IT-Grundschutz-Check im Cockpit durchführen – Teil 7 der BSI-Reihe

In diesem Video führen Sie den IT-Grundschutz-Check durch: Für jede Anforderung halten Sie fest, wie weit sie umgesetzt ist. Der Check ist ein Soll-Ist-Vergleich, meist im Gespräch mit den Fachverantwortlichen. Im Cockpit filtern Sie auf Ihren Katalog: IT-Grundschutz Informationsverbund München. Oben die Kennzahlen: Erfüllungsgrad, offene Aufgaben und die nächste Frist. Darunter die Heatmap. Jede Kachel ist eine Anforderung, mit Kennung, Name und Status. Die Status entsprechen dem BSI-Check: Erfüllt heißt ja, teilweise erfüllt teilweise, nicht erfüllt nein. Nicht anwendbar entspricht entbehrlich. Nicht bewertet heißt: noch nicht erhoben. Öffnen wir eine Anforderung: ISMS.1.A1, Übernahme der Gesamtverantwortung durch die Leitungsebene. Status: erfüllt. Beschreiben Sie konkret, wie umgesetzt ist: Die Geschäftsführung hat die Leitlinie unterzeichnet und erhält monatlich einen Bericht. ‚Ja‘ allein reicht nicht. Das Kompendium formuliert nur Anforderungen – die Umsetzung beschreiben Sie. Jetzt ISMS.1.A5: Vertragsgestaltung bei Bestellung eines externen ISB. Der ISB der Datensicherheit GmbH ist extern. Der Vertrag existiert, regelt aber noch keine Vertretung. Legen Sie fest, wer die Lücke schließt und bis wann. Unter ‚Begründung des Einschlusses‘ halten Sie fest, warum die Anforderung gilt. Und eine Anforderung, die nicht überall zutrifft: NET.4.2.A5, Sichere Konfiguration der VoIP-Middleware. Eine Anforderung kann an mehreren Assets hängen. Im Tab ‚Assets‘ bewerten Sie jedes einzeln. Je Asset gibt es Status, offene Maßnahmen und eine eigene Frist. Der Status der Anforderung ergibt sich aus ihren Assets. Erfüllt ist sie erst, wenn alle zutreffenden Assets erfüllt sind. Entbehrliche Assets zählen nicht mit. Wählen Sie ‚Nicht anwendbar‘. preeco verlangt dann eine Begründung. Zum Beispiel: Auf dem Firewall-Cluster läuft keine VoIP-Middleware. Der Firewall-Cluster ist jetzt entbehrlich und zählt nicht mehr mit. Entbehrlich heißt: nicht relevant. Nicht: ‚wollen wir nicht‘. Dafür gibt es die Risikoakzeptanz. Unter ‚Maßnahmen‘ verknüpfen Sie, was die Anforderung erfüllt: Regelwerke, TOMs oder Assets. Jede Maßnahme hat einen Umsetzungsgrad von null bis hundert Prozent. Fehlt ein Nachweis, fordern Sie ihn an – auch von jemandem ohne preeco-Zugang. Empfänger, Beschreibung, Frist. Der Nachweis landet direkt an der Anforderung. Der Tab ‚Nachweise‘ ist Ihre Arbeitsliste: Hier stehen alle Nachweise mit ihrer Gültigkeit, veraltete markiert, und offene Nachweisanforderungen. Kann eine Anforderung bewusst nicht umgesetzt werden, erfassen Sie eine Ausnahme. Mit Begründung, Genehmigung durch die Leitung, Befristung und Auflagen. Ausnahmen zählen nicht als erfüllt. Sie bleiben sichtbar, bis sie ablaufen. Für Befragungsrunden wechseln Sie in die Listenansicht. Markieren Sie mehrere Anforderungen … … und setzen Sie Zuständigkeit und Frist in einem Schritt. Beides gilt dann für alle markierten Anforderungen. Stimmen Sie das Ergebnis am Ende jedes Bausteins mit den Befragten ab. Im Board sehen Sie die Anforderungen nach Status. Der Erfüllungsgrad wächst mit jeder Bewertung. Der Trend zeigt den Fortschritt über die Zeit. Im nächsten Teil: die Risikoanalyse für alles, was hohen Schutzbedarf hat.