Grundschutz

Mit einer Einführung und einem Katalog umfaßt die Kollektion mehr als 4.800 S. (15. Nachlieferung ab 2016) und bildet die Basis für die Zertifizierungen nach IT-Grundschutz. Zertifizierungen zeigen, dass ein Betrieb angemessene Massnahmen ergriffen hat, um seine IT-Systeme vor Bedrohungen der IT-Sicherheit zu schützen. Bei erhöhten Sicherheitsanforderungen kann der IT-Grundschutz als Basis für weitere Massnahmen dienen.

Das Handbuch zur Information Security ist ein einführendes Dokument zum Thema Information Security und beschäftigt sich mit den wesentlichen Inhalt. Zuerst wird die Katalogsgruppe benannt, B steht für Modul, B für Maß und B für Gefahr. Anschliessend erfolgt die Angabe der Schichtnummer, die auf dieses Element im Gesamtkatalog verweist, gefolgt von der fortlaufenden Schichtnummer.

In der ersten Ebene geht es um organisatorische Fragestellungen rund um die Themen Führung, Mitarbeiter oder Auslagerung. Bei der Verlagerung der Strukturen stehen strukturelle Gesichtspunkte im Vordergrund. In der IT-Systemschicht geht es um die Charakteristika von IT-Systemen, zu denen neben Client und Server auch Telefonsysteme oder Fax-Geräte gehören. Indem sie in Arbeitsschichten unterteilt werden, können auch die von jeder Arbeitsschicht betroffene Personengruppe eindeutig definiert werden.

Der erste Layer appelliert an das Managment. Der dritte Layer wird von der Systemadministration betreut. Der vierte Layer liegt in der Verantwortung von Netzwerk-Administratoren und der fünfte Layer ist der von Applikations-Administratoren, Entwicklern und IT-Anwendern. Jedes Modul hat den gleichen Aufbauplan. Diese Modulnummer besteht aus der Anzahl der Layer, in denen sich das Modul gerade aufhält und einer in dieser Layer einmaligen Layer.

Im Anschluss an eine kurze Darstellung der vom Modul berücksichtigten Sachverhalte wird die entsprechende Gefährdungssituation beschrieben. Danach erfolgt eine Auflistung der individuellen Gefährdungsquellen. Es handelt sich dabei um weitere Informationen, die nicht unbedingt für die Schaffung eines Basisschutzes abzuarbeiten sind. In einer Kurzbeschreibung werden die erforderlichen Massnahmen erläutert. Die Texte folgen dem Lebenslauf der betreffenden Ausgabe und umfassen unter anderem die Bereiche Planen und Konzipieren, Beschaffen (falls erforderlich), Umsetzen, Betreiben, Entsorgen (falls erforderlich) und Notfallvorsorge.

Die Einzelmaßnahmen werden nach der detaillierten Beschreibung wieder in einer Übersicht zusammengefaßt, die nun nach der Gliederung des Maßnahmenkatalogs und nicht mehr nach dem Lebensweg geordnet ist. Die Massnahmen sind in die Klassen A, B, C, W und C eingeteilt. Massnahmen der Klasse A führen in das Thema ein, Massnahmen der Klasse B verlängern es und die Klasse C ist dann für die Bescheinigung des Basisschutzes vonnöten.

Die Massnahmen der Klasse C sind weitere Massnahmen, die sich in der Anwendung bewähren. Massnahmen der Klasse W sind Massnahmen, die Hintergrundinformationen zum entsprechenden Themengebiet vermitteln und zu einem zusätzlichen Basisverständnis des betreffenden Themas beizutragen. Damit das jeweilige Modul so klein wie möglich gehalten wird, werden oft die globalen Gesichtspunkte in einem Modul kombiniert, während in einem zweiten Modul gezieltere Daten erfasst werden.

Ein Beispiel ist der Apache Webserver: Das allgemeine Modul B 5.4 Web-Server, in dem die Massnahmen und Gefahren für jeden Web-Server beschrieben sind, sowie das Modul B 5.11, das sich spezifisch mit dem Apache-Web-Server befasst, gelten für ihn. Auch für andere, teilweise ganz andere Module können die im Modul dargestellten Massnahmen oder Gefahren von Bedeutung sein.

Dadurch wird ein Netzwerk aus den Einzelkomponenten der Kataloge von IT-Grundschutz geschaffen. Nach den Komponentenkatalogen gehen die Gefahrenkataloge detaillierter auf die mögliche Gefährdung von IT-Systemen ein. Man unterscheidet zwischen Elementargefahren, höherer Gewalt, Organisationsmängeln, menschlichem Fehlverhalten, technischem Fehlverhalten und vorsätzlichem Handeln. Das in diesen Verzeichnissen zusammengetragene Wissen ist nach Ansicht des BSI nicht zwingend für die Schaffung eines Basisschutzes vonnöten.

In einem Maßnahmenkatalog sind die zur Durchführung des Basisschutzes erforderlichen Massnahmen zusammengefaßt. Für mehrere Systemkomponenten geeignete Massnahmen werden nur einmal an zentraler Stelle erläutert. Zusätzlich werden Ebenen zur Gliederung der individuellen Kennzahlengruppen verwendet. Die Verantwortlichen für die Einleitung und Durchführung der Massnahme werden in der entsprechenden Massnahmenbeschreibung zuerst benannt.

Eine detaillierte Darstellung der Massnahme erfolgt im Folgenden. Schließlich werden Steuerungsfragen zur richtigen Implementierung angesprochen. Im Rahmen der Durchführung der Maßnahmen sollte zunächst geprüft werden, ob sie an den entsprechenden Vorgang angepasst werden müssen. Zum Abschluss der Massnahmen gibt es seit der zehnten Nachlieferung so genannte Testfragen, die die essentiellen Punkte einer Massnahme wieder aufnehmen und damit eine gewisse Kontrollliste darüber bilden, ob diese auch durchgeführt wurden.

Die zu realisierenden Massnahmen für die jeweiligen Module sind in einer Übersicht zusammengefasst. Dabei wird jede einzelne Massnahme bezeichnet und der Grad der Durchführung festgehalten. Dann wird die Umstellung eingeplant und ein Sachbearbeiter ernannt. Ist die Durchführung der Massnahme nicht möglich, sollten die Ursachen dafür in das folgende Eingabefeld eintragen werden.

Er fasst die Massnahmen und die wesentlichen Gefahren für die einzelne Baugruppe zusammen. Mit der Abkürzung werden sowohl Massnahmen als auch Gefahren identifiziert. Diese werden priorisiert und klassifiziert. Welche Massnahmen welchen Gefahren entgegenwirken, zeigt die folgende Übersicht. Es ist jedoch zu berücksichtigen, dass in den Querverweistabellen nur die wesentlichen Gefahren aufgeführt sind.

Wenn die oben erwähnten Gefahren einer Massnahme nicht auf das einzelne IT-System anwendbar sind, macht dies diese nicht unnötig. Nur wenn alle Massnahmen getroffen wurden, kann der Grundschutz garantiert werden. Das BSI hat seit 2005 sowohl den Ansatz zum Aufbau eines Informationssicherheitsmanagementsystems (ISMS) als auch das Verfahren zur inhaltlichen Fortschreibung komplett umgestellt.