Version vom 11. Oktober 2020, 10:49 Uhr

In drei Schritten zur Informationssicherheit

Initiierung des Sicherheitsprozesses

Übernahme der Verantwortung durch die Leitungsebene
Geltungsbereichbestimmen
Sicherheitsziele festlegen und Leitlinie erstellen

Organisation des Sicherheitsprozesses

Aufbau einer Organisationsstruktur einer Informationssicherheits
Integration in bestehende Abläufe und Prozesse
Konzeption und Planung des Sicherheitsprozesses

Durchführung des Sicherheitsprozesses

Auswahl und Priorisierung der Bausteine
IT-Grundschutz-Check
Umsetzung der Sicherheitskonzeption

Sicherheitsrelevante Themen für die Leitungsebene

Sicherheitsrisiken für die Institution und deren Informationen
Auswirkungen und Kosten im Schadensfall
Auswirkungen von Sicherheitsvorfällen auf kritische Geschäftsprozesse
Sicherheitsanforderungen, die sich aus gesetzlichen und vertraglichen Vorgaben ergeben
die für eine Branche typischen Vorgehensweisen zur Informationssicherheit
der aktuelle Stand der Informationssicherheit in der Institution mit abgeleiteten Handlungsempfehlungen

Verantwortung durch die Leitungsebene

Die Leitungsebene trägt die Gesamtverantwortung für Informationssicherheit.
Die Leitungsebene muss jederzeit über mögliche Risiken und Konsequenzen für die Informationssicherheit informiert sein.
Die Leitungsebene initiiert den Informationssicherheitsprozess innerhalb der Institution und benennt einen Verantwortlichen Informationssicherheitsbeauftragten (ISB).
Die Leitungsebene unterstützt den ISB vollständig und stellt ausreichende Ressourcen bereit, um die gesetzten Ziele erreichen zu können.

Zuständigkeiten und Aufgaben des ISB

Informationssicherheitsprozess steuern und bei allen damit zusammenhängenden Aufgaben mitwirken
die Leitungsebene bei der Erstellung der Leitlinie zur Informationssicherheit unterstützen
die Erstellung des Sicherheitskonzepts, des Notfallvorsorgekonzepts und Sicherheitsrichtlinien koordinieren sowie weitere Richtlinien und Regelungen zur Informationssicherheit erlassen
die Realisierung von Sicherheitsmaßnahmen initiieren und überprüfen
der Leitungsebene über den Status quo der Informationssicherheit berichten
sicherheitsrelevante Projekte koordinieren
Sicherheitsvorfälle untersuchen
Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit initiieren und koordinieren

Definition des Informationsverbundes

Festlegen, welche kritischen Geschäftsprozesse, Fachaufgaben oder Teile der Institution der Geltungsbereich beinhalten soll.
Den Geltungsbereich eindeutig abgrenzen.
Schnittstellen zu externen Partnern beschreiben.

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Leitfaden_zur_Basis-Absicherung.pdf?__blob=publicationFile&v=3

DER IT-GRUNDSCHUTZ NACH BSI-LOS14: Unterschied zwischen den Versionen

Version vom 11. Oktober 2020, 10:49 Uhr

Inhaltsverzeichnis

In drei Schritten zur Informationssicherheit

Initiierung des Sicherheitsprozesses

Organisation des Sicherheitsprozesses

Durchführung des Sicherheitsprozesses

Sicherheitsrelevante Themen für die Leitungsebene

Verantwortung durch die Leitungsebene

Zuständigkeiten und Aufgaben des ISB

Definition des Informationsverbundes

Navigationsmenü

Suche

@@ Zeile 33: / Zeile 33: @@
 *Sicherheitsvorfälle untersuchen
 *Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit initiieren und koordinieren
+=Definition des Informationsverbundes=
+*Festlegen, welche kritischen Geschäftsprozesse, Fachaufgaben oder Teile der Institution der Geltungsbereich beinhalten soll.
+*Den Geltungsbereich eindeutig abgrenzen.
+*Schnittstellen zu externen Partnern beschreiben.
-- Erstellung der Leitlinie zur Informationssicherheit
-Bereitstellung von finanziellen, personellen und zeitlichen Ressourcen
-- Einbindung aller Mitarbeiter in den Sicherheitsprozess
-- Erstellung einer Sicherheitskonzeption Umsetzung der - Sicherheitskonzeption
-- Aufrechterhaltung der Informationssicherheit im laufenden - Betrieb und kontinuierliche Verbesserung
-Die Sicherheitsleitlinie sollte kurz und bündig formuliert sein, da sich mehr als 20 Seiten in der Praxis nicht bewährt haben. Sie sollte mindestens welche Informationen beinhalten?
-• Stellenwert der Informationssicherheit und Bedeutung der wesentlichen Informationen und der IT für die Aufgabenerfüllung,
-• Bezug der Informationssicherheitsziele zu den Geschäftszielen oder Aufgaben der Institution,
-• Sicherheitsziele und die Kernelemente der Sicherheitsstrategie für die eingesetzte IT,
-• Zusicherung, dass die Sicherheitsleitlinie von der Institutionsleitung durchgesetzt wird, und Leitaussagen zur Erfolgskontrolle und
-• Beschreibung der für die Umsetzung des Informationssicherheitsprozesses etablierten Organisationsstruktur.
-Aufbau einer IS Organisation?
-Was sind die Aufgaben des IT-Sicherheitsbeauftragten?
-Nenne mindestens 4
-den Informationssicherheitsprozess zu steuern und bei allen damit zusammenhängenden Aufga- ben mitzuwirken,
-• die Leitungsebene bei der Erstellung der Leitlinie zur Informationssicherheit zu unterstützen,
-• die Erstellung des Sicherheitskonzepts, des Notfallvorsorgekonzepts und anderer Teilkonzepte und System-Sicherheitsrichtlinien zu koordinieren sowie weitere Richtlinien und Regelungen zur Informationssicherheit zu erlassen,
-• die Realisierung von Sicherheitsmaßnahmen zu initiieren und zu überprüfen,
-• der Leitungsebene und dem IS-Management-Team über den Status quo der Informationssicher-
-heit zu berichten,
-• sicherheitsrelevante Projekte zu koordinieren,
-• Sicherheitsvorfälle zu untersuchen und
-• Sensibilisierungs- und Schulungsmaßnahmen zur Informationssicherheit zu initiieren und koordinieren.
-Was sind die Aufgaben des IS Management Teams?
-Aufgaben des IS-Management-Teams sind insbesondere:
-• Informationssicherheitsziele und -strategien zu bestimmen sowie die Leitlinie zur Informationssi- cherheit zu entwickeln,
-• die Umsetzung der Sicherheitsleitlinie zu überprüfen,
-• den Sicherheitsprozess zu initiieren, zu steuern und zu kontrollieren,
-• bei der Erstellung des Sicherheitskonzepts mitzuwirken,
-• zu überprüfen, ob die im Sicherheitskonzept geplanten Sicherheitsmaßnahmen wie beabsichtigt funktionieren sowie geeignet und wirksam sind,
-• die Schulungs- und Sensibilisierungsprogramme für Informationssicherheit zu konzipieren sowie
-• den IT-Koordinierungsausschuss und die Leitungsebene in Fragen der Informationssicherheit zu
-beraten.
-PS:
-Im IS-Management-Team sollten mindestens folgende Rollen vertreten sein: ein IT-Verantwortlicher, der IT-Sicherheitsbeauft- ragte und ein Vertreter der Anwender.
-- Im extremfall ist nur der IT Sicherheitsbeauftrage das gesamte IS Team
-Was ist der IT Koordinierungsausschuss?
-Der IT-Koordinierungsausschuss ist in der Regel keine Dauereinrichtung in einer Institution, sondern wird bei Bedarf (z. B. zur Planung größerer IT-Projekte) einberufen. Er hat die Aufgabe, das Zusam- menspiel zwischen dem IS-Management-Team, dem Vertreter der IT-Anwender, dem IT-Sicherheits- beauftragten und der Behörden- bzw. Unternehmensleitung zu koordinieren.
-Was sind die Aufgaben eines Datenschutzbeauftragten?
-Der Datenschutzbeauftragte soll dazu beitragen, dass seine Institution den Erfordernissen des Daten- schutzes umfassend Rechnung trägt. Er hat die Einhaltung der Vorschriften des Datenschutzes in allen Bereichen zu überwachen. Er nimmt seine Aufgaben im Wesentlichen durch Beratung und Kontrollen wahr.
-Was sind die Aktionspunkte zum Aufbau einer IS- Organisation?
-• Rollen für die Gestaltung des Informationssicherheitsprozesses festlegen
-• Aufgaben und V erantwortungsbereiche den Rollen zuordnen
-• Personelle Ausstattung der Rollen festlegen
-• IS-Organisation dokumentieren
-• Informationssicherheitsmanagement in die organisationsweiten Abläufe und Prozesse integrieren
-Wie wird eine Sicheitskonzeption im Informationssicherheitsmanagement erstellt?
-Wie funktioniert die Modellierung eines Informationsverbunds?
-Für die Abbildung eines im Allgemeinen komplexen Informationsverbundes auf die Bausteine der IT- Grundschutz-Kataloge bietet es sich an, die Sicherheitsaspekte gruppiert nach bestimmten Themen zu betrachten. -- Welche Themen sind das?
-Umsetzung der ergänzenden SIcherheitsanalyse
-Werbungen entfernen
-Nur 2,99 € im Monat
-Was ist die Strategie zur Informationssicherheit als zentrale Komponente des ISMS ?
-Was sind die Hilfsmittel zur Umsetzung der Sicherheitsstrategie?
-was ist der Lebenszyklus eines Sicherheitskonzepts
-Wie lauten die Aktionspunkte zum Thema: Übernahme von Verantwortung durch Leitungsebene?
-• Die Leitungsebene wird über mögliche Risiken und Konsequenzen aufgrund fehlender Informati- onssicherheit aufgeklärt.
-• Die Leitungsebene übernimmt die Gesamtverantwortung für Informationssicherheit.
-• Die Leitungsebene initiiert den Informationssicherheitsprozess innerhalb der Institution.
-Wie lauten die Aktionspunkte zur Konzeption und Planung des Sicherheitsprozesses?
-Ansprechpartner für alle Geschäftsprozesse und Fachaufgaben benennen
-• Grobeinschätzung der Wertigkeit von Informationen, Geschäftsprozesse und Fachaufgaben
-durchführen
-• Rahmenbedingungen ermitteln
-• Bedeutung der Geschäftsprozesse, Fachaufgaben und Informationen abschätzen
-• Allgemeine Informationssicherheitsziele festlegen
-• Zustimmung der Leitungsebene einholen
-Was sind die Aktionspunkte bei der Erstellung einer SIcheheitsleitlinie?
-• Auftrag der Leitungsebene zur Erarbeitung einer Sicherheitsleitlinie einholen
-• Geltungsbereich festlegen
-• Entwicklungsgruppe für die Sicherheitsleitlinie einberufen
-• Inkraftsetzung der Sicherheitsleitlinie durch die Leitungsebene veranlassen
-• Sicherheitsleitlinie bekannt geben
-• Sicherheitsleitlinie regelmäßig überprüfen und gegebenenfalls aktualisieren
-Was sind die Aktionspunkte zum Aufbau einer IS- Organisation?
-• Rollen für die Gestaltung des Informationssicherheitsprozesses festlegen
-• Aufgaben und V erantwortungsbereiche den Rollen zuordnen
-• Personelle Ausstattung der Rollen festlegen
-• IS-Organisation dokumentieren
-• Informationssicherheitsmanagement in die organisationsweiten Abläufe und Prozesse integrieren
-Was sind die Aktionspunkte zur Bereitstellung von Ressourcen für die Informationssicherheit?
-• Angemessenheit und Wirtschaftlichkeit im gesamten Sicherheitsprozess berücksichtigen
-• Gleichgewicht zwischen organisatorischer und technischer Informationssicherheit sicherstellen
-• Angemessene Ressourcen für den IT-Betrieb, das Informationssicherheitsmanagement und die Überprüfung der Informationssicherheit einfordern
-• Gegebenenfalls auf externe Ressourcen zurückgreifen
-Was sind die Aktionspunkte zur Einbindung aller MA in den IS Prozess
-• Frühzeitig die Mitarbeiter und den Personal- bzw. Betriebsrat bei der Planung und Gestaltung von Sicherheitsmaßnahmen und Regelungen beteiligen
-• Alle Mitarbeiter für die sie betreffenden Aspekte der Informationssicherheit schulen und regelmä- ßig sensibilisieren
-• Alle Mitarbeiter über den Sinn von Sicherheitsmaßnahmen aufklären
-• Ansprechpartner zu Sicherheitsfragen festlegen und Zuständigkeiten bekannt geben
-• Melde- und Eskalationswege für Sicherheitsvorfälle festlegen und bekannt geben
-• Sicherstellen, dass bei Ausscheiden oder Aufgabenwechsel von Mitarbeitern die erforderlichen Sicherheitsmaßnahmen eingehalten werden
-Was sind die Aktionspunkte zur Definition eines Geltungsbereichs für die Sicherheitskonzeption?
-• Festlegen, welche kritischen Geschäftsprozesse, Fachaufgaben oder Teile der Institution der Geltungsbereich beinhalten soll
-• Den Geltungsbereich eindeutig abgrenzen
-• Schnittstellen zu externen Partnern beschreiben
-Werbungen entfernen
-Nur 2,99 € im Monat
-Was sind die Aktionspunkte zur Komplexitätreduktion durch Gruppenbildung?
-• Bei allen Teilaufgaben der Strukturanalyse gleichartige Objekte zu Gruppen zusammenfassen
-• Typ und Anzahl der jeweils zusammengefassten Objekte vermerken
-Was sind die Aktionspunkte zur Erfassung der Anwendungen und der zugehörigen Informationen?
-• Mit Einbeziehung der Fachabteilung, der Verantwortlichen für die Anwendungen und der unterstützenden IT-Abteilung herausfinden, welche Anwendungen für die betrachteten Ge- schäftsprozesse oder Fachaufgaben erforderlich sind
-• Übersicht über die Anwendungen erstellen und mit eindeutigen Nummern oder Kürzeln kennzeichnen
-• Für jede Anwendung die entsprechenden Geschäftsprozesse, verarbeitete Informationen, Verant- wortliche und gegebenenfalls Benutzer vermerken
-• Für jede Anwendung vermerken, inwieweit personenbezogene Daten mit ihr verarbeitet werden
-PS:
-Die Art der Information wird hier für jede Anwendung kurz miterfasst, um schneller einschätzen zu können, welcher Schutzbedarf sich für die jeweiligen Anwendungen ergibt, die diese Informationen verarbeiten.
-Was sind die Aktionspunkte zur Netzplanerhebenung?
-• Existierende graphische Darstellungen des Netzes, beispielsweise Netztopologiepläne, sichten
-• Netzpläne gegebenenfalls aktualisieren oder neu erstellen
-• Existierende Zusatzinformationen über die enthaltenen IT-Systeme sichten und gegebenenfalls aktualisieren und vervollständigen
-• Existierende Zusatzinformationen über die enthaltenen Kommunikationsverbindungen sichten und gegebenenfalls aktualisieren und vervollständigen
-Wie lauten dei Aktionspunkte zur Erhebung der IT-Systeme?
-• Prüfen, ob existierende Datenbanken oder Übersichten über die vorhandenen oder geplanten IT- Systeme als Ausgangsbasis für die weitere Vorgehensweise geeignet sind
-• Liste der vernetzten und nicht-vernetzten IT-Systeme erstellen beziehungsweise aktualisieren und vervollständigen
-• IT-Systeme beziehungsweise IT-System-Gruppen mit eindeutigen Nummern oder Kürzeln kennzeichnen
-• Die Anwendungen den IT-Systemen (Servern, Clients, Netzkoppelelementen etc.) zuordnen, die für ihre Ausführung benötigt werden
-Wie lauten die Aktionspunkte zur Erfassung der Räume?
-• Liste aller bei der Erfassung der IT-Systeme notierten Liegenschaften, Gebäude und Räume erstellen
-• Weitere Räume ergänzen, in denen schutzbedürftige Informationen aufbewahrt oder auf andere Weise verarbeitet werden
-Was sind die Aktionspunkte zur Definition der Schutzbedarfskategorien?
-• Typische Schadensszenarien für die Definition von Schutzbedarfskategorien betrachten
-• Schutzbedarfskategorien "normal", "hoch" und "sehr hoch" definieren beziehungsweise an die eigene Institution anpassen
-Was sind die Aktionspunkte zur Schutzbedarfsfestellung für Anwendungen?
-• Schutzbedarf der erfassten Anwendungen anhand von Schadensszenarien und Fragenkatalogen ermitteln
-• Schutzbedarf der Anwendungen und die entsprechenden Begründungen tabellarisch dokumentieren
-Was sind die Aktionspunkte zur Schutzbedarfsfestellung bei IT Systemen?
-• Schutzbedarf der IT-Systeme anhand des Schutzbedarfs der Anwendungen ermitteln
-• Abhängigkeiten, das Maximumprinzip und gegebenenfalls den Kumulations- beziehungsweise
-Verteilungseffekt berücksichtigen
-• Pro IT-System(-Gruppe) die Ergebnisse für Vertraulichkeit, Integrität und Verfügbarkeit sowie die Begründungen dokumentieren
-Was sind die Aktionspunkte zur Schutzbedarfsfestellung bei Räumen?
-• Schutzbedarf der Räume aus dem Schutzbedarf der IT-Systeme und Anwendungen ableiten
-• Abhängigkeiten, das Maximumprinzip und gegebenenfalls den Kumulationseffekt berücksichti-
-gen
-• Ergebnisse und Begründungen nachvollziehbar dokumentieren
-Was sind die Aktionspunkte zur Schutzbedarfsfestellung bei Kommunikaitonsverbindungen?
-• Außenverbindungen erfassen
-• Verbindungen, über die kritische Informationen übertragen werden, identifizieren
-• Verbindungen, über die bestimmte Informationen nicht übertragen werden dürfen, ermitteln
-• Alle kritischen Kommunikationsverbindungen in tabellarischer oder graphischer Form dokumentieren
-Werbungen entfernen
-Nur 2,99 € im Monat
-Was sind die Aktionspunkte zu: Schlussfolgerungen aus den Ergebnissen der Schutzbedarfsfeststellung
-• Prüfen, ob Objekte mit erhöhten Sicherheitsanforderungen in Sicherheitszonen konzentriert werden können
-• Objekte mit erhöhten Sicherheitsanforderungen für eine ergänzende Sicherheitsanalyse vormerken
-Was sind die Aktionspunkte zur Auswahl und ANpassung von Maßnhamen?
-• Kapitel "Schichtenmodell und Modellierung" aus den IT-Grundschutz-Katalogen systematisch durcharbeiten
-• Für jeden Baustein der IT-Grundschutz-Kataloge ermitteln, auf welche Zielobjekte er im betrachteten Informationsverbund anzuwenden ist
-• Zuordnung von Bausteinen zu Zielobjekten ("IT-Grundschutz-Modell") sowie die entsprechenden Ansprechpartner dokumentieren
-• Zielobjekte, die nicht geeignet modelliert werden können, für eine ergänzende Sicherheitsanalyse vormerken
-• Maßnahmentexte aus den identifizierten Bausteinen sorgfältig lesen und gegebenenfalls anpassen
-Was sind die Aktionspunkte zu den Organisatorischen Vorarbeiten des Basis-Sicherhetschecks?
-• Hausinterne Dokumente mit Verfügungen und Regelungen sichten und Zuständigkeiten für diese Unterlagen klären
-• Feststellen, in welchem Umfang externe Stellen beteiligt werden müssen
-• Hauptansprechpartner für jeden in der Modellierung angewandten Baustein festlegen
-• Terminplan für Interviews abstimmen
-• Team für Interviews zusammenstellen
-Aktionspunkte zur Durchführung eines soll ist Vergleichs
-• Je nach Fachgebiet vorab Checklisten erstellen
-• Zielsetzung des Basis-Sicherheitschecks den Interviewpartnern erläutern
-• Umsetzungsstatus der einzelnen Maßnahmen erfragen
-• Antworten anhand von Stichproben am Objekt verifizieren
-• Ergebnisse den Befragten mitteilen
-Was sind die Aktionspunkte zur Dokumentation der Ergebnisse des Basissicherheitschecks?
-• Stamminformationen über jedes Zielobjekt in Tool, Datenbank oder Formular eintragen
-• Informationen zum Basis-Sicherheitscheck und zum Umsetzungsstatus eintragen
-• Felder beziehungsweise Platzhalter für die Realisierungsplanung vorsehen
-Was sind die Aktionspunkte zur ergänzenden Sicherheitsanalyse?
-• Grundsätzliche Vorgehensweise der Institution zur Durchführung von Risikoanalysen in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
-• Ermitteln, für welche Zielobjekte oder Gruppen von Zielobjekten eine Risikoanalyse durchge- führt werden soll
-• Management-Report für die ergänzende Sicherheitsanalyse erstellen
-• Management-Report der Leitungsebene zur Verabschiedung vorlegen
-• Falls erforderlich, BSI-Standard 100-3 "Risikoanalyse auf der Basis von IT-Grundschutz" systematisch durcharbeiten
-• Ergebnisse der Risikoanalysen in das Sicherheitskonzept integrieren
-Was sind die Aktionspunkte zur Umsetzung der Sicherheitskonzeption?
-• Fehlende oder nur teilweise umgesetzte IT-Grundschutz-Maßnahmen sowie ergänzende Sicherheitsmaßnahmen in einer Tabelle zusammenfassen
-• Sicherheitsmaßnahmen konsolidieren, das heißt, überflüssige Maßnahmen streichen, allgemeine Maßnahmen an die Gegebenheiten anpassen und alle Maßnahmen auf Eignung prüfen
-• Einmalige und wiederkehrende Kosten und Aufwand für die umzusetzenden Maßnahmen ermitteln
-• Ersatzmaßnahmen für nicht finanzierbare oder nicht leistbare Maßnahmen ermitteln
-• Entscheidung herbeiführen, welche Ressourcen für die Umsetzung der Maßnahmen eingesetzt
-werden sollen
-• Gegebenenfalls Restrisiko aufzeigen und Entscheidung der Leitungsebene darüber einholen
-• Umsetzungsreihenfolge für die Maßnahmen festlegen, begründen und dokumentieren
-• Termine für die Umsetzung festlegen und Verantwortung zuweisen