Der IT-Grundschutz-Check
Der IT-Grundschutz-Check erklärt: Soll-Ist-Vergleich der Anforderungen, Status ja, teilweise, nein, entbehrlich, Ablauf mit Interviews und Dokumentation.
Der IT-Grundschutz-Check ist eine geordnete Bestandsaufnahme: Für jede Empfehlung des BSI, die Ihren Betrieb betrifft, wird geprüft, ob sie schon umgesetzt ist. Das Ergebnis zeigt schwarz auf weiß, wo Ihr Betrieb gut aufgestellt ist und wo Lücken bestehen.
Wie das abläuft
Eine verantwortliche Person, oft mit Unterstützung von außen, geht die Liste der zutreffenden Empfehlungen durch und spricht dazu mit den Zuständigen: mit der IT, mit der Personalverwaltung, mit der Haustechnik. Zu jeder Empfehlung wird festgehalten, ob sie erfüllt ist, teilweise erfüllt, noch nicht erfüllt oder für Ihren Betrieb nicht nötig, und warum.
Was Sie davon haben
- Einen ehrlichen Stand statt eines Bauchgefühls.
- Eine Liste offener Punkte, die sich nach Wichtigkeit abarbeiten lässt.
- Eine Grundlage für Gespräche mit Versicherern, Kunden oder Auftraggebern, die nach Ihrer Sicherheit fragen.
Wie oft?
Einmal ist nicht genug. Der Check wird regelmäßig wiederholt, damit sichtbar wird, ob die Lücken tatsächlich geschlossen wurden und ob neue entstanden sind, etwa durch neue Geräte oder Programme.
Der nächste Schritt
Planen Sie für den ersten Check einige Gesprächstermine mit den Zuständigen ein. Für kleine Betriebe bieten die WiBA-Checklisten des BSI eine vereinfachte Form desselben Prinzips.
Definition
Der IT-Grundschutz-Check ist nach dem Glossar des IT-Grundschutz-Kompendiums die Überprüfung, ob die nach IT-Grundschutz empfohlenen Anforderungen in einer Institution bereits erfüllt sind und welche grundlegenden Sicherheitsanforderungen noch fehlen. Früher hieß er Basis-Sicherheitscheck. Er ist Bestandteil aller drei Vorgehensweisen des BSI-Standards 200-2: bei der Basis-Absicherung beschränkt auf die Basis-Anforderungen, bei Kern- und Standard-Absicherung für Basis- und Standard-Anforderungen.
Voraussetzungen
Für die Standard-Absicherung setzt der Check voraus, dass Strukturanalyse, Schutzbedarfsfeststellung und Modellierung vorliegen. Das Modell aus der Modellierung wird als Prüfplan genutzt: Jeder Baustein am jeweiligen Zielobjekt liefert die zu prüfenden Anforderungen.
Ablauf in drei Schritten
1. Organisatorische Vorarbeiten
- Hausinterne Regelungen, Arbeitsanweisungen, Handbücher und Dokumentation bereits umgesetzter Maßnahmen sichten und klären, wer jeweils zuständig ist.
- Feststellen, ob externe Stellen beteiligt werden müssen, etwa IT-Dienstleister, Rechenzentrum oder Vermieter.
- Für jeden modellierten Baustein einen Hauptansprechpartner festlegen. Hilfreich sind die in den Anforderungen genannten Rollen: für ORP-, CON- und OPS-Bausteine die fachlich Zuständigen, für SYS-, NET- und IND-Bausteine die Administration, für APP-Bausteine die Anwendungsverantwortlichen, für INF-Bausteine die Haustechnik.
- Terminplan für Interviews mit Ausweichterminen abstimmen. 200-2 empfiehlt Zweierteams: eine Person fragt, eine dokumentiert.
2. Soll-Ist-Vergleich
Die Anforderungen werden mit den Ansprechpartnern der Reihe nach durchgegangen. Grundlage sind Interviews und stichprobenartige Kontrollen, etwa ein Blick in Konfigurationen, Protokolle oder Verträge. Umsetzungshinweise und Checklisten sollten griffbereit sein.
3. Dokumentation
200-2 empfiehlt, zu jedem geprüften Baustein Stammdaten festzuhalten: Nummer und Bezeichnung des Zielobjekts oder der Gruppe, Standort, Erfassungsdatum, Name der erfassenden Person und die befragten Ansprechpartner. Je Anforderung werden dann tabellarisch erfasst:
- Umsetzungsgrad (entbehrlich, ja, teilweise, nein) und, im Hinblick auf eine Zertifizierung, durch welche Maßnahmen die Anforderung konkret erfüllt wird,
- Umsetzung bis: Platzhalter für den Termin aus der späteren Realisierungsplanung,
- Verantwortliche, sofern bereits eindeutig,
- Bemerkungen und Begründungen, insbesondere bei «entbehrlich» und bei noch offenen Maßnahmen,
- Defizite und Kostenschätzung: das mit nicht oder teilweise erfüllten Anforderungen verbundene Risiko sowie der geschätzte finanzielle und personelle Aufwand.
Der Dokumentationsaufwand wird laut 200-2 oft unterschätzt; geeignete Hilfsmittel wie Formulare je Baustein oder Werkzeuge sind daher sinnvoll.
Die vier Status
| Status | Bedeutung nach 200-2 |
|---|---|
| ja | Geeignete Maßnahmen sind vollständig, wirksam und angemessen umgesetzt. |
| teilweise | Die Anforderung ist nur teilweise umgesetzt. |
| nein | Die Anforderung ist noch nicht erfüllt, geeignete Maßnahmen fehlen größtenteils. |
| entbehrlich | Die Erfüllung ist in der vorgeschlagenen Art nicht notwendig, weil die Anforderung im Informationsverbund nicht relevant ist oder durch Alternativmaßnahmen behandelt wird. |
Vorsicht bei «entbehrlich»
200-2 knüpft den Status entbehrlich an Bedingungen. Über die Kreuzreferenztabelle des Bausteins sind die zugehörigen elementaren Gefährdungen zu identifizieren. Bei Alternativmaßnahmen ist zu begründen, dass das Risiko aller betreffenden Gefährdungen angemessen minimiert ist. Bei Basis-Anforderungen kann das entstehende Risiko nicht übernommen werden. Und eine Anforderung darf nicht als entbehrlich gelten, wenn das Risiko für eine im Baustein identifizierte elementare Gefährdung pauschal akzeptiert oder ausgeschlossen wird.
Gute Praxis
- Ehrlich bewerten. «Teilweise» ist kein Makel, sondern eine Arbeitsgrundlage. Ein geschöntes Ergebnis rächt sich spätestens im Vorfall oder im Audit.
- Nachweise sammeln. Screenshots, Konfigurationsauszüge oder Dokumentverweise erleichtern die nächste Wiederholung.
- Gruppen stichprobenartig prüfen. Bei Gruppen von Systemen genügt eine begründete Auswahl, die Gruppe muss aber tatsächlich homogen sein.
- Ergebnisse konsolidieren. Mehrfach auftretende Lücken, etwa fehlende Patch-Prozesse auf mehreren Systemgruppen, lassen sich oft mit einer übergreifenden Maßnahme schließen.
Vom Check zur Umsetzung
Die Status nein und teilweise ergeben die Liste der Sicherheitsdefizite. Daraus werden konkrete Maßnahmen abgeleitet, nach Wirkung und Aufwand priorisiert und mit Verantwortlichen und Terminen in einen Realisierungsplan übernommen. Bei Zielobjekten mit erhöhtem Schutzbedarf folgt vorher die Risikoanalyse nach BSI-Standard 200-3. Der Check wird im Rahmen der Aufrechterhaltung des Sicherheitsprozesses regelmäßig wiederholt, mindestens bei wesentlichen Änderungen.
Häufige Fragen aus der Praxis
Wer darf den Check durchführen? Grundsätzlich die Institution selbst, in der Regel koordiniert durch den ISB. Externe Unterstützung bringt Methodenerfahrung und einen unabhängigeren Blick, die Antworten müssen aber von den Zuständigen im Betrieb kommen.
Werkzeuge
Das BSI stellt zu den Bausteinen Checklisten bereit. Für größere Verbünde lohnt ein Werkzeug, das Modellierung und Check verknüpft, Status und Begründungen historisiert und Berichte erzeugt.
Verhältnis zu WiBA
Der WiBA-Weg des BSI übersetzt die Basis-Absicherung in Checklisten mit Prüffragen. Er folgt demselben Prinzip des Soll-Ist-Vergleichs, ist aber für kleine Organisationen ohne tiefe Methodenkenntnis gedacht.
Häufige Fragen
Was ist der IT-Grundschutz-Check?
Ein Soll-Ist-Vergleich, bei dem für jede zutreffende Anforderung aus dem IT-Grundschutz-Kompendium geprüft wird, ob sie erfüllt ist.
Welche Status gibt es im IT-Grundschutz-Check?
Ja, teilweise, nein und entbehrlich. Entbehrlich ist nur mit Begründung zulässig.
Wie oft sollte der IT-Grundschutz-Check wiederholt werden?
Regelmäßig im Rahmen der Aufrechterhaltung des Sicherheitsprozesses und bei wesentlichen Änderungen im Informationsverbund. Ein festes Intervall schreibt 200-2 nicht vor.