Strukturanalyse: Unterschied zwischen den Versionen

Aus ISMS-Ratgeber WiKi
Zur Navigation springenZur Suche springen
(Die Seite wurde neu angelegt: „Mustervorlage: '''"Strukturanalyse"''' == Einleitung == == Geltungsbereich == == Organisation == ''Beschreibung der Organisation und ihrer Ziele, des Geschäftsverteilungsplans und der Eingruppierung des Informationsverbunds in der Organisation'' == Beschreibung des Informationsverbunds == === Geschäftsprozesse === ==== Kernprozesse ==== {| class="wikitable" |+ Text der Überschrift |- ! Kürzel !! Prozessname !! Beschreibung !! Verantwortlich |-…“)
 
 
(32 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
Mustervorlage: '''"Strukturanalyse"'''
{{#seo:
|title=Strukturanalyse für einen Informationsverbund nach BSI IT-Grundschutz
|keywords=ISMS,BSI,IT-Grundschutz,Strukturanalyse,Informationsverbund,IT-Verbund,Muster,Beispiel
|description=Muster einer Strukturanalyse für einen Informationsverbund nach BSI IT-Grundschutz als Vorlage für eigene Strukturanalysen.
}}{{SHORTDESC:Mustervorlage einer IT-Strukturanalyse}}


== Einleitung ==
Die Strukturanalyse ist eine systematische Untersuchung der vorhandenen IT-Infrastruktur. In der Strukturanalyse werden alle für den Informationsverbund relevanten Geschäftsprozesse, Infrastrukturen und IT-Systeme identifiziert und beschrieben. Sie ist damit das übergreifende Rahmendokument des Sicherheitskonzepts für den Informationsverbund.


== Geltungsbereich ==
== Geltungsbereich ==
Diese Strukturanalyse gilt für den im Titel genannten und im Folgenden beschriebenen und abgegrenzten Informationsverbund der Organisation.


== Organisation ==
Die beschriebenen Regelungen sind für alle Mitarbeitenden, die im Rahmen des definierten Informationsverbundes tätig sind, verbindlich.


''Beschreibung der Organisation und ihrer Ziele, des Geschäftsverteilungsplans und der Eingruppierung des Informationsverbunds in der Organisation''
== Allgemeines ==
 
''Beschreibung der Organisation und ihrer Ziele, des Geschäftsverteilungsplans.''
 
=== Beschreibung der Organisation ===
''Beschreibung der Organisation und ihrer Standorte im Allgemeinen''
 
=== Rechtliche Rahmenbedingungen ===
''Mögliche rechtliche Rahmenbedingungen sind im Artikel [[Rechtsgrundlagen]] aufgelistet.''
 
=== Geschäftsfeld ===
''Beschreibung des Tätigkeitsbereichs der Organisation (Was macht die Organisation wo ist ihr Kerngeschäft?)''
 
=== Organisationsplan ===
''Dastellung des Geschäftsverteilungsplans der Organisation (Organigramm)''


== Beschreibung des Informationsverbunds ==
== Beschreibung des Informationsverbunds ==
Im folgenden wird der Informationsverbund und seine Abgrenzung innerhalb der Organisation beschrieben:


=== Beschreibung des Informationsverbunds ===
''Kurze Beschreibung des Informationsverbunds, was macht den Informationsverbund aus, welchen Zweck er erfüllt, welche Anwendungen er bedient, welche Nutzergruppen er bedient ...''
=== Eingliederung des Informationsverbunds ===
''Darstellung des Informationsverbunds innerhalb der Organisation (Organisationsübergreifender Verbund oder in welcher Abteilung innerhalb der Organisation).''
=== Geschäftsprozesse ===
=== Geschäftsprozesse ===
Ein Geschäftsprozess ist eine systematische Abfolge von Aktivitäten, um ein bestimmtes Geschäftsziel zu erreichen. Die relevanten Geschäftsprozesse des Informationsverbunds sind im folgenden aufgeführt:


==== Kernprozesse ====
==== Kernprozesse ====
 
Kernprozesse sind die zentralen Prozesse der Organisation, die direkt zur Wertschöpfung beitragen und damit essentiell für das Kerngeschäft sind. Sie stellen die Haupttätigkeiten dar, die die Organisation ausführen muss, um seine Produkte oder Dienstleistungen zu erstellen oder bereitzustellen.
{| class="wikitable"
{| class="wikitable"
|+ Text der Überschrift
|+ Tabelle der Kernprozesse
|-
|-
! Kürzel !! Prozessname !! Beschreibung !! Verantwortlich
! Kürzel !! Prozessname !! Beschreibung !! Verantwortlich
|-
|-
| Beispiel || Beispiel || Beispiel || Beispiel
| ''KP-1''|| ''Beispiel''|| ''Beispiel''|| ''Beispiel''
|-
|-
| Beispiel || Beispiel || Beispiel || Beispiel
| ''KP-2''|| ''Beispiel''|| ''Beispiel''|| ''Beispiel''
|-
| Beispiel || Beispiel || Beispiel || Beispiel
|}
|}


==== Hilfsprozesse ====
==== Hilfsprozesse ====
Hilfsprozesse, oder auch Supportprozesse genannt, sind Prozesse, die nicht direkt zur Wertschöpfung beitragen, sondern die Organisation in seiner Tätigkeit unterstützen und optimieren sollen. Sie stellen damit eine indirekte Unterstützung des Kerngeschäfts dar.
{| class="wikitable"
|+ Tabelle der Hilfsprozesse
|-
! Kürzel !! Prozessname !! Beschreibung !! Verantwortlich
|-
| ''HP-1''|| ''Beispiel''|| ''Beispiel''|| ''Beispiel''
|}


==== Schutzbedarf ====
==== Schutzbedarf ====
 
Eine angemessene Bestimmung des Schutzbedarfs ist wichtig, um die Ressourcen der Organisation effektiv zu nutzen und sicherzustellen, dass die Schutzmaßnahmen den Bedrohungen und Risiken angemessen sind. Der folgende Schutzbedarf wurde im Rahmen einer Schutzbedarfsfeststellung (siehe '''Anlage A2''') für die genannten Geschäftsprozesse ermittelt:
{| class="wikitable"
{| class="wikitable"
|+ Text der Überschrift
|+ Tabelle des Schutzbedarfs
|-
|-
! Kürzel !! Vertraulichkeit !! Integrität !! Verfügbarkeit
! Prozess !! Vertraulichkeit !! Integrität !! Verfügbarkeit
|-
|-
| Beispiel || Beispiel || Beispiel || Beispiel
| ''KP-1''|| ''normal''|| ''normal''|| ''normal''
|-
|-
| Beispiel || Beispiel || Beispiel || Beispiel
| ''KP-2''|| ''hoch''|| ''normal''|| ''normal''
|-
|-
| Beispiel || Beispiel || Beispiel || Beispiel
| ''HP-1''|| ''normal''|| ''normal''|| ''hoch''
|}
|}


=== Bestandteile des Informationsverbund ===
=== Bestandteile des Informationsverbund ===
''Beschreibung der Bestandteile des Informationsverbunds. Welche Organisationseinheiten, Anwendungen, Server, Clients, Netzbereiche der Organisation werden in diesem Informationsverbund betrachtet?''


''Beschreibung des Informationsverbunds und seiner Bestandteile.''
Die folgenden Komponenten sind für die Erfüllung der betrachteten Geschäftsprozesse wesentlich und somit Bestandteil und Betrachtungsgegenstand dieses Informationsverbundes:
 
* Das ISMS der Organisation
 
* ...
* ...
 
* Zu diesem Informationsverbund gehören nur Produktivsysteme und IT-Systeme, die einen direkten Einfluss auf die Informationssicherheit der Produktivsysteme haben.
Alle Komponenten des Informationsverbunds sind in den Komponentenlisten der '''Anlage A1''' aufgeführt.


=== Abgrenzung des Informationsverbund ===
=== Abgrenzung des Informationsverbund ===


''Beschreibung der Grenzen des Informationsverbunds und der außerhalb des Verbunds liegenden Teile.''
''Beschreibung der Grenzen des Informationsverbunds und der außerhalb des Verbunds liegenden Teile.Zum Beispiel:''
 
* Entwicklungs-, Test- und Freigabesysteme (Komponenten, die ausschließlich der Entwicklung, dem Test und der Freigabe dienen, werden abgegrenzt)
* Client-Systeme der Benutzer (alle nicht-administrativen Client-Systeme werden über einen Frontend-Server abgegrenzt)
* Netzinfrastruktur außerhalb der Organisation (alle Netze außerhalb des Informationsverbundes (Internet, Fremdnetze, Bürokommunikationsnetze) sind über ein Security-Gateway abgegrenzt)
* Gebäudeinfrastruktur für extern betriebenes Rechenzentrum (Das Rechenzentrum des Dienstleisters, in dem der Informationsverbund betrieben wird, ist selbst nach BSI IT-Grundschutz zertifiziert, der Schutzbedarf entspricht dem des Informationsverbundes. Damit ist der Rechenzentrumsbetrieb abgegrenzt)
* Reine Bürokommunikationssysteme wie Telefonie, Drucker, Smartphones und Tablets sind abgegrenzt.
 
* ...
 
''Für abgegrenzte Bereiche muss die Grenze zum Informationsverbund und ggf. der Übergang sowie desssen Absicherung beschrieben sein.''
 
''Werden elemetare Bestandteile des Informationsverbunds (z.B. ein angemietetes externes Rechenzentrum) abgegrenzt, muss beschrieben sein, wie sichergestellt wird, dass diese Teile gleichermaßem dem festgestellten Schutzbedarf des Informationsverbunds entsprechen (z.B. in Form einer eigenen Zertifizierung, vertraglicher Regelungen und eigener Audits dieser Teile.).''
 
== Aufbau des ISMS ==
Die Organisation betreibt ihr Informationssicherheits-Managementsystem (ISMS) gemäß BSI-Standard 200-1.
 
''Kurze Beschreibung der Struktur und Organisation des ISMS (Ziele des ISMS, Organigramm des Sicherheitsmanagements).''
 
=== Vorgehensweise ===
Für den vorliegenden Informationsverbund wird die '''Standardabsicherung''' ''(alternativ: Basisabsicherung oder Kernabsicherung)'' nach BSI-Standard 200-2 angewendet.


=== Verantwortliche ===
=== Verantwortliche ===


==== Organisationsleitung ====
==== Organisationsleitung ====
Die Leitung der Organisation trägt die Gesamtverantwortung für die Informationssicherheit der Organisation und hat klare Ziele für die Informationssicherheit definiert. Diese Leitlinien bilden die Grundlage für alle Maßnahmen im Informationsverbund. Die übergreifenden Aufgaben der Leitung bestehen im Wesentlichen darin:
* Festlegung von messbaren Sicherheitszielen
* Verantwortlichkeiten zu delegieren
* Ressourcen bereitzustellen
* Sicherheitskultur in der Organisation zu fördern
* Bewertung der Risiken für die Organisation
* Compliance und Rechenschaftspflicht erfüllen
* Überwachung und Bewertung der Zielerreichung


==== Informationssicherheitsbeauftragter ====
==== Informationssicherheitsbeauftragter ====
Die Organisation hat einen Informationssicherheitsbeauftragten (ISB) ernannt.
Der Informationssicherheitsbeauftragte ist für den Aufbau und die Koordination des ISMS verantwortlich und untersteht als Stabsstelle direkt der Organisationsleitung.
Seine Aufgaben sind u.a.:
* Berichterstattung und Beratung der Leitung zu Belangen der Informationssicherheit
* Koordination der Schulungen und Sensibilisierung der Mitarbeitenden zur Informationssicherheit
* Entwicklung und Fortschreibung der Sicherheitskonzeption der Organisation
* Begleitung und Auswertung von Sicherheitsvorfällen
* Begleitung der Einführung neuer Verfahren und Anwendungen
Der ISB verfügt über die zur Erfüllung seiner Aufgaben notwendigen Kenntnisse und Ressourcen.


==== Datenschutzbeauftragter ====
==== Datenschutzbeauftragter ====
Die Organisation hat einen Datenschutzbeauftragten (DSB) bestellt. Der DSB ist in die Entwicklung des Informationsverbundes eingebunden und bearbeitet alle Fragen des Datenschutzes in einem eigenen DSMS.
==== weitere Verantwortliche ====
''Ggf. weitere Verantwortlich und ihre Rollen für die Informationssicherheit im Informationsverbund.''


==== Leitung Rechenzentrum ====
=== Übergreifendes Regelwerk ===
Das relevante organisatorische Regelwerk der Organisation ist in '''Anlage A0''' enthalten. Die grundlegensten Richtlinien sind hier kurz zusammengefasst:


==== weitere Verantwortliche ====
==== Leitlinie zur Informationssicherheit ====
Die Informationssicherheits-Leitlinie gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Sie basiert auf den BSI-Standards 200.x und regelt Verantwortlichkeiten, übergreifende Maßnahmen, den Umgang mit Sicherheitsvorfälle und die Förderung von Sicherheitsbewusstsein. (siehe '''Anlage A0.1''')


=== Zulieferer / Dienstleister ===
==== Richtlinie zur Risikoanalyse ====
Die Richtlinie zur Risikoanalyse definiert den Prozess zur Identifizierung, Bewertung und Bewältigung von Risiken in der Organisation. Sie legt die Methoden, Werkzeuge und Verantwortlichkeiten fest, um potenzielle Bedrohungen zu erkennen, ihre Auswirkungen zu bewerten und angemessene Gegenmaßnahmen zu entwickeln. Das Ziel dieser Richtlinie ist es, die Risiken zu minimieren, die Sicherheit zu stärken und die Resilienz der Organisation gegenüber möglichen Gefahren zu verbessern. (siehe '''Anlage A0.2''')


== Übergreifendes Regelwerk ==
==== Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen ====
Die Richtlinie zur Lenkung von Dokumenten regelt die Verfahren und Zuständigkeiten für die Erstellung, Überprüfung, Freigabe und Archivierung von Dokumenten, um die Konsistenz, Aktualität und Compliance der Dokumente und Aufzeichnungen sicherzustellen. (siehe '''Anlage A0.3''')


=== Leitlinie zur Informationssicherheit ===
==== Richtlinie zur internen ISMS-Auditierung ====
Die Richtlinie zur internen ISMS-Auditierung legt die Verfahren und Richtlinien fest, um regelmäßige interne Audits des Informationssicherheitsmanagementsystems (ISMS) durchzuführen. Sie beschreibt den Prozess, wie die Überprüfung der ISMS-Konformität, Effektivität und Effizienz erfolgt, um sicherzustellen, dass die Sicherheitsziele erreicht und die Anforderungen erfüllt werden. Das Ziel der internen ISMS-Auditierung ist es, potenzielle Schwachstellen und Verbesserungsmöglichkeiten zu identifizieren, um eine kontinuierliche Weiterentwicklung und Anpassung des ISMS zu gewährleisten und so die Informationssicherheit im Unternehmen zu stärken. (siehe '''Anlage A0.4''')


=== Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen ===
==== Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen ====
Die Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen definiert den Prozess zur systematischen Identifizierung, Bewertung und Umsetzung von Maßnahmen, um erkannte Probleme zu korrigieren und zukünftige Vorfälle zu verhindern. Sie legt fest, wie Abweichungen, Sicherheitsvorfälle oder Verbesserungspotenziale erfasst, analysiert und behoben werden. Das Ziel dieser Richtlinie ist es, die Effizienz und Qualität im Unternehmen zu steigern, Risiken zu minimieren und die kontinuierliche Verbesserung im Hinblick auf Sicherheit und Prozesse zu fördern. (siehe '''Anlage A0.5''')


=== Richtlinie zur Risikoanalyse ===
== Zulieferer / Dienstleister ==
Für spezielle Aufgaben innerhalb des Informationsverbunds, die nicht oder nicht angemessen durch die Organisation selbst erbracht werden können, bedient sich die Organisation externer Zulieferer und Dienstleister. Die folgende Tabelle listet die externen Dienstleister und die von ihnen erbrachten Leistungen auf:
{| class="wikitable"
|+Tabelle der Dienstleister
!Kürzel
!Name
!Firma / Anschrift
!Beschreibung der Dienstleistung
!Vertrag/SLA
!Verantwortlich
|-
|''DL-1''
|''Teledings''
|''Kabelweg 712345 Web''
|''Bereitstellung des Internetzugangs der Organisation''
|''Vertragsnummer 0815 vom 1.2.2001''
|''RZ-Leitung''
|-
|
|
|
|
|
|
|}


=== Richtlinie zur internen ISMS-Auditierung ===
== Standorte ==
In der Organisation wird grundsätzlich der Ansatz des hybriden arbeitens verfolgt. Zentrale Komponenten werden in den jeweiligen Rechenzentren oder Technikräumen betrieben. Mitarbeitende können wahlweise im Büro, zu Hause oder mobil arbeiten. Büroräume werden nur insoweit betrachtet, als dort besondere administrative Tätigkeiten wie die Konfiguration von Hardware oder die Entwicklung von Strategien, Anwendungen oder Konfigurationen stattfinden, die aufgrund der dort vorhandenen Hardwarekomponenten oder Ausdrucke und sonstigen Unterlagen eines besonderen Schutzes bedürfen. Ansonsten werden alle anderen Büroräume und Arbeitsplätze als mobiles Arbeiten betrachtet und hier nicht gesondert aufgeführt.


=== Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen ===
=== Standorte der Organisation ===
{| class="wikitable"
!Kürzel
!Bezeichnung
!Adresse
!Verantwortlich
|-
|''G-1''
|''Hauptgebäude''
|
|
|-
|''G-2''
|''Nebengebäude''
|
|
|-
|
|
|
|
|}


=== Richtlinie Sicherheitsvorfallmanagement ===
=== Rechenzentren und zentrale Technikräume ===
{| class="wikitable"
|+
!Kürzel
!Bezeichnung
!Adresse
!Art
!Verantwortlich
|-
|''RZ-1''
|''Rechenzentrum am Hauptstandort G-1''
|
|''Rechenzentrum''
|''N.N.''
|-
|''TR-1''
|''Raum für Technische Infrastruktur im Nebengebäude G-2''
|
|''Technikraum''
|''N.N.''
|-
|
|
|
|
|
|}


== Standorte ==
=== Büros ===
{| class="wikitable"
|+
!Kürzel
!Bezeichnung
!Beschreibung
!Verantwortlich
|-
|''BR-1''
|''Allgemeines Büro''
|''Alle Standorte sowie ggf. Coworking Spaces der Organisation''
|''N.N.''
|-
|''BR-2''
|''Admin Büro''
|''Büros für Admins im RZ-1 mit direkter Anbindung an das Admin-Netz.''
|''N.N.''
|-
|''BR-3''
|''Rollout Büro''
|''Büro für Rollout-Team zur Konfiguration von Netzwerk-Komponenten und Clients.''
|''N.N.''
|}
 
=== Mobiles Arbeiten ===
In der Organisation wird grundsätzlich der Ansatz des hybriden Arbeitens verfolgt. Alle betroffenen mobilen Clients werden unter dem Kürzel "'''MA'''" und der Bezeichnung "'''Mobiler Arbeitsplatz'''" zusammengefasst, diese sind keinem festen Standort zugeordnet. Mobiles Arbeiten kann sowohl in einem freien Büroraum am Standort, in Coworking Spaces, im Homeoffice des Mitarbeitenden, an einem beliebigen anderen Arbeitsplatz oder unterwegs erfolgen, sofern dies den Regelungen der Organisation zum mobilen Arbeiten entspricht.


== Infrastruktur ==
== Infrastruktur ==


=== Netzplan ===
=== Netzplan ===
''Hier den bereinigten (reduzierten) Netzplan kurz beschreiben und als Abbildung (ggf. nur Übersicht) einfügen oder auf Anlagen verweisen.''


=== Komponentenlisten ===
=== Komponentenlisten ===
Alle Komponenten des Informationsverbunds sind in den Komponentenlisten der '''Anlage A1''' aufgeführt.


== Gruppierung ==
== Gruppierung ==
Zeile 100: Zeile 291:
*  den gleichen Schutzbedarf aufweisen.
*  den gleichen Schutzbedarf aufweisen.


Die Gruppierung ist anhand der Zuordnung der Zielobjekte in den Komponentenlisten ersichtlich.
Die Gruppierung ist anhand der Zuordnung der Zielobjekte in den Komponentenlisten (siehe '''Anlage A1''') ersichtlich.


== Modellierung ==
== Modellierung ==


Die Modellierung erfolgte auf Grundlage des IT Grundschutz Kompendium in der Edition 2023.
{{:KompendiumEdition2023}}
 
=== Systembausteine ===
 
''Verweis auf Modellierungsdokumentation im ISMS-Tool bzw. anderer Quellen.''
 
Die Modellierung der Systembausteine ist in den Modellierungsreports in der '''Anlage A3''' dokumentiert.
 
=== Benutzerdefinierste Bausteine ===
 
''Beschreibung benutzerdefinierter Bausteine falls vorhanden und modelliert.''
 
''ansonsten:''
 
Die Infrastruktur der Organisation ist vollständig mit den Bausteinen des verwendeten Grundschutz Kompendium modellierbar.<br>
Es werden keine benutzerdefinierten Bausteine genutzt.
 
== Abhängigkeiten ==
''Darstellung der Abhängigkeiten der Prozesse von den Anwendungen, der Anwendungen von den IT-Systemen und den Netzwerkkomponenten.''
 
Die Abhängigkeiten der Zielobjekte sind im Bericht in '''Anlage A2.3''' dargestellt.
 
== Risikoanalyse ==
Für den Informationsverbund wurde eine Risikoanalyse aufgrund ''(nichtzutreffendes streichen)''
 
* des erhöhten Schutzbedarf für die Prozesse (''Liste der Prozesskürzel'')
* der besonderen Anwendungsszenarien (''Beschreibung'')
* der eingeschränkten Modellierbarkeit der Komponenten (''Auflistung'')
* von nicht oder nur teilweise umgesetzter Anforderungen


=== Prozessbausteine ===
durchgeführt. Die Risikoanalysen sind in der '''Anlage A5''' dokumentiert.


Die Verwendung von Prozessbaustein im Informationsverbund ist in folgender Tabelle beschrieben:
''oder''


''Beschreibung der Verwendung der Prozessbausteine und Begründung für nicht verwendete Bausteine''
Aufgrund des normalen Schutzbedarfs und keiner besonderen Anwendungszenarien, sowie der vollständigen Modellierbarkeit aller Komponenten wurde keine Risikoanalyse durchgeführt.


{| class="wikitable"  
== Anlagen ==
|-
{| class="wikitable"
! Baustein !! Verwendung
|+Tabelle Liste der Anlagen
|-
!Anlage
| colspan="2" | '''Sicherheitsmanagement'''
!Titel
|-
!Quelle
|  | ISMS.1 Sicherheitsmanagement
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
| colspan="2" | '''Organisation und Personal'''
|-
|  | ORP.1 Organisation
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | ORP.2 Personal
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | ORP.3 Sensibilisierung und Schulung zur Informationssicherheit
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | ORP.4 Identitäts- und Berechtigungsmanagement
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | ORP.5 Compliance Management (Anforderungsmanagement)
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
| colspan="2" | '''Konzeption und Vorgehensweise'''
|-
|  | CON.1 Kryptokonzept
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | CON.2 Datenschutz
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | CON.3 Datensicherungskonzept
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | CON.6 Löschen und Vernichten
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | CON.7 Informationssicherheit auf Auslandsreisen
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|  | CON.8 Software-Entwicklung
|| Der Baustein ist entbehrlich, da in der Organisation keine Software entwickelt wird. Es wird nur Standardsoftware eingesetzt. Ggf. erforderliche Spezialsoftware wird von externen Dienstleistern entwickelt.
|-
|-
| | CON.9 Informationsaustausch
|'''A0'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Regelwerk der Organisation'''
|
|-
|-
| | CON.10 Entwicklung von Webanwendungen
|A0.1
|| Der Baustein ist entbehrlich, da in der Organisation keine Webanwendungen entwickelt werden. Es wird nur Standardsoftware eingesetzt. Ggf. erforderliche Spezialanwendungen werden von externen Dienstleistern entwickelt.
|Leitlinie zur Informationssicherheit
|-
|[[Informationssicherheitsleitlinie]]
| colspan="2" | '''Betrieb'''
|-
|-
| | OPS.1.1.2 Ordnungsgemäße IT-Administration
|A0.2
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Richtlinie zur Risikoanalyse
|[[RiLi-Risikoanalyse]]
|-
|-
| | OPS.1.1.3 Patch- und Änderungsmanagement
|A0.3
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Richtlinie zur Lenkung von Dokumenten
|[[RiLi-Dokumentenlenkung]]
|-
|-
| | OPS.1.1.4 Schutz vor Schadprogrammen
|A0.4
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Richtlinie zur internen ISMS Auditierung
|[[RiLi-InterneAuditierung]]
|-
|-
| | OPS.1.1.5 Protokollierung
|A0.5
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen
|[[RiLi-KVP]]
|-
|-
| | OPS.1.1.6 Software-Tests und -Freigaben
|'''A1'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Strukturanalyse'''
|
|-
|-
| | OPS.1.1.7 Systemmanagement
|A1.2
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Bereinigter Netzplan
|
|-
|-
| | OPS.1.2.2 Archivierung
|A1.3
|| Entbehrlich: Archivierung wird in der Organisation nicht genutzt da es keine rechtlichen Anforderungen gibt.
|Liste der Geschäftsprozesse ''(soweit im Dokument nicht vollständig aufgelistet)''
|
|-
|-
| | OPS.1.2.4 Telearbeit
|A1.4
|| Entbehrlich, da Telearbeit in der Organisation nicht genutzt wird. Gelegentliches Homeoffice wird über den Baustein INF.9 "Mobiler Arbeitsplatz" abgedeckt.
|Liste der IT-Anwendungen
|
|-
|-
| | OPS.1.2.5 Fernwartung
|A1.5
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Liste der IT-Systeme
|
|-
|-
| | OPS.1.2.6 NTP -Zeitsynchronisation
|A1.6
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Liste der Räume, Gebäude und Standorte ''(soweit im Dokument nicht vollständig aufgelistet)''
|
|-
|-
| | OPS.2.1 Outsourcing für Kunden
|A1.7
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Liste der Kommunikationsverbindungen
|
|-
|-
| | OPS.2.2 Cloud-Nutzung
|A1.8
|| Entbehrlich: Clouddienste werden in der Organisation nicht genutzt.
|Liste der Dienstleister ''(soweit im Dokument nicht vollständig aufgelistet)''
|
|-
|-
| | OPS.3.1 Outsourcing für Dienstleister
|'''A2'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Schutzbedarfsfeststellung'''
|-
|
| colspan="2" | '''Detektion und Reaktion'''
|-
|-
| | DER.1 Detektion von sicherheitsrelevanten Ereignissen
|A2.1
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Definition der Schutzbedarfskategorien
|
|-
|-
| | DER.2.1 Behandlung von Sicherheitsvorfällen
|A2.2
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Schutzbedarfsfeststellung
|
|-
|-
| | DER.2.2 Vorsorge für die IT-Forensik
|A2.3
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|Vererbung des Schutzbedarfs
|
|-
|-
| | DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle
|'''A3'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Modellierung des Informationsverbund'''
|
|-
|-
| | DER.3.1 Audits und Revisionen
|'''A4'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Ergebnis des Grundschutz-Checks'''
|
|-
|-
| | DER.3.2 Revision auf Basis des Leitfadens IS-Revision
|'''A5'''
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|'''Risikoanalyse'''
|-
|
| | DER.4 Notfallmanagement
|| Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
|-
|-
|'''A6'''
|'''Realisierungsplan/Risikobehandlung'''
|
|}
|}
 
[[Kategorie:Mustervorlage]]
=== Systembausteine ===
[[Kategorie:Betriebskonzept]]
 
Die Modellierung der Systembausteine ist in der Anlage dokumentiert.
 
''Verweis auf Modellierungsdokumentation im ISMS-Tool bzw. anderer Quellen.''
 
=== Benutzerdefinierste Bausteine ===
 
''Beschreibung benutzerdefinierter Bausteine falls vorhanden und modelliert.''
 
''ansonsten:''
 
Die Infrastruktur der Organisation ist vollständig mit den Bausteinen des Kompendium modellierbar.<br>
Es werden keine benutzerdefinierten Bausteine genutzt.

Aktuelle Version vom 22. August 2024, 18:29 Uhr


Die Strukturanalyse ist eine systematische Untersuchung der vorhandenen IT-Infrastruktur. In der Strukturanalyse werden alle für den Informationsverbund relevanten Geschäftsprozesse, Infrastrukturen und IT-Systeme identifiziert und beschrieben. Sie ist damit das übergreifende Rahmendokument des Sicherheitskonzepts für den Informationsverbund.

Geltungsbereich

Diese Strukturanalyse gilt für den im Titel genannten und im Folgenden beschriebenen und abgegrenzten Informationsverbund der Organisation.

Die beschriebenen Regelungen sind für alle Mitarbeitenden, die im Rahmen des definierten Informationsverbundes tätig sind, verbindlich.

Allgemeines

Beschreibung der Organisation und ihrer Ziele, des Geschäftsverteilungsplans.

Beschreibung der Organisation

Beschreibung der Organisation und ihrer Standorte im Allgemeinen

Rechtliche Rahmenbedingungen

Mögliche rechtliche Rahmenbedingungen sind im Artikel Rechtsgrundlagen aufgelistet.

Geschäftsfeld

Beschreibung des Tätigkeitsbereichs der Organisation (Was macht die Organisation wo ist ihr Kerngeschäft?)

Organisationsplan

Dastellung des Geschäftsverteilungsplans der Organisation (Organigramm)

Beschreibung des Informationsverbunds

Im folgenden wird der Informationsverbund und seine Abgrenzung innerhalb der Organisation beschrieben:

Beschreibung des Informationsverbunds

Kurze Beschreibung des Informationsverbunds, was macht den Informationsverbund aus, welchen Zweck er erfüllt, welche Anwendungen er bedient, welche Nutzergruppen er bedient ...

Eingliederung des Informationsverbunds

Darstellung des Informationsverbunds innerhalb der Organisation (Organisationsübergreifender Verbund oder in welcher Abteilung innerhalb der Organisation).

Geschäftsprozesse

Ein Geschäftsprozess ist eine systematische Abfolge von Aktivitäten, um ein bestimmtes Geschäftsziel zu erreichen. Die relevanten Geschäftsprozesse des Informationsverbunds sind im folgenden aufgeführt:

Kernprozesse

Kernprozesse sind die zentralen Prozesse der Organisation, die direkt zur Wertschöpfung beitragen und damit essentiell für das Kerngeschäft sind. Sie stellen die Haupttätigkeiten dar, die die Organisation ausführen muss, um seine Produkte oder Dienstleistungen zu erstellen oder bereitzustellen.

Tabelle der Kernprozesse
Kürzel Prozessname Beschreibung Verantwortlich
KP-1 Beispiel Beispiel Beispiel
KP-2 Beispiel Beispiel Beispiel

Hilfsprozesse

Hilfsprozesse, oder auch Supportprozesse genannt, sind Prozesse, die nicht direkt zur Wertschöpfung beitragen, sondern die Organisation in seiner Tätigkeit unterstützen und optimieren sollen. Sie stellen damit eine indirekte Unterstützung des Kerngeschäfts dar.

Tabelle der Hilfsprozesse
Kürzel Prozessname Beschreibung Verantwortlich
HP-1 Beispiel Beispiel Beispiel

Schutzbedarf

Eine angemessene Bestimmung des Schutzbedarfs ist wichtig, um die Ressourcen der Organisation effektiv zu nutzen und sicherzustellen, dass die Schutzmaßnahmen den Bedrohungen und Risiken angemessen sind. Der folgende Schutzbedarf wurde im Rahmen einer Schutzbedarfsfeststellung (siehe Anlage A2) für die genannten Geschäftsprozesse ermittelt:

Tabelle des Schutzbedarfs
Prozess Vertraulichkeit Integrität Verfügbarkeit
KP-1 normal normal normal
KP-2 hoch normal normal
HP-1 normal normal hoch

Bestandteile des Informationsverbund

Beschreibung der Bestandteile des Informationsverbunds. Welche Organisationseinheiten, Anwendungen, Server, Clients, Netzbereiche der Organisation werden in diesem Informationsverbund betrachtet?

Die folgenden Komponenten sind für die Erfüllung der betrachteten Geschäftsprozesse wesentlich und somit Bestandteil und Betrachtungsgegenstand dieses Informationsverbundes:

  • Das ISMS der Organisation
  • ...
  • ...
  • Zu diesem Informationsverbund gehören nur Produktivsysteme und IT-Systeme, die einen direkten Einfluss auf die Informationssicherheit der Produktivsysteme haben.

Alle Komponenten des Informationsverbunds sind in den Komponentenlisten der Anlage A1 aufgeführt.

Abgrenzung des Informationsverbund

Beschreibung der Grenzen des Informationsverbunds und der außerhalb des Verbunds liegenden Teile.Zum Beispiel:

  • Entwicklungs-, Test- und Freigabesysteme (Komponenten, die ausschließlich der Entwicklung, dem Test und der Freigabe dienen, werden abgegrenzt)
  • Client-Systeme der Benutzer (alle nicht-administrativen Client-Systeme werden über einen Frontend-Server abgegrenzt)
  • Netzinfrastruktur außerhalb der Organisation (alle Netze außerhalb des Informationsverbundes (Internet, Fremdnetze, Bürokommunikationsnetze) sind über ein Security-Gateway abgegrenzt)
  • Gebäudeinfrastruktur für extern betriebenes Rechenzentrum (Das Rechenzentrum des Dienstleisters, in dem der Informationsverbund betrieben wird, ist selbst nach BSI IT-Grundschutz zertifiziert, der Schutzbedarf entspricht dem des Informationsverbundes. Damit ist der Rechenzentrumsbetrieb abgegrenzt)
  • Reine Bürokommunikationssysteme wie Telefonie, Drucker, Smartphones und Tablets sind abgegrenzt.
  • ...

Für abgegrenzte Bereiche muss die Grenze zum Informationsverbund und ggf. der Übergang sowie desssen Absicherung beschrieben sein.

Werden elemetare Bestandteile des Informationsverbunds (z.B. ein angemietetes externes Rechenzentrum) abgegrenzt, muss beschrieben sein, wie sichergestellt wird, dass diese Teile gleichermaßem dem festgestellten Schutzbedarf des Informationsverbunds entsprechen (z.B. in Form einer eigenen Zertifizierung, vertraglicher Regelungen und eigener Audits dieser Teile.).

Aufbau des ISMS

Die Organisation betreibt ihr Informationssicherheits-Managementsystem (ISMS) gemäß BSI-Standard 200-1.

Kurze Beschreibung der Struktur und Organisation des ISMS (Ziele des ISMS, Organigramm des Sicherheitsmanagements).

Vorgehensweise

Für den vorliegenden Informationsverbund wird die Standardabsicherung (alternativ: Basisabsicherung oder Kernabsicherung) nach BSI-Standard 200-2 angewendet.

Verantwortliche

Organisationsleitung

Die Leitung der Organisation trägt die Gesamtverantwortung für die Informationssicherheit der Organisation und hat klare Ziele für die Informationssicherheit definiert. Diese Leitlinien bilden die Grundlage für alle Maßnahmen im Informationsverbund. Die übergreifenden Aufgaben der Leitung bestehen im Wesentlichen darin:

  • Festlegung von messbaren Sicherheitszielen
  • Verantwortlichkeiten zu delegieren
  • Ressourcen bereitzustellen
  • Sicherheitskultur in der Organisation zu fördern
  • Bewertung der Risiken für die Organisation
  • Compliance und Rechenschaftspflicht erfüllen
  • Überwachung und Bewertung der Zielerreichung

Informationssicherheitsbeauftragter

Die Organisation hat einen Informationssicherheitsbeauftragten (ISB) ernannt.

Der Informationssicherheitsbeauftragte ist für den Aufbau und die Koordination des ISMS verantwortlich und untersteht als Stabsstelle direkt der Organisationsleitung.

Seine Aufgaben sind u.a.:

  • Berichterstattung und Beratung der Leitung zu Belangen der Informationssicherheit
  • Koordination der Schulungen und Sensibilisierung der Mitarbeitenden zur Informationssicherheit
  • Entwicklung und Fortschreibung der Sicherheitskonzeption der Organisation
  • Begleitung und Auswertung von Sicherheitsvorfällen
  • Begleitung der Einführung neuer Verfahren und Anwendungen

Der ISB verfügt über die zur Erfüllung seiner Aufgaben notwendigen Kenntnisse und Ressourcen.

Datenschutzbeauftragter

Die Organisation hat einen Datenschutzbeauftragten (DSB) bestellt. Der DSB ist in die Entwicklung des Informationsverbundes eingebunden und bearbeitet alle Fragen des Datenschutzes in einem eigenen DSMS.

weitere Verantwortliche

Ggf. weitere Verantwortlich und ihre Rollen für die Informationssicherheit im Informationsverbund.

Übergreifendes Regelwerk

Das relevante organisatorische Regelwerk der Organisation ist in Anlage A0 enthalten. Die grundlegensten Richtlinien sind hier kurz zusammengefasst:

Leitlinie zur Informationssicherheit

Die Informationssicherheits-Leitlinie gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Sie basiert auf den BSI-Standards 200.x und regelt Verantwortlichkeiten, übergreifende Maßnahmen, den Umgang mit Sicherheitsvorfälle und die Förderung von Sicherheitsbewusstsein. (siehe Anlage A0.1)

Richtlinie zur Risikoanalyse

Die Richtlinie zur Risikoanalyse definiert den Prozess zur Identifizierung, Bewertung und Bewältigung von Risiken in der Organisation. Sie legt die Methoden, Werkzeuge und Verantwortlichkeiten fest, um potenzielle Bedrohungen zu erkennen, ihre Auswirkungen zu bewerten und angemessene Gegenmaßnahmen zu entwickeln. Das Ziel dieser Richtlinie ist es, die Risiken zu minimieren, die Sicherheit zu stärken und die Resilienz der Organisation gegenüber möglichen Gefahren zu verbessern. (siehe Anlage A0.2)

Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen

Die Richtlinie zur Lenkung von Dokumenten regelt die Verfahren und Zuständigkeiten für die Erstellung, Überprüfung, Freigabe und Archivierung von Dokumenten, um die Konsistenz, Aktualität und Compliance der Dokumente und Aufzeichnungen sicherzustellen. (siehe Anlage A0.3)

Richtlinie zur internen ISMS-Auditierung

Die Richtlinie zur internen ISMS-Auditierung legt die Verfahren und Richtlinien fest, um regelmäßige interne Audits des Informationssicherheitsmanagementsystems (ISMS) durchzuführen. Sie beschreibt den Prozess, wie die Überprüfung der ISMS-Konformität, Effektivität und Effizienz erfolgt, um sicherzustellen, dass die Sicherheitsziele erreicht und die Anforderungen erfüllt werden. Das Ziel der internen ISMS-Auditierung ist es, potenzielle Schwachstellen und Verbesserungsmöglichkeiten zu identifizieren, um eine kontinuierliche Weiterentwicklung und Anpassung des ISMS zu gewährleisten und so die Informationssicherheit im Unternehmen zu stärken. (siehe Anlage A0.4)

Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen

Die Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen definiert den Prozess zur systematischen Identifizierung, Bewertung und Umsetzung von Maßnahmen, um erkannte Probleme zu korrigieren und zukünftige Vorfälle zu verhindern. Sie legt fest, wie Abweichungen, Sicherheitsvorfälle oder Verbesserungspotenziale erfasst, analysiert und behoben werden. Das Ziel dieser Richtlinie ist es, die Effizienz und Qualität im Unternehmen zu steigern, Risiken zu minimieren und die kontinuierliche Verbesserung im Hinblick auf Sicherheit und Prozesse zu fördern. (siehe Anlage A0.5)

Zulieferer / Dienstleister

Für spezielle Aufgaben innerhalb des Informationsverbunds, die nicht oder nicht angemessen durch die Organisation selbst erbracht werden können, bedient sich die Organisation externer Zulieferer und Dienstleister. Die folgende Tabelle listet die externen Dienstleister und die von ihnen erbrachten Leistungen auf:

Tabelle der Dienstleister
Kürzel Name Firma / Anschrift Beschreibung der Dienstleistung Vertrag/SLA Verantwortlich
DL-1 Teledings Kabelweg 712345 Web Bereitstellung des Internetzugangs der Organisation Vertragsnummer 0815 vom 1.2.2001 RZ-Leitung

Standorte

In der Organisation wird grundsätzlich der Ansatz des hybriden arbeitens verfolgt. Zentrale Komponenten werden in den jeweiligen Rechenzentren oder Technikräumen betrieben. Mitarbeitende können wahlweise im Büro, zu Hause oder mobil arbeiten. Büroräume werden nur insoweit betrachtet, als dort besondere administrative Tätigkeiten wie die Konfiguration von Hardware oder die Entwicklung von Strategien, Anwendungen oder Konfigurationen stattfinden, die aufgrund der dort vorhandenen Hardwarekomponenten oder Ausdrucke und sonstigen Unterlagen eines besonderen Schutzes bedürfen. Ansonsten werden alle anderen Büroräume und Arbeitsplätze als mobiles Arbeiten betrachtet und hier nicht gesondert aufgeführt.

Standorte der Organisation

Kürzel Bezeichnung Adresse Verantwortlich
G-1 Hauptgebäude
G-2 Nebengebäude

Rechenzentren und zentrale Technikräume

Kürzel Bezeichnung Adresse Art Verantwortlich
RZ-1 Rechenzentrum am Hauptstandort G-1 Rechenzentrum N.N.
TR-1 Raum für Technische Infrastruktur im Nebengebäude G-2 Technikraum N.N.

Büros

Kürzel Bezeichnung Beschreibung Verantwortlich
BR-1 Allgemeines Büro Alle Standorte sowie ggf. Coworking Spaces der Organisation N.N.
BR-2 Admin Büro Büros für Admins im RZ-1 mit direkter Anbindung an das Admin-Netz. N.N.
BR-3 Rollout Büro Büro für Rollout-Team zur Konfiguration von Netzwerk-Komponenten und Clients. N.N.

Mobiles Arbeiten

In der Organisation wird grundsätzlich der Ansatz des hybriden Arbeitens verfolgt. Alle betroffenen mobilen Clients werden unter dem Kürzel "MA" und der Bezeichnung "Mobiler Arbeitsplatz" zusammengefasst, diese sind keinem festen Standort zugeordnet. Mobiles Arbeiten kann sowohl in einem freien Büroraum am Standort, in Coworking Spaces, im Homeoffice des Mitarbeitenden, an einem beliebigen anderen Arbeitsplatz oder unterwegs erfolgen, sofern dies den Regelungen der Organisation zum mobilen Arbeiten entspricht.

Infrastruktur

Netzplan

Hier den bereinigten (reduzierten) Netzplan kurz beschreiben und als Abbildung (ggf. nur Übersicht) einfügen oder auf Anlagen verweisen.

Komponentenlisten

Alle Komponenten des Informationsverbunds sind in den Komponentenlisten der Anlage A1 aufgeführt.

Gruppierung

Die in den Komponentenlisten enthaltenden Komponenten wurden zu Zielobjekten gruppiert.

Dabei wurden Komponenten zusammengefasst, die

  • vom gleichen Typ sind,
  • gleich oder nahezu gleich konfiguriert sind,
  • gleich oder nahezu gleich in das Netz eingebunden sind,
  • gleich oder nahezu gleich administriert werden,
  • die gleichen Prozesse oder Anwendungen bedienen und
  • den gleichen Schutzbedarf aufweisen.

Die Gruppierung ist anhand der Zuordnung der Zielobjekte in den Komponentenlisten (siehe Anlage A1) ersichtlich.

Modellierung

Die Modellierung erfolgte auf Grundlage des IT Grundschutz Kompendium des BSI in der Edition 2023.

Prozessbausteine

Die Verwendung von Prozessbaustein im Informationsverbund ist in folgender Tabelle beschrieben:

Beschreibung der Verwendung der Prozessbausteine und Begründung für nicht verwendete Bausteine

Baustein Verwendung
Sicherheitsmanagement
ISMS.1 Sicherheitsmanagement Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
Organisation und Personal
ORP.1 Organisation Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
ORP.2 Personal Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
ORP.3 Sensibilisierung und Schulung zur Informationssicherheit Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
ORP.4 Identitäts- und Berechtigungsmanagement Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
ORP.5 Compliance Management (Anforderungsmanagement) Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
Konzeption und Vorgehensweise
CON.1 Kryptokonzept Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.2 Datenschutz Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.3 Datensicherungskonzept Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.6 Löschen und Vernichten Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.7 Informationssicherheit auf Auslandsreisen Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.8 Software-Entwicklung Entbehrlich: In der Organisation wird keine Software entwickelt. Es wird nur Standardsoftware eingesetzt. Ggf. erforderliche Spezialsoftware wird von externen Dienstleistern entwickelt.
CON.9 Informationsaustausch Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
CON.10 Entwicklung von Webanwendungen Entbehrlich: In der Organisation werden keine Webanwendungen entwickelt. Es wird nur Standardsoftware eingesetzt. Ggf. erforderliche Spezialanwendungen werden von externen Dienstleistern entwickelt.
Con.11.1 Geheimschutz VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) Entbehrlich: Die Organisation verarbeitet keine geheimschutzrelevanten Informationen.
Betrieb
OPS.1.1.1 Allgemeiner IT-Betrieb Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.2 Ordnungsgemäße IT-Administration Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.3 Patch- und Änderungsmanagement Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.4 Schutz vor Schadprogrammen Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.5 Protokollierung Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.6 Software-Tests und -Freigaben Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.1.7 Systemmanagement Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.2.2 Archivierung Entbehrlich: Archivierung wird in der Organisation nicht genutzt da es keine rechtlichen Anforderungen gibt.
OPS.1.2.4 Telearbeit Entbehrlich: Telearbeit wird in der Organisation nicht genutzt. Gelegentliches Homeoffice wird über den Baustein INF.9 "Mobiler Arbeitsplatz" abgedeckt.
OPS.1.2.5 Fernwartung Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.1.2.6 NTP -Zeitsynchronisation Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.2.2 Cloud-Nutzung Entbehrlich: Clouddienste werden in der Organisation nicht genutzt.
OPS.2.3 Nutzung von Outsourcing Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
OPS.3.2 Anbieten von Outsourcing Entbehrlich: Die Organisation bietet selbst kein Outsourcing an.
Detektion und Reaktion
DER.1 Detektion von sicherheitsrelevanten Ereignissen Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.2.1 Behandlung von Sicherheitsvorfällen Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.2.2 Vorsorge für die IT-Forensik Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.3.1 Audits und Revisionen Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.3.2 Revision auf Basis des Leitfadens IS-Revision Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.
DER.4 Notfallmanagement Der Baustein ist einmalig übergreifend für die gesamte Organisation bearbeitet.


Systembausteine

Verweis auf Modellierungsdokumentation im ISMS-Tool bzw. anderer Quellen.

Die Modellierung der Systembausteine ist in den Modellierungsreports in der Anlage A3 dokumentiert.

Benutzerdefinierste Bausteine

Beschreibung benutzerdefinierter Bausteine falls vorhanden und modelliert.

ansonsten:

Die Infrastruktur der Organisation ist vollständig mit den Bausteinen des verwendeten Grundschutz Kompendium modellierbar.
Es werden keine benutzerdefinierten Bausteine genutzt.

Abhängigkeiten

Darstellung der Abhängigkeiten der Prozesse von den Anwendungen, der Anwendungen von den IT-Systemen und den Netzwerkkomponenten.

Die Abhängigkeiten der Zielobjekte sind im Bericht in Anlage A2.3 dargestellt.

Risikoanalyse

Für den Informationsverbund wurde eine Risikoanalyse aufgrund (nichtzutreffendes streichen)

  • des erhöhten Schutzbedarf für die Prozesse (Liste der Prozesskürzel)
  • der besonderen Anwendungsszenarien (Beschreibung)
  • der eingeschränkten Modellierbarkeit der Komponenten (Auflistung)
  • von nicht oder nur teilweise umgesetzter Anforderungen

durchgeführt. Die Risikoanalysen sind in der Anlage A5 dokumentiert.

oder

Aufgrund des normalen Schutzbedarfs und keiner besonderen Anwendungszenarien, sowie der vollständigen Modellierbarkeit aller Komponenten wurde keine Risikoanalyse durchgeführt.

Anlagen

Tabelle Liste der Anlagen
Anlage Titel Quelle
A0 Regelwerk der Organisation
A0.1 Leitlinie zur Informationssicherheit Informationssicherheitsleitlinie
A0.2 Richtlinie zur Risikoanalyse RiLi-Risikoanalyse
A0.3 Richtlinie zur Lenkung von Dokumenten RiLi-Dokumentenlenkung
A0.4 Richtlinie zur internen ISMS Auditierung RiLi-InterneAuditierung
A0.5 Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen RiLi-KVP
A1 Strukturanalyse
A1.2 Bereinigter Netzplan
A1.3 Liste der Geschäftsprozesse (soweit im Dokument nicht vollständig aufgelistet)
A1.4 Liste der IT-Anwendungen
A1.5 Liste der IT-Systeme
A1.6 Liste der Räume, Gebäude und Standorte (soweit im Dokument nicht vollständig aufgelistet)
A1.7 Liste der Kommunikationsverbindungen
A1.8 Liste der Dienstleister (soweit im Dokument nicht vollständig aufgelistet)
A2 Schutzbedarfsfeststellung
A2.1 Definition der Schutzbedarfskategorien
A2.2 Schutzbedarfsfeststellung
A2.3 Vererbung des Schutzbedarfs
A3 Modellierung des Informationsverbund
A4 Ergebnis des Grundschutz-Checks
A5 Risikoanalyse
A6 Realisierungsplan/Risikobehandlung
Abgerufen von „https://wiki.isms-ratgeber.info/index.php?title=Strukturanalyse&oldid=1283“