IT-Grundschutzhandbuch

Aus THM-Wiki
Wechseln zu: Navigation, Suche

Das IT-Grundschutzhandbuch ist ein vom deutschen Bundesamt für Datensicherheit herausgegebenes Dokument, das der Erkennung und Bekämpfung sicherheitsrelevanter Schwachstellen in IT-Verbänden dient. Es umfasst mit Einleitung und Katalogen über 3000 Seiten und dient als Grundlage zur Zertifizierung des IT-Grundschutzes eines Unternehmens.

Grundschutz

„IT-Grundschutz umfasst Standard-Sicherheitsmaßnahmen für typische IT-Systeme mit ‚normalem’ Schutzbedarf“
(aus IT-Grundschutzhandbuch, Kap. 1.1).
Die Erkennung und Bewertung von Schwachstellen in IT-Systemen erfolgt oftmals über eine Risikoanalyse, wobei für jedes System oder jede Gruppe gleichartiger Systeme einzeln ein Gefährdungspotential geschätzt und die Kosten eines Schadens an dem System ermittelt wird. Diese Herangehensweise ist sehr zeitaufwändig und dementsprechend auch teuer.
Der IT-Grundschutz geht von einer für das System üblichen Gefährdungslage aus, die in 80% der Fälle zutreffend ist, und empfiehlt hierfür adäquate Gegenmaßnahmen. So kann ein Sicherheitsniveau erreicht werden, dass in den meisten Fällen als ausreichend betrachtet werden kann und daher die wesentlich teurere Risikoanalyse ersetzt. In Fällen eines höheren Sicherheitsbedarfs kann der IT-Grundschutz als Grundlage für weitergehende Maßnahmen genutzt werden kann.

Aufbau des Grundschutzhandbuchs

Das IT-Grundschutzhandbuch besteht aus mehreren Teilen.

Aufbau der BSI-Grundschutzkataloge

Eine Einleitung mit Erklärungen, Herangehensweisen an den IT-Grundschutz, Begriffs- und Rollendefinitionen sowie ein Glossar machen den Leser zunächst mit dem Handbuch vertraut. Daraufhin folgen die Bausteinkataloge, die Gefährdungskataloge und abschließend die Maßnahmenkataloge. Ergänzt wird das umfassende IT-Grundschutzhandbuch durch Formulare und Kreuzreferenztabellen auf der Internetplattform des Bundesamts für Datensicherheit (BSI). Hier findet man auch Hilfestellungen zur Implementierung des IT-Grundschutzes in Form des Grundschutzleitfadens, der detailliert auf die einzelnen Schritte eingeht.
Jedes Katalogelement ist durch ein individuelles Kürzel gekennzeichnet, das sich nach dem folgenden Schema aufbaut. Zunächst wird die Kataloggruppe genannt, B steht für Baustein, M für Maßnahme und G für Gefährdung. Danach folgt die Nummer der Schicht, die dieses Katalogelement in seinem Katalog betrifft, anschließend die fortlaufende Nummer innerhalb der Schicht.


Bausteinkatalog

Der Bausteinkatalog ist das zentrale Element des Grundschutzhandbuchs und folgt, wie auch die weiteren Kataloge, einem Schichtenmodell. Es werden die folgenden fünf Schichten beschrieben: übergreifende Aspekte, Infrastruktur, IT-Systeme, Netze und IT-Anwendungen.

Zuordnung der einzelnen Bausteine zu Personengruppen in der jeweiligen Organisation

Die erste Schicht beschäftigt sich mit organisatorischen Fragen das Management, Personal oder Outsourcing betreffend. In der Schicht Infrastruktur wird der Schwerpunkt auf bauliche Aspekte gelegt. Die Schicht IT-Systeme befasst sich mit den Eigenschaften von IT-Systemen zu denen neben den Clients und Servern auch Telefonanlagen oder Faxgeräte gezählt werden. In der Netze-Schicht werden Aspekte von Netzwerken beleuchtet. Die Anwendungsschicht befasst sich mit Fragen sicherheitsrelevanter Software wie Datenbankmanagementsystemen, E-Mail oder Webservern.
Durch die Einteilung in Schichten lassen sich auch die von der jeweiligen Schicht betroffenen Personengruppen klar ein¬grenzen. Die erste Schicht spricht das Management an. Haustechniker sind von der zweiten betroffen. Die dritte Schicht wird von Systemadministratoren abgedeckt. Die vierte Schicht fällt in den Aufgabenbereich der Netzwerkadministratoren und die fünfte in den der Anwendungsadministratoren und der IT-Nutzer.

Jeder einzelne Baustein folgt demselben Aufbau. Die Bausteinnummer setzt sich zusammen aus der Nummer der Schicht in dem sich der Baustein befindet und einer in dieser Schicht eindeutigen Nummer. Nach einer kurzen Beschreibung des vom Baustein betrachteten Sachverhalts wird die jeweilige Gefährdungslage geschildert. Anschließend folgt die Aufzählung der einzelnen Gefahrenquellen. Diese stellen eine weiterführende Information dar und sind für die Erstellung eines Grundschutzes nicht notwendigerweise durchzuarbeiten.

Elemente des Lebenszyklus der Bausteine

Die notwendigen Maßnahmen werden mit kurzen Erläuterungen in einem Text vorgestellt. Der Text folgt hierbei dem Lebenszyklus des jeweiligen Sachverhalts und umfasst Planung und Konzeption, Beschaffung (falls erforderlich), Umsetzung, Betrieb, Aussonderung (falls erforderlich) und Notfallvorsorge. Nach der ausführlichen Schilderung werden die einzelnen Maßnahmen nochmals in einer Liste zusammengefasst, die jedoch nun nach der Struktur der Maßnahmenkataloge und nicht mehr nach dem Lebenszyklus sortiert ist. Hierbei wird eine Klassifizierung der Maßnahmen in die Kategorien A, B, C, und Z vorgenommen. Maßnahmen der Kategorie A bilden den Einstieg in die Thematik, B-Maßnahmen erweitern diese und die Kategorie C ist anschließend notwendig für eine Zertifizierung des Grundschutzes. Maßnahmen der Kategorie Z stellen zusätzliche Maßnahmen dar, die sich in der Praxis bewährt haben.

Vernetzung der Kataloge

Um den jeweiligen Baustein so kompakt wie möglich zu halten werden oft globale Aspekte in einem Baustein zusammengefasst, während spezifischere Informationen in einem zweiten gesammelt werden. Als Beispiel sei hier der Apache-Webserver genannt. Für ihn gilt sowohl der generelle Baustein B 5.4 Webserver, in dem die Maßnahmen und Gefährdungen für jeden Webserver geschildert werden, als auch der Baustein B 5.11 der sich speziell mit dem Apache-Webserver auseinander setzt. Um die Sicherheit des Systems zu gewährleisten müssen beide Bausteine erfolgreich umgesetzt werden.
Die jeweiligen Maßnahmen oder Gefährdungen, die in dem Baustein vorgestellt werden, können auch für andere, zum Teil auch komplett unterschiedliche Bausteine relevant sein. So entsteht eine Vernetzung der einzelnen Komponenten des Grundschutzhandbuchs.

Gefährdungskataloge

Im Anschluss an die Bausteinkataloge geht das IT-Grundschutzhandbuch näher auf die möglichen Gefährdungen für IT-Systeme ein. Diese Gefährdungskataloge folgen dem allgemeinen Aufbau nach Schichten. Es werden die Schichten „Höhere Gewalt“, „Organisatorische Mängel“, „Menschliche Fehlhandlungen“, „Technisches Versagen“ und „Vorsätzliche Handlungen“ unterschieden. Zur Erstellung des Grundschutzes ist nach Aussagen des BSI das in diesen Katalogen zusammengestellte Wissen nicht unbedingt notwendig, es fördert jedoch das Verständnis für die Maßnahme sowie die Wachsamkeit der Verantwortlichen.
Die einzelne Gefahrenquelle ist in einem kurzen Text beschrieben und anschließend werden Beispiele für Schadensfälle, die durch diese Gefahrenquelle auslösen kann, gegeben.

Maßnahmenkataloge

Die zur Umsetzung des Grundschutzes notwendigen Maßnahmen sind in Maßnahmenkatalogen zusammengefasst. So werden Maßnahmen, die für mehrere System-Komponenten angemessen sind, nur einmal zentral beschrieben. Hierbei werden auch Schichten zur Strukturierung der einzelnen Maßnahmengruppen genutzt. Es werden folgende Schichten gebildet: „Infrastruktur“, „Organisation“, „Personal“, „Hardware/Software“, „Kommunikation“ und „Notfallvorsorge“.
In der jeweiligen Maßnahmenbeschreibung sind zunächst Verantwortliche für die Initiierung und die Umsetzung der Maßnahme genannt. Es folgt eine ausführliche Beschreibung der Maßnahme. Abschließend werden Kontrollfragen zur korrekten Umsetzung genannt.
Bei der Umsetzung der Maßnahmen sollte zunächst überprüft werden, ob eine Anpassung dieser auf den jeweiligen Betrieb notwendig ist. Eine genaue Dokumentation solcher Anpassungen ist zur späteren Nachvollziehbarkeit sinnvoll.

Weiterführendes Material

Neben den im IT-Grundschutzhandbuch zusammengefassten Informationen stellt das Bundesamt für Datensicherheit weiteres Material im Internet (BSI Download) zur Verfügung.

Die hier bereitgestellten Formulare dienen der Erhebung des Schutzbedarfs für bestimmte Bausteine des IT-Systems. Eine Tabelle fasst hierbei die für den einzelnen Baustein umzusetzenden Maßnahmen zusammen. Jede Maßnahme wird genannt und der Umsetzungsgrad erfasst. Es werden die Umsetzungsgrade „Entbehrlich“, „Ja“, „Teilweise“ und „Nein“ unterschieden. Anschließend wird die Umsetzung terminiert und ein Verantwortlicher benannt. Sollte die Umsetzung der Maßnahme nicht möglich sein, so sollten die Gründe hierfür in das anschließende Feld eingetragen werden, um später nachvollziehbar zu sein. Den Abschluss bildet eine Kostenschätzung.

Kreuzreferenztabelle des Apache-Webservers

Neben den Formularen sind die Kreuzreferenztabellen eine weitere hilfreiche Ergänzung. Sie fassen für den einzelnen Baustein die Maßnahmen und die wichtigsten Gefährdungen zusammen. Sowohl Maßnamen als auch Gefährdungen werden mit dem Kürzel genannt. Die Maßnahmen werden mit einer Priorität versehen und deren Klassifizierung genannt.
Der Tabelle ist zu entnehmen, welche Maßnahme welchen Gefährdungen entgegenwirkt. Hierbei ist jedoch zu beachten, das die Kreuzreferenztabellen nur die wichtigsten Gefährdungen nennt. Sollten für das individuelle IT-System die genannten Gefährdungen einer Maßnahme nicht zutreffen, so wird diese dadurch nicht überflüssig. Der Grundschutz kann nur gewährleistet werden, wenn alle Maßnahmen umgesetzt wurden.
Als weiteres, jedoch kostenpflichtiges Tool, wird von dem BSI das GSTOOL angeboten. Dieses Werkzeug stellt die Formulare in elektronischer Form zur Verfügung. Die Erfassung der Umsetzung der einzelnen Maßnahmen lässt sich dadurch am Rechner durchführen und schnell auswerten. Desweiteren wird der User bei der Modellierung und der Kostenkalkulation unterstützt.

Umsetzung des IT-Grundschutz

Zur Umsetzung und Aufrechterhaltung des IT-Grundschutzes empfiehlt das Bundesamt für Datensicherheit ein Vorgehen in mehreren Schritten, die im nachfolgenden Abschnitt kurz dargelegt werden.

IT-Strukturanalyse

Nach der Entscheidung für den Grundschutz ist die Analyse des zu schützenden IT-Verbundes der erste Schritt. Die Analyse dient der Erfassung der Struktur des IT-Verbunds. Dieser kann das gesamte Unternehmen oder nur Teilbereiche umfassen. Wichtig ist, dass hierbei die gesamte Struktur erfasst wird, also nicht nur technische sondern auch personelle, organisatorische und infrastrukturelle Komponenten. Eine gute Ausgangsbasis für eine solche Analyse ist ein Netztopologieplan.
Um später die richtigen Bausteine auswählen zu können müssen folgende Aspekte beachtet werden:

  • Die vorhandene Infrastruktur,
  • Die organisatorischen und personellen Rahmenbedingungen,
  • Vernetzte und nicht-vernetzte Systeme,
  • Kommunikationsverbindungen zwischen den Komponenten und in und aus dem Verbund heraus sowie
  • Anwendungen.


Schutzbedarfsfeststellung

Zweck dieses Schrittes ist es, den Schutzbedarf der einzelnen Komponenten festzustellen. Hierzu werden die Schäden geschätzt die bei der Beeinträchtigung der betrachteten Komponente entstehen können.
Das BSI rät zu einer Einteilung in die Kategorien „normal“, „hoch“ und „sehr hoch“. Die Maßnahmen des Grundschutzhandbuchs decken den Schutzbedarf „normal“ ab. Für die anderen Kategorien ist der Grundschutz eine gute Ausgangsbasis für weitere Maßnahmen.

Modellierung

Ziel der Modellierung ist es die IT-Komponenten aus der IT-Systemanalyse auf die Bausteine des Grundschutzhandbuchs abzubilden. Das Produkt der Modellierung ist entweder ein Prüfplan oder ein Entwicklungsplan, je nachdem ob der Verbund oder die Komponente bereits existiert oder nicht.
Der IT-Verbund und die Komponenten werden hierzu jeweils unter dem Fokus einer der fünf Schichten des Bausteinkatalogs betrachtet und die betreffenden Bausteine herausgefiltert.
Das Ergebnis ist eine Zuordnung der Bausteine zu Komponenten oder Komponentengruppen.

Basis-Sicherheitscheck oder IT-Sicherheitsrevision

Der Basis-Sicherheitscheck soll einen schnellen Überblick über den Ist-Zustand des IT-Verbunds ermöglichen. Dieselbe Funktion erfüllt die IT-Sicherheitsrevision, mit dem Unterschied, dass hierbei bereits der Grundschutz umgesetzt wurde und eine Kontrolle der Umsetzung beabsichtigt ist.
Hierzu wird jeder Baustein aus der vorangegangenen Modellierung einzeln betrachtet und der Umsetzungsgrad der darin beschriebenen Maßnahmen bewertet. Die Bewertung sollte in den Kategorien „Entbehrlich“, „Ja“, „Teilweise“ und „Nein“ erfolgen.
Das BSI stellt auf seiner Internetseite hierfür eine Formularsammlung zur Verfügung. Hierbei wird neben den Kategorien auch die Möglichkeit der Benennung von Verantwortlichen und dem Vermerk von Gründen der Nicht-Umsetzung gegeben.

Umsetzung der IT-Sicherheitskonzepte

In diesem Schritt werden die Maßnahmen, die im vorangegangenen Schritt festgehalten wurden umgesetzt. Sollten sich bei der Umsetzung einer Maßnahme Schwierigkeiten ergeben, so sind diese zu dokumentieren um bei einer späteren Revision oder bei einem Audit nachvollziehbar zu sein.

Weiterführende Maßnahmen

Für den größten Teil der IT-Komponenten sollten die Maßnahmen des Grundschutzkatalogs ausreichenden Schutz bieten. Wurde der Schutzbedarf der Komponente jedoch als „hoch“ oder „sehr hoch“ festgelegt, so müssen neben den Grundschutzmaßnahmen zusätzliche Maßnahmen ergriffen werden.

Zertifizierung nach Grundschutz

Ziel einer Zertifizierung ist es die Sicherheit des IT-Verbunds nach außen transparent zu machen. Hierzu wird die Umsetzung der Maßnahmen kontrolliert und dokumentiert. Die Kontrollen können beim Einstiegsniveau von einem internen Mitarbeiter, beim höchsten Niveau von einem unabhängigen Dritten durchgeführt werden.

Materialien

Präsentationsunterlagen
Beispiel Dokumente

Internetlinks

Internetseite des BSI
Startseite des IT-Grundschutz
Downloadseite mit IT-Grundschutz-katalogen, Formularen und weiter-führenden Informationen

Quellen

BSI-Grundschutzhandbuch, Stand 2005
BSI IT-Grundschutzhandbuch, eingesehen am 3.1.2007
BSI-Grundschutzleitfaden, Stand 2006