IT-Grundschutz.
BSI Grundschutz w praktyce: standardy, kompendium i droga od obszaru informacyjnego do zweryfikowanego SZBI.
- Standardy BSI 200-1 do 200-4
- Autor: Jonathan Bezdek
- Stan na: 22.10.2026
- Czas czytania: 7 min
Krótka odpowiedź.
IT-Grundschutz to metodyka BSI służąca budowie i prowadzeniu systemu zarządzania bezpieczeństwem informacji. Standard BSI 200-2 opisuje postępowanie, a kompendium IT-Grundschutz zawiera wymagania bezpieczeństwa dla typowych zastosowań. Przedsiębiorstwa i urzędy wyznaczają obszar informacyjny, określają potrzeby ochrony i weryfikują wdrożenie. Jednym z możliwych potwierdzeń jest certyfikacja ISO 27001 na podstawie IT-Grundschutz.
Standardy BSI i kompendium IT-Grundschutz.
IT-Grundschutz łączy proces bezpieczeństwa z katalogiem powtarzalnych wymagań. System zarządzania bezpieczeństwem informacji, w skrócie SZBI, określa, jak organizacja chroni informacje, podejmuje decyzje i weryfikuje skuteczność środków. Standard BSI 200-1 opisuje ten system zarządzania; standard BSI 200-2 uszczegóławia metodykę Grundschutz.
Kompendium IT-Grundschutz porządkuje wymagania bezpieczeństwa w moduły dla różnych tematów i obiektów. Obejmują one zarządzanie bezpieczeństwem, personel, aplikacje, systemy IT, sieci i infrastrukturę. Tworząc moduły, BSI uwzględniło typowe ryzyka przy normalnych potrzebach ochrony. Dodatkowe wskazówki wdrożeniowe objaśniają możliwe środki, ale stanowią osobne narzędzie pomocnicze.
Standardy wzajemnie się uzupełniają, pełniąc różne funkcje. Standard BSI 200-3 opisuje dodatkową analizę ryzyka; standard BSI 200-4 dotyczy zarządzania ciągłością działania, czyli przygotowania na przerwy i kontynuacji ważnych procesów biznesowych. Sam katalog nie zastępuje więc ani organizacji bezpieczeństwa, ani decyzji o własnych potrzebach ochrony.
Przegląd BSI sprawdzony podczas przygotowania materiału wskazuje kompendium IT-Grundschutz w wydaniu 2023. Dla konkretnego przedsięwzięcia należy zapisać stosowane wydanie, odpowiednie erraty i obowiązującą podstawę oceny. Późniejsza zmiana wersji katalogu musi pozostać możliwa do prześledzenia w koncepcji bezpieczeństwa.
Dla kogo odpowiedni jest BSI Grundschutz.
IT-Grundschutz jest przeznaczony dla przedsiębiorstw, urzędów i innych organizacji, które chcą systematycznie organizować bezpieczeństwo informacji. Standard BSI 200-1, rozdział 1.3, uwzględnia także mniejsze instytucje. To, czy stosowanie jest w danym przypadku obowiązkowe, wynika z właściwych przepisów, wymagań organów lub umów; sama metodyka nie jest powszechnie obowiązującą ustawą dla przedsiębiorstw.
Ochrona podstawowa (Basis-Absicherung) umożliwia szeroki początek z podstawowymi wymaganiami. Ochrona kluczowych obszarów (Kern-Absicherung) skupia się na szczególnie ważnych procesach biznesowych i potrzebnych zasobach. Ochrona standardowa (Standard-Absicherung) obejmuje pełne postępowanie metodyczne dla ustalonego obszaru informacyjnego. Standard BSI 200-2, rozdział 3.3 oraz rozdziały 6–8, opisuje te trzy podejścia.
Decyzja zależy od celu i zakresu, którym można się zająć. Zabezpieczanie w pierwszej kolejności szczególnie krytycznych usług nadal wymaga jasnego określenia interfejsów z usługami wspierającymi. Planując certyfikację, należy wcześnie uzgodnić przedmiot badania z zespołem audytowym; sama ochrona podstawowa nie wystarcza do tego zgodnie ze standardem BSI 200-2, rozdział 11.
Podstawowe wymagania IT-Grundschutz.
IT-Grundschutz wymaga przejrzystej koncepcji bezpieczeństwa i ciągłego procesu bezpieczeństwa. Poniższe obszary opisują metodykę ogólnie; konkretne wymagania wynikają dopiero z wyznaczonego obszaru informacyjnego i wybranego podejścia.
Odpowiedzialność i organizacja bezpieczeństwa.
Kierownictwo wyznacza cele bezpieczeństwa, ponosi ogólną odpowiedzialność i zapewnia zasoby. Kompetencje i kanały komunikacji muszą odpowiadać organizacji. Standard BSI 200-1, rozdziały 4 i 7, omawia zasady zarządzania i proces bezpieczeństwa; sam zakup technologii nie tworzy SZBI.
Obszar informacyjny i analiza struktury.
Analiza struktury obejmuje procesy biznesowe, informacje i obiekty w zakresie wraz z zależnościami. Standard BSI 200-2, rozdział 8.1, dotyczy między innymi aplikacji, sieci, systemów IT i pomieszczeń. Opis powinien wyjaśniać, jakie zasoby rzeczywiście umożliwiają świadczenie rozpatrywanych usług.
Uzasadnione określenie potrzeb ochrony.
Określenie potrzeb ochrony polega na ocenie możliwych szkód dotyczących poufności, integralności i dostępności. Standard BSI 200-2, rozdział 8.2, opisuje kategorie normalną, wysoką i bardzo wysoką oraz przenoszenie potrzeb na obiekty zależne. Klasyfikacja wymaga uzasadnionych założeń jednostek merytorycznych, a nie jedynie wyboru wskaźników technicznych.
Modelowanie odpowiednich modułów.
Modelowanie polega na wyborze właściwych modułów kompendium IT-Grundschutz i przypisaniu ich do rozpatrywanych obiektów. Standard BSI 200-2, rozdział 8.3, wyjaśnia wybór i dostosowanie. Decydujące jest objęcie obszaru informacyjnego: długa lista modułów bez uzasadnionego związku z rzeczywistą strukturą nie stanowi wiarygodnej koncepcji bezpieczeństwa.
Weryfikacja i rozwój wdrożenia.
IT-Grundschutz-Check bada rzeczywisty stan wdrożenia na podstawie odpowiednich wymagań. Standard BSI 200-2, rozdział 8.4, opisuje przygotowanie, porównanie stanu docelowego z rzeczywistym i dokumentację. Wywiady i weryfikowalne dokumenty pomagają potwierdzić deklaracje; ciągłą kontrolę i doskonalenie procesu bezpieczeństwa omawia standard BSI 200-1, rozdział 7.
Postępowanie z dodatkowymi ryzykami.
Uzupełniająca analiza ryzyka jest wymagana szczególnie przy wysokich lub bardzo wysokich potrzebach ochrony, braku odpowiednich modułów lub szczególnych scenariuszach zastosowania. Standard BSI 200-3, rozdziały 1.2 i 1.3, opisuje te przypadki. Przegląd zagrożeń, klasyfikacja ryzyka i postępowanie z nim prowadzą do uzasadnionych decyzji oraz ewentualnych dodatkowych środków.
Postępowanie zgodnie ze standardem BSI 200-2.
Ustalenie zadania i podejścia.
Należy uzgodnić z kierownictwem cele bezpieczeństwa, odpowiedzialność i zasoby oraz wybrać ochronę podstawową, kluczowych obszarów lub standardową zgodnie ze standardem BSI 200-2, rozdział 3.3.
Opis obszaru informacyjnego.
Należy wyznaczyć zakres i udokumentować procesy biznesowe, informacje, obiekty i zależności w analizie struktury zgodnie ze standardem BSI 200-2, rozdział 8.1.
Uzasadnienie potrzeb ochrony.
Należy określić możliwe szkody z osobami odpowiedzialnymi merytorycznie i przenieść potrzeby ochrony na zasoby wspierające zgodnie ze standardem BSI 200-2, rozdział 8.2.
Modelowanie i ocena wdrożenia.
Należy wybrać odpowiednie moduły i sprawdzić ich wdrożenie za pomocą IT-Grundschutz-Check zgodnie ze standardem BSI 200-2, rozdziały 8.3 i 8.4.
Decyzje dotyczące ryzyk i środków.
Należy uzupełnić niezbędne analizy ryzyka zgodnie ze standardem BSI 200-3 i określić środki wraz z priorytetami, odpowiedzialnością i terminami wdrożenia.
Monitorowanie skuteczności i zmian.
Należy regularnie oraz po istotnych zmianach przeglądać środki i koncepcję bezpieczeństwa, aby proces bezpieczeństwa zgodnie ze standardem BSI 200-1, rozdział 7, pozostał skuteczny.
Certyfikacja Grundschutz i weryfikowalne dowody.
Formalnym potwierdzeniem jest certyfikat ISO 27001 na podstawie IT-Grundschutz. Audytor certyfikowany przez BSI bada określony obszar informacyjny; jednostka certyfikująca BSI ocenia raport z audytu i decyduje o certyfikacie. Standard BSI 200-2, rozdział 11, przewiduje tę ścieżkę dla ochrony standardowej i co do zasady również ochrony kluczowych obszarów.
Dokumenty referencyjne pokazują drogę od celów bezpieczeństwa do wdrożenia. Schemat audytowania BSI, rozdział 2.3, wymienia politykę i wytyczne, analizę struktury, określenie potrzeb ochrony, modelowanie, Grundschutz-Check, analizę ryzyka i plan realizacji. Audyt sprawdza zatem więcej niż samo istnienie dokumentów: wdrożenie opisanych środków musi być możliwe do prześledzenia w badanym obszarze.
Schemat certyfikacji BSI sprawdzony podczas przygotowania materiału przewiduje w rozdziale 2.8.1 trzyletnią ważność z corocznymi audytami nadzoru. Rozdział 2.8.3 dotyczy ponownej certyfikacji. Należy uwzględniać istotne zmiany certyfikowanego obszaru informacyjnego; trwające postępowanie odnowienia nie przedłuża automatycznie wygasłego certyfikatu.
Czytaj dalej na blogu.
- Pragmatyczny GrundschutzPlanowanie przystępnego początku z jasną strukturą i przejrzystą odpowiedzialnością.
- Powiązanie potrzeb ochronyŁączenie potrzeb ochrony i oceny ryzyka w spójnym modelu pracy.
- IT-Grundschutz++ i OSCALOmówienie rozwoju Grundschutz w kierunku formatu czytelnego maszynowo, odnoszące się do określonego momentu.
Relacje z innymi ramami i standardami.
ISO 27001 opisuje wymagania SZBI; IT-Grundschutz łączy taki system zarządzania z metodyką BSI i kompendium. NIS2 dotyczy ustawowych obowiązków określonych podmiotów, których spełnienia nie można wywieść z samego certyfikatu Grundschutz. Standard BSI 200-4 oferuje metodykę zarządzania ciągłością działania; ISO 22301 dotyczy wymagań odpowiedniego systemu zarządzania.
W Secani.
Secani udostępnia obszary pracy do analizy struktury, określania potrzeb ochrony, modelowania i Grundschutz-Check. Prace uzupełniają ryzyka i plan realizacji. Pozwala to dokumentować decyzje merytoryczne i stan ich wdrożenia w przedsięwzięciu Grundschutz; badanie i decyzja certyfikacyjna pozostają po stronie zespołu audytowego i właściwej jednostki.
Początek od wyznaczonego obszaru informacyjnego.
Pierwszym krokiem jest wspólne zrozumienie zakresu. Należy nazwać rozpatrywane procesy biznesowe i ich właścicieli, opisać zasoby wspierające i zdecydować, które podejście odpowiada celowi. Standard BSI 200-2, rozdziały 3 i 8.1, stanowi metodyczny punkt wyjścia.
Źródła.
- ISO 22301:2019: Business continuity management systems
- Standard BSI 200-1: systemy zarządzania bezpieczeństwem informacji
- Standard BSI 200-2: metodyka IT-Grundschutz
- Standard BSI 200-3: analiza ryzyka na podstawie IT-Grundschutz
- Standard BSI 200-4: zarządzanie ciągłością działania
- BSI: kompendium IT-Grundschutz
- BSI: schemat certyfikacji ISO 27001 na podstawie IT-Grundschutz
- BSI: schemat audytowania ISO 27001 na podstawie IT-Grundschutz
Najczęstsze pytania.
Nie. Zgodnie ze standardem BSI 200-2 obszar informacyjny może obejmować także wyodrębnioną część organizacji. Nadal trzeba uwzględnić zależności i interfejsy istotne dla jej procesów biznesowych.
Nie. Podczas modelowania wybiera się moduły odpowiednie dla obszaru informacyjnego. Standard BSI 200-2, rozdział 8.3, opisuje wybór i uzasadnione dostosowanie.
Nie tylko dlatego, że jest obsługiwana zewnętrznie. Standard BSI 200-2, rozdziały 8.3.5 i 8.3.7, uwzględnia w modelowaniu systemy chmurowe i usługodawców zewnętrznych. Odpowiedzialność i interfejsy należą do koncepcji bezpieczeństwa.
Nie. Certyfikat ISO 27001 na podstawie IT-Grundschutz dotyczy badanego obszaru informacyjnego i powiązanego SZBI. Schemat certyfikacji BSI opisuje przedmiot badania; nie wynika z tego zbiorcza certyfikacja wszystkich używanych produktów.
Przejrzysta realizacja Grundschutz.
Porozmawiajmy o tym, jak uporządkować przedsięwzięcie Grundschutz w Secani.
Strona objaśnia metodykę BSI. Rozstrzygające są publikacje BSI i podstawa badania obowiązująca dla danego przedsięwzięcia.