IT-Grundschutz.
Compreender o Grundschutz do BSI: normas, compêndio e o percurso do perímetro de informação ao SGSI avaliado.
- Normas BSI 200-1 a 200-4
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
O IT-Grundschutz é a metodologia do BSI para criar e operar um sistema de gestão da segurança da informação. A norma BSI 200-2 descreve o procedimento; o compêndio contém requisitos de segurança para contextos típicos. Empresas e autoridades delimitam o perímetro de informação, determinam necessidades de proteção e verificam a implementação. Uma possível demonstração é a certificação ISO 27001 baseada no IT-Grundschutz.
Normas BSI e compêndio IT-Grundschutz.
O IT-Grundschutz combina um processo de segurança com um catálogo de requisitos recorrentes de segurança. Um sistema de gestão da segurança da informação, ou SGSI, define como uma organização protege a sua informação, toma decisões e verifica a eficácia das medidas. A norma BSI 200-1 descreve este sistema de gestão; a norma BSI 200-2 concretiza a metodologia Grundschutz.
O compêndio IT-Grundschutz organiza os requisitos de segurança em módulos para diferentes temas e objetos de análise. Inclui gestão da segurança, recursos humanos, aplicações, sistemas informáticos, redes e infraestrutura. Ao desenvolver os módulos, o BSI considerou os riscos típicos para necessidades normais de proteção. As orientações complementares de implementação explicam possíveis medidas, mas constituem um instrumento separado.
As normas complementam-se com tarefas distintas. A norma BSI 200-3 descreve a análise adicional de riscos; a norma BSI 200-4 trata a gestão da continuidade do negócio, ou seja, a preparação para interrupções e a manutenção dos processos de negócio importantes. Assim, um catálogo, por si só, não substitui a organização da segurança nem as decisões sobre as necessidades de proteção próprias.
A página de síntese do BSI consultada nesta pesquisa apresenta a edição 2023 do compêndio IT-Grundschutz. Para um projeto concreto, registe a edição utilizada, as respetivas erratas e a base de avaliação válida. Uma alteração posterior da versão do catálogo deve continuar a ser rastreável no plano de segurança.
A quem se destina o Grundschutz do BSI.
O IT-Grundschutz destina-se a empresas, autoridades e outras organizações que pretendam organizar a segurança da informação de forma sistemática. A norma BSI 200-1, capítulo 1.3, considera também instituições mais pequenas. A obrigatoriedade de aplicação em cada caso decorre dos requisitos legais, administrativos ou contratuais pertinentes; a metodologia em si não é uma lei geral para empresas.
A proteção de base (Basis-Absicherung) permite uma abordagem inicial ampla com requisitos fundamentais. A proteção nuclear (Kern-Absicherung) concentra-se nos processos de negócio particularmente importantes e nos recursos de que dependem. A proteção padrão (Standard-Absicherung) segue o percurso metodológico completo para o perímetro de informação definido. A norma BSI 200-2, capítulo 3.3 e capítulos 6 a 8, descreve estas três abordagens.
A decisão depende do objetivo e do âmbito que é possível trabalhar. Quem começa por proteger os serviços especialmente críticos continua a precisar de interfaces claras com os serviços de apoio. Quem pretende obter certificação deve acordar desde cedo o objeto da avaliação com a equipa de auditoria; segundo a norma BSI 200-2, capítulo 11, a proteção de base, por si só, não é suficiente.
Os requisitos essenciais do IT-Grundschutz.
O IT-Grundschutz exige um plano de segurança rastreável e um processo de segurança contínuo. As áreas seguintes descrevem a metodologia em termos gerais; os requisitos concretos só resultam da delimitação do perímetro de informação e da abordagem escolhida.
Responsabilidade e organização da segurança.
A direção define objetivos de segurança, assume a responsabilidade global e disponibiliza recursos. As responsabilidades e os canais de comunicação devem adequar-se à organização. A norma BSI 200-1, capítulos 4 e 7, trata os princípios de gestão e o processo de segurança; adquirir tecnologia, por si só, ainda não constitui um SGSI.
Perímetro de informação e análise estrutural.
A análise estrutural regista os processos de negócio, a informação e os objetos de análise do âmbito, com as suas dependências. A norma BSI 200-2, capítulo 8.1, trata, entre outros, aplicações, redes, sistemas informáticos e espaços físicos. A descrição deve explicar que recursos efetivamente viabilizam os serviços considerados.
Determinar as necessidades de proteção com fundamentação.
A determinação das necessidades de proteção avalia os possíveis danos para a confidencialidade, integridade e disponibilidade. A norma BSI 200-2, capítulo 8.2, descreve as categorias normal, elevada e muito elevada e a sua transposição para os objetos de análise dependentes. A classificação exige pressupostos fundamentados das áreas funcionais, e não uma simples seleção de indicadores técnicos.
Modelar os módulos adequados.
A modelação seleciona os módulos adequados do compêndio IT-Grundschutz e associa-os aos objetos de análise considerados. A norma BSI 200-2, capítulo 8.3, explica a seleção e a adaptação. O fator decisivo é a cobertura do perímetro de informação: uma lista extensa de módulos sem relação fundamentada com a estrutura real não constitui um plano de segurança sólido.
Verificar e desenvolver a implementação.
A verificação IT-Grundschutz examina o estado real da implementação com base nos requisitos relevantes. A norma BSI 200-2, capítulo 8.4, descreve a preparação, a comparação entre o pretendido e o existente e a documentação. Entrevistas e documentos verificáveis ajudam a comprovar as afirmações; a norma BSI 200-1, capítulo 7, trata o controlo contínuo e a melhoria do processo de segurança.
Tratar riscos adicionais.
É necessária uma análise complementar de riscos, em particular quando as necessidades de proteção são elevadas ou muito elevadas, faltam módulos adequados ou existem cenários de utilização especiais. A norma BSI 200-3, capítulos 1.2 e 1.3, enquadra estes casos. A identificação de ameaças, a classificação dos riscos e o tratamento conduzem a decisões fundamentadas e, quando necessário, a medidas adicionais.
O procedimento segundo a norma BSI 200-2.
Definir o mandato e a abordagem.
Acorde com a direção os objetivos de segurança, os responsáveis e os recursos e escolha a proteção de base, nuclear ou padrão segundo a norma BSI 200-2, capítulo 3.3.
Registar o perímetro de informação.
Delimite o âmbito e documente os processos de negócio, a informação, os objetos de análise e as dependências na análise estrutural segundo a norma BSI 200-2, capítulo 8.1.
Fundamentar as necessidades de proteção.
Defina os possíveis danos com os responsáveis funcionais e transfira as necessidades de proteção para os recursos de apoio segundo a norma BSI 200-2, capítulo 8.2.
Modelar e verificar a implementação.
Selecione os módulos adequados e verifique o seu estado de implementação com a verificação IT-Grundschutz segundo a norma BSI 200-2, capítulos 8.3 e 8.4.
Decidir sobre os riscos e as medidas.
Acrescente as análises de riscos necessárias segundo a norma BSI 200-3 e defina as medidas com prioridades, responsabilidades e prazos de implementação.
Acompanhar a eficácia e as alterações.
Reveja regularmente as medidas e o plano de segurança e após alterações relevantes, para que o processo de segurança segundo a norma BSI 200-1, capítulo 7, permaneça eficaz.
Certificação Grundschutz e evidências verificáveis.
A demonstração formal denomina-se certificado ISO 27001 baseado no IT-Grundschutz. Um auditor certificado pelo BSI examina o perímetro de informação definido; o organismo de certificação do BSI avalia o relatório de auditoria e decide sobre o certificado. A norma BSI 200-2, capítulo 11, prevê este percurso para a proteção padrão e, em princípio, também para a proteção nuclear.
Os documentos de referência mostram o percurso dos objetivos de segurança até à implementação. O esquema de auditoria do BSI, capítulo 2.3, enumera a política e as diretrizes, a análise estrutural, a determinação das necessidades de proteção, a modelação, a verificação Grundschutz, a análise de riscos e o plano de implementação. Por isso, uma auditoria verifica mais do que a existência de documentos: as medidas descritas devem estar implementadas de forma verificável no perímetro examinado.
O esquema de certificação do BSI consultado durante a pesquisa, capítulo 2.8.1, prevê uma validade de três anos com auditorias anuais de acompanhamento. O capítulo 2.8.3 trata a recertificação. As alterações substanciais ao perímetro de informação certificado devem ser consideradas; um processo de renovação em curso não prolonga automaticamente um certificado expirado.
Saiba mais no blogue.
- Grundschutz pragmáticoPlaneie um início viável com uma estrutura clara e responsabilidades rastreáveis.
- Relacionar necessidades de proteçãoReúna as necessidades de proteção e a apreciação de riscos num modelo de trabalho coerente.
- IT-Grundschutz++ e OSCALLeia o enquadramento, relativo a esse momento, da evolução do Grundschutz para um formato legível por máquinas.
Enquadrar outros referenciais.
A ISO 27001 descreve os requisitos de um SGSI; o IT-Grundschutz combina esse sistema de gestão com a metodologia do BSI e o compêndio. A NIS2 diz respeito a obrigações legais de determinadas entidades, cujo cumprimento não pode ser deduzido apenas de um certificado Grundschutz. Para a gestão da continuidade do negócio, a norma BSI 200-4 oferece uma metodologia; a ISO 22301 trata os requisitos de um sistema de gestão correspondente.
No Secani.
O Secani disponibiliza áreas de trabalho para a análise estrutural, a determinação das necessidades de proteção, a modelação e a verificação Grundschutz. Os riscos e um plano de implementação complementam o trabalho. Assim, é possível documentar as decisões técnicas e o respetivo estado de implementação no projeto Grundschutz; a avaliação e a decisão de certificação continuam a caber à equipa de auditoria e à entidade competente.
Começar com um perímetro de informação delimitado.
O primeiro passo é uma visão partilhada do âmbito. Identifique os processos de negócio considerados e os seus responsáveis, registe os recursos de apoio e decida que abordagem corresponde ao seu objetivo. A norma BSI 200-2, capítulos 3 e 8.1, fornece o ponto de partida metodológico.
Fontes.
- ISO 22301:2019: sistemas de gestão da continuidade do negócio
- Norma BSI 200-1: sistemas de gestão da segurança da informação
- Norma BSI 200-2: metodologia IT-Grundschutz
- Norma BSI 200-3: análise de riscos baseada no IT-Grundschutz
- Norma BSI 200-4: gestão da continuidade do negócio
- BSI: compêndio IT-Grundschutz
- BSI: esquema de certificação ISO 27001 baseada no IT-Grundschutz
- BSI: esquema de auditoria para auditorias ISO 27001 baseadas no IT-Grundschutz
Perguntas frequentes.
Não. Segundo a norma BSI 200-2, um perímetro de informação pode abranger uma parte delimitada da organização. Ainda assim, devem ser consideradas as dependências e interfaces relevantes para os seus processos de negócio.
Não. A modelação seleciona os módulos adequados ao perímetro de informação. A norma BSI 200-2, capítulo 8.3, descreve a seleção e a adaptação fundamentada.
Não apenas por ser operado externamente. A norma BSI 200-2, capítulos 8.3.5 e 8.3.7, considera os sistemas na nuvem e os prestadores externos na modelação. As responsabilidades e as interfaces fazem parte do plano de segurança.
Não. O certificado ISO 27001 baseado no IT-Grundschutz refere-se ao perímetro de informação avaliado e ao respetivo SGSI. O esquema de certificação do BSI descreve o objeto da avaliação; daí não resulta uma certificação geral de todos os produtos utilizados.
Trabalhe o Grundschutz de forma rastreável.
Fale connosco sobre como estruturar o seu projeto Grundschutz no Secani.
Esta página enquadra a metodologia do BSI. Prevalecem as publicações do BSI e a base de avaliação válida para o respetivo projeto.