Bundesamt für Sicherheit in der Informationstechnik

2 Schichtenmodell und Modellierung

Schnell zum Abschnitt

2.1 Modellierung nach IT-Grundschutz

Bei der Umsetzung von IT-Grundschutz muss der betrachtete Informationsverbund mit Hilfe der vorhandenen Bausteine nachgebildet werden, also die relevanten Sicherheitsmaßnahmen aus den IT-Grundschutz-Katalogen zusammengetragen werden. Dafür müssen die Strukturanalyse und eine Schutzbedarfsfeststellung vorliegen. Darauf aufbauend wird ein IT-Grundschutz-Modell des Informationsverbunds erstellt, das aus verschiedenen, gegebenenfalls auch mehrfach verwendeten IT-Grundschutz-Bausteinen besteht und eine Abbildung zwischen den Bausteinen und den sicherheitsrelevanten Aspekten des Informationsverbunds beinhaltet.

Das erstellte IT-Grundschutz-Modell ist unabhängig davon, ob der Informationsverbund aus bereits im Einsatz befindlichen IT-Systemen besteht oder ob es sich um einen Informationsverbund handelt, der sich erst im Planungsstadium befindet. Jedoch kann das Modell unterschiedlich verwendet werden:

  • Das IT-Grundschutz-Modell eines bereits realisierten Informationsverbunds identifiziert über die verwendeten Bausteine die relevanten Standard-Sicherheitsmaßnahmen. Es kann in Form eines Prüfplans benutzt werden, um einen Soll-Ist-Vergleich durchzuführen.
  • Das IT-Grundschutz-Modell eines geplanten Informationsverbunds stellt hingegen ein Entwicklungskonzept dar. Es beschreibt über die ausgewählten Bausteine, welche Standard-Sicherheitsmaßnahmen bei der Realisierung des Informationsverbunds umgesetzt werden müssen.

Die Einordnung der Modellierung und die möglichen Ergebnisse verdeutlicht das folgende Bild:

Ergebnis der Modellierung nach IT-Grundschutz Abbildung: Ergebnis der Modellierung nach IT-Grundschutz

Typischerweise wird ein im Einsatz befindlicher Informationsverbund sowohl realisierte als auch in Planung befindliche Anteile besitzen. Das resultierende IT-Grundschutz-Modell beinhaltet dann sowohl einen Prüfplan wie auch Anteile eines Entwicklungskonzepts.

Für die Abbildung eines im Allgemeinen komplexen Informationsverbunds auf die Bausteine der IT-Grundschutz-
Kataloge bietet es sich an, die Sicherheitsaspekte gruppiert nach bestimmten Themen zu betrachten.

Schichten des IT-Grundschutz-Modells Abbildung: Schichten des IT-Grundschutz-Modells

Die Sicherheitsaspekte eines Informationsverbunds werden wie folgt den einzelnen Schichten
zugeordnet:

  • Schicht 1
    umfasst die übergreifenden Sicherheitsaspekte, die für sämtliche oder große Teile des Informationsverbunds gleichermaßen gelten. Dies betrifft insbesondere übergreifende Konzepte und die daraus abgeleiteten Regelungen. Typische Bausteine der Schicht 1 sind unter anderem IT-Sicherheitsmanagement, Organisation, Datensicherungskonzept und Schutz vor Schadprogramme.
  • Schicht 2
    befasst sich mit den baulich-physischen Gegebenheiten. In dieser Schicht werden Aspekte der infrastrukturellen Sicherheit zusammengeführt. Dies betrifft zum Beispiel die Bausteine Gebäude, Serverraum, Rechenzentrum und häuslicher Arbeitsplatz.
  • Schicht 3
    betrifft die einzelnen IT-Systeme eines Informationsverbunds, die gegebenenfalls in Gruppen zusammengefasst wurden. Hier werden die Sicherheitsaspekte sowohl von Clients als auch von Servern, aber auch von Einzelplatz-Systemen behandelt. In diese Schicht fallen beispielsweise die Bausteine TK-Anlage, Laptop sowie Client unter Windows Vista.
  • Schicht 4
    betrachtet die Vernetzungsaspekte, die sich in erster Linie nicht auf bestimmte IT-Systeme, sondern auf die Netzverbindungen und die Kommunikation beziehen. Dazu gehören zum Beispiel die Bausteine Netzmanagement, WLAN, VoIP sowie VPN.
  • Schicht 5
    schließlich beschäftigt sich mit den eigentlichen Anwendungen, die im Informationsverbund genutzt werden. In dieser Schicht können unter anderem die Bausteine EMail, Webserver, Faxserver und Datenbanken zur Modellierung verwendet werden.

Die Aufgabenstellung bei der Modellierung nach IT-Grundschutz besteht nun darin, für die Bausteine einer jeden Schicht zu entscheiden, ob und wie sie zur Abbildung des Informationsverbunds herangezogen werden können. Je nach betrachtetem Baustein können die Zielobjekte dieser Abbildung von unterschiedlicher Art sein: einzelne Geschäftsprozesse oder Komponenten, Gruppen von Komponenten, Gebäude, Liegenschaften, Organisationseinheiten, usw.

Nachfolgend wird die Vorgehensweise der Modellierung für einen Informationsverbund detailliert beschrieben. Dabei wird besonderer Wert auf die Randbedingungen gelegt, wann ein einzelner Baustein sinnvollerweise eingesetzt werden soll und auf welche Zielobjekte er anzuwenden ist.

Bei der Modellierung eines Informationsverbunds nach IT-Grundschutz kann das Problem auftreten, dass es Zielobjekte gibt, die mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet werden können. In diesem Fall sollte eine ergänzende Sicherheitsanalyse durchgeführt werden, wie in der IT-Grundschutz-Vorgehensweise beschrieben.

2.2 Zuordnung anhand Schichtenmodell

Bei der Modellierung eines Informationsverbunds ist es zweckmäßig, die Zuordnung der Bausteine anhand des Schichtenmodells vorzunehmen. Daran anschließend folgt schließlich die Vollständigkeitsprüfung.

zu Schicht 1: Übergreifende Aspekte der Informationssicherheit

In dieser Schicht werden alle Aspekte des Informationsverbunds modelliert, die den technischen Komponenten übergeordnet sind. Im Vordergrund stehen dabei Konzepte und die von diesen Konzepten abgeleiteten Regelungen. Diese Aspekte sollten für den gesamten Informationsverbund einheitlich geregelt sein, so dass die entsprechenden Bausteine in den meisten Fällen nur einmal für den gesamten Informationsverbund anzuwenden sind. Dem Informationssicherheitsmanagement, der Organisation des IT-Betriebs sowie der Schulung und Sensibilisierung des Personals kommt dabei eine besondere Bedeutung zu. Die Umsetzung der diesbezüglichen Maßnahmen ist von grundlegender Bedeutung für den sicheren Umgang mit geschäftsrelevanten Informationen und die sichere Nutzung von Informations- und Kommunikationstechnik. Unabhängig von den eingesetzten technischen Komponenten sind die entsprechenden Bausteine daher immer anzuwenden.

  • Der Baustein B 1.0 Sicherheitsmanagement ist für den gesamten Informationsverbund einmal anzuwenden. Ein funktionierendes Informationssicherheitsmanagement ist die wesentliche Grundlage für die Erreichung eines angemessenen Sicherheitsniveaus. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.1 Organisation muss für jeden Informationsverbund mindestens einmal herangezogen werden. Wenn Teile des vorliegenden Informationsverbunds einer anderen Organisation(-seinheit) zugeordnet sind und daher anderen Rahmenbedingungen unterliegen, sollte der Baustein auf jede Organisation(-seinheit) getrennt angewandt werden. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.2 Personal muss für jeden Informationsverbund mindestens einmal herangezogen werden. Wenn Teile des vorliegenden Informationsverbunds einer anderen Organisation(-seinheit) zugeordnet sind und daher anderen Rahmenbedingungen unterliegen, sollte der Baustein auf jede Organisation(-seinheit) getrennt angewandt werden. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.3 Notfallmanagement ist zumindest dann anzuwenden, wenn in der Schutzbedarfsfeststellung Komponenten identifiziert wurden, die einen hohen oder sehr hohen Schutzbedarf in Bezug auf Verfügbarkeit haben oder wenn größere IT-Systeme bzw. umfangreiche Netze betrieben werden. Bei der Bearbeitung des Bausteins ist besonderes Augenmerk auf diese Komponenten zu richten. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.4 Datensicherungskonzept ist für den gesamten Informationsverbund einmal anzuwenden.
  • Der Baustein B 1.5 Datenschutz dient für Anwender in Deutschland zur Orientierung, wenn in der Schutzbedarfsfeststellung Komponenten identifiziert werden, bei denen eine Verarbeitung und sonstige Nutzung personenbezogener oder -beziehbarer Daten erfolgt. Dabei sollte dann geprüft werden, ob der Baustein nicht nur auf einzelne Informationsverbünde oder Verfahren, sondern auf die gesamte Institution anzuwenden ist.
  • Der Baustein B 1.6 Schutz vor Schadsoftware ist für den gesamten Informationsverbund einmal anzuwenden.
  • Der Baustein B 1.7 Kryptokonzept ist zumindest dann anzuwenden, wenn in der Schutzbedarfsfeststellung Komponenten identifiziert wurden, die einen hohen oder sehr hohen Schutzbedarf in Bezug auf Vertraulichkeit oder Integrität haben, oder wenn bereits kryptographische Verfahren im Einsatz sind.
  • Der Baustein B 1.8 Behandlung von Sicherheitsvorfällen ist zumindest dann anzuwenden, wenn in der Schutzbedarfsfeststellung Komponenten identifiziert wurden, die einen hohen oder sehr hohen Schutzbedarf in Bezug auf einen der drei Grundwerte haben, oder wenn der Ausfall des gesamten Informationsverbunds einen Schaden in den Kategorien hoch oder sehr hoch zur Folge hat. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.9 Hard- und Software-Management muss für jeden Informationsverbund mindestens einmal herangezogen werden. Wenn Teile des vorliegenden Informationsverbunds einer anderen Organisation(-seinheit) zugeordnet sind und daher anderen Rahmenbedingungen unterliegen, sollte der Baustein auf jede Organisation(-seinheit) getrennt angewandt werden. Im Fall von Outsourcing gelten für die Anwendung dieses Bausteins besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.10 Standardsoftware ist zumindest einmal für den gesamten Informationsverbund anzuwenden. Gibt es innerhalb des Informationsverbunds Teilbereiche mit unterschiedlichen Anforderungen oder Regelungen für die Nutzung von Standardsoftware, sollte Baustein B 1.10 auf diese Teilbereiche jeweils getrennt angewandt werden.
  • Der Baustein B 1.11 Outsourcing ist zumindest dann anzuwenden, wenn die folgenden Bedingungen alle erfüllt sind:

    • IT-Systeme, Anwendungen oder Geschäftsprozesse werden zu einem externen Dienstleister ausgelagert, und
    • die Bindung an den Dienstleister erfolgt auf längere Zeit, und
    • durch die Dienstleistung kann die Informationssicherheit des Auftraggebers beeinflusst werden, und
    • im Rahmen der Dienstleistungen erbringt der Dienstleister auch regelmäßig nennenswerte Tätigkeiten im Bereich Informationssicherheitsmanagement.
    • Gibt es in einem Informationsverbund verschiedene ausgelagerte Komponenten bei unterschiedlichen Dienstleistern, ist der Baustein für jeden externen Dienstleister einmal anzuwenden. Für die Anwendung dieses Bausteins gelten besondere Regeln, die im BSI-Dokument "IT-Grundschutz-Zertifizierung von ausgelagerten Komponenten" aufgeführt sind.
  • Der Baustein B 1.12 Archivierung ist auf den Informationsverbund anzuwenden, wenn aufgrund interner oder externer Vorgaben eine Langzeitarchivierung elektronischer Dokumente erforderlich ist oder bereits ein System zur Langzeitarchivierung elektronischer Dokumente betrieben wird.
  • Der Baustein B 1.13 Sicherheitssensibilisierung und -schulung zur Informationssicherheit ist für den gesamten Informationsverbund einmal anzuwenden.
  • Der Baustein B 1.14 Patch- und Änderungsmanagement ist zumindest bei größeren Informationsverbünden anzuwenden, also wenn größere IT-Systeme bzw. umfangreiche Netze betrieben werden. Bei kleineren und wenig komplexen Informationsverbünden reicht die Umsetzung von M 2.221 Änderungsmanagement aus.
  • Der Baustein B 1.15 Löschen und Vernichten von Daten ist für den gesamten Informationsverbund einmal anzuwenden.
  • Der Baustein B 1.16 Anforderungsmanagement ist für den gesamten Informationsverbund einmal anzuwenden.
  • Der Baustein B 1.17 Cloud-Nutzung richtet sich an alle Institutionen, die bereits Cloud Services in Anspruch nehmen oder deren zukünftigen Einsatz planen. Die Gefährdungen und Maßnahmen des Bausteins gelten dabei grundsätzlich unabhängig vom genutzten Service- und Bereitstellungsmodell. Der Baustein Cloud-Nutzung ist immer auf einen konkreten Cloud Service anzuwenden. Nutzt eine Institution einen Verbund von Cloud Services, so sind alle Services einzeln zu modellieren. Die Schnittstelle zwischen den Services ist ebenfalls Gegenstand des Bausteins und muss für alle Services betrachtet werden.
  • Der Baustein B 1.18 Identitäts- und Berechtigungsmanagement ist für den gesamten Informationsverbund einmal anzuwenden.

zu Schicht 2: Sicherheit der Infrastruktur

Die für den vorliegenden Informationsverbund relevanten baulichen Gegebenheiten werden mit Hilfe der Bausteine aus Schicht 2 "Sicherheit der Infrastruktur" modelliert. Jedem Gebäude, Raum oder Schutzschrank (bzw. Gruppen dieser Komponenten) wird dabei der entsprechende Baustein aus den IT-Grundschutz-Katalogen zugeordnet.

  • Der Baustein B 2.1 Allgemeines Gebäude ist für jedes Gebäude bzw. jede Gebäudegruppe einmal anzuwenden.
  • Der Baustein B 2.2 Elektrotechnische Verkabelung ist in der Regel einmal pro Gebäude bzw. Gebäudegruppe anzuwenden (zusätzlich zum Baustein B 2.1 Allgemeines Gebäude). Darüber hinaus kann der Baustein B 2.2 auch für einzelne Räume bzw. Raumgruppen, wie beispielsweise Serverräume oder Rechenzentren, angewendet werden, wenn diese Besonderheiten im Bezug auf die elektrotechnische Verkabelung aufweisen. Für die IT-Verkabelung ist zusätzlich der Baustein B 2.12 IT-Verkabelung anzuwenden.
  • Der Baustein B 2.3 Büroraum / Lokaler Arbeitsplatz ist auf jeden Raum bzw. jede Gruppe von Räumen anzuwenden, in denen sich Mitarbeiter aufhalten, um dort ihre Aufgaben zu erledigen.
  • Der Baustein B 2.4 Serverraum ist auf jeden Raum oder Bereiche bzw. jede Gruppe von Räumen anzuwenden, in denen Server oder TK-Anlagen betrieben werden. Server sind IT-Systeme, die Dienste im Netz zur Verfügung stellen. Für Räumlichkeiten, auf die der Baustein B 2.9 angewandt wird, muss nicht zusätzlich der Baustein B 2.4 herangezogen werden.
  • Der Baustein B 2.5 Datenträgerarchiv ist auf jeden Raum bzw. jede Gruppe von Räumen anzuwenden, in denen Datenträger gelagert oder archiviert werden.
  • Der Baustein B 2.6 Raum für technische Infrastruktur ist auf jeden Raum bzw. jede Gruppe von Räumen anzuwenden, in denen technische Geräte betrieben werden, die keine oder nur wenig Bedienung erfordern (z. B. Verteilerschrank, Netzersatzanlage).
  • Der Baustein B 2.7 Schutzschränke ist auf jeden Schutzschrank bzw. jede Gruppe von Schutzschränken einmal anzuwenden. Schutzschränke können gegebenenfalls als Ersatz für einen dedizierten Serverraum dienen.
  • Der Baustein B 2.8 Häuslicher Arbeitsplatz ist auf jeden häuslichen Arbeitsplatz bzw. jede Gruppe (falls entsprechende Gruppen definiert wurden) einmal anzuwenden.
  • Der Baustein B 2.9 Rechenzentrum ist auf jedes Rechenzentrum einmal anzuwenden. Als Rechenzentrum werden Einrichtungen und Räumlichkeiten bezeichnet, die für den Betrieb einer größeren, zentral für mehrere Stellen eingesetzten Datenverarbeitungsanlage erforderlich sind. Für Räumlichkeiten, auf die der Baustein B 2.9 angewandt wird, muss nicht zusätzlich der Baustein B 2.4 herangezogen werden.
  • Der Baustein B 2.10 Mobiler Arbeitsplatz ist immer dann anzuwenden, wenn Mitarbeiter häufig nicht mehr nur innerhalb der Räumlichkeiten des Unternehmens bzw. der Behörde arbeiten, sondern an wechselnden Arbeitsplätzen außerhalb. Typische Zielobjekte für den Baustein B 2.10 sind Laptops.
  • Der Baustein B 2.11 Besprechungs-, Veranstaltungs- und Schulungsräume ist auf jeden solchen Raum bzw. jede Gruppe (falls entsprechende Gruppen definiert wurden) einmal anzuwenden.
  • Der Baustein B 2.12 IT-Verkabelung ist in der Regel einmal pro Gebäude bzw. Gebäudegruppe anzuwenden (zusätzlich zum Baustein B 2.1 Allgemeines Gebäude). Darüber hinaus kann der Baustein B 2.12 auch für einzelne Räume bzw. Raumgruppen, wie beispielsweise Serverräume oder Rechenzentren, angewendet werden, wenn diese Besonderheiten im Bezug auf die IT-Verkabelung aufweisen. Für die elektrotechnische Verkablung ist zusätzlich der Baustein B 2.2 Elektrotechnische Verkabelung anzuwenden.

zu Schicht 3: Sicherheit der IT-Systeme

Sicherheitsaspekte, die sich auf IT-Systeme beziehen, werden in dieser Schicht abgedeckt. Diese Schicht ist zur Übersichtlichkeit nach Servern, Clients, Netzkomponenten und Sonstiges sortiert.

Analog zum Bereich "Sicherheit der Infrastruktur" können die Bausteine des Bereichs "Sicherheit der IT-Systeme" sowohl auf einzelne IT-Systeme als auch auf Gruppen solcher IT-Systeme angewandt werden. Dies wird im Folgenden nicht mehr gesondert hervorgehoben.

Server

Hinweis: Für jeden Server (und auch jeden Großrechner) muss neben dem Betriebssystem-spezifischen Baustein immer auch Baustein B 3.101 Allgemeiner Server angewandt werden, da in diesem Baustein die plattformunabhängigen Sicherheitsaspekte für Server zusammengefasst sind.

Clients

  • Der Baustein B 3.201 Allgemeiner Client ist auf jeden Client anzuwenden. Clients sind Arbeitsplatz-Computer, die regelmäßig oder zumindest zeitweise in einem Netz betrieben werden (im Gegensatz zu Einzelplatz-Systemen).
  • Der Baustein B 3.202 Allgemeines nicht vernetztes IT-System ist auf jedes Einzelplatz-System anzuwenden. Einzelplatz-Systeme sind Arbeitsplatz-Computer, die gar nicht oder nur in Ausnahmefällen in einem Netz betrieben werden (im Gegensatz zu Clients).
  • Der Baustein B 3.203 Laptop ist auf jeden mobilen Computer (Laptop) anzuwenden.
  • Der Baustein B 3.204 Client unter Unix ist auf jeden Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.
  • Der Baustein B 3.208 Internet-PC ist auf jeden Computer anzuwenden, der ausschließlich für die Nutzung von Internet-Diensten vorgesehen ist und nicht mit dem internen Netz der Institution verbunden ist. In diesem speziellen Szenario brauchen keine weiteren Bausteine der IT-Grundschutz-Kataloge auf diesen Computer (bzw. diese Gruppe) angewandt werden.
  • Der Baustein B 3.209 Client unter Windows XP ist auf jeden Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.
  • Der Baustein B 3.210 Client unter Windows Vista ist auf jedem Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.
  • Der Baustein B 3.211 Client unter MacOS X ist auf jedem Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.
  • Der Baustein B 3.212 Client unter Windows 7 ist auf jedem Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.
  • Der Baustein B 3.213 Client unter Windows 8 ist auf jeden Einzelplatz-Rechner oder Client anzuwenden, der mit diesem Betriebssystem arbeitet.

Hinweis: Für jeden Client muss neben dem Betriebssystem-spezifischen Baustein immer auch entweder Baustein B 3.201 Allgemeiner Client oder Baustein B 3.202 Allgemeines nicht vernetztes IT-System angewandt werden, da in diesen Bausteinen die plattformunabhängigen Sicherheitsaspekte für Clients zusammengefasst sind.

Netzkomponenten

  • Der Baustein B 3.301 Sicherheitsgateway (Firewall) ist immer anzuwenden, wenn unterschiedlich vertrauenswürdige Netze gekoppelt werden. Ein typischer Anwendungsfall ist die Absicherung einer Außenverbindung (z. B. beim Übergang eines internen Netzes zum Internet oder bei Anbindungen zu Netzen von Geschäftspartnern). Aber auch bei einer Kopplung von zwei organisationsinternen Netzen mit unterschiedlich hohem Schutzbedarf ist der Baustein anzuwenden, z. B. bei der Trennung des Bürokommunikationsnetzes vom Netz der Entwicklungsabteilung, wenn dort besonders vertrauliche Daten verarbeitet werden.
  • Der Baustein B 3.302 Router und Switches ist in jedem aktiven Netz, das im vorliegenden Informationsverbund eingesetzt wird, anzuwenden.
  • Der Baustein B 3.303 Speichersysteme / Cloud Storage ist immer dann anzuwenden, wenn zentrale Speicherlösungen eingesetzt werden. Typische Zielobjekte für diesen Baustein sind NAS-Systeme (Network Attached Storage), SAN-Systeme (Storage Area Networks), Hybrid Storage, Objekt Storage und Cloud Storage.
  • Der Baustein B 3.304 Virtualisierung ist auf jeden Virtualisierungsserver oder jede Gruppe von
    Virtualisierungsservern anzuwenden.
  • Der Baustein B 3.305 Terminalserver ist auf jeden Terminalserver des betrachteten
    Informationsverbunds anzuwenden.

Sonstiges

  • Der Baustein B 3.401 TK-Anlage ist auf jede TK-Anlage bzw. auf jede entsprechende Gruppe anzuwenden.
  • Der Baustein B 3.402 Faxgerät ist auf jedes Faxgerät bzw. auf jede entsprechende Gruppe anzuwenden.
  • Der Baustein B 3.404 Mobiltelefon sollte mindestens einmal angewandt werden, wenn die Benutzung von Mobiltelefonen in der betrachteten Organisation(-seinheit) nicht grundsätzlich untersagt ist.
    Bestehen mehrere unterschiedliche Einsatzbereiche von Mobiltelefonen (beispielsweise mehrere Mobiltelefon-Pools), so ist der Baustein B 3.404 jeweils getrennt darauf anzuwenden.
  • Der Baustein B 3.405 Smartphones, Tablets und PDAs sollte mindestens einmal angewandt werden, wenn die Benutzung von Smartphones, Tablets oder PDAs in der betrachteten Organisation(-seinheit) nicht grundsätzlich untersagt ist. Der Baustein B 3.201 Allgemeiner Client muss hier nicht zusätzlich angewandt werden.
  • Der Baustein B 3.406 Drucker, Kopierer und Multifunktionsgeräte sollte mindestens einmal pro Informationsverbund angewandt werden. Als Multifunktionsgeräte werden dabei Geräte bezeichnet, die mehrere verschiedene papierverarbeitende Funktionen bieten, etwa Drucken, Kopieren und Scannen oder auch Fax-Dienste.
  • Der Baustein B 3.407 Eingebettetes System ist immer anzuwenden, wenn eingebettete Systeme verwendet werden, die nicht fest in einem umgebenden System installiert sind, das nur als Ganzes beschafft werden kann.

zu Schicht 4: Sicherheit im Netz

In dieser Schicht werden Sicherheitsaspekte im Netz behandelt, die nicht an bestimmten IT-Systemen (z. B. Servern) festgemacht werden können. Vielmehr geht es um Sicherheitsaspekte, die sich auf die Netzverbindungen und die Kommunikation zwischen den IT-Systemen beziehen.

Um die Komplexität zu verringern, ist es sinnvoll, bei der Untersuchung statt des Gesamtnetzes Teilbereiche jeweils einzeln zu betrachten. Die hierzu erforderliche Aufteilung des Gesamtnetzes in Teilnetze sollte anhand der beiden folgenden Kriterien vorgenommen werden:

  • Im Rahmen der Schutzbedarfsfeststellung sind Verbindungen identifiziert worden, über die bestimmte Daten auf keinen Fall transportiert werden dürfen. Diese Verbindungen bieten sich als "Schnittstellen" zwischen Teilnetzen an, d. h. die Endpunkte einer solchen Verbindung sollten in verschiedenen Teilnetzen liegen. Umgekehrt sollten Verbindungen, die Daten mit hohem oder sehr hohem Schutzbedarf transportieren, möglichst keine Teilnetzgrenzen überschreiten. Dies führt zu einer Definition von Teilnetzen mit möglichst einheitlichem Schutzbedarf.
  • Komponenten, die nur über eine Weitverkehrsverbindung miteinander verbunden sind, sollten nicht demselben Teilnetz zugeordnet werden, d. h. Teilnetze sollten sich nicht über mehrere Standorte oder Liegenschaften erstrecken. Dies ist sowohl aus Gründen der Übersichtlichkeit als auch im Hinblick auf eine effiziente Projektdurchführung wünschenswert.

Falls diese beiden Kriterien nicht zu einer geeigneten Aufteilung des Gesamtnetzes führen (beispielsweise weil einige resultierende Teilnetze zu groß oder zu klein sind), kann die Aufteilung in Teilnetze alternativ auch auf organisatorischer Ebene erfolgen. Dabei werden die Zuständigkeitsbereiche der einzelnen Administratoren(-Teams) als Teilnetze betrachtet.

Es ist nicht möglich, eine grundsätzliche Empfehlung darüber zu geben, welche Aufteilung in Teilnetze zu bevorzugen ist, falls die oben angegebenen Anforderungen mit dem vorliegenden Informationsverbund grundsätzlich nicht vereinbar sind. Stattdessen sollte im Einzelfall entschieden werden, welche Aufteilung des Gesamtnetzes im Hinblick auf die anzuwendenden Bausteine der IT-Grundschutz-Kataloge am praktikabelsten ist.

  • Der Baustein B 4.1 Heterogene Netze ist in der Regel auf jedes Teilnetz einmal anzuwenden. Falls die Teilnetze klein sind und mehrere Teilnetze in der Zuständigkeit des gleichen Administratoren-Teams liegen, kann es jedoch ausreichend sein, den Baustein B 4.1 auf diese Teilnetze insgesamt einmal anzuwenden.
  • Der Baustein B 4.2 Netz- und Systemmanagement ist auf jedes Netz- bzw. Systemmanagement-System anzuwenden, das im vorliegenden Informationsverbund eingesetzt wird.
  • Der Baustein B 4.3 Modem ist auf alle Außenverbindungen anzuwenden, die über Modems realisiert sind.
  • Der Baustein B 4.4 VPN ist für jede Art von Fernzugriffen auf den Informationsverbund, also interne Netze oder IT-Systeme, einmal anzuwenden. Hierzu gehören Verbindungen über Datennetze, wie z. B. Site-to-Site-, End-to-End- oder Remote-Access-VPNs, und über Telekommunikationsverbindungen, wie z. B. über analoge Wählleitungen, ISDN- oder Mobiltelefonie.
  • Der Baustein B 4.5 LAN-Anbindung eines IT-Systems über ISDN ist auf alle Außenverbindungen anzuwenden, die über ISDN realisiert sind.
  • Der Baustein B 4.6 WLAN ist auf alle Kommunikationsnetze anzuwenden, die gemäß der Standard-Reihe IEEE 802.11 und deren Erweiterungen realisiert sind.
  • Der Baustein B 4.7 VoIP ist auf alle Kommunikationsnetze anzuwenden, in denen VoIP-Technologie zum Einsatz kommt. Tauschen leitungsvermittelnde TK-Anlagen Informationen untereinander über ein IP-Netz aus, ist der Baustein B 4.7 VoIP ebenfalls anzuwenden.
  • Der Baustein B 4.8 Bluetooth ist immer dann anzuwenden, wenn Bluetooth für Kommunikationsverbindungen benutzt wird bzw. IT-Komponenten mit Bluetooth-Schnittstellen in der Institution genutzt werden.

zu Schicht 5: Sicherheit in Anwendungen

In der untersten Schicht des zu modellierenden Informationsverbunds erfolgt die Nachbildung der Anwendungen. Moderne Anwendungen beschränken sich nur selten auf ein einzelnes IT-System. Insbesondere behörden- bzw. unternehmensweite Kernanwendungen sind in der Regel als Client-Server-Applikationen realisiert. In vielen Fällen greifen Server selbst wieder auf andere, nachgeschaltete Server, z. B. Datenbank-Systeme, zu. Die Sicherheit der Anwendungen muss daher unabhängig von den IT-Systemen und Netzen betrachtet werden.

  • Die Empfehlungen des Bausteins B 5.1 Peer-to-Peer-Dienste wurden in den Baustein B 3.201 Allgemeiner Client integriert.
  • Der Baustein B 5.2 Datenträgeraustausch sollte für jede Anwendung einmal herangezogen werden, die als Datenquelle für einen Datenträgeraustausch dient oder auf diesem Wege eingegangene Daten weiterverarbeitet.
  • Der Baustein B 5.3 Groupware ist auf jedes E-Mail-System (intern oder extern) des betrachteten Informationsverbunds anzuwenden.
  • Der Baustein B 5.4 Webserver ist auf jeden WWW-Dienst (z. B. Intranet oder Internet) des betrachteten Informationsverbunds anzuwenden.
  • Der Baustein B 5.5 Lotus Notes ist auf jedes Workgroup-System, das auf dem Produkt Lotus Notes basiert, bzw. auf jede entsprechende Gruppe im Informationsverbund einmal anzuwenden.
  • Der Baustein B 5.6 Faxserver ist auf jeden Faxserver bzw. auf jede entsprechende Gruppe anzuwenden.
  • Der Baustein B 5.7 Datenbanken sollte pro Datenbanksystem bzw. pro Gruppe von Datenbanksystemen einmal angewandt werden.
  • Der Baustein B 5.8 Telearbeit ist bei jedem Telearbeitsplatz bzw. auf jede entsprechende Gruppe anzuwenden.
  • Der Baustein B 5.9 Novell eDirectory sollte auf jeden Verzeichnisdienst, der mit Hilfe von Novell eDirectory realisiert ist, einmal angewandt werden. Zusätzlich ist immer der Baustein B 5.15 Allgemeiner Verzeichnisdienst anzuwenden.
  • Der Baustein B 5.12 Exchange 2000 / Outlook 2000 ist - zusätzlich zu Baustein B 5.3 Groupware - auf jedes Workgroup- oder E-Mail-System anzuwenden, das auf Microsoft Exchange bzw. Outlook basiert.
  • Der Baustein B 5.13 SAP System ist auf jede Applikation für Geschäftsprozesse (oder Gruppe solcher Applikationen) anzuwenden, die auf Software des Herstellers SAP basiert.
  • Der Baustein B 5.14 Mobile Datenträger sollte mindestens einmal pro Informationsverbund angewandt werden.
  • Der Baustein B 5.15 Allgemeiner Verzeichnisdienst sollte - unabhängig vom gewählten Produkt - auf jeden Verzeichnisdienst einmal angewandt werden.
  • Der Baustein B 5.16 Active Directory sollte auf jeden Verzeichnisdienst, der mit Hilfe von Microsoft Active Directory realisiert ist, einmal angewandt werden. Zusätzlich ist immer der Baustein B 5.15 Allgemeiner Verzeichnisdienst anzuwenden.
  • Der Baustein B 5.17 Samba ist auf jedem Samba-Server des betrachteten Informationsverbunds anzuwenden.
  • Der Baustein B 5.18 DNS-Server ist auf jeden im Informationsverbund betriebenen DNS-Server bzw.
    auf jede Gruppe von DNS-Servern anzuwenden.
  • Der Baustein B 5.19 Internet-Nutzung ist immer dann anzuwenden, wenn Internet-Dienste vom Arbeitsplatz genutzt werden sollen.
  • Der Baustein B 5.20 OpenLDAP sollte auf jeden Verzeichnisdienst, der mit Hilfe von OpenLDAP realisiert ist, einmal angewandt werden. Zusätzlich ist immer der Baustein B 5.15 Allgemeiner Verzeichnisdienst anzuwenden.
  • Der Baustein B 5.21 Webanwendungen ist auf jeden als Webanwendung ausgelegten Web-Dienst (z. B. Intranet oder Internet) des betrachteten Informationsverbunds anzuwenden.
  • Der Baustein B 5.22 Protokollierung ist zumindest bei größeren Informationsverbünden anzuwenden, also wenn größere IT-Systeme bzw. umfangreiche Netze betrieben werden. Bei kleineren und wenig komplexen Informationsverbünden reicht die Umsetzung von M 2.500 Protokollierung von IT-Systemen aus.
  • Der Baustein B 5.23 Cloud Management richtet sich an Cloud-Diensteanbieter (Cloud Service Provider) und ist auf jeden Server des Informationsverbunds anzuwenden, der zur Verwaltung der Cloud Computing Plattform eingesetzt wird. Oft werden mehrere Server eingesetzt werden, um die vielfältigen Verwaltungsaufgaben durchführen zu können. In solchen Fällen ist jeder Server einzeln zu modellieren. Detaillierte Hinweise zur Modellierung finden sich in der W-Maßnahme M 2.524 Modellierung von Cloud Management.
  • Der Baustein B 5.24 Web-Services ist auf jede als Web-Service ausgelegte Anwendung anzuwenden. Für komplexe Anwendungen, die einerseits als Web-Anwendung realisiert sind, andererseits aber auch Web-Services für andere IT-Systeme bereitstellen, soll neben dem vorliegenden Baustein auch der Baustein B 5.21 Webanwendungen modelliert werden.
  • Der Baustein B 5.25 Allgemeine Anwendung ist auf den Informationsverbund anzuwenden, wenn spezialisierte Anwendungssoftware eingesetzt wird. Hierzu gehört Individualsoftware, Standardsoftware mit eigenen Anpassungen, und Standardsoftware, entsprechend der Fachaufgaben und der Sicherheitsvorgaben konfiguriert wird.
  • Der Baustein B 5.26 Serviceorientierte Architektur ist immer anzuwenden, wenn verteilte Services in Form einer SOA eingesetzt werden.
  • Der Baustein B 5.27 Software-Entwicklung ist immer anzuwenden, wenn Software in der Institution eigenständig oder von einem externen Auftragnehmer entwickelt oder individuell angepasst wird.

Prüfung auf Vollständigkeit

Abschließend muss überprüft werden, ob die Modellierung des Gesamtsystems vollständig ist und keine Lücken aufweist. Es wird empfohlen, hierzu erneut den Netzplan oder eine vergleichbare Übersicht über den Informationsverbund heranzuziehen und die einzelnen Komponenten systematisch durchzugehen. Jede Komponente muss entweder einer Gruppe zugeordnet oder einzeln modelliert worden sein.

Falls das Gesamtnetz in der Schicht 4 in Teilnetze aufgeteilt wurde, muss geprüft werden, ob

  • jedes Teilnetz vollständig nachgebildet wurde und
  • durch die Summe aller Teilnetze das Gesamtnetz vollständig dargestellt wird.

Wichtig ist, dass nicht nur alle Hard- und Software-Komponenten in technischer Hinsicht nachgebildet sind, sondern dass auch die zugehörigen organisatorischen, personellen und infrastrukturellen Aspekte vollständig abgedeckt sind.

Falls sich bei der Überprüfung Lücken in der Modellierung zeigen, sind die entsprechenden fehlenden Bausteine hinzuzufügen. Andernfalls besteht die Gefahr, dass wichtige Bestandteile des Gesamtsystems oder wichtige Sicherheitsaspekte bei der Anwendung des IT-Grundschutzes nicht berücksichtigt werden.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK