2024-1-3-oebm-der-osterreichische-baustoffmarkt - CO² ZERO

THEMA
CYBER SECURITY
WO BEGINNEN UND WO AUFHÖ-
REN?
Bei der Planung und Umsetzung von
Sicherheitsmaßnahmen tauchen in der
Praxis immer wieder folgende Fragen
auf:
- Was ist ein „angemessenes Schutzniveau“?
- Reichen die bereits ergriffenen Maßnahmen
aus?
- Wo soll man hier beginnen und wo
aufhören, wenn hundertprozentige
Sicherheit ohnehin nicht erreichbar
ist?
Da es Sicherheit nicht zum Nulltarif
gibt, und 100 % nicht erreichbar sind,
stellt sich oft die Frage, wo das angemessene
Verhältnis zwischen Kosten und
Nutzen liegt, um Maßnahmen noch
wirtschaftlich rechtfertigen zu können
und im hoffentlich nie eintretenden Anlassfall
sich nicht dem Vorwurf der Vernachlässigung
von Pflichten auszusetzen.
Eine Institution, die sich diesen Fragen
sehr intensiv widmet, ist das deutsche
Bundesamt für Sicherheit in der Informationstechnik
(BSI). Es pflegt u.a.
die BSI-Standards 200-1 bis 200-4 sowie
das „IT Grundschutz Kompendium“,
welche sich gemeinsam als „IT-Grundschutz“
zum Standardleitfaden für Informationssicherheit
etabliert haben.
Selbstauferlegtes Ziel ist es, „einen angemessenen
Schutz für alle Informationen
einer Institution zu erreichen“. Der
ganzheitliche Ansatz deckt dabei die „organisatorischen,
personellen, infrastrukturellen
und technischen Sicherheitsanforderungen“
ab, mit dem Zweck, ein
Sicherheitsniveau zu erreichen, „das für
den jeweiligen Schutzbedarf angemessen
und ausreichend ist, um institutionsrelevante
Informationen zu schützen“ [1] .
IT-GRUNDSCHUTZ ALS LEITFADEN
Das Grundschutz-Modell besteht in der
aktuellen Fassung aus insgesamt 111
Bausteinen, die in 10 Schichten unterteilt
sind. Dabei wird zwischen „Prozessbausteinen“
und „Systembausteinen“
unterschieden. Insbesondere die IT-
Grundschutz-Methodik gem. BSI-Standard
200-2 und das IT-Grundschutz-
Kompendium bieten hier wertvolle
Hilfestellungen, um ein Managementsystem
für die Informationssicherheit
aufzubauen. Begleitend zu den Standards
und dem Grundschutz-Kompendium
werden vom BSI auf der Website
des IT-Grundschutzes [3] u.a. Checklisten
mit Soll- und Muss-Kriterien angeboten.
Weiters werden u.a. Kreuzreferenztabellen
angeboten, die jeweils die Bedrohungen
des Gefahrenkataloges den
jeweiligen Anforderungen der Bausteine
gegenüberstellen, was einen guten Überblick
über mögliche Risiken bietet.
Dabei spielt es keine Rolle, ob ein bereits
bestehender Informationsverbund
in Form eines Soll-Ist-Vergleiches überprüft
werden soll, oder ob das Modell
für einen zu planenden Verbund als Entwicklungskonzept
die Sicherheitsanforderungen
vorgibt; in beiden Fällen werden
unverzichtbare Hilfsmittel geboten,
um entsprechende Schutzmaßnahmen
im Überblick zu behalten und umzusetzen.
In der kommenden Ausgabe werden
wir näher auf die Details des IT-Grundschutzes
und die Anwendbarkeit zur
Evaluierung bzw. Planung von Informationsverbünden
eingehen.
y
BAUSTEINE DES IT-GRUNDSCHUTZ-KOMPENDIUMS [2]
ISMS: Sicherheitsmanagement
ORP: Organisation und Personal
CON: Konzeption und Vorgehensweise
OPS: Betrieb
APP: Anwendung
SYS: IT-Systme
IND: Industrielle IT
NET: Netze und Kommunikation
INF: Infrastruktur
DER: Detektion und Reaktion
Quellen
[1] Bundesamt für Sicherheit in der
Informationstechnik; IT-Grundschutz-
Kompendium, 2023, Basis für Informationssicherheit,
S. 2
[2] Bundesamt für Sicherheit in der
Informationstechnik; IT-Grundschutz-
Kompendium, 2023, Schichtenmodell und
Modellierung, S. 1
[3] https://www.bsi.bund.de/DE/Themen/
Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/
it-grundschutz_node.html, abgerufen am
29.02.2024
3 . 2024 | 13