

Modellering verbindt echte doelobjecten met passende IT-Grundschutz-modules. De waarde ervan zit niet in de toewijzing alleen, maar in de vraag of de structuur van het informatiedomein samenhangend wordt weergegeven.

Hangt een kritiek proces af van een applicatie, een netwerksegment en een externe aanbieder, dan moet die afhankelijkheid in het beveiligingsconcept zichtbaar zijn. Alleen dan kunnen beschermingsbehoefte, implementatiestatus en restrisico's overtuigend worden uitgelegd.

• Licht elke moduletoewijzing toe voor het betreffende doelobject
• Documenteer afhankelijkheden voordat u maatregelen beoordeelt
• Markeer uitzonderingen en bijzondere gevallen vroegtijdig als openstaande punten

Een zinvolle minimale reikwijdte voor de eerste ronde

Voor een eerste verdedigbare ronde is een duidelijke en compacte reikwijdte vaak nuttiger dan een brede maar vage. Begin met een representatief informatiedomein waarvan de processen, applicaties en infrastructuur goed worden begrepen.

Daarna kan de methode worden herhaald: doelobjecten toevoegen, moduletoewijzingen uitbreiden, beschermingsbehoeften doorvertalen, openstaande maatregelen prioriteren en bewijs groeperen naar eigenaarschap.

• Bouw het eerste beveiligingsconcept op met duidelijke diepgang in plaats van maximale breedte
• Prioriteer openstaande maatregelen naar risico, auditrelevantie en haalbaarheid
• Koppel bewijs op de plek waar de bijbehorende eis wordt beoordeeld