Grundbegriffe
Wörter, die in der Praxis synonym verwendet werden, obwohl sie Verschiedenes meinen. Jede Folge nimmt zwei bis vier davon, holt die Definition aus der Primärquelle, zitiert sie wörtlich und zeigt, wo der Unterschied im Alltag eine Entscheidung verändert.
Eine Folge pro Woche, sonntags. Quellen sind BSI-Standards, das IT-Grundschutz-Kompendium, ISO-Normen und Gesetzestexte; was sich nicht belegen lässt, wird ohne Zitatanspruch formuliert.
Bisher erschienen
Bedrohung ist nicht Gefährdung
Begriffe: Bedrohung, Schwachstelle, Gefährdung, Risiko
Grundbegriffe, Folge 1: Bedrohung, Schwachstelle, Gefährdung und Risiko bauen im IT-Grundschutz aufeinander auf und meinen vier verschiedene Dinge. Dazu der Begriff, den das BSI 2017 abgeschafft hat und den fast alle weiter verwenden.
Folge lesen
Wie schlimm ist nicht wie schnell
Begriffe: Schutzbedarf, Kritikalität
Grundbegriffe, Folge 2: Schutzbedarfsfeststellung und Business Impact Analyse fragen beide nach Schaden, aber nach verschiedenem. Die eine kennt keine Uhr, die andere lebt von ihr. Warum das BSI selbst davor warnt, beide in einen Topf zu werfen, und was Normalbetrieb von Notbetrieb trennt.
Folge lesen
Kern ist nicht die Mitte
Begriffe: Basis-, Kern- und Standard-Absicherung
Grundbegriffe, Folge 3: Basis-, Kern- und Standard-Absicherung werden in fast jeder Präsentation als Treppe gezeichnet. Der BSI-Standard 200-2 beschreibt etwas anderes: drei Vorgehensweisen für drei Situationen, auf zwei Achsen. Wer die Kern-Absicherung für die mittlere Stufe hält, unterschätzt sie.
Folge lesen
Der Server ist nicht das Kronjuwel
Begriffe: Informationsverbund, Zielobjekt, Asset, Kronjuwelen
Grundbegriffe, Folge 4: Informationsverbund, Zielobjekt und Asset werden im Alltag für dasselbe gehalten wie ein Inventar. Der IT-Grundschutz meint drei verschiedene Dinge, und keines davon ist eine Geräteliste. Warum 3.000 Clients ein Zielobjekt sein können und das Kronjuwel nie ein System ist.
Folge lesen
Eine Leitlinie ist keine Richtlinie
Begriffe: Leitlinie, Richtlinie, Sicherheitskonzept, Arbeitsanweisung
Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.
Folge lesen
Eine Anforderung ist keine Maßnahme
Begriffe: Anforderung, Maßnahme, Control, Baustein
Grundbegriffe, Folge 6: „Ist die Maßnahme umgesetzt?“ Wer aus dem IT-Grundschutz kommt, meint damit etwas anderes als jemand, der nach ISO 27001 arbeitet. Das Kompendium trennt Baustein, Anforderung und Maßnahme sauber: was abgesichert wird, was erfüllt sein muss und wie es bei Ihnen erfüllt wird. In der deutschen ISO-Fassung heißt dagegen das Control „Maßnahme“. Dasselbe Wort, zwei Ebenen.
Folge lesen
Ein Grundschutz-Check ist kein Audit
Begriffe: Grundschutz-Check, interne Revision, Audit
Grundbegriffe, Folge 7: „Wir hatten im Frühjahr ein Audit.“ Oft war es ein IT-Grundschutz-Check, den der ISB mit den Verantwortlichen selbst durchgeführt hat. Das ist wertvoll, aber etwas anderes. Der BSI-Standard 200-2 unterscheidet drei Prüfungen: den Check als Soll-Ist-Vergleich, die IS-Revision als regelmäßige Überprüfung der Wirksamkeit und das Audit durch unabhängige Stellen. Wer prüft, wogegen, und mit welcher Folge.
Folge lesen
Ein Testat ist kein Zertifikat
Begriffe: Zertifizierung, Akkreditierung, Attestierung
Grundbegriffe, Folge 8: Im Lieferantenfragebogen steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ oder „akkreditiert“. Vier Antworten, die ähnlich klingen und Verschiedenes bedeuten. Wer prüft, wer den Prüfer prüft, und was am Ende auf dem Papier steht: Zertifizierung, Akkreditierung und Attestierung, mit den Stellen aus EU-Recht, BSI-Gesetz und dem C5 des BSI.
Folge lesenWas noch kommt
Die Reihenfolge kann sich verschieben, die Themen stehen fest.
- Folge 9: Störung, Notfall, Krise
- Folge 10: RTO, RPO, MTPD, WRT
- Folge 11: BIA, Risikoanalyse
- Folge 12: Auftragsverarbeitung, gemeinsame Verantwortlichkeit, Übermittlung
- Folge 13: Löschen, Sperren, Anonymisieren, Pseudonymisieren
- Folge 14: TOM, Maßnahme, Garantie
Ein Begriff fehlt?
Wenn in Ihrem Haus zwei Wörter für dasselbe stehen und niemand sagen kann, ob sie es sind: Schreiben Sie uns. Die Reihe lebt von den Verwechslungen, die im Alltag wirklich vorkommen.