Grundschutz Praktiker

Klassische Schutzziele der Informationssicherheit

• Zu den klassischen Schutzzielen gehören Vertraulichkeit, Integrität und Verfügbarkeit.

Schutzziel Verfügbarkeit

• Die Verfügbarkeit bedeutet, dass Informationen bei Bedarf zugänglich sind.

Norm für Informationssicherheits-Risikomanagement

• Die ISO/IEC 27005 beschreibt die Norm für das Informationssicherheits-Risikomanagement.

Basis-Absicherung im IT-Grundschutz

• Basis-Absicherung eignet sich für Institutionen mit niedrigem Reifegrad.
• Sie dient als Einstieg in den IT-Grundschutz.
• Eine Zertifizierung ist nicht möglich.

Verantwortlichkeit für die Freigabe der Leitlinie zur Informationssicherheit

• Die Unternehmens- oder Behördenleitung ist für die Freigabe verantwortlich.

Ziel des IT-Grundschutzes

• Ein Standard-Sicherheitsniveau, das ausbaufähig ist, wird angestrebt.

Erweiterte Schutzziele der Informationssicherheit

• Transparenz und Verfügbarkeit gehören nicht zu den erweiterten Schutzzielen.

Standard für Anforderungen an ein ISMS

• Die ISO/IEC 27001 beschreibt die Anforderungen an ein ISMS (Informationssicherheitsmanagementsystem).

Was ist ein ISMS?

• Ein ISMS ist ein System zur Steuerung der Informationssicherheit.
• Es ist ein Teil des Risikomanagements.

Arten der Absicherung im IT-Grundschutz

• Der IT-Grundschutz unterscheidet zwischen Basis-, Kern- und Standard-Absicherung.

Was ist ein ISMS?

• Ein ISMS ist ein Managementsystem für Informationssicherheit.

Schutzziel Integrität

• Integrität bedeutet, dass Daten nicht unbemerkt verändert werden dürfen.

Standard mit Umsetzungshinweisen

• Die ISO/IEC 27002 enthält Umsetzungshinweise zur Informationssicherheit.

PDCA-Zyklus im ISMS

• "Apply" gehört NICHT zum PDCA-Zyklus im ISMS.

IT-Sicherheitsgesetz 2.0

• Das IT-Sicherheitsgesetz 2.0 enthält Anforderungen an KRITIS-Betreiber.

BSI-Standard 200-2

• Der BSI-Standard 200-2 beschreibt die Methodik des IT-Grundschutzes.

Typische Rollen im IS-Management-Team

• Typischerweise sind ISB (Informationssicherheitsbeauftragter), IT-Leitung und Datenschutzbeauftragter vertreten.

Elementare Gefährdung laut IT-Grundschutz

• Feuer wird als elementare Gefährdung betrachtet.

Ziel der Schutzbedarfsfeststellung

• Ziel: Kategorisierung von IT-Systemen nach Schutzbedarf.

Aussage zur Notfallvorsorge

• Sie dient der Vorbereitung auf Sicherheitsvorfälle.

Vorteil der Standard-Absicherung

• Vollständige Betrachtung aller Zielobjekte wird ermöglicht.

Was sind KRITIS?

• KRITIS sind kritische Infrastrukturen.

Bestandteile eines IT-Grundschutz-Bausteins

• Gefährdungslage und Umsetzungshinweise sind enthalten.

Bestandteile des Sicherheitsprozesses im ISMS

• Erstellung einer Sicherheitsleitlinie und Managementbewertung sind Bestandteile.

Wer erstellt B3S?

• Branchenspezifische Sicherheitsstandards (B3S) werden von Branchenarbeitskreisen erstellt.

Ziel der Risikoanalyse nach IT-Grundschutz

• Bewertung von Risiken für Zielobjekte ist ein zentrales Ziel.

Kategorie 'elementar' bei Gefährdungen

• Der Verlust von Dokumenten zählt zur Kategorie 'elementar'.

Bestandteil der 'Check'-Phase im PDCA-Zyklus

• Überwachung und Bewertung sind Bestandteil der Phase 'Check'.

Kein Schutzziel der Informationssicherheit

- **Verträglichkeit** ist kein Schutzziel der Informationssicherheit.
- Klassische sind: Vertraulichkeit, Verfügbarkeit und Integrität.

Verantwortlichkeit für die Sicherheitsleitlinie

- Die oberste Leitung hat die Verantwortlichkeit dafür.

Wesentliches Ziel der Informationssicherheitsleitlinie

- Ableitung von Sicherheitszielen aus den Geschäftszielen.

Rolle des Informationssicherheitsbeauftragten (ISB)

- Koordination des Informationssicherheitsprozesses.

Rolle des IS-Management-Teams

- Entwicklung und Überwachung der Sicherheitsleitlinie.

Bedeutung von Authentizität

- Informationen stammen aus einer vertrauenswürdigen Quelle.

Schichten des IT-Grundschutz-Kompendiums

- Data gehört NICHT dazu, aber: ISMS, SYS, OPS.

Beschreibung des Schutzziels Verbindlichkeit

- Nachweisbarkeit der Informationsquelle.

Methode zur Bewertung von Risiken im IT-Grundschutz

- Risikoanalyse nach BSI-Standard 200-3.

Norm für die Umsetzung von Informationssicherheitsmaßnahmen

- ISO/IEC 27002.

Vorteil des IT-Grundschutz-Kompendiums

- Praxisnahe Bausteine für Sicherheitsanforderungen.

Rolle der Leitung im ISMS

• Initierung und Verantwortung für den Sicherheitsprozess.

Typische Zielobjekte des IT-Grundschutzes

  - Rechenzentrum und Projektmanagement-Tool.

Elementare Gefährdung im IT-Grundschutz

  - Allgemein anerkannte Grundbedrohungen.

Mögliches Ergebnis des IT-Grundschutz-Checks

  - Ermittlung von Soll-Ist-Abweichungen.

Aufgaben der Sicherheitsstrategie

  - Ableitung der Sicherheitsziele und Bestimmung des Schutzbedarfs.

Korrekte Aussage über die 'Kern-Absicherung'

  - Fokussierung auf besonders gefährdete Geschäftsprozesse.

Inhalt der Phase 'Do' im Sicherheitsprozess

  - Umsetzung von Sicherheitsmaßnahmen.

Rolle von Informationsverantwortlichen

  - Einstufung des Schutzbedarfs und Klassifizierung der Daten.

Technische Richtlinie für Empfehlungen zu Schlüssellängen

  - TR-02102.

Auszeichnung des IT-Grundschutz-Kompendiums

  - Technikneutralität.

Inhalt des Bausteins ISMS.1

• Allgemeines Sicherheitsmanagement.

Funktion des BSI-Standards 200-1

• Beschreibt die Anforderungen an ein ISMS.

Inhalte des Sicherheitskonzepts im IT-Grundschutz

• Sicherheitsziele, Maßnahmen, Verantwortlichkeiten.

Typische Maßnahme zur Detektion von Vorfällen

• Logfile-Analyse.

Aufgabe des Notfallmanagements

• Reaktion auf gravierende Sicherheitsvorfälle.

Beschreibung einer 'elementaren Gefährdung' G 0.14

• Ausspähen von Informationen.

Korrekte Aussage zur Standard-Absicherung

• Umfassende Umsetzung des IT-Grundschutzes.

Aufgabe zur kontinuierlichen Verbesserung

• Durchführen von Managementbewertungen.

Aufgabe im Bereich 'Organisation des Sicherheitsprozesses'

• Einrichtung eines ISM-Teams.

Typischer Bestandteil der Phase 'Plan' im ISMS

• Festlegung des Geltungsbereichs.

Bedeutung des Begriffs 'ISMS'

• Informationssicherheitsmanagementsystem.