02 / Compliance und Zertifizierung
IT-Grundschutz, Baustein für Baustein, ohne im Kompendium unterzugehen
Wir helfen Ihnen, Ihren Informationsverbund nach IT-Grundschutz des BSI zu modellieren, den Umsetzungsstand zu prüfen und Lücken zu schließen, ob Sie eine Zertifizierung anstreben oder eine solide Basis.
Überblick
Was IT-Grundschutz ist
IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI). Dazu gehören die BSI-Standards, die beschreiben, wie ein Managementsystem für Informationssicherheit aufgebaut und die Methode angewendet wird, und das IT-Grundschutz-Kompendium, eine Sammlung von Bausteinen mit Anforderungen für typische Prozesse, Anwendungen, Systeme und Räume.
Die Arbeit folgt einem klaren Weg: Informationsverbund festlegen, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung mit den passenden Bausteinen und IT-Grundschutz-Check, um zu sehen, welche Anforderungen erfüllt sind. Wo der Schutzbedarf hoch ist oder kein Baustein passt, schließt eine Risikoanalyse die Lücke. Das BSI beschreibt unterschiedliche Vorgehensweisen der Absicherung, sodass eine Organisation mit einer Basis beginnen und darauf aufbauen kann.
Eine ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz erteilt das BSI selbst, nach einem Audit durch einen vom BSI zertifizierten Auditor. Black Fox stellt sie nicht aus. Wir helfen bei Modellierung, Check und Umsetzung und unterstützen Sie während des Audits.
Für wen es gedacht ist
Öffentliche Stellen und ihre Dienstleister, Betreiber, die von Kunden oder Aufsichtsbehörden zur Anwendung von IT-Grundschutz angehalten werden, und Organisationen, die eine ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz statt eines nativen ISO/IEC 27001-Zertifikats anstreben.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Informationsverbund und Strukturanalyse
Wir legen den Geltungsbereich fest und erfassen Geschäftsprozesse, Anwendungen, IT-Systeme, Netze und Räume in einer modellierbaren Struktur.
Schutzbedarfsfeststellung
Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit, mit den Prozessverantwortlichen bestimmt und auf die tragenden Systeme vererbt.
Modellierung
Jedes Zielobjekt den zutreffenden Bausteinen des IT-Grundschutz-Kompendiums zugeordnet, mit Begründung, wo ein Baustein entfällt.
IT-Grundschutz-Check
Eine Prüfung Anforderung für Anforderung, was umgesetzt, teilweise umgesetzt oder offen ist, mit Interviews und Nachweisen.
Risikoanalyse
Wo der Schutzbedarf hoch ist oder Bausteine ein Zielobjekt nicht abdecken, eine Risikoanalyse nach der Methode des BSI.
Umsetzung
Richtlinien, Verfahren und technische Maßnahmen zum Schließen der Lücken, einschließlich der Härtung betroffener Systeme.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Informationsverbund, angestrebte Absicherung, Beteiligte und Frist und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Strukturanalyse und Schutzbedarf
Workshops mit Ihren Verantwortlichen, am Ende eine dokumentierte Struktur und ein abgestimmter Schutzbedarf.
Modellierung und Check
Wir modellieren den Verbund und führen den IT-Grundschutz-Check durch, am Ende ein priorisierter Realisierungsplan.
Umsetzung
Wir arbeiten mit Ihren Teams an Dokumenten, Maßnahmen und Nachweisen.
Auditvorbereitung
Wenn Sie eine Zertifizierung anstreben, koordinieren wir das Audit durch einen vom BSI zertifizierten Auditor, bereiten Sie darauf vor und helfen bei etwaigen Feststellungen.
Was Sie erhalten
- Abgrenzung des Informationsverbunds und Strukturanalyse
- Schutzbedarfsfeststellung
- Modellierung des Verbunds nach dem Kompendium
- Ergebnisse des IT-Grundschutz-Checks
- Risikoanalyse, wo erforderlich
- Priorisierter Realisierungsplan
Fragen
Wer stellt das Zertifikat aus?
Das BSI. Eine ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz erteilt das BSI nach einem Audit durch einen vom BSI zertifizierten Auditor. Black Fox bereitet Sie vor, koordiniert das Audit und unterstützt Sie dabei.
Was unterscheidet das von einer nativen ISO/IEC 27001-Zertifizierung?
Beide beruhen auf einem ISMS. Bei IT-Grundschutz stammen die Anforderungen aus den Bausteinen des Kompendiums statt aus Ihrer eigenen Auswahl aus Anhang A, und die Methode gibt vor, wie Sie Ihre Umgebung modellieren und prüfen. Das ist detailliertere Arbeit, aber auch mehr Anleitung.
Müssen wir das ganze Kompendium umsetzen?
Nein. Sie modellieren Ihren Informationsverbund mit den Bausteinen, die auf ihn zutreffen, und die Anforderungen hängen von der gewählten Absicherung und Ihrem Schutzbedarf ab.
Arbeiten Sie auf Deutsch?
Ja. Das Team arbeitet auf Englisch, Deutsch und Französisch, und die BSI-Unterlagen wie Ihre Dokumentation können auf Deutsch bleiben.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
- Governance und RisikoRichtlinien und VerfahrenBlack Fox Security schreibt und prüft Ihre Sicherheitsrichtlinien: Nutzung, Zugriff, Vorfallreaktion, Lieferanten, Backup und mehr, verständlich für die Anwender.
Finden Sie heraus, was das Kompendium für Ihre Systeme bedeutet
Erzählen Sie uns von Ihrem Informationsverbund und Ihrem Ziel. Wir zeigen Ihnen, welche Bausteine zutreffen und wo die Lücken sind.