Bundesamt für Sicherheit in der Informationstechnik

B 3.202 Allgemeines nicht vernetztes IT-System

Logo Allgemeines nicht vernetztes IT-System

Beschreibung

Betrachtet wird ein IT-System, das mit keinem anderen IT-System vernetzt ist. Es kann mit einem beliebigen Betriebssystem ausgestattet sein. Das IT-System kann auf einer beliebigen Plattform betrieben werden, es kann sich dabei um einen PC mit oder ohne Festplatte, aber auch um eine Unix-Workstation oder einen Apple Macintosh handeln. Das IT-System kann beispielsweise über Disketten-, CD-ROM -, DVD - oder andere Laufwerke für auswechselbare Datenträger sowie andere Peripheriegeräte verfügen. Falls der Client weitere Schnittstellen zum Datenaustausch hat, wie z. B. USB, Bluetooth, WLAN, müssen diese entsprechend den Sicherheitsvorgaben der Institution abgesichert werden, wie dies in den entsprechenden Bausteinen beschrieben ist. Ein eventuell vorhandener Drucker wird direkt am IT-System angeschlossen.

Dieses Kapitel bietet einen Überblick über Gefährdungen und Sicherheitsmaßnahmen, die für nicht vernetzte IT-Systeme typisch sind. Dieser Überblick ist unabhängig vom eingesetzten Betriebssystem. Dafür sind die weiterführenden Bausteine der IT-Grundschutz-Kataloge zu beachten.

Gefährdungslage

Für den IT-Grundschutz eines allgemeinen nicht vernetzten IT-Systems werden folgende Gefährdungen angenommen:

Höhere Gewalt

G 1.1 Personalausfall
G 1.2 Ausfall von IT-Systemen

Organisatorische Mängel

G 2.1 Fehlende oder unzureichende Regelungen
G 2.7 Unerlaubte Ausübung von Rechten
G 2.21 Mangelhafte Organisation des Wechsels zwischen den Benutzern

Menschliche Fehlhandlungen

G 3.3 Nichtbeachtung von Sicherheitsmaßnahmen
G 3.6 Gefährdung durch Reinigungs- oder Fremdpersonal
G 3.8 Fehlerhafte Nutzung von IT-Systemen
G 3.16 Fehlerhafte Administration von Zugangs- und Zugriffsrechten
G 3.17 Kein ordnungsgemäßer PC-Benutzerwechsel

Technisches Versagen

G 4.1 Ausfall der Stromversorgung
G 4.7 Defekte Datenträger
G 4.23 Automatische Erkennung von Wechseldatenträgern

Vorsätzliche Handlungen

G 5.1 Manipulation oder Zerstörung von Geräten oder Zubehör
G 5.2 Manipulation an Informationen oder Software
G 5.4 Diebstahl
G 5.9 Unberechtigte IT-Nutzung
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.19 Missbrauch von Benutzerrechten
G 5.20 Missbrauch von Administratorrechten
G 5.23 Schadprogramme

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Nachfolgend wird das Maßnahmenbündel für den Bereich "Allgemeines nicht vernetztes IT-System" vorgestellt. Ein Teil der hier genannten Maßnahmen ist in jedem Fall umzusetzen, auch wenn nur eine einzige Person dieses IT-System nutzt. Sollen an dem IT-System mehrere Benutzer arbeiten, so ist zusätzlich eine Administration des Rechners und eine Benutzertrennung unumgänglich. In diesem Fall sind auch die Maßnahmen und Gefährdungen zu betrachten, die für den Mehrbenutzerbetrieb relevant sind.

Abhängig vom eingesetzten Betriebssystem sind neben der Anwendung dieses Bausteins gegebenenfalls weitere Maßnahmen erforderlich, die in anderen Bausteinen beschrieben sind.

Für den Einsatz von nicht vernetzten Arbeitsplatzrechnern sollten im Hinblick auf die Informationssicherheit folgende Schritte durchlaufen werden:

  • Richtlinien für die Nutzung von nicht vernetzten IT-Systemen
    Für die sichere Nutzung von IT-Systemen müssen verbindliche Richtlinien festgelegt werden. Dies umfasst beispielsweise, wer das System wann und wofür nutzen darf und auf welche Daten der Zugriff in welcher Weise gestattet wird. Diese Arbeiten werden im Rahmen der Umsetzung der Maßnahmen des Bausteins B 1.9 Hard- und Software-Management durchgeführt.
  • Sichere Installation von nicht vernetzten IT-Systemen
    Eine sorgfältige Auswahl der Betriebssystem- und Software-Komponenten sowie deren sichere Installation ist notwendig, um Risiken durch Fehlbedienung oder absichtlichen Missbrauch der IT-Systeme auszuschließen. Die hier zu treffenden Maßnahmen sind in hohem Grade abhängig von dem eingesetzten Betriebssystem und sind daher im Rahmen der Umsetzung der entsprechenden Bausteine, beispielsweise B 3.204 Client unter Unix oder B 3.209 Client unter Windows XP , zu realisieren. Dabei ist die Maßnahme M 4.15 Gesichertes Login von besonderer Bedeutung, da der technische Schutz nicht vernetzter Systeme zu einem großen Teil auf einer geeigneten Zugangskontrolle beruht. Zusätzliche Maßnahmen sind vor allem dann erforderlich, wenn mehrere Benutzer mit unterschiedlichen Berechtigungen auf dasselbe IT-System zugreifen sollen:
  • Sichere Konfiguration der installierten Komponenten
    Je nach Sicherheitsanforderungen müssen die beteiligten Software-Komponenten unterschiedlich konfiguriert werden. Die hier zu treffenden Maßnahmen sind ebenfalls abhängig von dem eingesetzten Betriebssystem und sind daher im Rahmen der Umsetzung der entsprechenden Bausteine zu realisieren. Auch hier sind zusätzliche Maßnahmen erforderlich, wenn eine Trennung der Rechte mehrerer Benutzer erforderlich ist. Zu beachten ist auch die Maßnahme M 4.7 Änderung voreingestellter Passwörter , weil nur zu häufig jede Zugangskontrolle dadurch illusorisch ist, dass die verwendeten Passwörter allgemein bekannt sind.
  • Sicherer Betrieb von nicht vernetzten IT-Systemen
    Eine der wichtigsten Sicherheitsmaßnahmen beim Betrieb heutiger Client-Systeme ist die Installation und permanente Aktualisierung eines Virenscanners. Um Angriffsversuche und missbräuchliche Nutzung erkennen zu können, sind bei nicht vernetzten IT-Systemen vor allem organisatorische Maßnahmen notwendig. Die notwendigen Maßnahmen werden im Rahmen der Umsetzung der Bausteine B 1.6 Schutz vor Schadprogrammen und B 1.9 Hard- und Software-Management realisiert und brauchen daher hier nicht weiter betrachtet zu werden. Spezifische Maßnahmen für Einzelsysteme sind dabei vor allem M 4.4 Geeigneter Umgang mit Laufwerken für Wechselmedien und externen Datenspeichern und M 4.30 Nutzung der in Anwendungsprogrammen angebotenen Sicherheitsfunktionen .
  • Datensicherung der nicht vernetzten IT-Systeme (siehe M 6.32)
    Die Vorgehensweise und der erforderliche Umfang der Datensicherung richtet sich nach dem Einsatzszenario des IT-Systems (siehe Maßnahme M 6.32 Regelmäßige Datensicherung ).

Für das allgemeine nicht vernetzte IT-System sind folgende Maßnahmen umzusetzen:

Planung und Konzeption

M 2.23 (Z) Herausgabe einer PC-Richtlinie
M 2.63 (A) Einrichten der Zugriffsrechte
M 4.41 (Z) Einsatz angemessener Sicherheitsprodukte für IT-Systeme

Umsetzung

M 4.7 (A) Änderung voreingestellter Passwörter
M 4.15 (A) Gesichertes Login

Betrieb

M 2.22 (Z) Hinterlegen des Passwortes
M 3.18 (A) Verpflichtung der Benutzer zum Abmelden nach Aufgabenerfüllung
M 4.2 (A) Bildschirmsperre
M 4.4 (C) Geeigneter Umgang mit Laufwerken für Wechselmedien und externen Datenspeichern
M 4.30 (A) Nutzung der in Anwendungsprogrammen angebotenen Sicherheitsfunktionen

Notfallvorsorge

M 6.32 (A) Regelmäßige Datensicherung

Stand: 14. EL Stand 2014

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK