Grund- & Basisschutz nach BSI

Grundlagen und Prinzipien

Der Standard definiert ein Informationssicherheits-Managementsystem (ISMS), das Risiken identifiziert, bewertet und behandelt.

Ziel ist es, ein systematisches und nachhaltiges Management der Informationssicherheit in einer Organisation zu etablieren.

Prozessbasierte Vorgehensweise

Das ISMS basiert auf einem kontinuierlichen Verbesserungsprozess (PDCA: Plan-Do-Check-Act).

Es stellt sicher, dass Informationssicherheitsmaßnahmen kontinuierlich angepasst und optimiert werden.

Risikomanagement

Der Fokus liegt auf der Identifizierung von Risiken, deren Bewertung und der Auswahl geeigneter Sicherheitsmaßnahmen zur Minimierung dieser Risiken.

Es wird eine systematische Analyse von Bedrohungen, Schwachstellen und Auswirkungen durchgeführt.

Einbindung der Führungsebene

Die oberste Leitung muss aktiv in das ISMS eingebunden werden, um eine erfolgreiche Umsetzung zu gewährleisten.

Informationssicherheit wird als strategisches Ziel der Organisation betrachtet.

Modularer Ansatz

Der Standard beschreibt eine Methodik zur Umsetzung von IT-Sicherheitsmaßnahmen anhand von Bausteinen (z. B. Schutzbedarf, technische Maßnahmen).

Bausteine decken unterschiedliche Bereiche der IT ab, wie Netzwerke, Anwendungen und physische Sicherheit.

Risikoanalyse und Schutzbedarfsermittlung

Organisationen müssen den Schutzbedarf ihrer IT-Systeme und Daten ermitteln, um geeignete Sicherheitsmaßnahmen auszuwählen.

Es wird eine Risikoanalyse durchgeführt, um die Kritikalität und Schutzanforderungen zu bestimmen.

Standardisierte Sicherheitsmaßnahmen

Der Standard stellt eine Sammlung von empfohlenen Maßnahmen bereit, die auf die verschiedenen Bausteine der IT angewendet werden.

Ziel ist es, durch standardisierte Maßnahmen eine hohe Sicherheit zu gewährleisten.

Prüfmethoden und Audits

Der Standard beinhaltet Methoden zur Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen.

Es wird regelmäßige Evaluierungen und Audits zur Sicherstellung der Umsetzung von IT-Grundschutzmaßnahmen empfohlen.

Notfallvorsorge und -planung

Der Standard legt fest, wie Organisationen sich auf Notfälle (z. B. Datenverlust, IT-Ausfälle) vorbereiten und entsprechende Notfallpläne entwickeln.

Es wird ein strukturiertes Vorgehen zur Identifizierung von Risiken und kritischen Geschäftsprozessen beschrieben.

Wiederherstellungsstrategien

Es werden Verfahren zur Wiederherstellung von IT-Systemen, Daten und Betriebsabläufen nach einem Notfall definiert.

Organisationen müssen sicherstellen, dass Notfallpläne regelmäßig getestet und aktualisiert werden.

Kontinuierliche Verbesserung

Nach einem Notfallereignis soll eine Analyse erfolgen, um Verbesserungen für zukünftige Notfälle zu identifizieren.

Ziel ist es, durch wiederkehrende Tests und Anpassungen die Resilienz der Organisation zu stärken.

Dokumentation und Kommunikation

Notfallpläne müssen dokumentiert und klar kommuniziert werden, sodass alle relevanten Mitarbeiter wissen, wie sie im Ernstfall zu handeln haben.

Eine regelmäßige Schulung und Sensibilisierung der Mitarbeiter wird empfohlen.

Kontinuitätsplanung

Der Standard beschreibt die Entwicklung von Strategien zur Aufrechterhaltung des Geschäftsbetriebs bei Ausfällen von IT-Systemen oder anderen kritischen Geschäftsprozessen.

Fokus auf der Minimierung von Ausfallzeiten und der Sicherstellung der Verfügbarkeit von kritischen Ressourcen.

Risikomanagement und Impact-Analyse

Eine Risiko- und Business-Impact-Analyse (BIA) muss durchgeführt werden, um die Auswirkungen von Störungen auf den Betrieb zu ermitteln.

Auf dieser Basis werden Schutzmaßnahmen zur Reduzierung der Risiken definiert.

Notfall- und Krisenmanagement

Es werden spezifische Maßnahmen für die Krisenbewältigung und das Notfallmanagement festgelegt, um den Geschäftsbetrieb im Falle eines Vorfalls schnell wiederherzustellen.

Es ist entscheidend, dass alle Mitarbeiter auf Notfälle vorbereitet sind.

Überprüfung und Tests

Der Standard fordert regelmäßige Tests und Übungen, um sicherzustellen, dass die Business Continuity-Strategien im Ernstfall effektiv umgesetzt werden.

Es wird ein kontinuierlicher Verbesserungsprozess implementiert, um die Resilienz und Reaktionsfähigkeit zu erhöhen.