IT-Grundschutz.
Zorientujte sa v BSI Grundschutz: štandardy, kompendium a cesta od informačného celku k overenému ISMS.
- Štandardy BSI 200-1 až 200-4
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Čas čítania: 7 min.
Stručná odpoveď.
IT-Grundschutz je metodika BSI na vybudovanie a prevádzku systému manažérstva informačnej bezpečnosti. BSI-Standard 200-2 opisuje postup a kompendium IT-Grundschutz obsahuje bezpečnostné požiadavky pre typické oblasti použitia. Podniky a úrady vymedzia svoj informačný celok, určia potreby ochrany a overia zavedenie. Jedným z možných dokladov je certifikácia ISO 27001 na základe IT-Grundschutz.
Štandardy BSI a kompendium IT-Grundschutz.
IT-Grundschutz spája bezpečnostný proces s katalógom opakujúcich sa bezpečnostných požiadaviek. Systém manažérstva informačnej bezpečnosti, skrátene ISMS, stanovuje, ako organizácia chráni svoje informácie, prijíma rozhodnutia a overuje účinnosť opatrení. BSI-Standard 200-1 opisuje tento systém manažérstva; BSI-Standard 200-2 konkretizuje metodiku Grundschutz.
Kompendium IT-Grundschutz usporadúva bezpečnostné požiadavky do modulov pre rôzne témy a cieľové objekty. Patria sem riadenie bezpečnosti, personál, aplikácie, IT systémy, siete a infraštruktúra. BSI pri tvorbe modulov zohľadnil typické riziká pri bežnej potrebe ochrany. Doplnkové usmernenia k zavádzaniu vysvetľujú možné opatrenia, predstavujú však samostatnú pomôcku.
Štandardy sa dopĺňajú rôznymi úlohami. BSI-Standard 200-3 opisuje dodatočnú analýzu rizík; BSI-Standard 200-4 sa venuje riadeniu kontinuity činností, teda príprave na prerušenia a pokračovaniu dôležitých podnikových procesov. Samotný katalóg preto nenahrádza organizáciu bezpečnosti ani rozhodnutia o vlastných potrebách ochrany.
Prehľad BSI sprístupnený pri tejto rešerši uvádza kompendium IT-Grundschutz, vydanie 2023. Pri konkrétnom projekte by ste mali zaznamenať použité vydanie, príslušné opravy a platný základ overovania. Dodatočná zmena verzie katalógu musí zostať dohľadateľná v bezpečnostnej koncepcii.
Pre koho je BSI Grundschutz vhodný.
IT-Grundschutz je určený podnikom, úradom a ďalším organizáciám, ktoré chcú systematicky organizovať informačnú bezpečnosť. BSI-Standard 200-1, kapitola 1.3, zohľadňuje aj menšie inštitúcie. Či je použitie v konkrétnom prípade záväzné, vyplýva z príslušných zákonných, úradných alebo zmluvných požiadaviek; samotná metodika nie je všeobecným zákonom pre podniky.
Základné zabezpečenie (Basis-Absicherung) umožňuje široký vstup so základnými požiadavkami. Jadrové zabezpečenie (Kern-Absicherung) sa sústreďuje na obzvlášť dôležité podnikové procesy a zdroje, ktoré potrebujú. Štandardné zabezpečenie (Standard-Absicherung) zahŕňa celý metodický postup pre vymedzený informačný celok. BSI-Standard 200-2, kapitola 3.3 a kapitoly 6 až 8, opisuje tieto tri prístupy.
Rozhodnutie závisí od cieľa a zvládnuteľného rozsahu pôsobnosti. Aj ten, kto najskôr zabezpečí mimoriadne kritické služby, potrebuje jasné rozhrania s podpornými službami. Ak plánujete certifikáciu, mali by ste plánovaný predmet preskúmania včas zosúladiť s audítorským tímom; samotné základné zabezpečenie podľa BSI-Standard 200-2, kapitoly 11, nestačí.
Čo IT-Grundschutz v jadre vyžaduje.
IT-Grundschutz vyžaduje zrozumiteľnú bezpečnostnú koncepciu a priebežný bezpečnostný proces. Nasledujúce oblasti opisujú metodiku na všeobecnej úrovni; konkrétne požiadavky vyplynú až z vymedzeného informačného celku a zvoleného prístupu.
Zodpovednosť a organizácia bezpečnosti.
Vedenie stanovuje bezpečnostné ciele, nesie celkovú zodpovednosť a poskytuje zdroje. Zodpovednosti a komunikačné cesty musia zodpovedať organizácii. BSI-Standard 200-1, kapitoly 4 a 7, sa venuje zásadám manažérstva a bezpečnostnému procesu; samotné obstaranie techniky ešte nevytvára ISMS.
Informačný celok a štrukturálna analýza.
Štrukturálna analýza zachytáva podnikové procesy, informácie a cieľové objekty v rozsahu pôsobnosti aj s ich závislosťami. BSI-Standard 200-2, kapitola 8.1, sa venuje okrem iného aplikáciám, sieťam, IT systémom a priestorom. Opis má vysvetliť, ktoré zdroje skutočne umožňujú poskytovanie posudzovaných služieb.
Zdôvodnené určenie potrieb ochrany.
Pri určovaní potrieb ochrany sa posudzujú možné škody pre dôvernosť, integritu a dostupnosť. BSI-Standard 200-2, kapitola 8.2, opisuje kategórie bežná, vysoká a veľmi vysoká a prenos potrieb ochrany na závislé cieľové objekty. Zaradenie potrebuje zdôvodnené predpoklady odborných útvarov, nie iba výber technických ukazovateľov.
Modelovanie vhodných modulov.
Pri modelovaní sa vyberajú vhodné moduly kompendia IT-Grundschutz a priraďujú sa k posudzovaným cieľovým objektom. BSI-Standard 200-2, kapitola 8.3, vysvetľuje výber a prispôsobenie. Rozhodujúce je pokrytie informačného celku: dlhý zoznam modulov bez zdôvodnenej väzby na skutočnú štruktúru nie je spoľahlivou bezpečnostnou koncepciou.
Overovanie a rozvoj zavedenia.
Kontrola IT-Grundschutz skúma skutočný stav zavedenia podľa relevantných požiadaviek. BSI-Standard 200-2, kapitola 8.4, opisuje prípravu, porovnanie požadovaného a skutočného stavu a dokumentáciu. Rozhovory a overiteľné podklady pomáhajú doložiť tvrdenia; priebežnej kontrole a zlepšovaniu bezpečnostného procesu sa venuje BSI-Standard 200-1, kapitola 7.
Ošetrovanie dodatočných rizík.
Doplnková analýza rizík je potrebná najmä pri vysokej alebo veľmi vysokej potrebe ochrany, chýbajúcich vhodných moduloch alebo osobitných scenároch použitia. BSI-Standard 200-3, kapitoly 1.2 a 1.3, tieto prípady zaraďuje do kontextu. Prehľad hrozieb, klasifikácia rizík a ich ošetrenie vedú k zdôvodneným rozhodnutiam a prípadne k dodatočným opatreniam.
Postup podľa BSI-Standard 200-2.
Stanoviť zadanie a prístup.
Dohodnite s vedením bezpečnostné ciele, zodpovedné osoby a zdroje a vyberte základné, jadrové alebo štandardné zabezpečenie podľa BSI-Standard 200-2, kapitoly 3.3.
Zachytiť informačný celok.
Vymedzte rozsah pôsobnosti a v štrukturálnej analýze podľa BSI-Standard 200-2, kapitoly 8.1, zdokumentujte podnikové procesy, informácie, cieľové objekty a závislosti.
Zdôvodniť potreby ochrany.
Spolu s odbornými zodpovednými osobami určte možné škody a preneste potreby ochrany na podporné zdroje podľa BSI-Standard 200-2, kapitoly 8.2.
Modelovať a overiť zavedenie.
Vyberte vhodné moduly a overte ich stav zavedenia pomocou kontroly IT-Grundschutz podľa BSI-Standard 200-2, kapitol 8.3 a 8.4.
Rozhodnúť o rizikách a opatreniach.
Doplňte potrebné analýzy rizík podľa BSI-Standard 200-3 a určte opatrenia s prioritami, zodpovednosťami a termínmi zavedenia.
Sledovať účinnosť a zmeny.
Pravidelne a po významných zmenách preverujte opatrenia aj bezpečnostnú koncepciu, aby bezpečnostný proces podľa BSI-Standard 200-1, kapitoly 7, zostal účinný.
Certifikácia Grundschutz a overiteľné dôkazy.
Formálnym dokladom je certifikát ISO 27001 na základe IT-Grundschutz. Audítor certifikovaný BSI preskúma vymedzený informačný celok; certifikačný orgán BSI posúdi audítorskú správu a rozhodne o certifikáte. BSI-Standard 200-2, kapitola 11, stanovuje tento postup pre štandardné zabezpečenie a v zásade aj pre jadrové zabezpečenie.
Referenčné dokumenty ukazujú cestu od bezpečnostných cieľov až po zavedenie. Schéma auditovania BSI, kapitola 2.3, uvádza politiku a smernice, štrukturálnu analýzu, určenie potrieb ochrany, modelovanie, kontrolu Grundschutz, analýzu rizík a realizačný plán. Audit preto preveruje viac než prítomnosť dokumentov: opísané opatrenia musia byť v skúmanom celku preukázateľne zavedené.
Certifikačná schéma BSI preskúmaná pri rešerši stanovuje v kapitole 2.8.1 trojročnú platnosť s každoročnými dohľadovými auditmi. Kapitola 2.8.3 sa venuje recertifikácii. Významné zmeny certifikovaného informačného celku treba zohľadniť; prebiehajúce konanie o obnove automaticky nepredlžuje certifikát, ktorého platnosť uplynula.
Ďalšie čítanie na blogu.
- Pragmatický GrundschutzNaplánujte zvládnuteľný začiatok s jasnou štruktúrou a zrozumiteľnými zodpovednosťami.
- Prepojenie potrieb ochranySpojte potreby ochrany a posudzovanie rizík do jednotného pracovného modelu.
- IT-Grundschutz++ a OSCALPrečítajte si časovo podmienený pohľad na vývoj Grundschutz smerom k strojovo čitateľnej podobe.
Zaradenie ďalších rámcov do kontextu.
ISO 27001 opisuje požiadavky na ISMS; IT-Grundschutz spája takýto systém manažérstva s metodikou BSI a kompendiom. NIS2 sa týka zákonných povinností určitých subjektov, ktorých splnenie nemožno vyvodiť zo samotného certifikátu Grundschutz. Pre riadenie kontinuity činností poskytuje BSI-Standard 200-4 metodiku; ISO 22301 sa venuje požiadavkám na príslušný systém manažérstva.
V Secani.
Secani poskytuje pracovné oblasti pre štrukturálnu analýzu, určenie potrieb ochrany, modelovanie a kontrolu Grundschutz. Spracovanie dopĺňajú riziká a realizačný plán. Umožňuje to dokumentovať odborné rozhodnutia a stav ich zavedenia v projekte Grundschutz; overovanie a rozhodnutie o certifikácii zostávajú v kompetencii audítorského tímu a príslušného orgánu.
Začnite s vymedzeným informačným celkom.
Prvým krokom je spoločné chápanie rozsahu pôsobnosti. Pomenujte posudzované podnikové procesy a ich zodpovedné osoby, zachyťte podporné zdroje a rozhodnite, ktorý prístup zodpovedá vášmu cieľu. BSI-Standard 200-2, kapitoly 3 a 8.1, poskytuje metodický východiskový bod.
Zdroje.
- ISO 22301:2019: systémy manažérstva kontinuity činností
- BSI-Standard 200-1: systémy manažérstva informačnej bezpečnosti
- BSI-Standard 200-2: metodika IT-Grundschutz
- BSI-Standard 200-3: analýza rizík na základe IT-Grundschutz
- BSI-Standard 200-4: riadenie kontinuity činností
- BSI: kompendium IT-Grundschutz
- BSI: certifikačná schéma pre ISO 27001 na základe IT-Grundschutz
- BSI: schéma auditovania pre audity ISO 27001 na základe IT-Grundschutz
Časté otázky.
Nie. Podľa BSI-Standard 200-2 môže informačný celok zahŕňať aj vymedzenú časť organizácie. Napriek tomu treba zohľadniť závislosti a rozhrania relevantné pre jej podnikové procesy.
Nie. Pri modelovaní sa vyberajú moduly vhodné pre informačný celok. BSI-Standard 200-2, kapitola 8.3, opisuje výber a zdôvodnené prispôsobenie.
Nie iba preto, že je prevádzkovaná externe. BSI-Standard 200-2, kapitoly 8.3.5 a 8.3.7, zohľadňuje pri modelovaní cloudové systémy a externých poskytovateľov služieb. Zodpovednosti a rozhrania patria do bezpečnostnej koncepcie.
Nie. Certifikát ISO 27001 na základe IT-Grundschutz sa vzťahuje na overený informačný celok a príslušný ISMS. Certifikačná schéma BSI opisuje predmet preskúmania; nevyplýva z nej všeobecná certifikácia všetkých používaných produktov.
Pracujte s Grundschutz preukázateľne.
Porozprávajte sa s nami, ako usporiadať svoj projekt Grundschutz v Secani.
Táto stránka vysvetľuje metodiku BSI. Rozhodujúce sú publikácie BSI a základ overovania platný pre príslušný projekt.