LF-Modellierung
|
Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite. |
Mustervorlage: "Leitfaden Gruppierung und Modellierung"
Einleitung
Die Gruppierung von Komponenten (Assets) und die Modellierung von Zielobjekten ist ein zentraler Schritt im Rahmen des BSI IT-Grundschutzes. Zielobjekte repräsentieren die zu schützenden Werte einer Organisation und dienen als Basis für die Risikoanalyse und die Sicherheitsmaßnahmen. Dieser Leitfaden bietet eine strukturierte Vorgehensweise zur Gruppierung und Modellierung von Zielobjekten.
Gruppierung (Zusammenfassung gleichartiger Systeme) => Zielobjekte => Modellierung (Zuordnung von Bausteinen).
Eine sorgfältige Gruppierung der Komponenten (Assets) und Modellierung der Zielobjekte ist essentiell für eine effektive Umsetzung des BSI IT-Grundschutzes. Isbesondere kann eine gute Gruppierung die Aufwände für IT-Grundschutzchecks (GSC) deutlich reduzieren.
Zielsetzung
- Strukturierung und Übersichtlichkeit: Schaffung einer klaren und strukturierten Darstellung der zu schützenden Werte, um die Planung und Umsetzung von Sicherheitsmaßnahmen zu erleichtern.
- Effizienzsteigerung: Optimierung von Ressourcen und Reduktion des Aufwands durch gezielte und einheitliche Behandlung gleichartiger Assets.
- Risikomanagement: Identifikation und Bewertung von Risiken und Schwachstellen durch detaillierte Erfassung und Darstellung von Abhängigkeiten und Beziehungen zwischen Zielobjekten.
- Einhaltung von Standards und Compliance: Unterstützung der Normkonformität und Erfüllung von Anforderungen an Informationssicherheit und Datenschutz, wichtig für Audits und Zertifizierungen.
- Verbesserung der Kommunikation: Erhöhung der Transparenz und Verständlichkeit der Informationssicherheitsmaßnahmen für alle Beteiligten, Förderung der Zusammenarbeit durch klare Definitionen und eine einheitliche Sprache.
Geltungsbereich
Dieser Leitfaden gilt für das Sicherheitsmanagement der Organisation und für die Durchführung der Gruppierung und Modellierung aller Informationsverbünde der der Organisation.
Gruppierung von gleichartigen Komponenten (Assets) zu Zielobjekten
Welche Assets können gemäß Grundschutz-Standard gruppiert werden?
Der BSI IT-Grundschutz-Standard ermöglicht die Gruppierung folgender Assets zu Zielobjekten:
- Infrastrukturen: Gebäude, Räume, Rechenzentren.
- IT-Systeme: Server, Netzwerke, Arbeitsplatzrechner.
- Anwendungen: Software, Datenbanken, Webanwendungen.
- Informationen: Daten, Dokumente, Geschäftsgeheimnisse.
- Personen: Mitarbeitende, externe Dienstleistende.
- Dienstleistungen: IT-Dienstleistungen, Support-Prozesse.
Beste Vorgehensweise zur Gruppierung
- Erfassung aller Assets: Sammle alle relevanten Informationen über die bestehenden Assets im Unternehmen.
- Analyse der funktionalen Abhängigkeiten: Bestimme, welche Assets miteinander in funktionaler Beziehung stehen.
- Homogene Gruppenbildung: Fasse Assets mit ähnlichen Sicherheitsanforderungen und Schutzbedarfen zu Zielobjekten zusammen.
- Hierarchische Struktur: Erstelle eine hierarchische Struktur, die von allgemeinen Kategorien zu spezifischen Zielobjekten führt.
- Dokumentation: Halte alle Gruppen und deren Zugehörigkeit zu Zielobjekten schriftlich fest.
2. Schritt: Modellierung der Zielobjekte
Modellierungsrichtlinien des Grundschutz-Standards und des Grundschutz-Kompendiums
Die Modellierung der Zielobjekte erfolgt gemäß den Richtlinien des BSI IT-Grundschutzes und des Grundschutz-Kompendiums. Diese Richtlinien beinhalten:
- Zielobjektstruktur: Zielobjekte müssen klar und eindeutig definiert sein.
- Detailgrad: Der Detailgrad der Modellierung hängt von der Komplexität und dem Schutzbedarf des Zielobjekts ab.
- Abhängigkeiten und Beziehungen: Alle relevanten Abhängigkeiten und Beziehungen zwischen den Zielobjekten müssen dokumentiert werden.
- Aktualität: Die Modelle müssen regelmäßig aktualisiert werden, um aktuelle Veränderungen widerzuspiegeln.
Vorgehensweise bei der Modellierung
- Erstellung von Zielobjektmodellen: Nutze geeignete Werkzeuge wie Tabellenkalkulationen oder spezielle Software (z.B. verinice) zur Modellierung.
- Bestimmung des Detailgrads: Lege den notwendigen Detailgrad für jedes Zielobjekt fest:
- Basisobjekte: Grundlegende Objekte wie Gebäude und Räume.
- Erweiterte Objekte: Spezifischere Objekte wie einzelne Server oder Anwendungen.
- Dokumentation der Verknüpfungen: Stelle Verknüpfungen zwischen den Zielobjekten her, um Abhängigkeiten und Beziehungen darzustellen.
- Erstellung eines Zielobjektkatalogs: Führe alle modellierten Zielobjekte in einem umfassenden Zielobjektkatalog zusammen.
- Beschreibung der Zielobjekte: Dokumentiere jedes Zielobjekt mit einer kurzen Beschreibung, den zugehörigen Sicherheitsanforderungen und Abhängigkeiten.
- Regelmäßige Aktualisierung: Aktualisiere den Zielobjektkatalog regelmäßig, um Veränderungen und neue Erkenntnisse zu berücksichtigen.
