Basis-, Kern- oder Standard-Absicherung?
Die drei Absicherungsvarianten des IT-Grundschutzes im Vergleich: Basis-, Kern- und Standard-Absicherung, für wen sie passen und wie sie aufeinander aufbauen.
Der IT-Grundschutz kennt drei Absicherungsvarianten: die Basis-, die Kern- und die Standard-Absicherung. Sie unterscheiden sich darin, wie breit und wie tief ein Betrieb seine Informationssicherheit angeht. Die Wahl ist wichtig, weil sie den Aufwand der nächsten Monate bestimmt.
Die drei Wege im Bild
- Basis-Absicherung: in die Breite. Alle Bereiche bekommen zuerst die wichtigsten Grundregeln. Gut für Betriebe, die gerade erst anfangen.
- Kern-Absicherung: in die Tiefe, aber nur an einer Stelle. Das Wertvollste im Betrieb, zum Beispiel Konstruktionsdaten oder ein zentrales Verfahren, wird zuerst gründlich geschützt.
- Standard-Absicherung: breit und tief. Das ist das vollständige Programm und das langfristige Ziel.
Welcher Weg passt zu Ihnen?
Für die meisten kleinen Betriebe ist die Basis-Absicherung der richtige Start. Gibt es in Ihrem Betrieb Daten, deren Verlust oder Diebstahl das Aus bedeuten könnte, lohnt zusätzlich die Kern-Absicherung für genau diesen Bereich. Die Standard-Absicherung ist sinnvoll, wenn bereits Grundlagen vorhanden sind oder ein Zertifikat angestrebt wird.
Wichtig zu wissen
Die Wege bauen aufeinander auf. Was Sie in der Basis-Absicherung erledigen, zählt später mit. Sie müssen sich also nicht für immer festlegen, sondern nur für den nächsten Schritt.
Der nächste Schritt
Besprechen Sie im Betrieb, welche Informationen am wichtigsten sind und was ein Ausfall kosten würde. Die Antwort zeigt meist schon, welcher Weg passt.
Grundlage im BSI-Standard 200-2
Der BSI-Standard 200-2 beschreibt drei Vorgehensweisen. Die Auswahl erfolgt nach der Ersterfassung der Prozesse, Anwendungen und IT-Systeme und wird von der Leitung entschieden. Basis- und Kern-Absicherung sind Einstiegswege; Ziel muss laut 200-2 mittelfristig ein vollständiges Sicherheitskonzept nach Standard-Absicherung sein.
Die Absicherungsvarianten im Vergleich
| Basis-Absicherung | Kern-Absicherung | Standard-Absicherung | |
|---|---|---|---|
| Umfang | gesamte Institution | abgegrenzter, möglichst kleiner Bereich | gesamter Geltungsbereich |
| Anforderungen | Basis-Anforderungen | Basis- und Standard-Anforderungen, dazu Risikoanalyse | Basis- und Standard-Anforderungen, bei erhöhtem Schutzbedarf Risikoanalyse |
| Schutzbedarfsfeststellung | nicht vorgesehen | ja | ja |
| Nachweis | Testat (laut BSI) | ISO-27001-Zertifikat möglich | ISO-27001-Zertifikat möglich |
Basis-Absicherung
Ziel ist eine breite, grundlegende Erst-Absicherung über alle relevanten Geschäftsprozesse. 200-2 empfiehlt sie, wenn
- die Informationssicherheit erst einen niedrigen Reifegrad hat,
- die Geschäftsprozesse kein deutlich erhöhtes Gefährdungspotenzial aufweisen,
- das angestrebte Sicherheitsniveau normal ist,
- keine Assets mit existenzbedrohendem Schadenspotenzial vorhanden sind und
- kleinere Sicherheitsvorfälle tolerierbar sind.
Ablauf: Geltungsbereich festlegen, Bausteine auswählen (Modellierung), IT-Grundschutz-Check für die Basis-Anforderungen, Realisierung, Entscheidung über die folgende Vorgehensweise. Eine Strukturanalyse im Sinne der Standard-Absicherung und eine Schutzbedarfsfeststellung entfallen, eine Übersicht über die Zielobjekte ist trotzdem nötig.
Kern-Absicherung
Die Kern-Absicherung konzentriert sich auf die Kronjuwelen: Geschäftsprozesse und Informationen, deren Diebstahl, Zerstörung oder Kompromittierung existenzbedrohend wäre. 200-2 empfiehlt sie, wenn diese Prozesse überschaubar sind, zügig identifiziert und klar abgegrenzt werden können und kleinere Vorfälle außerhalb dieses Bereichs akzeptabel sind.
Weil es um besonders schützenswerte Assets geht, ist grundsätzlich von erhöhtem Schutzbedarf auszugehen. Daher müssen die Basis- und Standard-Anforderungen der relevanten Bausteine vollständig erfüllt und zusätzlich eine Risikoanalyse nach BSI-Standard 200-3 durchgeführt werden. Der Informationsverbund sollte bewusst klein gehalten werden; 200-2 rät, kritische Objekte im Zweifel in abgeschotteten Umgebungen zu betreiben, statt die ganze Büro-IT auf das hohe Niveau heben zu müssen.
Schritte: Geltungsbereich, Identifikation der Kronjuwelen, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse, Umsetzung. Die Kern-Absicherung ist kein Einmalprojekt, sondern Teil des Sicherheitsprozesses und muss regelmäßig überprüft werden, solange sie nicht in die Standard-Absicherung überführt ist.
Standard-Absicherung
Die Standard-Absicherung entspricht im Wesentlichen der klassischen Methodik nach BSI-Standard 100-2 und ist die vom BSI präferierte Vorgehensweise. Ein direkter Einstieg ist laut 200-2 sinnvoll, wenn bereits mit IT-Grundschutz oder ISO 27001 gearbeitet wurde, ein ausreichender Reifegrad besteht, keine einzelnen Prozesse vordringlich abzusichern sind und Vorfälle mit spürbarem Schaden nicht akzeptabel sind. Die Schritte sind Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse, Konsolidierung und Umsetzungsplanung.
Kombinationen und Übergänge
Die Vorgehensweisen lassen sich kombinieren. Ein typischer Pfad für einen kleinen Betrieb:
- Basis-Absicherung für den ganzen Betrieb.
- Kern-Absicherung für einen besonders kritischen Bereich, falls vorhanden.
- Schrittweise Ergänzung der Standard-Anforderungen bis zur Standard-Absicherung.
Ergebnisse früherer Schritte werden weiterverwendet: Die Übersicht der Zielobjekte geht in die Strukturanalyse ein, die Modellierung wird erweitert, der Check um Standard-Anforderungen ergänzt.
Entscheidungshilfe in der Praxis
Drei Fragen helfen bei der Wahl:
- Gibt es Kronjuwelen? Wenn ja, wo liegen sie und lassen sie sich abgrenzen?
- Wie reif ist die Sicherheit heute? Gibt es Verantwortliche, Leitlinie, Datensicherung, Patch-Prozess?
- Welcher Nachweis wird gebraucht? Kunden, Versicherer oder Auftraggeber verlangen manchmal ein Zertifikat, oft genügt eine nachvollziehbare Dokumentation.
Für sehr kleine Organisationen bietet das BSI mit dem WiBA-Weg einen noch einfacheren Einstieg mit Checklisten, der auf der Basis-Absicherung aufbaut.
Häufige Fehler bei der Wahl
- Zu groß anfangen. Wer direkt mit der Standard-Absicherung für den ganzen Betrieb startet, ohne Grundlagen zu haben, verliert sich oft in der Strukturanalyse. Die Basis-Absicherung liefert schneller sichtbare Ergebnisse.
- Kronjuwelen zu weit fassen. Werden bei der Kern-Absicherung zu viele Prozesse als kritisch eingestuft, wächst der Informationsverbund und mit ihm der Aufwand für Standard-Anforderungen und Risikoanalyse. 200-2 betont, dass Kronjuwelen Informationen oder Geschäftsprozesse sind, nicht Anwendungen oder IT-Systeme, und nur einen kleinen Anteil ausmachen.
- Beim Einstieg stehen bleiben. Basis- und Kern-Absicherung sind ausdrücklich Zwischenschritte. Ohne Plan für den nächsten Schritt veralten die Ergebnisse.
- Die Entscheidung nicht dokumentieren. Die gewählte Vorgehensweise ist eine Managemententscheidung und gehört mit Begründung und Geltungsbereich in die Sicherheitsdokumentation.
Ausblick
Im künftigen Grundschutz++ werden die Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf laut BSI durch flexible Leistungszahlen mit dynamischen Schwellwerten ersetzt. Für die laufende Arbeit nach 200-2 ändert sich bis zum Ende der Übergangszeit nichts. Die Grundidee, mit dem Wichtigsten zu beginnen und schrittweise auszubauen, bleibt auch im neuen Modell erhalten.
Häufige Fragen
Welche Absicherung ist für kleine Unternehmen richtig?
Meist die Basis-Absicherung als Einstieg. Gibt es besonders kritische Daten oder Abläufe, kann für diesen Bereich zusätzlich die Kern-Absicherung sinnvoll sein.
Kann man mit der Basis-Absicherung ein Zertifikat bekommen?
Ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz setzt Kern- oder Standard-Absicherung voraus. Für die Basis-Absicherung beschreibt das BSI ein Testat.
Was sind Kronjuwelen im IT-Grundschutz?
Geschäftsprozesse und Informationen, deren Diebstahl, Zerstörung oder Kompromittierung existenzbedrohend für die Institution wäre.