Bausteine nach IT-Grundschutz modellieren – Teil 6 der BSI-Reihe

In diesem Video ordnen Sie Ihren Assets die passenden Bausteine aus dem IT-Grundschutz-Kompendium zu. Modellieren heißt: Für jedes Asset festlegen, welche Bausteine und damit welche Anforderungen gelten. Das Kompendium gliedert die Bausteine in zehn Schichten: von ISMS und Organisation bis zu Anwendungen, Systemen, Netzen und Infrastruktur. Zuerst brauchen Sie den Anforderungskatalog. Öffnen Sie im Cockpit die Katalogauswahl. Unter ‚Kataloge verwalten‘ laden Sie neue Kataloge. Mit ‚Anforderungskatalog laden‘ wählen Sie BSI IT-Grundschutz. Entscheidend ist das angestrebte Schutzniveau. Basis-Absicherung: 563 Anforderungen. Standard-Absicherung: 1430 Anforderungen. Erhöhter Schutzbedarf: 1835 Anforderungen. Die Datensicherheit GmbH arbeitet mit der Standard-Absicherung. Sie können klein anfangen. Das Schutzniveau lässt sich später heraufsetzen, die zusätzlichen Anforderungen kommen dann hinzu. Unser Katalog ist bereits geladen. Jetzt verbinden wir ihn mit den Assets. Öffnen Sie das Asset Informationsverbund und dort den Tab ‚Anforderungen‘. Mit ‚Bausteine zuordnen‘ wählen Sie aus dem Kompendium. preeco bietet nur Bausteine an, die zum BSI-Asset-Typ passen. Für den Informationsverbund sind das die übergreifenden. Starten Sie mit R1: ISMS, die ORP-Bausteine und OPS.1.1. Sie sind die Grundlage des Sicherheitsprozesses. ISMS.1 und ORP.1 bis ORP.3 sind schon verknüpft. Wir ordnen ORP.4 Identitäts- und Berechtigungsmanagement zu. Die 21 Anforderungen des Bausteins hängen jetzt am Asset – jeweils mit ihrer Stufe Basis oder Standard. Beim Virtualisierungscluster sieht die Auswahl anders aus. Für ein IT-System bietet preeco die SYS-Bausteine an, etwa Server und Virtualisierung. preeco filtert die passenden Bausteine. Welche wirklich gelten, entscheiden Sie. Einzelne Anforderungen ordnen Sie mit ‚Anforderungen zuordnen‘ zu, ohne den ganzen Baustein. Es geht auch andersherum: Von einer Anforderung aus ordnen Sie im Tab ‚Assets‘ mehrere Assets auf einmal zu. Und wenn kein Baustein passt? Das Pentest-Labor ist so ein Fall. Legen Sie dafür im Cockpit mit ‚Neu‘ eine eigene Anforderung an: Einordnung, ID, Bezeichnung, Beschreibung und Begründung. Etwa: Das Labor ist physisch vom Produktivnetz getrennt. Das BSI nennt das einen benutzerdefinierten Baustein. Für solche Objekte ist zusätzlich eine Risikoanalyse fällig. Dokumentieren Sie auch, was Sie nicht modellieren – mit Grund. Bei RECPLAST heißt es etwa: ‚Es gibt kein Datenträgerarchiv‘. Die Reihenfolge R1, R2, R3 ist keine Gewichtung. Am Ende sind alle relevanten Bausteine umgesetzt. Im Cockpit sehen Sie im Tab ‚Assets‘, wie viele Bausteine an jedem Asset hängen. Im nächsten Teil: der IT-Grundschutz-Check – Anforderung für Anforderung bewerten.