Neues vom IT-Grundschutz Aktuelle Entwicklungen, Modernisierung und Diskussion

Transkript

1 Neues vom IT-Grundschutz Aktuelle Entwicklungen, Modernisierung und Diskussion Isabel Münch & Holger Schildt Bundesamt für Sicherheit in der Informationstechnik IT-Grundschutz und Allianz für Cyber-Sicherheit 2. IT-Grundschutz-Tag 2015

2 Agenda Status Quo Die modernisierten IT-Grundschutz-Bausteine Bausteine und Umsetzungshinweise Struktur Einblick in die Vorgehensweisen 15. Ergänzungslieferung der IT-Grundschutz-Kataloge Diskussion 2

3 Status Quo 3

4 Status Quo 20 Jahre IT-Grundschutz und nun? Neue Anforderungen nach 20 Jahren Optimierung und Aktualisierung der Vorgehensweise und IT-Grundschutz-Kataloge Der "neue" IT-Grundschutz muss dem Bedarf der Anwender an einem aktuellen und praxisnahen Verfahren gerecht werden Gewährleistung der Kontinuität: Weiterentwicklung der "alten" IT-Grundschutz-Welt Neuausrichtung durch (größtenteils) separate Ressourcen Ziel: Erhöhung der Attraktivität und Wegbereitung für die nächsten 20 Jahre 4

5 Status Quo Abstimmung in Findungsphase Analyse und Diskussion in mehreren Workshops: : IT-SiBe-Treffen : BSI-interner Workshop : GS-Auditorentag : CeBIT-Diskussion : Workshop mit Auditoren : Workshop mit Auditoren : Workshop mit Tool-Herstellern : Workshop mit Ressort-IT-SiBes des Bundes : Workshop mit Power-Usern : Workshop IT-SiBe-Tagung der Länder : Workshop mit Kommunen : Workshop mit Tool-Herstellern : CeBIT-Diskussion : Folgeworkshop mit Anwendern : Folgeworkshop mit Anwendern 5

6 Zeitlicher Überblick 2014 "Findungsphase: Problemanalyse und Modernisierungsansätze" Beteiligung aller Stakeholder durch Workshops 2015 Abschluss der Modernisierungs-Konzeption Weiterhin Abstimmung mit Stakeholdern Parallel Veröffentlichung der 15. Ergänzungslieferung des "klassischen" IT-Grundschutzes 2016 Finalisierung modernisierter Vorgehensweisen & Bausteine Migration marktgängiger Tools 6

7 Planung der Entwicklung von Profilen GS-Profil: Auswahl anzuwendender Bausteine und Maßnahmen mit spezifischen Ergänzungen für typische Institution, berücksichtigt Möglichkeiten und Risiken der Institution Werkzeug für branchenspezifische Empfehlungen Beispiele: GS-Profil: Kommunalverwaltung in Bundesland XY GS-Profil: Krankenhaus GS-Profil: Wasserwerk als kritische Infrastruktur Anwendbar als "Schablone" Profile werden in der Regel durch Dritte (Verbände, Branchen,...), nicht durch das BSI erstellt Zertifizierung nach GS-Profilen wird diskutiert 7

8 Die modernisierten IT-Grundschutz-Bausteine Bausteine und Umsetzungshinweise 8

9 IT-Grundschutz-Bausteine Pilot-Bausteine Erstellte Entwürfe SYS ios ORP.2 Personal (einschl. Umsetzungshinweise) APP.3.2 Webserver (einschl. Umsetzungshinweise) NET.2.1 WLAN-Betrieb NET.2.2 WLAN-Nutzung INF.1 Gebäude Stabilität 9

10 IT-Grundschutz-Bausteine Struktur Umfang: ca. 10 Seiten! Beschreibung Einleitung Zielsetzung Abgrenzung Gefährdungslage Maßnahmen als Anforderungen Basis-Anforderungen Standard-Anforderungen Anforderungen für erhöhten Schutzbedarf Referenzen auf weiterführende Informationen Anlage: Kreuzreferenztabelle zu Elementaren Gefährdungen 10

11 IT-Grundschutz-Bausteine Struktur der Umsetzungshinweise Umfang: beliebig Gliederung lehnt sich an Bausteine an Beschreibung Einleitung Lebenszyklus Zielsetzung Maßnahmen als Umsetzungshilfen Basis-Maßnahmen Standard-Maßnahmen Maßnahmen für erhöhten Schutzbedarf Referenzen auf weiterführende Informationen Alte IT-GS-Bausteine, Studien, Herstellerdokumentation etc. 11

12 IT-Grundschutz-Bausteine Veröffentlichungsprozess Arbeitsentwürfe (Working Drafts) sehr grobe Entwürfe, nur BSI-interne Verwendung Community-Entwürfe Akzeptabler Reifegrad, Grundlage für die Diskussion mit der Community Finaler (Community Drafts) Entwurf (Final Draft) Nach Einbindung der relevanten Kommentare der Community Version aktuell gültige IT-Grundschutz-Fassung 12

13 Die modernisierten IT-Grundschutz-Bausteine Struktur 13

14 Modell der Baustein-Struktur Vollständiges Mindmap 14

15 Modell der Baustein-Struktur Mindmap ein Ausschnitt 15

16 Modell der Baustein-Struktur Bausteine - Industrielle IT 16

17 Modell der Baustein-Struktur Bausteine - Anwendungen 17

18 Modell der Baustein-Struktur Bausteine - IT-Systeme 18

19 Modell der Baustein-Struktur Bausteine - Netze und Kommunikation 19

20 Modell der Baustein-Struktur Bausteine - Infrastruktur 20

21 Modell der Baustein-Struktur Operative Informationssicherheit 21

22 Modell der Baustein-Struktur Operative Informationssicherheit 22

23 Modell der Baustein-Struktur Operative Informationssicherheit 23

24 Modell der Baustein-Struktur Operative Informationssicherheit 24

25 Einblick in die Vorgehensweisen 25

26 Kern-Absicherung Schutzbedarf IT-Grundschutz-Methodik Schutzbedarf und Umfang Classic Basis-Absicherung 26

27 IT-Grundschutz-Methodik Kurzbeschreibung Basis-Absicherung Basis-Absicherung Vereinfachter Einstieg in das Sicherheitsmanagement Grundlegende Erstabsicherung der Geschäftsprozesse und Ressourcen Erstabsicherung in der Breite Auf die Bedürfnisse von KMUs zugeschnitten Auch für kleine Institutionen geeignet 27

28 IT-Grundschutz-Methodik Kurzbeschreibung Kern-Absicherung Kern-Absicherung Schutz herausragender, besonders gefährdeter Geschäftsprozesse und Ressourcen (Kronjuwelen) Unterschied zu IT-Grundschutz Classic: Fokussierung auf einen kleinen, aber sehr wichtigen Informationsverbund Zeitersparnis im Vorgehen beschleunigte Absicherung dieser Ressourcen in der Tiefe 28

29 IT-Grundschutz-Methodik Kurzbeschreibung Classic IT-Grundschutz Classic Die Methode bleibt in den Grundzügen unverändert Strukturanalyse Analyse des Ist-Zustands Feststellung des Schutzbedarfs Modellierung des Verbundes (Auswahl der Maßnahmen) Basis-Sicherheitscheck (Soll-Ist-Vergleich) Implementierung ergänzende Sicherheitsanalyse eines vollumfänglichen Sicherheitsprozesses nach BSI-Standard Risikoanalyse Konsolidierung der Maßnahmen Basis-Sicherheitscheck (Teil 2) Realisierung der Maßnahmen 29

30 IT-Grundschutz-Methodik Hilfsmittel zur Auswahl Unterstützung durch geeignete Fragen bei Entscheidung IT-Grundschutz Classic Kern-Absicherung Basis-Ansicherung Orientierungshilfe, keine verbindliche Empfehlung Gegenüberstellung der Vor- und Nachteile Hinweise für umfangreicheren Auswahlprozess 30

31 IT-Grundschutz-Methodik Mögliche Wege zu GS Classic Ergebnisse Inventur Basis-Absicherung Kern-Absicherung Kern-Absicherung Classic Classic Basis-Absicherung Kern-Absicherung Classic Basis-Absicherung 31

32 15. Ergänzungslieferung der IT-Grundschutz-Kataloge 32

33 Weiterentwicklung der IT-Grundschutz-Kataloge "Stillstand ist Rückstand" Dennoch kann nicht jedes Thema berücksichtigt werden Es muss ermittelt werden, was benötigt wird Faktoren für Themenauswahl Nachfrage auf Messen, Vorträgen und sonstigen Veranstaltungen Anfragen auf GS-Hotline Themen in den Medien Umfragen bei unseren Anwendern 33

34 Prinzip von Ergänzungslieferungen Regelmäßige Aktualisierung der IT-Grundschutz-Kataloge Beinhaltet überarbeite und neue Bausteine, Gefährdungen und Maßnahmen Verfügbare Versionen: Kostenfreie HTML-Version Kostenfreies Metadatenupdate für GSTOOL Kostenpflichtige gedruckte Version über Bundesanzeigerverlag Preis 14. EL: 152,00 Euro 34

35 IT-Grundschutz-Kataloge 14. Ergänzungslieferung Neue Bausteine: Cloud-Management Cloud-Storage Web-Services Cloud-Nutzung Allgemeine Anwendung Überarbeitete Bausteine: B 1.13 Sensibilisierung und Schulung zur Informationssicherheit B Mobiltelefon B Smartphones, Tablets und PDAs 35

36 IT-Grundschutz-Kataloge Die Serie geht weiter Überarbeitung der Bausteine B 4.1 B 4.2 B 1.12 Netzarchitektur Netz-Management Archivierung Neue Bausteine Client unter Windows 8 Identitäts- und Berechtigungsmanagement Softwareentwicklung SOA Eingebettetes System 36

37 Fragen und Diskussion 37

38 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Holger Schildt Godesberger Allee Bonn Tel: +49 (0) Fax: +49 (0)