- Anzeigen -
Besuchen Sie auch unser Zeitschriftenportfolio im Bereich Governance, Risk, Compliance & Interne Revision

Sie sind hier: Home » Markt » Hinweise & Tipps

Umgang mit Informationssicherheitssystemen


Schneller, kompakter, anwendungsorientierter: Der neue BSI IT-Grundschutz
Was genau ist das neue IT-Grundschutz-Kompendium und wie ist es einzuordnen?

- Anzeigen -





Schlanker, schneller, praxisorientierter: So sieht das neue IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus. Im Februar 2018 wird die zweite Edition veröffentlicht, um die erste Lieferung von November 2017 zu ergänzen. Tatjana Brozat, Referentin der TÜV Nord Akademie und Inhaberin von x-net-training & solutions, beantwortet die wichtigsten Fragen und erklärt, was Unternehmen schon jetzt tun können.

Das IT-Grundschutz-Kompendium ist ein grundlegendes Instrument der modernisierten BSI-Standardreihe 200-x und damit elementarer Teil der bewährten IT-Grundschutz-Methodik. Das Kompendium löst die IT-Grundschutz-Kataloge auf Basis 100-x ab. Es beinhaltet unter anderem Empfehlungen zu Methoden, Prozessen und Verfahren zu unterschiedlichen Punkten der Informationssicherheit. Diese richten sich sowohl an öffentliche Einrichtungen als auch an Unternehmen der freien Wirtschaft. Die erste Edition des Kompendiums wurde im November veröffentlicht und enthält zunächst die Migration der wesentlichen bzw. die am häufigsten genutzten Bausteine der 15. Ergänzungslieferung nach der Version 100-x. Interessant sind unter anderem die erstmalig definierten Bausteine für den Bereich Industrie 4.0 oder IT-Forensik.

Was sind die wichtigsten Änderungen?
In den IT-Grundschutz-Katalogen nach 100-x sind sehr detaillierte Maßnahmen gelistet, die bei der Erstellung und Umsetzung eines Sicherheitskonzeptes umgesetzt werden müssen. Deren Umsetzung ist mit einem enormen Aufwand verbunden und für Anwender in der Praxis oft zu komplex. Daher fällt der Maßnahmenkatalog in seiner jetzigen Form im IT-Grundschutz-Kompendium weg. In den neuen Bausteinen werden nun Anforderungen formuliert, die zur Umsetzung der Informationssicherheit erfüllt werden müssen. Darüber hinaus werden drei verschiedene Vorgehensweise zur Umsetzung der Informationssicherheit eingeführt:

Die Basis-, Kern- und Standardabsicherung. Die Basisabsicherung richtet sich an "Neulinge" im Bereich strategischer Informationssicherheit, also Unternehmen die sich bisher noch nicht ganzheitlich mit dem Thema Informationssicherheitsmanagementsysteme (ISMS) auseinandergesetzt haben. Hier soll eine grundlegende Absicherung als Mindestanforderung gewährleistet werden, beispielsweise durch Einsatz von Firewalls oder Zutrittskontrollen. Die Kernabsicherung schützt die wichtigsten Werte eines Unternehmens. Das BSI spricht hier vom "Schutz der Kronjuwelen" wie beispielsweise Produktions-, Kunden- oder Finanzdaten. Wenn die Basis- und Kernbetrachtungen abgeschlossen sind, ist die Standardabsicherung der nächste Schritt. Diese umfasst eine ganzheitliche Abdeckung des Sicherheitsbedarfs der gesamten Organisation.

Insgesamt ist der Standard schlanker, kompakter und schneller geworden. Das vereinfacht die Umsetzung für Unternehmen erheblich.

Wie begegnen Unternehmen der Umstellung am besten?
Je nach Betrieb variiert die Erfahrung im Umgang mit Informationssicherheitssystemen stark. Daher ist hier zwischen Neulingen und betroffenen Unternehmen zu unterscheiden. Neulinge können direkt in den IT-Grundschutz nach 200-x einsteigen und eine Vorgehensweise anwenden. Für Unternehmen, die bereits Sicherheitskonzepte erarbeitet haben, ist es am sinnvollsten mit einer Migration zu warten, bis die zweite Edition des Kompendiums sowie alle Migrationshilfen vollständig verfügbar sind, um ihre Sicherheitskonzepte zu überarbeiten. "Wenn bereits vorhandene Sicherheitskonzepte in den Unternehmen vorliegen, empfehle ich zunächst einen Migrationsplan zu entwickeln und zu evaluieren, inwiefern vorhandene Sicherheitskonzepte migriert werden können", sagt Brozat.

Was können Unternehmen schon vor Veröffentlichung des zweiten Teils des Kompendiums tun?
Grundsätzlich ist vorab die Frage zu klären, ob ein Unternehmen seine Sicherheitskonzepte mit dem neuen BSI-Standard migrieren oder die Sicherheitskonzepte entsprechend der modifizierten Anforderungen gänzlich neu aufzusetzen möchte. "Wenn sich Einrichtungen für eine gänzlich neue Erarbeitung entscheiden, sollte auch diese sorgfältig geplant werden. Insgesamt sollte genug Zeit für die Anwendung des neuen IT-Grundschutzes eingeplant und die Verantwortlichen vorab auf den neuen Ansatz geschult werden", erklärt Brozat. Entsprechende Schulungen werden von verschiedenen Dienstleistern angeboten, darunter auch das Seminar zum "IT-Grundschutz-Experten" bei der TÜV Nord Akademie.
(TÜV Nord Akademie: ra)

eingetragen: 15.01.18
Home & Newsletterlauf: 16.02.18

TÜV Nord Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Datenschutz als Wettbewerbsvorteil

    Seit dem 25. Mai 2018 gilt in allen Ländern der EU ein einheitliches Datenschutzrecht (Datenschutz-Grundverordnung - DSGVO). Für kleine und mittlere Unternehmen (KMU) haben sich mit der Verordnung neue Anforderungen an den Datenschutz gestellt. Um die Übersicht zu verbessern, stellt Deutschland sicher im Netz e.V. (DsiN) im Verbund mit seinen Mitgliedern und Unterstützung des Bundesdatenschutzbeauftragten den Datenschutz-Navigator.org als neues Hilfsangebot bereit. Der Onlinecheck führt durch sämtliche praxisrelevante Themen rund um Datensicherheit und zeigt, wie Betriebe Datenschutz praxisgerecht umsetzen können.

  • Elektronische Rechnungen & EU-MwSt.-Richtlinie

    Nach der Verkündung der EU-Kommission vom 18. April 2019 wissen Unternehmen nun zumindest theoretisch dass die Richtlinie für elektronische Rechnungen gültig ist. "Theoretisch", weil es sich dabei auf den ersten Blick nicht unbedingt um Neuigkeiten von großer Bedeutung handelt. Vor allem, da Unternehmen höchst wahrscheinlich schon seit einiger Zeit ein System für ihre Rechnungsstellung nutzen. Dieser Beitrag fasst zusammen was Unternehmen beachten müssen um den Richtlinien zu entsprechen und weist zusätzlich auf einige Fälle hin, bei denen Unternehmen möglicherweise schon seit geraumer Zeit die EU-MwSt.-Richtlinie missachten.

  • Praxishilfe zur EU-Verordnung elDAS

    Mit elDAS ist seit Mitte 2016 eine EU-Verordnung wirksam, auf deren Basis die elektronische Identifizierung und die Erbringung von Vertrauensdiensten innerhalb des Europäischen Wirtschaftsraums neu geregelt wurde. Sie zeigt bereits deutliche Erfolge, allerdings verbirgt sich hinter der Umsetzung für Diensteanbieter und Anwender ein fachlich komplexer Prozess. TÜV Trust IT hat deshalb hierzu eine umfangreiche Praxishilfe herausgegeben. Mit elDAS ist erstmals die digitale Kommunikation von Wirtschaft, Verwaltung und Bürgern rechtsverbindlich, grenzüberschreitend, vollständig medienbruchfrei und sicher möglich. Dass diese Verordnung tatsächlich schon zu einer deutlichen Zunahme der qualifizierten Vertrauensdienste in Europa geführt hat, lässt sich an dem durch die EU geführten Verzeichnis der qualifizierten Anbieter ablesen: EU Trusted List of Trust Service Providers (TSL). Zudem wird die Nutzung von Vertrauensdiensten nach eIDAS in immer neuen Anwendungsbereichen zur Pflicht. Dies gilt beispielsweise im Finanzwesen, wo zur Erfüllung der Anforderungen der Payment Services Directive 2 (PSD2) die Nutzung von sogenannten Qualifizierten Siegeln und Zertifikaten (QWACS) zur Absicherung der Maschinenkommunikation vorgegeben wurde.

  • Was effektive Verschlüsselungsstrategie ausmacht

    Simon Keates, Business Development Director, EMEA bei Thales eSecurity, erläutert wie man eine effektive Verschlüsselungsstrategie am besten umsetzt und wie man die dazu notwendige Kommunikation mit der Führungsebene verbessert. "Lange Jahre hat man Verschlüsselung primär aus einem Blickwinkel heraus betrachtet: dem einer Belastung für Geschäftsprozesse. Teuer, komplex und von zweifelhaftem Wert. Wie sich die Dinge doch geändert haben. Nach wenigen Jahren (und nach Hunderten von hochkarätigen Datenschutzverletzungen mit wirtschaftlichen Schäden in Billionenhöhe) lassen sich Cyberbedrohungen nicht mehr ignorieren. Das ist auch auf den Vorstandsetagen angekommen. Neben den unmittelbaren wirtschaftlichen Folgen einer Datenschutzverletzung gibt es ein breit gefächertes Arsenal an weiteren, potenziell verheerenden Auswirkungen.

  • Die Hölle sind die anderen

    Konflikte am Arbeitsplatz sind keine Seltenheit. Schließlich treffen hier täglich verschiedene Charaktere und Standpunkte aufeinander. Besonders unterschiedliche Erwartungen an die Gestaltung von Arbeit, mangelhafte Kommunikation und der Umgang mit Stress sorgen oftmals für Probleme. Dabei können schon kleine Missverständnisse eskalieren - Sticheleien, Witze hinter dem Rücken von Kollegen oder ein frustrierter Mitarbeiter, der sich im Ton vergreift. "All das erzeugt Stress und ist anstrengend. Solche Konflikte lenken nicht nur von den eigentlichen Aufgaben ab, sondern wirken sich auf lange Sicht negativ auf die Atmosphäre im gesamten Team aus", weiß Kommunikationsexperte und Konfliktmanager Robert Häckl von der Executive Mediation GmbH. Damit sich der Arbeitsplatz nicht dauerhaft in eine Kampfarena verwandelt, kann jeder Einzelne einen Beitrag zu einem harmonischen Miteinander leisten.