IT-Grundschutz na prática

Porque é que o ponto de partida determina a auditabilidade

Muitos projetos de IT-Grundschutz começam com uma longa lista de requisitos. Parece rigoroso, mas rapidamente produz folhas de cálculo dispersas, responsabilidades inconsistentes e evidências que têm de ser reunidas mesmo antes de uma auditoria.

Um melhor ponto de partida é um âmbito bem definido. Que unidades organizacionais, processos, aplicações, sistemas de TI, redes e prestadores de serviços pertencem realmente ao conceito de segurança? Esta decisão determina que módulos são relevantes e que evidências terão mais tarde de resistir a uma auditoria.

• Defina o âmbito por escrito e designe os responsáveis
• Registe os objetos-alvo com nomes, categorias e responsáveis inequívocos
• Torne visíveis as relações entre processos, dados, aplicações e infraestrutura

A modelação é um modelo de trabalho, não um formulário

A modelação liga os objetos-alvo reais aos módulos do IT-Grundschutz adequados. O seu valor não resulta apenas da atribuição, mas de a estrutura do domínio de informação estar representada de forma coerente.

Se um processo crítico depende de uma aplicação, de um segmento de rede e de um prestador externo, essa dependência tem de estar visível no conceito de segurança. Só assim as necessidades de proteção, o estado de implementação e os riscos residuais podem ser explicados de forma convincente.

• Justifique cada atribuição de módulo ao respetivo objeto-alvo
• Documente as dependências antes de avaliar as salvaguardas
• Assinale cedo as exceções e os casos especiais como pontos em aberto

Um âmbito mínimo sensato para a primeira iteração

Para uma primeira iteração defensável, um âmbito claro e compacto é muitas vezes mais útil do que um âmbito amplo mas vago. Comece por um domínio de informação representativo cujos processos, aplicações e infraestrutura sejam bem conhecidos.

O método pode depois ser repetido: acrescentar objetos-alvo, alargar as atribuições de módulos, propagar as necessidades de proteção, priorizar as salvaguardas em aberto e agrupar as evidências por responsável.

• Construa o primeiro conceito de segurança com uma profundidade clara, em vez da máxima amplitude
• Dê prioridade às salvaguardas em aberto por risco, relevância para a auditoria e exequibilidade
• Associe as evidências no ponto em que o requisito correspondente é avaliado