Soll-Ist-Vergleich praktisch durchführen
Anleitung für KMU: Führen Sie einen Soll-Ist-Vergleich nach BSI IT-Grundschutz durch, um Sicherheitslücken zu finden und einen Maßnahmenplan zu erstellen.
Ein Soll-Ist-Vergleich ist eine systematische Bestandsaufnahme Ihrer IT-Sicherheit. Sie vergleichen dabei die empfohlenen Sicherheitsmaßnahmen (Soll) mit dem, was in Ihrem Unternehmen bereits umgesetzt ist (Ist). So können Sie einen praktischen Soll-Ist-Vergleich durchführen und erhalten eine klare Übersicht über vorhandene Sicherheitslücken.
Nutzen: Sie erkennen präzise, wo Handlungsbedarf besteht. Das Ergebnis ist keine vage Vermutung, sondern eine konkrete Liste von Aufgaben, um die Informationssicherheit gezielt zu verbessern.
Risiko: Ohne einen solchen Abgleich agieren Sie im Blindflug. Sie wissen nicht, welche Sicherheitslücken existieren und wo Angreifer leichtes Spiel haben. Ein unentdecktes Defizit kann im Ernstfall zu Datenverlust, Betriebsausfall und erheblichen Kosten führen.
Nächster Schritt: Beauftragen Sie eine verantwortliche Person (zum Beispiel aus der IT-Leitung), die den Soll-Ist-Vergleich leitet. Als Grundlage dienen die Anforderungen aus dem IT-Grundschutz des BSI, beispielsweise die Basis-Absicherung. Gemeinsam mit den zuständigen Fachkräften wird dann jede Anforderung geprüft und der Umsetzungsstand dokumentiert.
Der Soll-Ist-Vergleich ist eine zentrale Methode im IT-Grundschutz, um den aktuellen Stand der Informationssicherheit in Ihrer Institution zu ermitteln. Das BSI bezeichnet diesen Vorgang auch als IT-Grundschutz-Check. Dabei werden die in den IT-Grundschutz-Bausteinen formulierten Anforderungen systematisch mit den tatsächlich umgesetzten Maßnahmen verglichen. Das Ziel ist es, Abweichungen (Sicherheitsdefizite) zu identifizieren und daraus einen Plan für die weitere Umsetzung abzuleiten.
Der Vergleich ist Bestandteil aller Vorgehensweisen nach dem BSI-Standard 200-2: Bei der Basis-Absicherung beschränkt er sich auf die Basis-Anforderungen, während bei der Standard- und Kern-Absicherung auch die Standard-Anforderungen geprüft werden.
Schritt 1: Organisatorische Vorbereitung
Eine gute Vorbereitung ist entscheidend für einen reibungslosen Ablauf. Bevor Sie mit den eigentlichen Interviews beginnen, sollten Sie die folgenden Schritte durchführen:
- Dokumente sichten: Sammeln Sie alle vorhandenen sicherheitsrelevanten Dokumente. Dazu gehören IT-Sicherheitsrichtlinien, Arbeitsanweisungen, Notfallpläne, Netzpläne, Konfigurationshandbücher und Verträge mit Dienstleistern. Diese Unterlagen geben erste Hinweise auf den Umsetzungsgrad vieler Anforderungen. bsi.bund.de
- Ansprechpartner identifizieren: Legen Sie fest, welche Personen im Unternehmen für die verschiedenen IT-Systeme, Anwendungen und Prozesse verantwortlich sind. Typische Ansprechpartner sind Administratoren für Server und Netzwerke, aber auch Verantwortliche aus Fachabteilungen wie Personal oder Finanzen, die spezifische Anwendungen nutzen.
- Prüfplan erstellen: Auf Basis der zuvor durchgeführten Modellierung nach IT-Grundschutz liegt eine Liste der relevanten Bausteine vor. Diese Liste dient als Prüfplan. Planen Sie Termine mit den jeweiligen Ansprechpartnern, um die Anforderungen der für sie relevanten Bausteine zu besprechen.
Schritt 2: Den Soll-Ist-Vergleich durchführen
Der Kern des Verfahrens ist der Abgleich der Anforderungen mit der Realität. Dies geschieht in der Regel durch Interviews mit den zuvor identifizierten Ansprechpartnern.
Gehen Sie die Anforderungen des jeweiligen Bausteins Punkt für Punkt durch. Klären Sie gemeinsam mit dem Experten, ob und wie die Anforderung erfüllt wird. Um die Aussagen zu überprüfen, sind stichprobenartige Kontrollen sinnvoll. Beispiele hierfür sind:
- Einblick in die Konfigurationseinstellungen eines Servers oder einer Firewall.
- Prüfung von Protokolldateien (Logfiles).
- Besichtigung von Serverräumen oder anderen schützenswerten Bereichen.
- Sichtung von Verträgen mit externen Dienstleistern.
Für jede Anforderung wird der Umsetzungsstatus ermittelt. Das BSI schlägt vier Bewertungsstufen vor:
- ja: Die Anforderung ist vollständig, wirksam und angemessen umgesetzt.
- teilweise: Es wurden bereits Maßnahmen ergriffen, die Anforderung ist aber noch nicht vollständig erfüllt.
- nein: Es wurden noch keine oder nur unzureichende Maßnahmen zur Erfüllung der Anforderung umgesetzt.
- entbehrlich: Die Anforderung ist für den betrachteten Bereich nicht relevant (z. B. weil ein Dienst nicht genutzt wird) oder wird durch eine andere, mindestens gleichwertige Maßnahme abgedeckt. Diese Einstufung muss gut begründet werden. Wichtig: Bei Basis-Anforderungen darf das damit verbundene Risiko nicht einfach akzeptiert werden. it-grundschutz.net
Eine ehrliche Bewertung ist hierbei entscheidend. Ein geschöntes Ergebnis hilft niemandem und erhöht lediglich das Risiko bei einem Sicherheitsvorfall oder Audit.
Schritt 3: Ergebnisse dokumentieren und Maßnahmen ableiten
Die Ergebnisse des Soll-Ist-Vergleichs müssen nachvollziehbar dokumentiert werden. Diese Dokumentation ist die Grundlage für alle weiteren Schritte. Laut BSI sollten zu jeder Anforderung mindestens folgende Informationen erfasst werden:
- Umsetzungsgrad: (ja/teilweise/nein/entbehrlich)
- Bemerkungen/Begründung: Hier wird dokumentiert, warum ein Status gewählt wurde. Bei „entbehrlich“ ist eine detaillierte Begründung zwingend. Bei „teilweise“ oder „nein“ wird festgehalten, was genau noch fehlt.
- Defizite/Maßnahmen: Beschreiben Sie das identifizierte Defizit und leiten Sie daraus eine konkrete Maßnahme zur Behebung ab.
- Verantwortliche: Wer ist für die Umsetzung der Maßnahme zuständig?
- Termin: Bis wann soll die Maßnahme umgesetzt sein?
- Kostenschätzung: Welcher personelle und finanzielle Aufwand wird für die Umsetzung erwartet?
Das BSI stellt auf seinen Webseiten Formulare bereit, die als Vorlage für diese Dokumentation dienen können. bsi.bund.de
Die Liste aller Anforderungen mit dem Status „nein“ oder „teilweise“ bildet den Handlungsbedarf. Diese Defizite werden anschließend nach Dringlichkeit und Aufwand priorisiert und in einen Umsetzungsplan überführt. Dieser Plan ist ein zentrales Steuerungsinstrument im Informationssicherheits-Managementprozess (ISMS) und wird regelmäßig fortgeschrieben.
Häufige Fragen
Was ist der Unterschied zwischen einem Soll-Ist-Vergleich und einem IT-Grundschutz-Check?
Im Kontext des BSI IT-Grundschutz bezeichnen beide Begriffe denselben Prozess. Der IT-Grundschutz-Check ist der offizielle Name des BSI für den Soll-Ist-Vergleich, bei dem die Anforderungen des IT-Grundschutz-Kompendiums mit der Realität in einer Organisation abgeglichen werden.
Wie oft sollte man einen Soll-Ist-Vergleich durchführen?
Ein Soll-Ist-Vergleich sollte nicht nur einmalig, sondern regelmäßig wiederholt werden, um die Wirksamkeit des Sicherheitsprozesses zu überprüfen. Ein guter Rhythmus ist jährlich sowie anlassbezogen bei größeren Änderungen an der IT-Infrastruktur oder den Geschäftsprozessen.
Wer ist für die Durchführung des Soll-Ist-Vergleichs verantwortlich?
Die Gesamtverantwortung liegt meist beim Informationssicherheitsbeauftragten (ISB) oder einer vergleichbaren Rolle. Die Durchführung selbst erfolgt jedoch in enger Zusammenarbeit mit den jeweiligen Fach- und IT-Verantwortlichen, da diese über das notwendige Detailwissen zu den Systemen und Prozessen verfügen.
Darf eine Anforderung als „entbehrlich“ eingestuft werden?
Ja, aber nur unter strengen Voraussetzungen. Eine Anforderung ist entbehrlich, wenn sie im konkreten Fall nicht zutrifft (z. B. Anforderungen an WLAN in einem rein kabelgebundenen Netz) oder wenn eine alternative Maßnahme das Schutzziel mindestens genauso gut erfüllt. Diese Entscheidung muss sorgfältig dokumentiert und begründet werden. Insbesondere bei Basis-Anforderungen ist eine pauschale Akzeptanz des Risikos nicht zulässig.