IT-Grundschutz.

IT-Grundschutz povezuje varnostni proces s katalogom ponavljajočih se varnostnih zahtev. Sistem upravljanja informacijske varnosti, krajše ISMS, določa, kako organizacija varuje svoje informacije, sprejema odločitve in preverja učinkovitost ukrepov. Standard BSI 200-1 opisuje ta sistem upravljanja; standard BSI 200-2 podrobneje določa metodologijo Grundschutz.

Kompendij IT-Grundschutz razvršča varnostne zahteve v module za različne teme in ciljne objekte. Med njimi so upravljanje varnosti, osebje, aplikacije, sistemi IT, omrežja in infrastruktura. BSI je pri razvoju modulov upošteval značilna tveganja pri običajnih potrebah po zaščiti. Dodatna izvedbena navodila pojasnjujejo možne ukrepe, vendar so samostojen pripomoček.

Standardi se dopolnjujejo z različnimi nalogami. Standard BSI 200-3 opisuje dodatno analizo tveganj; standard BSI 200-4 obravnava upravljanje neprekinjenega poslovanja, torej pripravo na prekinitve in nadaljevanje pomembnih poslovnih procesov. Sam katalog zato ne nadomešča organizacije varnosti ali odločitev o lastnih potrebah po zaščiti.

Pregled BSI, pregledan med to raziskavo, navaja izdajo kompendija IT-Grundschutz iz leta 2023. Za konkreten projekt zabeležite uporabljeno izdajo, pripadajoče popravke in veljavno podlago za preverjanje. Naknadna sprememba različice kataloga mora v varnostnem konceptu ostati sledljiva.

IT-Grundschutz je namenjen podjetjem, organom in drugim organizacijam, ki želijo sistematično urediti informacijsko varnost. Standard BSI 200-1, poglavje 1.3, upošteva tudi manjše ustanove. Ali je uporaba v posameznem primeru obvezna, izhaja iz ustreznih zakonskih, upravnih ali pogodbenih zahtev; metodologija sama ni splošen zakon za podjetja.

Osnovna zaščita omogoča širok začetek z osnovnimi zahtevami. Jedrna zaščita se osredotoča na posebej pomembne poslovne procese in potrebne vire. Standardna zaščita sledi celotnemu metodološkemu postopku za določeno informacijsko okolje. Standard BSI 200-2 v poglavju 3.3 ter poglavjih 6 do 8 opisuje te tri pristope.

Odločitev je odvisna od cilja in obsega, ki ga lahko obvladujete. Če najprej zaščitite posebej kritične storitve, vseeno potrebujete jasne vmesnike do podpornih storitev. Če načrtujete certificiranje, predvideni predmet preverjanja zgodaj uskladite z revizijsko skupino; po standardu BSI 200-2, poglavje 11, sama osnovna zaščita za to ne zadostuje.

Formalno dokazilo je certifikat ISO 27001 na podlagi IT-Grundschutz. Revizor, certificiran pri BSI, preveri določeno informacijsko okolje; certifikacijski organ BSI oceni revizijsko poročilo in odloči o certifikatu. Standard BSI 200-2, poglavje 11, to pot predvideva za standardno zaščito in načeloma tudi za jedrno zaščito.

Referenčni dokumenti prikazujejo pot od varnostnih ciljev do izvajanja. Revizijska shema BSI v poglavju 2.3 navaja krovno politiko in politike, strukturno analizo, določitev potreb po zaščiti, modeliranje, preverjanje Grundschutz, analizo tveganj in načrt izvedbe. Revizija zato preverja več kot le obstoj dokumentov: opisani ukrepi morajo biti v pregledanem okolju sledljivo izvedeni.

Certifikacijska shema BSI, pregledana med raziskavo, v poglavju 2.8.1 določa triletno veljavnost z letnimi nadzornimi revizijami. Poglavje 2.8.3 obravnava ponovno certificiranje. Upoštevati je treba bistvene spremembe certificiranega informacijskega okolja; postopek obnove, ki še poteka, ne podaljša samodejno pretečenega certifikata.

ISO 27001 opisuje zahteve za ISMS; IT-Grundschutz tak sistem upravljanja povezuje z metodologijo BSI in kompendijem. NIS2 zadeva zakonske obveznosti določenih subjektov, katerih izpolnjevanja ni mogoče sklepati zgolj iz certifikata Grundschutz. Za upravljanje neprekinjenega poslovanja standard BSI 200-4 ponuja metodologijo; ISO 22301 obravnava zahteve za ustrezen sistem upravljanja.

Secani ponuja delovna področja za strukturno analizo, določanje potreb po zaščiti, modeliranje in preverjanje Grundschutz. Obravnavo dopolnjujeta tveganja in načrt izvedbe. Tako lahko v projektu Grundschutz dokumentirate strokovne odločitve in njihovo izvajanje; preverjanje in odločitev o certificiranju ostajata pri revizijski skupini in pristojnem organu.

Prvi korak je skupno razumevanje obsega. Poimenujte obravnavane poslovne procese in njihove odgovorne osebe, popišite podporne vire in odločite, kateri pristop ustreza vašemu cilju. Standard BSI 200-2 v poglavjih 3 in 8.1 ponuja metodološko izhodišče.