Soll-Ist-Vergleich
Ein Soll-Ist-Vergleich ist die systematische Prüfung, ob die Sicherheitsempfehlungen des BSI (Soll) in Ihrem Unternehmen bereits umgesetzt sind (Ist). Das Ergebnis zeigt Sicherheitslücken auf, die Sie anschließend schließen müssen, um Ihr Schutzniveau gezielt zu verbessern.
Genauer erklärt
Der Soll-Ist-Vergleich ist ein zentraler Schritt der IT-Grundschutz-Methodik und Kern des IT-Grundschutz-Checks. Gemäß BSI-Standard 200-2 werden dabei die Sicherheitsanforderungen aus den modellierten Bausteinen des IT-Grundschutz-Kompendiums (Soll-Zustand) mit den bereits realisierten Sicherheitsmaßnahmen im Informationsverbund (Ist-Zustand) verglichen.
Die Durchführung erfolgt typischerweise durch Interviews mit den fachlich Verantwortlichen sowie durch stichprobenartige Kontrollen von Konfigurationen, Dokumenten oder Räumlichkeiten. Für jede einzelne Anforderung wird der Umsetzungsstatus ermittelt und dokumentiert. Das BSI definiert hierfür vier Zustände:
- ja: Die Anforderung ist vollständig und wirksam umgesetzt.
- teilweise: Die Umsetzung ist unvollständig.
- nein: Es wurden noch keine oder nur unzureichende Maßnahmen umgesetzt.
- entbehrlich: Die Anforderung ist nicht relevant oder wird durch eine alternative Maßnahme abgedeckt. Diese Entscheidung muss nachvollziehbar begründet werden.
Die dokumentierten Ergebnisse des Vergleichs bilden die Grundlage für die weitere Maßnahmenplanung zur Schließung der identifizierten Sicherheitslücken.
Artikel zum Begriff
- Ein ISMS aufbauenEin ISMS aufbauen, ohne sich zu verzetteln: die Schritte nach BSI-Standard 200-2 von der Entscheidung der Leitung bis zur ersten Überprüfung im Betrieb.
- Die IT-Grundschutz-Methodik Schritt für SchrittDie IT-Grundschutz-Methodik nach BSI-Standard 200-2 Schritt für Schritt: von der Leitungsentscheidung über Strukturanalyse und Check bis zur Umsetzung.
- Der IT-Grundschutz-CheckDer IT-Grundschutz-Check erklärt: Soll-Ist-Vergleich der Anforderungen, Status ja, teilweise, nein, entbehrlich, Ablauf mit Interviews und Dokumentation.
- Notfallmanagement nach BSI-Standard 200-4Notfallmanagement nach BSI-Standard 200-4 verständlich: Stufenmodell, Business Impact Analyse und ein schlanker Einstieg für kleine Betriebe.
- Wiederanlauf planen: RTO und RPOWiederanlauf nach IT-Ausfall planen: was RTO und RPO bedeuten, wie Sie Prioritäten und Abhängigkeiten festlegen und warum Tests unverzichtbar sind.
- Business Impact Analyse (BIA) einfach durchführenLernen Sie, wie Sie eine Business Impact Analyse (BIA) nach BSI-Standard 200-4 einfach durchführen, um kritische Prozesse zu identifizieren und Ihr Notfallmanagement zu stärken.