- Anzeigen -

Sie sind hier: Home » Markt » Hinweise & Tipps

Umgang mit Informationssicherheitssystemen


Schneller, kompakter, anwendungsorientierter: Der neue BSI IT-Grundschutz
Was genau ist das neue IT-Grundschutz-Kompendium und wie ist es einzuordnen?

- Anzeigen -





Schlanker, schneller, praxisorientierter: So sieht das neue IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus. Im Februar 2018 wird die zweite Edition veröffentlicht, um die erste Lieferung von November 2017 zu ergänzen. Tatjana Brozat, Referentin der TÜV Nord Akademie und Inhaberin von x-net-training & solutions, beantwortet die wichtigsten Fragen und erklärt, was Unternehmen schon jetzt tun können.

Das IT-Grundschutz-Kompendium ist ein grundlegendes Instrument der modernisierten BSI-Standardreihe 200-x und damit elementarer Teil der bewährten IT-Grundschutz-Methodik. Das Kompendium löst die IT-Grundschutz-Kataloge auf Basis 100-x ab. Es beinhaltet unter anderem Empfehlungen zu Methoden, Prozessen und Verfahren zu unterschiedlichen Punkten der Informationssicherheit. Diese richten sich sowohl an öffentliche Einrichtungen als auch an Unternehmen der freien Wirtschaft. Die erste Edition des Kompendiums wurde im November veröffentlicht und enthält zunächst die Migration der wesentlichen bzw. die am häufigsten genutzten Bausteine der 15. Ergänzungslieferung nach der Version 100-x. Interessant sind unter anderem die erstmalig definierten Bausteine für den Bereich Industrie 4.0 oder IT-Forensik.

Was sind die wichtigsten Änderungen?
In den IT-Grundschutz-Katalogen nach 100-x sind sehr detaillierte Maßnahmen gelistet, die bei der Erstellung und Umsetzung eines Sicherheitskonzeptes umgesetzt werden müssen. Deren Umsetzung ist mit einem enormen Aufwand verbunden und für Anwender in der Praxis oft zu komplex. Daher fällt der Maßnahmenkatalog in seiner jetzigen Form im IT-Grundschutz-Kompendium weg. In den neuen Bausteinen werden nun Anforderungen formuliert, die zur Umsetzung der Informationssicherheit erfüllt werden müssen. Darüber hinaus werden drei verschiedene Vorgehensweise zur Umsetzung der Informationssicherheit eingeführt:

Die Basis-, Kern- und Standardabsicherung. Die Basisabsicherung richtet sich an "Neulinge" im Bereich strategischer Informationssicherheit, also Unternehmen die sich bisher noch nicht ganzheitlich mit dem Thema Informationssicherheitsmanagementsysteme (ISMS) auseinandergesetzt haben. Hier soll eine grundlegende Absicherung als Mindestanforderung gewährleistet werden, beispielsweise durch Einsatz von Firewalls oder Zutrittskontrollen. Die Kernabsicherung schützt die wichtigsten Werte eines Unternehmens. Das BSI spricht hier vom "Schutz der Kronjuwelen" wie beispielsweise Produktions-, Kunden- oder Finanzdaten. Wenn die Basis- und Kernbetrachtungen abgeschlossen sind, ist die Standardabsicherung der nächste Schritt. Diese umfasst eine ganzheitliche Abdeckung des Sicherheitsbedarfs der gesamten Organisation.

Insgesamt ist der Standard schlanker, kompakter und schneller geworden. Das vereinfacht die Umsetzung für Unternehmen erheblich.

Wie begegnen Unternehmen der Umstellung am besten?
Je nach Betrieb variiert die Erfahrung im Umgang mit Informationssicherheitssystemen stark. Daher ist hier zwischen Neulingen und betroffenen Unternehmen zu unterscheiden. Neulinge können direkt in den IT-Grundschutz nach 200-x einsteigen und eine Vorgehensweise anwenden. Für Unternehmen, die bereits Sicherheitskonzepte erarbeitet haben, ist es am sinnvollsten mit einer Migration zu warten, bis die zweite Edition des Kompendiums sowie alle Migrationshilfen vollständig verfügbar sind, um ihre Sicherheitskonzepte zu überarbeiten. "Wenn bereits vorhandene Sicherheitskonzepte in den Unternehmen vorliegen, empfehle ich zunächst einen Migrationsplan zu entwickeln und zu evaluieren, inwiefern vorhandene Sicherheitskonzepte migriert werden können", sagt Brozat.

Was können Unternehmen schon vor Veröffentlichung des zweiten Teils des Kompendiums tun?
Grundsätzlich ist vorab die Frage zu klären, ob ein Unternehmen seine Sicherheitskonzepte mit dem neuen BSI-Standard migrieren oder die Sicherheitskonzepte entsprechend der modifizierten Anforderungen gänzlich neu aufzusetzen möchte. "Wenn sich Einrichtungen für eine gänzlich neue Erarbeitung entscheiden, sollte auch diese sorgfältig geplant werden. Insgesamt sollte genug Zeit für die Anwendung des neuen IT-Grundschutzes eingeplant und die Verantwortlichen vorab auf den neuen Ansatz geschult werden", erklärt Brozat. Entsprechende Schulungen werden von verschiedenen Dienstleistern angeboten, darunter auch das Seminar zum "IT-Grundschutz-Experten" bei der TÜV Nord Akademie.
(TÜV Nord Akademie: ra)

eingetragen: 15.01.18
Home & Newsletterlauf: 16.02.18

TÜV Nord Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Erfordernis einer digitalen Due Diligence

    Fusionen und Übernahmen (Mergers & Acquisitions, M&As) bieten Unternehmen bedeutende Möglichkeiten, ein schnelles Wachstum zu erzielen oder Wettbewerbsvorteile zu erlangen. Diese reichen von der Bündelung von Ressourcen über die Diversifizierung des Produkt- und Dienstleistungsportfolios, die Erschließung neuer Märkte bis hin zum Erwerb neuer Technologien oder Fachkenntnisse. Mit dem Verlauf der Pandemiekrise wird voraussichtlich in Branchen weltweit Bewegung durch Fusionen und Übernahmen kommen. Dabei kommt dem Digitalisierungsgrad von Unternehmen eine immer höhere Bedeutung zu. Welche Rolle dabei die Datensicherheit spielt und wie sich diese im Vorfeld prüfen lässt, wird im nachfolgenden Artikel erläutert.

  • Einsatz von KI-Anwendungen

    NTT identifiziert die vier wichtigsten Herausforderungen bei Konzeption und Einsatz von KI-Anwendungen im Unternehmen. Der Siegeszug Künstlicher Intelligenz spielt beim jüngst ausgelösten Digitialisierungsschub eine herausragende Rolle, schließlich erobert KI ständig neue Anwendungsfelder und findet sich so immer häufiger im praktischen Einsatz. Die Security-Verantwortlichen in Unternehmen stellt diese Entwicklung jedoch vor komplexe, neue Herausforderungen, denn sie müssen sicherstellen, dass KI-Lösungen jederzeit sowohl die Konformität zu Compliance-, als auch Datenschutzvorgaben erfüllen. NTT Ltd. hat die wichtigsten Aktionsfelder dafür identifiziert.

  • Für welche Unternehmen gilt die XRechnungspflicht?

    Zulieferer öffentlicher Behörden auf Bundesebene sowie in Bremen müssen ihre Rechnungen ab 27. November 2020 elektronisch ausstellen: PDF-Dokumente ohne strukturierte Zusatzinformationen gelten dann nicht mehr als elektronische Rechnung. Unternehmen, welche diese Verpflichtung unmittelbar betrifft, haben bereits vorgesorgt oder rüsten jetzt ihr Unternehmen rechtssicher - mit der XRechnung. Um die Kriterien zu erfüllen müssen E-Rechnungen zwingend als strukturierter Datensatz ausgetauscht und ausgelesen werden können. Dazu wird hierzulande das Format XRechnung als Standard etabliert - die XRechnung ist ein XML-basiertes semantisches Datenmodell, mit dem Deutschland die Vorgaben des Europäischen Komitees für Normung (CEN) für die in einer elektronischen Rechnung enthaltenen Daten realisiert. Von Seiten des Bundes wurden bereits mit Stichtag 18. April die Weichen für die Umstellung auf die digitale Rechnung gestellt.

  • Die E-Rechnung in Wirtschaft und Verwaltung

    Die öffentliche Verwaltung treibt den Abschied vom Papier voran: Ab dem 27. November 2020 wird die elektronische Rechnungsstellung und -übermittlung für alle Unternehmer, die im Auftrag des Bundes tätig werden, Pflicht. Länder und Kommunen müssen bereits seit April elektronische Rechnungen annehmen. Für viele Unternehmen ist diese Umstellung eine Herausforderung, immerhin erstellt derzeit noch ein Drittel Rechnungen überwiegend oder sogar ausschließlich in Papierform (33 Prozent). Der Digitalverband Bitkom hat jetzt eine neue Version des Faktenpapiers "10 Merksätze für elektronische Rechnungen" veröffentlicht, das kleinen, mittleren und großen Betrieben bei der Umstellung auf die E-Rechnung hilft. Denn diese muss in einem bestimmten strukturierten Format erstellt werden und eine automatische Verarbeitung ermöglichen - es handelt sich also nicht um eine elektronisch versendete Rechnung, die etwa als PDF an eine Mail angehängt wird.

  • Einrichtung eines Überwachungssystems

    Die Frage, wie das Überwachungssystem eines Unternehmens und das Zusammenspiel der einzelnen Unternehmensfunktionen ausgestaltet werden, lässt der Gesetzgeber weitestgehend unbeantwortet. Interne Revision und Risikomanagement sind wichtige Funktionen der Unternehmensführung und insbesondere des Überwachungssystems. Die Frage des Zusammenwirkens dieser beiden wichtigen Unternehmensfunktionen ist nun Thema einer neuen Stellungnahme von DIIR - Deutsches Institut für Interne Revision e.V. und RMA Risk Management & Rating Association e.V.