IT-Grundschutz: Ziel, Idee und Konzeption
In den IT-Grundschutz-Katalogen werden Standard-Sicherheitsmassnahmen für typische IT-Systeme empfohlen. Ziel ist, durch geeignete Anwendung von organisatorischen, personellen, infrastrukturellen und technischen Standard-Sicherheitsmassnahmen ein Sicherheitsniveau für IT-Systeme zu erreichen, das für den normalen Schutzbedarf angemessen und ausreichend ist.
IT-Grundschutz wendet das Baukastenprinzip an. Die einzelnen Bausteine spiegeln typische Bereiche des IT-Einsatzes wider, wie beispielsweise Client-Server- Netze, bauliche Einrichtungen, Kommunikations- und Applikationskomponenten. In jedem Baustein wird zunächst die zu erwartende Gefährdungslage beschrieben, wobei sowohl die typischen Gefährdungen als auch die pauschalisierten Eintrittswahrscheinlichkeiten berücksichtigt werden. Diese Gefährdungslage bildet die Grundlage, um ein spezifisches Massnahmenbündel aus den Bereichen Infrastruktur, Personal, Organisation, Hard- und Software, Kommunikation und Notfallvorsorge zu generieren.
Vorwort zu Risikobewertungsmethoden
Die Risikobewertung in der IT-Sicherheit unterscheidet sich in wesentlichen Punkten von klassischen Methoden der Versicherungsmathematik oder des Controllings. Die exakte Berechnung von Schadenshöhen und Eintrittswahrscheinlichkeiten bei einer "klassischen" oder quantitativen Risikoanalyse ist meistens nicht möglich, da geeignetes Zahlenmaterial fehlt. Selbst wenn eine Berechnung möglich ist, bleibt die Interpretation der Ergebnisse sehr schwierig. Für viele Szenarien fehlen zudem ausreichende Erfahrungswerte, um die Eintrittswahrscheinlichkeiten fundiert bestimmen zu können, beispielsweise weil neue Technologien eingesetzt werden bzw. wenig fundiertes Basismaterial vorhanden ist. Selbst wenn genügend Daten vorliegen, um Eintrittswahrscheinlichkeiten und Schadenshöhen bestimmter Schadensereignisse einigermassen seriös bestimmen zu können, ist die Erstellung eines IT Sicherheitskonzepts auf Basis einer klassischen Risikoanalyse extrem aufwendig und teuer.
Risikobewertungsmethode des Grundschutzhandbuch
Bei der Vorgehensweise nach IT Grundschutz wird davon ausgegangen, dass unabhängig von der Art und Ausrichtung einer Institution aufgrund des Einsatzes ähnlicher IT Umgebungen und der Existenz vergleichbarer Umfeldbedingungen meistens vergleichbare Bedrohungen für den sicheren Betrieb der Informationsverarbeitung vorliegen. Die Sicherheitsanforderungen der Geschäftsprozesse und Fachanwendungen sind zwar individuell und können unterschiedlich sein, in der Praxis führen sie jedoch meist zu ähnlichen und vergleichbaren Sicherheitsanforderungen.
Das BSI analysiert für die Vorgehensweise nach IT Grundschutz in den IT Grundschutzkatalogen Schwachstellen und Bedrohungen für typische IT Komponenten und ermittelt daraus die resultierenden Gefährdungen. Es werden nur solche Gefährdungen betrachtet, die nach sorgfältiger Analyse eine so hohe Eintrittswahrscheinlichkeit oder so einschneidende Auswirkungen haben, dass IT Sicherheitsmassnahmen ergriffen werden müssen. Typische Gefährdungen, gegen die sich jeder schützen muss, sind z. B. Schäden durch Feuer, Einbrecher, Computerviren oder Hardwaredefekte. Dieser Ansatz hat den Vorteil, dass Anwender des IT Grundschutzes für einen Grossteil des IT Betriebs keine Bedrohungs- und Schwachstellenanalysen durchführen oder Eintrittswahrscheinlichkeiten berechnen müssen.
Auf Basis der ermittelten Gefährdungen beschreiben die IT Grundschutzkataloge bewährte technische, infrastrukturelle, personelle und organisatorische Standard-Sicherheitsmassnahmen für typische IT Komponenten.
Für Informationen und Geschäftsprozesse mit einem hohen oder sehr hohen Schutzbedarf oder für Einsatzumgebungen, die im IT Grundschutz nicht behandelt werden, muss eine ergänzende Risikoanalyse durchgeführt werden. Ein mögliches Vorgehen wird im BSI Standard 100-3 beschrieben.