IT-Grundschutz.
Înțelegeți BSI Grundschutz: standardele, compendiul și parcursul de la ansamblul informațional la un SMSI auditat.
- BSI-Standards 200-1 până la 200-4
- De Jonathan Bezdek
- Actualizat la: 22.10.2026
- Timp de lectură: 8 min.
Răspuns pe scurt.
IT-Grundschutz este metodologia BSI pentru construirea și operarea unui sistem de management al securității informației. BSI-Standard 200-2 descrie procedura, iar compendiul IT-Grundschutz conține cerințe de securitate pentru domenii tipice. Întreprinderile și autoritățile își delimitează ansamblul informațional, stabilesc necesarul de protecție și verifică implementarea. Certificarea ISO 27001 pe baza IT-Grundschutz este o posibilă dovadă.
Standardele BSI și compendiul IT-Grundschutz.
IT-Grundschutz combină un proces de securitate cu un catalog de cerințe de securitate recurente. Un sistem de management al securității informației, pe scurt SMSI, stabilește cum își protejează o organizație informațiile, cum ia decizii și cum verifică eficacitatea măsurilor sale. BSI-Standard 200-1 descrie acest sistem de management; BSI-Standard 200-2 concretizează metodologia Grundschutz.
Compendiul IT-Grundschutz organizează cerințele de securitate în module pentru diferite teme și obiecte vizate. Acestea includ managementul securității, personalul, aplicațiile, sistemele informatice, rețelele și infrastructura. La elaborarea modulelor, BSI a luat în considerare riscurile tipice pentru un necesar normal de protecție. Indicațiile suplimentare de implementare explică posibile măsuri, dar constituie un instrument distinct.
Standardele se completează reciproc, având sarcini diferite. BSI-Standard 200-3 descrie analiza suplimentară a riscurilor; BSI-Standard 200-4 tratează managementul continuității activității, adică pregătirea pentru întreruperi și continuarea proceselor operaționale importante. Prin urmare, un catalog singur nu înlocuiește nici organizarea securității, nici deciziile privind propriul necesar de protecție.
Prezentarea BSI consultată în cadrul acestei documentări indică ediția 2023 a compendiului IT-Grundschutz. Pentru un proiect concret, consemnați ediția utilizată, eratele aferente și baza de audit valabilă. O modificare ulterioară a versiunii catalogului trebuie să rămână trasabilă în conceptul de securitate.
Cui i se potrivește BSI Grundschutz.
IT-Grundschutz se adresează întreprinderilor, autorităților și altor organizații care doresc să organizeze sistematic securitatea informației. BSI-Standard 200-1, capitolul 1.3, ia în considerare și instituțiile mai mici. Caracterul obligatoriu într-un caz concret rezultă din cerințele legale, administrative sau contractuale relevante; metodologia în sine nu este o lege generală aplicabilă întreprinderilor.
Protecția de bază (Basis-Absicherung) permite un început amplu cu cerințe fundamentale. Protecția nucleului (Kern-Absicherung) se concentrează pe procesele operaționale deosebit de importante și pe resursele necesare acestora. Protecția standard (Standard-Absicherung) urmează întregul parcurs metodologic pentru ansamblul informațional delimitat. BSI-Standard 200-2, capitolul 3.3 și capitolele 6–8, descrie aceste trei abordări.
Decizia depinde de obiectiv și de domeniul de aplicare care poate fi gestionat. Chiar și cei care protejează inițial servicii deosebit de critice au nevoie de interfețe clare cu serviciile de sprijin. Cei care urmăresc certificarea ar trebui să stabilească din timp obiectul evaluării cu echipa de audit; conform BSI-Standard 200-2, capitolul 11, protecția de bază singură nu este suficientă în acest scop.
Ce cere în esență IT-Grundschutz.
IT-Grundschutz cere un concept de securitate trasabil și un proces continuu de securitate. Domeniile următoare descriu metodologia la nivel general; cerințele concrete rezultă numai din ansamblul informațional delimitat și din abordarea aleasă.
Responsabilitate și organizarea securității.
Conducerea stabilește obiectivele de securitate, poartă responsabilitatea generală și asigură resursele. Responsabilitățile și canalele de comunicare trebuie să corespundă organizației. BSI-Standard 200-1, capitolele 4 și 7, tratează principiile de management și procesul de securitate; simpla achiziție de tehnologie nu constituie încă un SMSI.
Ansamblul informațional și analiza structurală.
Analiza structurală identifică procesele operaționale, informațiile și obiectele vizate din domeniul de aplicare, împreună cu dependențele lor. BSI-Standard 200-2, capitolul 8.1, tratează, printre altele, aplicațiile, rețelele, sistemele informatice și spațiile. Descrierea trebuie să explice ce resurse permit efectiv furnizarea serviciilor analizate.
Stabiliți în mod justificat necesarul de protecție.
Determinarea necesarului de protecție evaluează posibilele prejudicii pentru confidențialitate, integritate și disponibilitate. BSI-Standard 200-2, capitolul 8.2, descrie în acest scop categoriile normal, ridicat și foarte ridicat, precum și transferul lor asupra obiectelor dependente. Clasificarea necesită ipoteze justificate din partea departamentelor de specialitate, nu simpla alegere a unor indicatori tehnici.
Modelați modulele potrivite.
Modelarea selectează modulele potrivite din compendiul IT-Grundschutz și le atribuie obiectelor analizate. BSI-Standard 200-2, capitolul 8.3, explică selecția și adaptarea. Decisivă este acoperirea ansamblului informațional: o listă lungă de module fără legătură justificată cu structura reală nu constituie un concept de securitate solid.
Verificați și dezvoltați implementarea.
Verificarea IT-Grundschutz examinează stadiul real al implementării pe baza cerințelor relevante. BSI-Standard 200-2, capitolul 8.4, descrie pregătirea, compararea situației dorite cu cea existentă și documentarea. Interviurile și documentele verificabile ajută la susținerea afirmațiilor; controlul și îmbunătățirea continuă a procesului de securitate sunt tratate în BSI-Standard 200-1, capitolul 7.
Tratați riscurile suplimentare.
O analiză suplimentară a riscurilor este necesară în special în cazul unui necesar ridicat sau foarte ridicat de protecție, al lipsei unor module potrivite sau al unor scenarii speciale de utilizare. BSI-Standard 200-3, capitolele 1.2 și 1.3, explică aceste cazuri. Imaginea de ansamblu asupra amenințărilor, clasificarea riscurilor și tratarea acestora duc la decizii justificate și, după caz, la măsuri suplimentare.
Procedura conform BSI-Standard 200-2.
Stabiliți mandatul și abordarea.
Conveniți cu conducerea obiectivele de securitate, responsabilii și resursele și alegeți protecția de bază, a nucleului sau standard conform BSI-Standard 200-2, capitolul 3.3.
Descrieți ansamblul informațional.
Delimitați domeniul de aplicare și documentați procesele operaționale, informațiile, obiectele vizate și dependențele în analiza structurală conform BSI-Standard 200-2, capitolul 8.1.
Justificați necesarul de protecție.
Stabiliți posibilele prejudicii împreună cu responsabilii de specialitate și transferați necesarul de protecție asupra resurselor de sprijin conform BSI-Standard 200-2, capitolul 8.2.
Modelați și verificați implementarea.
Selectați modulele potrivite și verificați stadiul implementării lor prin verificarea IT-Grundschutz conform BSI-Standard 200-2, capitolele 8.3 și 8.4.
Decideți asupra riscurilor și măsurilor.
Adăugați analizele de risc necesare conform BSI-Standard 200-3 și stabiliți măsurile cu priorități, responsabilități și termene de implementare.
Urmăriți eficacitatea și schimbările.
Revizuiți periodic măsurile și conceptul de securitate, precum și după schimbări relevante, pentru ca procesul de securitate conform BSI-Standard 200-1, capitolul 7, să rămână eficace.
Certificarea Grundschutz și dovezi verificabile.
Dovada formală se numește certificat ISO 27001 pe baza IT-Grundschutz. Un auditor certificat de BSI examinează ansamblul informațional delimitat; organismul de certificare al BSI evaluează raportul de audit și decide asupra certificatului. BSI-Standard 200-2, capitolul 11, prevede acest parcurs pentru protecția standard și, în principiu, și pentru protecția nucleului.
Documentele de referință arată parcursul de la obiectivele de securitate până la implementare. Schema de audit BSI, capitolul 2.3, enumeră politica și directivele, analiza structurală, determinarea necesarului de protecție, modelarea, verificarea Grundschutz, analiza riscurilor și planul de realizare. Un audit verifică, așadar, mai mult decât existența documentelor: măsurile descrise trebuie să fie implementate în mod trasabil în ansamblul examinat.
Schema de certificare BSI verificată în cadrul documentării, capitolul 2.8.1, prevede o valabilitate de trei ani cu audituri anuale de supraveghere. Capitolul 2.8.3 tratează recertificarea. Trebuie luate în considerare schimbările semnificative ale ansamblului informațional certificat; o procedură de reînnoire în curs nu prelungește automat un certificat expirat.
Continuați lectura pe blog.
- Grundschutz pragmaticPlanificați un început gestionabil, cu structură clară și responsabilități trasabile.
- Corelați necesarul de protecțieReuniți necesarul de protecție și evaluarea riscurilor într-un model de lucru consecvent.
- IT-Grundschutz++ și OSCALCitiți analiza, raportată la momentul publicării, a dezvoltării Grundschutz într-un format prelucrabil automat.
Relația cu alte cadre de referință.
ISO 27001 descrie cerințele unui SMSI; IT-Grundschutz combină un astfel de sistem de management cu metodologia BSI și compendiul. NIS2 privește obligațiile legale ale anumitor entități, a căror îndeplinire nu poate fi dedusă doar dintr-un certificat Grundschutz. Pentru managementul continuității activității, BSI-Standard 200-4 oferă o metodologie; ISO 22301 tratează cerințele unui sistem de management corespunzător.
În Secani.
Secani oferă spații de lucru pentru analiza structurală, determinarea necesarului de protecție, modelare și verificarea Grundschutz. Riscurile și un plan de realizare completează activitatea. Astfel se pot documenta deciziile de specialitate și stadiul implementării lor în proiectul Grundschutz; verificarea și decizia de certificare rămân în sarcina echipei de audit și a organismului competent.
Începeți cu un ansamblu informațional delimitat.
Primul pas este o înțelegere comună a domeniului de aplicare. Numiți procesele operaționale analizate și responsabilii lor, identificați resursele de sprijin și decideți ce abordare corespunde obiectivului dvs. BSI-Standard 200-2, capitolele 3 și 8.1, oferă punctul de plecare metodologic.
Surse.
- ISO 22301:2019: Business continuity management systems
- BSI-Standard 200-1: sisteme de management al securității informației
- BSI-Standard 200-2: metodologia IT-Grundschutz
- BSI-Standard 200-3: analiza riscurilor pe baza IT-Grundschutz
- BSI-Standard 200-4: managementul continuității activității
- BSI: compendiul IT-Grundschutz
- BSI: schema de certificare ISO 27001 pe baza IT-Grundschutz
- BSI: schema de audit pentru auditurile ISO 27001 pe baza IT-Grundschutz
Întrebări frecvente.
Nu. Conform BSI-Standard 200-2, un ansamblu informațional poate cuprinde și o parte delimitată a organizației. Trebuie totuși avute în vedere dependențele și interfețele relevante pentru procesele sale operaționale.
Nu. În cadrul modelării, se selectează modulele potrivite pentru ansamblul informațional. BSI-Standard 200-2, capitolul 8.3, descrie selecția și adaptarea justificată.
Nu doar pentru că este operat extern. BSI-Standard 200-2, capitolele 8.3.5 și 8.3.7, ia în considerare sistemele cloud și furnizorii externi în modelare. Responsabilitățile și interfețele fac parte din conceptul de securitate.
Nu. Certificatul ISO 27001 pe baza IT-Grundschutz se referă la ansamblul informațional auditat și la SMSI aferent. Schema de certificare BSI descrie obiectul evaluării; de aici nu rezultă o certificare generală a tuturor produselor utilizate.
Gestionați Grundschutz în mod trasabil.
Discutați cu noi despre cum vă puteți structura proiectul Grundschutz în Secani.
Această pagină explică metodologia BSI. Publicațiile BSI și baza de audit valabilă pentru proiectul respectiv sunt decisive.