Geschäftsprozesse und Schutzbedarf
Grundschutz++ beginnt bei den Geschäftsprozessen. Sie sind zu identifizieren und zu dokumentieren; dabei können Prozesslandkarten und bestehende Managementsysteme wie ein BCMS oder ein Datenschutzmanagementsystem genutzt werden. Fehlt beides, bietet Anhang 2 eine vereinfachte Geschäftsprozessanalyse.
Der Schutzbedarf wird je Geschäftsprozess festgelegt, mit zwei Kategorien: normal und hoch. Die bisherigen Vorgehensweisen Basis-, Kern- und Standard-Absicherung gibt es nicht mehr.
Vom Asset zum Anforderungspaket
Die für die Geschäftsprozesse relevanten Assets werden erfasst und Zielobjektkategorien zugeordnet. Zielobjektkategorien sind standardisierte Klassen wie Anwendungen oder IT-Systeme. Sie stehen in einer Hierarchie aus Eltern- und Kindknoten; einem Asset sind immer auch die übergeordneten Kategorien zuzuordnen. Anhang 1 definiert jede Kategorie.
Blaupausen sind vorgefertigte Anforderungskataloge für bestimmte Anwendungsszenarien. Für manche Institutionen können Blaupausen verpflichtend sein. Auswahl, Version und Anpassung sind zu dokumentieren.
Aus allen zugeordneten Kategorien ergibt sich das Anforderungspaket. Anforderungen ohne Zielobjektkategorie gelten für den gesamten Informationsverbund und sind verpflichtend aufzunehmen. Für jedes Paket wird das Sicherheitsniveau gewählt: normal-SdT (Stand der Technik) oder erhöht.
Parameter wie „regelmäßig“ werden bei oder nach der Erstellung des Pakets konkretisiert (Kap. 3.5, Gestaltungsentscheidungen). Sie zeigen Spielräume auf und können automatisiert geprüft werden.
MUSS, SOLLTE, KANN
Für jede Anforderung wird der Umsetzungsstatus ermittelt: „erfüllt“, „nicht erfüllt“ oder „nicht anwendbar“, Letzteres mit Begründung. Was bei Nichterfüllung folgt, bestimmt das Modalverb.
Häufen sich dauerhafte Nichterfüllungen von SOLLTE-Anforderungen, kann der Stand der Technik insgesamt verfehlt sein. Im Zertifizierungsaudit kann daraus eine erhebliche Abweichung werden.
Risikobetrachtung mit 35 Mindestkriterien
Bei normalem Schutzbedarf ist die Risikobetrachtung im Anwenderkatalog vorweggenommen. Eine eigene Betrachtung ist erforderlich bei hohem Schutzbedarf, bei Assets ohne passende Zielobjektkategorie und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen.
Die Methode ist frei wählbar, etwa nach ISO/IEC 27005 oder ISO 31000. Sie muss aber die 35 Mindestkriterien aus Anhang 3 erfüllen. Diese reichen von der Initiierung über Risikoidentifikation und -bewertung bis zur Risikobehandlung, zum Beispiel ein einheitliches dokumentiertes Verfahren, festgelegte Risikoeigentümer, ein definierter Risikoappetit und Risikoakzeptanzkriterien.
Aus Auditsicht ist Anhang 3 die Prüfliste für Ihre Risikomethode. Wer eine eigene Methode nutzt, sollte die Abdeckung der 35 Kriterien vorab nachweisen können.
Anwenderkatalog und Stand-der-Technik-Bibliothek
Die Anforderungen von Grundschutz++ liegen maschinenlesbar im Format OSCAL vor, im Anwenderkatalog der Stand-der-Technik-Bibliothek des BSI. Er löst das IT-Grundschutz-Kompendium ab. ISMS-Werkzeuge können den Katalog direkt einlesen; Nachweise lassen sich damit Anforderung für Anforderung zuordnen.
Katalog und Standard werden laufend weiterentwickelt. In der Community werden derzeit Abweichungen zwischen Katalog und Standard 300-1 diskutiert, etwa zu Statuswerten und zur Gruppenbildung gleichartiger Assets. Prüfen Sie deshalb immer, gegen welche Katalogversion Sie arbeiten.
Stand der Technik und OSCAL erklärt → · BSI-Standard 300-1 beim BSI lesen →