Modellierung: Bausteine zuordnen
Modellierung nach IT-Grundschutz: wie Bausteine den Zielobjekten zugeordnet werden, welche Regeln gelten und wie das Modell zum Prüfplan wird.
Bei der Modellierung nach IT-Grundschutz wird Ihr Betrieb mit den Bausteinen des BSI nachgebaut. Für jeden Bereich, etwa Organisation, Personal, Arbeitsplatz-PCs, Server, WLAN oder Büroräume, wird festgelegt, welcher Baustein gilt. Das Ergebnis ist eine Liste, die genau zu Ihrem Betrieb passt.
Wozu das gut ist
Die Modellierung beantwortet die Frage: Welche Empfehlungen des BSI betreffen uns überhaupt? Ohne diesen Schritt müssten Sie das ganze Kompendium durchgehen. Mit ihm wissen Sie, welche Bausteine relevant sind und welche nicht.
Wie das aussieht
Stellen Sie sich eine Tabelle vor. Links stehen die Dinge in Ihrem Betrieb, zum Beispiel «Büro-PCs», «Notebooks der Außendienstler», «Router», «Buchhaltungssoftware», «Büro im Erdgeschoss». Rechts steht jeweils der passende Baustein. Manche Bausteine gelten für den ganzen Betrieb, etwa der zur Organisation oder zum Personal, andere für einzelne Geräte oder Räume.
Was danach kommt
Diese Tabelle wird zur Prüfliste. Im nächsten Schritt geht man jeden zugeordneten Baustein durch und schaut, welche Empfehlungen schon umgesetzt sind.
Der nächste Schritt
Die Modellierung setzt eine Übersicht über Ihre Geräte, Programme und Räume voraus. Liegt sie vor, kann Ihre IT oder ein Berater die Zuordnung meist in überschaubarer Zeit erledigen.
Definition
Bei der Modellierung wird der betrachtete Informationsverbund mit den Bausteinen aus dem IT-Grundschutz-Kompendium nachgebildet. Ergebnis ist ein IT-Grundschutz-Modell aus verschiedenen, gegebenenfalls mehrfach verwendeten Bausteinen. Es dient als Prüfplan für den IT-Grundschutz-Check und bei geplanten Systemen als Entwicklungskonzept.
Eingangsgrößen sind die Ergebnisse der Strukturanalyse und, bei Standard- und Kern-Absicherung, der Schutzbedarfsfeststellung. Bei der Basis-Absicherung erfolgt die Modellierung direkt nach Festlegung des Geltungsbereichs.
Grundregeln
Zielobjekte bestimmen
Zielobjekte sind die Teile des Informationsverbunds, denen Bausteine zugeordnet werden. Das können physische Objekte wie IT-Systeme oder Räume sein, häufig aber logische Objekte wie Organisationseinheiten, Anwendungen oder der gesamte Informationsverbund. Gruppen aus der Strukturanalyse werden als ein Zielobjekt behandelt.
Prozess- und System-Bausteine
- Prozess-Bausteine (ISMS, ORP, CON, OPS, DER) werden in der Regel einmal auf den gesamten Informationsverbund angewendet. ISMS.1 Sicherheitsmanagement ist immer zu modellieren.
- System-Bausteine (APP, SYS, IND, NET, INF) werden auf einzelne Zielobjekte oder Gruppen angewendet und kommen oft mehrfach vor.
Hinweise im Baustein nutzen
Jeder Baustein enthält im Kapitel Abgrenzung und Modellierung Hinweise, auf welche Zielobjekte er anzuwenden ist und welche anderen Bausteine benachbarte Themen abdecken. Zusätzlich beschreibt das Kapitel Schichtenmodell und Modellierung im Kompendium für jeden Baustein den Anwendungsfall.
Allgemeine und spezifische Bausteine kombinieren
Für viele Zielobjekte gibt es einen allgemeinen und einen spezifischen Baustein. Ein Windows-Client wird zum Beispiel mit SYS.2.1 Allgemeiner Client und SYS.2.2.3 Clients unter Windows modelliert, ein Windows-Server mit SYS.1.1 Allgemeiner Server und dem passenden Windows-Server-Baustein. Der spezifische Baustein ergänzt den allgemeinen, ersetzt ihn aber nicht.
Vorgehen Schicht für Schicht
Eine bewährte Reihenfolge ist, die Schichten nacheinander durchzugehen:
- ISMS, ORP, CON, OPS, DER: Welche Prozess-Bausteine sind relevant? Gibt es Datensicherung (CON.3), Cloud-Nutzung (OPS.2.2), Telearbeit (OPS.1.2.4), Fernwartung (OPS.1.2.5)?
- INF: Gebäude, Serverraum oder Technikschrank, Büroarbeitsplätze, häusliche und mobile Arbeitsplätze.
- NET: Netzarchitektur, Router und Switches, Firewall, WLAN, VPN, Telekommunikation.
- SYS: Server, Clients, Laptops, Smartphones und Tablets, Drucker, IoT, Wechseldatenträger.
- APP: Office, Browser, E-Mail, Verzeichnisdienst, Webserver, Fachanwendungen.
- IND: nur, wenn industrielle Steuerungstechnik im Geltungsbereich liegt.
Lücken im Modell
Nicht für jedes Zielobjekt gibt es einen passenden Baustein, etwa für eine branchenspezifische Fachanwendung oder ein ungewöhnliches Gerät. Dann wird das Zielobjekt dokumentiert und mit einer Risikoanalyse nach BSI-Standard 200-3 behandelt. Oft lassen sich allgemeine Bausteine wie APP.6 Allgemeine Software oder SYS.4.4 Allgemeines IoT-Gerät als Ausgangspunkt nutzen. Das Weglassen eines Zielobjekts, nur weil kein Baustein passt, ist keine Option.
Dokumentation
Das Modell wird tabellarisch festgehalten: Baustein, Zielobjekt (oder Gruppe), Ansprechperson und gegebenenfalls Begründung, warum ein naheliegender Baustein nicht modelliert wurde. Diese Begründungen sind besonders bei einer späteren Zertifizierung wichtig, weil Auditoren die Vollständigkeit des Modells prüfen.
Reihenfolge der Umsetzung
Das Kompendium kennzeichnet Bausteine mit R1, R2 oder R3. R1-Bausteine bilden die Grundlage eines wirksamen Sicherheitsprozesses und sollten zuerst bearbeitet werden. Die Kennzeichnung steuert die Reihenfolge im Check und in der Umsetzung, sie ändert nichts daran, dass alle modellierten Bausteine zu erfüllen sind.
Beispiel
Für einen kleinen Betrieb mit Server, Windows-PCs, WLAN und einem Cloud-Dienst für E-Mail könnte ein Ausschnitt des Modells so aussehen:
| Zielobjekt | Bausteine |
|---|---|
| Gesamter Informationsverbund | ISMS.1, ORP.1, ORP.2, ORP.3, ORP.4, CON.3, OPS.1.1.3, OPS.1.1.4, OPS.2.2, DER.2.1 |
| Büro-PCs (Gruppe) | SYS.2.1, SYS.2.2.3, APP.1.1, APP.1.2 |
| Server | SYS.1.1, passender Windows-Server-Baustein, APP.3.3 |
| WLAN | NET.2.1, NET.2.2 |
| Router mit Firewall | NET.3.1, NET.3.2 |
| Büroetage | INF.1, INF.7 |
| Technikschrank | INF.5 |
Das Beispiel ist nicht vollständig; welche Bausteine tatsächlich zutreffen, ergibt sich aus der Strukturanalyse und den Modellierungshinweisen der jeweiligen Edition.
Typische Fehler
- Nur Technik modellieren. Ohne ISMS.1, ORP-Bausteine und CON.3 fehlt die organisatorische Basis.
- Cloud vergessen. Genutzte Cloud-Dienste gehören mit OPS.2.2 und den passenden APP-Bausteinen ins Modell.
- Zu feine Granularität. Jedes Gerät einzeln zu modellieren, vervielfacht den Aufwand im Check. Gruppen aus der Strukturanalyse übernehmen.
- Modell nicht pflegen. Neue Systeme, Dienstleister oder Standorte müssen nachgetragen werden.
- Editionen mischen. Bausteine werden zwischen Editionen umbenannt, zusammengelegt oder ersetzt, in der Edition 2023 etwa OPS.2.1 durch OPS.2.3 Nutzung von Outsourcing. Das Modell sollte sich durchgängig auf eine Edition beziehen.
Ausblick
Im Grundschutz++ werden Anforderungen laut BSI nicht mehr baustein-, sondern prozessorientiert organisiert. Die Logik, den eigenen Verbund vollständig zu erfassen und jedem Teil passende Anforderungen zuzuordnen, bleibt aber bestehen.
Häufige Fragen
Was ist Modellierung im IT-Grundschutz?
Die Zuordnung der passenden Bausteine aus dem IT-Grundschutz-Kompendium zu den Zielobjekten des Informationsverbunds. Das Ergebnis ist der Prüfplan für den IT-Grundschutz-Check.
Was tun, wenn es keinen passenden Baustein gibt?
Das Zielobjekt dokumentieren und mit einer Risikoanalyse nach BSI-Standard 200-3 behandeln, gegebenenfalls ausgehend von einem allgemeinen Baustein.
Welcher Baustein muss immer modelliert werden?
ISMS.1 Sicherheitsmanagement gilt immer für den gesamten Informationsverbund.