Strukturanalyse nach IT-Grundschutz durchführen – Teil 4 der BSI-Reihe
Teil 4 der Video-Reihe „BSI IT-Grundschutz mit preeco“: den Informationsverbund als Asset-Baum erfassen, BSI-Asset-Typ und übergeordnetes Asset pflegen, gleichartige Objekte zusammenfassen und Geschäftsprozesse im Prozessumfeld verknüpfen.
Letzte Aktualisierung:
Transkript des Videos
In diesem Video erfassen Sie Ihren Informationsverbund: Prozesse, Anwendungen, Systeme, Räume und Netze.
Die Strukturanalyse ist die Bestandsaufnahme. Alles Weitere baut auf ihr auf.
Dazu gehören Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Gebäude, Netze und Ihre Dienstleister.
Öffnen Sie unter ‚Steuerung‘ die Assets.
Die Tabelle zeigt alle Assets mit Typ, BSI-Asset-Typ und Schutzbedarf.
Wechseln Sie in die Baumansicht.
Ganz oben steht der Informationsverbund selbst – als eigenes Asset.
Am Informationsverbund hängen später die übergreifenden Bausteine: ISMS, Organisation, Personal.
Darunter die Standorte: das Rechenzentrum und das Büro in München.
Im Rechenzentrum stehen Backup-System, Core-Netzwerk, Firewall-Cluster, Pentest-Labor und der Virtualisierungscluster.
Öffnen wir ein Asset.
Die Detailansicht bündelt alles zu diesem Asset: Daten, Schutzbedarf, Anforderungen und Risiken.
Wichtig für IT-Grundschutz sind vor allem zwei Felder.
Erstens der BSI-Asset-Typ.
Zur Auswahl stehen Informationsverbund, Anwendung, IT-System, Gebäude oder Raum und Netz.
Der BSI-Asset-Typ entscheidet später, welche Bausteine zu diesem Asset passen.
Davon unabhängig ist der technische Typ, etwa Server virtuell oder Datenbank.
Ändern Sie den BSI-Asset-Typ später, warnt preeco: Bausteine, die nicht mehr passen, werden entfernt.
Zweitens: das übergeordnete Asset. Der Cluster steht im Rechenzentrum München.
Diese Abhängigkeiten tragen später die Vererbung des Schutzbedarfs.
Tragen Sie die Verantwortlichen ein. Der Auditor fragt bei jedem Objekt, wer zuständig ist.
Unter ‚Notfall & Verfügbarkeit‘ stehen Wiederanlaufzeit, Datenverlust-Toleranz und Backup.
Diese Angaben nutzt auch das Notfallmanagement. Sie pflegen sie nur einmal.
Ein neues Asset legen Sie mit ‚Neu‘ an.
Zum Beispiel das Büronetz. BSI-Asset-Typ Netz und das Büro München als übergeordnetes Asset tragen Sie danach im Formular ein.
Nicht jedes Gerät braucht ein eigenes Asset.
Fassen Sie gleichartige Objekte zusammen: gleicher Typ, gleiche Konfiguration, gleicher Schutzbedarf. Die Datensicherheit GmbH führt alle Beratungs-Notebooks als ein Asset.
Unterscheidet sich der Schutzbedarf, gehört das Objekt nicht in die Gruppe.
Jetzt die Geschäftsprozesse.
Die Datensicherheit GmbH hat zehn: drei Hauptprozesse mit ihren Teilprozessen, von Managed Security Services bis Penetrationstests.
Im Prozessumfeld von ‚Kunden-Monitoring und SOC‘ verknüpfen Sie den Prozess mit den Assets, die er braucht.
Er braucht das SIEM und das Kunden-Monitoring – und hängt ab vom Rechenzentrumsbetrieb.
Halten Sie die Strukturanalyse aktuell. Wesentliche Änderungen melden zertifizierte Organisationen an die Zertifizierungsstelle.
Im nächsten Teil: den Schutzbedarf jedes Assets begründet einstufen.
Die Strukturanalyse ist die Bestandsaufnahme Ihres Informationsverbunds – alles Weitere nach BSI-Standard 200-2 baut auf ihr auf. Dazu gehören Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Gebäude, Netze und Ihre Dienstleister. Dieser Artikel ist Teil 4 der Video-Reihe „BSI IT-Grundschutz mit preeco“.
Voraussetzungen
- Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
- Sie verfügen über die Berechtigung, Assets zu sehen und zu bearbeiten.
Informationsverbund als Baum aufbauen
- Öffnen Sie unter „Steuerung“ die „Assets“. Die Tabelle zeigt alle Assets mit Typ, BSI-Asset-Typ und Schutzbedarf.
- Wechseln Sie über den Umschalter rechts oben in die Ansicht „Baum“.
- Ganz oben steht der Informationsverbund selbst als eigenes Asset. An ihm hängen später die übergreifenden Bausteine wie ISMS, Organisation und Personal.
- Darunter folgen die Standorte, etwa Rechenzentrum und Büro, und darunter die Systeme.
Die zwei wichtigsten Felder für IT-Grundschutz
- Öffnen Sie ein Asset und klicken Sie auf „Bearbeiten“.
- „BSI-Asset-Typ“: Zur Auswahl stehen Informationsverbund, Anwendung, IT-System, Gebäude oder Raum und Netz. Der BSI-Asset-Typ entscheidet später, welche Bausteine zum Asset passen. Unabhängig davon beschreibt der technische „Typ“ das Asset, etwa Server virtuell oder Datenbank.
- Ändern Sie den BSI-Asset-Typ später, warnt preeco: Bausteine, die nicht mehr passen, werden entfernt.
- „Übergeordnetes Asset“ im Abschnitt „Struktur“: Diese Abhängigkeiten tragen später die Vererbung des Schutzbedarfs.
- Tragen Sie die Verantwortlichen ein; der Auditor fragt bei jedem Objekt, wer zuständig ist. Unter „Notfall & Verfügbarkeit“ stehen Wiederanlaufzeit, Datenverlust-Toleranz und Backup, die auch das Notfallmanagement nutzt.
Neues Asset anlegen
- Klicken Sie in den Assets auf „Neu“, vergeben Sie Bezeichnung und Zugehörigkeit.
- Tragen Sie danach im Formular BSI-Asset-Typ und übergeordnetes Asset ein, zum Beispiel für das Büronetz den Typ Netz unterhalb des Büros.
Best Practice: Nicht jedes Gerät braucht ein eigenes Asset. Fassen Sie gleichartige Objekte mit gleichem Typ, gleicher Konfiguration und gleichem Schutzbedarf zu einem Asset zusammen, etwa alle Beratungs-Notebooks. Unterscheidet sich der Schutzbedarf, gehört das Objekt nicht in die Gruppe.
Geschäftsprozesse verknüpfen
- Öffnen Sie unter „Steuerung“ die „Geschäftsprozesse“.
- Im Tab „Prozessumfeld“ eines Prozesses verknüpfen Sie ihn mit den Assets, die er braucht, und mit den Prozessen, von denen er abhängt.
Halten Sie die Strukturanalyse aktuell. Wesentliche Änderungen melden zertifizierte Organisationen an die Zertifizierungsstelle.
Alle Teile der Reihe
← Teil 3: Risikomethodik nach BSI-Standard 200-3 · Teil 5: Schutzbedarfsfeststellung →
- Auftakt: IT-Grundschutz in neun Schritten
- Teil 1: Initiierung – Leitung, ISB und Leitlinie
- Teil 2: Schutzbedarf-Methodik festlegen
- Teil 3: Risikomethodik nach BSI-Standard 200-3
- Teil 4: Strukturanalyse (dieser Artikel)
- Teil 5: Schutzbedarfsfeststellung
- Teil 6: Modellierung
- Teil 7: IT-Grundschutz-Check im Cockpit
- Teil 8: Risikoanalyse nach BSI-Standard 200-3
- Teil 9: Audit vorbereiten