IT-Grundschutz v praksi

Zakaj izhodišče določa pripravljenost na presojo

Številni projekti IT-Grundschutz se začnejo z dolgim seznamom zahtev. To je videti temeljito, vendar hitro privede do razpršenih preglednic, nedoslednega lastništva in dokazov, ki jih je treba zbrati tik pred presojo.

Boljše izhodišče je jasen obseg. Katere organizacijske enote, procesi, aplikacije, sistemi IT, omrežja in ponudniki storitev resnično spadajo v varnostni koncept? Ta odločitev določa, kateri moduli so relevantni in kateri dokazi bodo morali pozneje prestati presojo.

• Obseg opredelite pisno in imenujte odgovorne lastnike
• Ciljne objekte zabeležite z nedvoumnimi imeni, kategorijami in lastniki
• Naredite vidna razmerja med procesi, podatki, aplikacijami in infrastrukturo

Modeliranje je delovni model, ne obrazec

Modeliranje povezuje resnične ciljne objekte z ustreznimi moduli IT-Grundschutz. Njegova vrednost ne izhaja zgolj iz dodelitve, temveč iz tega, ali je struktura informacijske domene prikazana skladno.

Če je ključni proces odvisen od aplikacije, omrežnega segmenta in zunanjega ponudnika, mora biti ta odvisnost vidna v varnostnem konceptu. Šele takrat je mogoče prepričljivo pojasniti potrebe po zaščiti, stanje izvedbe in preostala tveganja.

• Za vsak ciljni objekt pojasnite dodelitev modula
• Odvisnosti dokumentirajte, preden ocenite zaščitne ukrepe
• Izjeme in posebne primere zgodaj označite kot odprte točke

Smiseln minimalni obseg za prvi krog

Za prvi zagovorljiv krog je jasen in strnjen obseg pogosto koristnejši od širokega, a nejasnega. Začnite z reprezentativno informacijsko domeno, katere procesi, aplikacije in infrastruktura so dobro razumljeni.

Metodo je nato mogoče ponavljati: dodajajte ciljne objekte, razširjajte dodelitve modulov, prenašajte potrebe po zaščiti, razvrščajte odprte zaščitne ukrepe po prednosti in združujte dokaze po lastništvu.

• Prvi varnostni koncept zgradite z jasno globino, ne z največjo širino
• Odprte zaščitne ukrepe razvrstite po tveganju, pomembnosti za presojo in izvedljivosti
• Dokaze povežite tam, kjer se ocenjuje ustrezna zahteva