IT-Grundschutz în practică

De ce punctul de plecare determină auditabilitatea

Multe proiecte IT-Grundschutz încep cu o listă lungă de cerințe. Pare temeinic, dar duce rapid la foi de calcul răzlețe, responsabilități inconsecvente și dovezi care trebuie adunate chiar înainte de audit.

Un punct de plecare mai bun este un domeniu bine delimitat. Ce unități organizaționale, procese, aplicații, sisteme IT, rețele și furnizori de servicii aparțin cu adevărat conceptului de securitate? Această decizie determină ce module sunt relevante și ce dovezi vor trebui ulterior să reziste unui audit.

• Definiți domeniul în scris și desemnați responsabilii
• Consemnați obiectele-țintă cu denumiri, categorii și responsabili neechivoci
• Faceți vizibile relațiile dintre procese, date, aplicații și infrastructură

Modelarea este un model de lucru, nu un formular

Modelarea leagă obiectele-țintă reale de modulele IT-Grundschutz potrivite. Valoarea sa nu provine doar din atribuire, ci din faptul că structura domeniului informațional este reprezentată în mod coerent.

Dacă un proces critic depinde de o aplicație, de un segment de rețea și de un furnizor extern, această dependență trebuie să fie vizibilă în conceptul de securitate. Numai așa pot fi explicate convingător necesitățile de protecție, stadiul implementării și riscurile reziduale.

• Explicați fiecare atribuire de modul pentru obiectul-țintă respectiv
• Documentați dependențele înainte de a evalua măsurile de securitate
• Marcați din timp excepțiile și cazurile speciale ca puncte deschise

Un domeniu minim rezonabil pentru prima etapă

Pentru prima etapă care poate fi susținută, un domeniu clar și compact este adesea mai util decât unul larg, dar vag. Începeți cu un domeniu informațional reprezentativ, ale cărui procese, aplicații și infrastructură sunt bine înțelese.

Metoda poate fi apoi repetată: adăugați obiecte-țintă, extindeți atribuirile de module, propagați necesitățile de protecție, prioritizați măsurile de securitate deschise și grupați dovezile în funcție de responsabili.

• Construiți primul concept de securitate cu o profunzime clară, nu cu o amploare maximă
• Prioritizați măsurile de securitate deschise în funcție de risc, relevanța pentru audit și fezabilitate
• Legați dovezile acolo unde este evaluată cerința corespunzătoare