IT-Grundschutz i praktiken
Derya AltinayCEO
8 Min. läsning
Varför utgångspunkten avgör granskningsbarheten
Många IT-Grundschutz-projekt börjar med en lång lista med krav. Det ser grundligt ut, men leder snabbt till utspridda kalkylblad, inkonsekvent ägarskap och underlag som måste samlas in strax före en revision.
En bättre utgångspunkt är en tydlig omfattning. Vilka organisatoriska enheter, processer, applikationer, IT-system, nätverk och tjänsteleverantörer hör verkligen hemma i säkerhetskonceptet? Det beslutet avgör vilka moduler som är relevanta och vilka underlag som senare måste hålla vid en revision.
- Definiera omfattningen skriftligt och utse ansvariga ägare
- Dokumentera målobjekt med entydiga namn, kategorier och ägare
- Synliggör sambanden mellan processer, data, applikationer och infrastruktur
Modellering är en arbetsmodell, inte ett formulär
Modelleringen kopplar verkliga målobjekt till lämpliga IT-Grundschutz-moduler. Värdet ligger inte i tilldelningen i sig, utan i om informationsdomänens struktur återges på ett sammanhängande sätt.
Om en kritisk process är beroende av en applikation, ett nätverkssegment och en extern leverantör måste det beroendet vara synligt i säkerhetskonceptet. Först då kan skyddsbehov, genomförandestatus och kvarstående risker förklaras på ett övertygande sätt.
- Motivera varje modultilldelning för respektive målobjekt
- Dokumentera beroenden innan skyddsåtgärderna bedöms
- Markera undantag och specialfall som öppna punkter i ett tidigt skede
En rimlig minsta omfattning för den första omgången
För den första försvarbara omgången är en tydlig och kompakt omfattning ofta mer användbar än en bred men vag. Börja med en representativ informationsdomän vars processer, applikationer och infrastruktur är väl kända.
Metoden kan sedan upprepas: lägg till målobjekt, utöka modultilldelningarna, för vidare skyddsbehoven, prioritera öppna skyddsåtgärder och gruppera underlagen efter ägarskap.
- Bygg det första säkerhetskonceptet med tydligt djup snarare än maximal bredd
- Prioritera öppna skyddsåtgärder efter risk, betydelse för revisionen och genomförbarhet
- Koppla underlag där motsvarande krav bedöms
Bygg granskningsbara compliance-arbetsflöden
Secani kopplar samman omfattningar, bevis, uppgifter och AI-agenter i en gemensam arbetsyta.
Relaterade artiklar
Alla artiklarGrundläggande IT-skydd
IT-Grundschutz++ möter OSCAL
Med Stand-der-Technik-Bibliothek lämnar IT-Grundschutz PDF-filen bakom sig: IT-Grundschutz++ levereras som en OSCAL-katalog – och förändrar hur ISMS-arbetet organiseras.
Regelverk
NIS2: Tysklands respitperiod går mot sitt slut
Bara ungefär en tredjedel av de berörda företagen registrerade sig hos BSI i tid. Fram till slutet av juli 2026 kan detta åtgärdas – därefter blir det dyrt.
AI-styrning
AI inom GRC: att citera är inte att verifiera
En källänk gör inte ett AI-utlåtande tillförlitligt. Relationen mellan krav, underlag och utlåtande måste gå att testa.