IT-Grundschutz

[Computan]

Hallo zusammen,

ich wollte mal hören ob hier jemand Erfahungen mit dem IT-Grundschutz des BSI hat?

Beschäftige mich gerade ein wenig mit dem Thema und wäre über ein paar Erfahrungen dankbar.

Schöne Grüße

Computan

[carstenj]

Hi,

was genau willst du denn wissen? Denn die Antwort auf deine Frage lautet: Ja.

[Computan]

Hi Hi,

ich mache mir gerade ein paar Gedanken zur Schutzbedarfsfeststellung der Systeme bzw. die Vererbung des Schutzniveaus.

Wenn ich es richtig verstanden habe erbt ein Client den Schutzbedarf einer Anwendung/eines Systems wenn auf ihm Daten verarbeitet werden.

Konkret würde das für mich bedeuten, wenn jemand Zugriff auf einen Mailserver hat über den persönliche/schützenswerte Daten gespeichert/versand werden (können) und der Schutzbedarf deshalb mit hoch ermittelt wurde, so ergibt sich auch ein hoher Schutzbedarf für den Client? Auch wenn die Daten da nur temporär im Zugriff sind?

mfg

computan

[it4management]

Hallo Computan,

wenn das so wie geschildert wäre, dann wäre auch der Schluß korrekt. Aber...

der einzelne Benutzer hat in der Regel keinen Zugriff auf den gesamten Emailserver sondern lediglich auf ein Postfach. Natürlich sind diese Daten aufgrund verschiedener gesetzlicher Anforderungen zu schützen, jedoch kann das anders aufgefangen werden.

Anhand des angeführten Beispiels kann wunderbar veranschaulicht werden, wie wichtig die Schutzbedarfsanalyse mit den einzelnen Bereichen ist. Vielleicht als ein weiteres Beispiel der mögliche physische Ort des Clients. Ein Client in der Produktion mit relativ freien Zugang ist natürlich viel stärker angreifbar als ein Client in der Personalabteilung, die z.B. als Bereich insgesamt durch ein Chipkartensystem geschützt wird und es darüber hinaus noch die organisatorische Anweisung existiert, dass Büroräume beim Verlassen immer zu verschließen sind.

Ich empfehle bei der EInführung von IT-Grundschutz nach BSI immer das Problem von seiner Komplexität so stark wie möglich herunter zu brechen, so dass sich in letzter Konsequenz nur EInzelfragen ergeben. Diese können dann übertragen (vererbt) werden und ergeben dann die jeweiligen Schutzbedarfe für IT-Systeme, Räumen, Anwendungen, usw. Anbei einmal ein exemplarisches Vorgehen:

BSI IT-Grundschutz in Abgrenzung zum Datenschutz

MfG

it4management

[Computan]

Hallo it4management,

vielen Dank für die Antwort, jetzt stellt sich mir aber insbesondere zum folgenden Teil noch eine Rückfrage:

Anhand des angeführten Beispiels kann wunderbar veranschaulicht werden, wie wichtig die Schutzbedarfsanalyse mit den einzelnen Bereichen ist. Vielleicht als ein weiteres Beispiel der mögliche physische Ort des Clients. Ein Client in der Produktion mit relativ freien Zugang ist natürlich viel stärker angreifbar als ein Client in der Personalabteilung, die z.B. als Bereich insgesamt durch ein Chipkartensystem geschützt wird und es darüber hinaus noch die organisatorische Anweisung existiert, dass Büroräume beim Verlassen immer zu verschließen sind.

... d.h. durch den relativ freien Zugang zu Produktionsclients macht die Einstufung "hoher" Vertraulichkeit schon sinnvoll, wenn von ihm vertrauliche Daten eingesehen werden können.

Wie ist es dann mit der Integrität des Clients, bezieht sich diese auf Datenintegrität der vom Client verarbeiteten Daten? (Daten liegen auf dem Server, werden aber temporär auf dem Client verarbeitet und dürfen bei der Verarbeitung nicht manipuliert werden). Oder geht es um die Integrität des Clients ansich, z.B. Schutz vor Manipulation des Clients um Daten abzuhören?

Schöne Grüße

Computan