Schutzbedarf-Methodik nach BSI festlegen – Teil 2 der BSI-Reihe

In diesem Video legen Sie fest, nach welchen Regeln Ihr Team den Schutzbedarf einstuft. Schutzbedarf ist nur dann vergleichbar, wenn alle nach denselben Regeln bewerten. Das BSI kennt drei Kategorien: normal, hoch und sehr hoch. Normal heißt: Die Schäden sind begrenzt und überschaubar. Hoch: Sie können beträchtlich sein. Sehr hoch: Sie können existenzbedrohend sein. Öffnen Sie in den Einstellungen den Eintrag ‚Schutzbedarf‘. Die Seite hat drei Abschnitte: Schutzziele, Schadensszenarien und Bewertungsoptionen. Zuerst die Schutzziele. Unter ‚Bearbeiten‘ wählen Sie drei oder vier. Für IT-Grundschutz genügen drei: Vertraulichkeit, Integrität und Verfügbarkeit. Brauchen Sie mehr, ergänzen Sie Authentizität oder Verbindlichkeit als viertes Schutzziel. Darunter stehen die sechs Schadensszenarien aus BSI-Standard 200-2. Verstoß gegen Gesetze oder Verträge, Beeinträchtigung des informationellen Selbstbestimmungsrechts und der persönlichen Unversehrtheit. Dazu Beeinträchtigung der Aufgabenerfüllung, negative Innen- oder Außenwirkung und finanzielle Auswirkungen. Diese sechs sind vorgegeben. Schalten Sie ab, was für Ihre Organisation nicht zutrifft. Mit ‚Neu‘ ergänzen Sie ein eigenes Szenario, zum Beispiel Vertragsstrafen gegenüber Kunden. In der Beschreibung steht, ab wann ein Schaden hoch oder sehr hoch ist. Legen Sie für jedes Szenario konkrete Schwellen fest. Die BSI-Musterfirma RECPLAST setzt finanziell bei 50.000 und 500.000 Euro an. Für die Aufgabenerfüllung zählt die Ausfallzeit: über 24 Stunden normal, unter 24 Stunden hoch, unter zwei Stunden sehr hoch. Unten steuern Sie, wie preeco den Schutzbedarf ableitet. Das Maximumprinzip: Der höchste Schaden bestimmt den Schutzbedarf. Läuft eine Anwendung mit hohem Schutzbedarf auf einem Server, wird auch der Server hoch. Der Kumulationseffekt: Viele kleine Schäden können sich zu einem größeren addieren. Hier legen Sie fest, ab wann das gilt. Bei der Datensicherheit GmbH sind es drei Quellen mit Schutzbedarf hoch. Das BSI-Beispiel: Hängen alle Standorte an einem Internetanschluss, wird seine Verfügbarkeit sehr hoch. Der Verteilungseffekt wirkt umgekehrt: Bei Redundanz oder wenig wichtigen Anteilen darf der Schutzbedarf sinken. Jede Absenkung muss begründet werden. Das BSI verlangt, solche Entscheidungen sorgfältig zu dokumentieren. Zuletzt die Vererbung: Aus welchen Quellen übernimmt ein Asset den Schutzbedarf? Aus Verarbeitungstätigkeiten – auch denen, die Sie im Auftrag durchführen. Und aus untergeordneten Assets. So erbt das Rechenzentrum den Schutzbedarf der Systeme darin. Legen Sie die Methodik einmal fest – vor dem ersten Asset. Sonst bewertet jede Abteilung nach eigenen Regeln. Im nächsten Teil: die Risikomethodik nach BSI-Standard 200-3.