Der Server ist nicht das Kronjuwel

Wer ein Asset-Inventar hat, glaubt oft, die Strukturanalyse nach IT-Grundschutz sei damit erledigt: Die Geräte stehen in einer Liste, also sind die Zielobjekte bekannt. Das ist der häufigste Kurzschluss beim Einstieg in die Methodik, und er beruht darauf, dass drei Begriffe für dasselbe gehalten werden, die der BSI-Standard 200-2 und das Kompendium sauber auseinanderhalten.

Informationsverbund: der Geltungsbereich

Der Informationsverbund ist keine Menge von Geräten, sondern der Ausschnitt, für den die Sicherheitskonzeption gilt. Kapitel 3.3.4 des Standards definiert ihn so:

„Ein Informationsverbund umfasst die Gesamtheit von infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung in einem bestimmten Anwendungsbereich der Informationsverarbeitung dienen.“

Vier Wortarten, und nur eine davon ist Technik. Räume, Prozesse, Personen und Systeme gehören gleichberechtigt dazu. Und der Verbund kann „die gesamte Informationsverarbeitung einer Institution oder auch einzelne Bereiche“ umfassen, etwa ein Abteilungsnetz oder ein Personalinformationssystem. Die Abgrenzung ist eine Entscheidung, keine Erhebung. Wer sie nicht trifft, hat keinen Verbund, sondern eine Firma.

Zielobjekt: das, worauf ein Baustein passt

Das Glossar des Kompendiums ist hier präziser, als viele erwarten:

„Zielobjekte sind Teile des Informationsverbunds, denen im Rahmen der Modellierung ein oder mehrere Bausteine aus dem IT-Grundschutz-Kompendium zugeordnet werden können. Zielobjekte können dabei physische Objekte sein, z. B. IT-Systeme. Häufig sind Zielobjekte jedoch logische Objekte, wie beispielsweise Organisationseinheiten, Anwendungen oder der gesamte Informationsverbund.“

Ein Zielobjekt ist also durch seine Verwendung definiert: Es ist das, worauf ein Baustein angewendet wird. Der Baustein ORP.4 hat als Zielobjekt die ganze Institution, INF.2 ein Rechenzentrum, SYS.2.1 einen Client. Und „häufig“ sind Zielobjekte gar keine Geräte, sondern Anwendungen, Organisationseinheiten oder der Verbund selbst.

Dazu kommt die Gruppenbildung. Kapitel 8.1.1 des Standards sagt, dass es „häufig nicht zweckmäßig ist, jedes Objekt einzeln zu erfassen“, und nennt vier Bedingungen, unter denen Objekte ein Zielobjekt bilden: gleicher Typ, ähnliche Aufgaben, ähnliche Rahmenbedingungen, gleicher Schutzbedarf. 3.000 Arbeitsplätze mit demselben Image, derselben Aufgabe und normalem Schutzbedarf sind ein Zielobjekt. Im Inventar sind es 3.000 Zeilen. Beides stimmt, es sind nur zwei verschiedene Fragen.

Asset: das Zielobjekt, das etwas wert ist

Der dritte Begriff kam erst 2017 in den Standard; die Änderungshistorie vermerkt für Version 1.0 die „Änderung des Begriffs ‚Aktiva‘ in ‚Assets‘“. Das Glossar erklärt, warum das Wort „Wert“ vermieden wird: Es ist „im Deutschen ein mit vielen Bedeutungen belegter Begriff“, und dann der entscheidende Satz:

„Im IT-Grundschutz wird der Begriff ‚Assets‘ in der Bedeutung von ‚werthaltigen bzw. wertvollen Zielobjekten‘ verwendet.“

Ein Asset ist demnach kein eigener Objekttyp, sondern ein Zielobjekt mit einer Eigenschaft: Es wird für den Geschäftszweck gebraucht. Das ist enger als der Sprachgebrauch im IT-Asset-Management, wo jedes Gerät ein Asset ist, weil es gekauft wurde.

Kronjuwelen: Informationen, nicht Systeme

Am deutlichsten wird der Unterschied bei den kritischen Assets. Kapitel 7.3 des Standards, das die Kern-Absicherung vorbereitet, legt fest:

„Als Kronjuwelen werden Informationen oder Geschäftsprozesse bezeichnet, nicht Dienstleistungen, Anwendungen, IT-Systeme oder ähnliche Objekte.“

Der Datenbankserver mit den Konstruktionsdaten ist nicht das Kronjuwel. Die Konstruktionsdaten sind es. Der Server ist ein Zielobjekt, auf das der Baustein SYS.1.1 passt und das den Schutzbedarf der Daten erbt, die er verarbeitet. Wer die Kronjuwelen als Liste von Systemen führt, hat die Frage übersprungen, was zu schützen ist, und ist direkt bei der Frage angekommen, womit.

Was der Grundschutz modelliert und was nicht

Die drei Begriffe bilden eine Kette. Der Informationsverbund ist der Ausschnitt. Die Zielobjekte sind seine Teile, so gruppiert, dass Bausteine darauf passen. Assets sind die Zielobjekte, die für den Zweck gebraucht werden, und Kronjuwelen die Informationen und Prozesse darunter, ohne die die Institution nicht überlebt.

Ein Inventar liefert die Rohdaten für den zweiten Schritt. Es liefert nicht die Abgrenzung, nicht die Gruppenbildung und nicht die Entscheidung, was wertvoll ist. Das ist keine Schwäche des Inventars, es beantwortet eine andere Frage: Was haben wir. Die Strukturanalyse fragt: Was gehört dazu, und was davon zählt.

In isidaten zeigen deshalb die IT-Systeme des Bestands auf Zielobjektkategorien im Grundschutz-Cockpit, mit Vererbung und Abdeckung, statt selbst die Zielobjekte zu sein.

Quellen

BSI-Standard 200-2 (IT-Grundschutz-Methodik), Kapitel 3.3.4 „Festlegung des Geltungsbereichs“, Kapitel 7.3 „Identifikation und Festlegung der kritischen Assets (Kronjuwelen)“, Kapitel 8.1.1 „Komplexitätsreduktion durch Gruppenbildung“, Änderungshistorie Version 1.0 (Oktober 2017). IT-Grundschutz-Kompendium, Edition 2023, Glossar (Assets, Informationsverbund, Zielobjekt) und Kapitel „Schichtenmodell und Modellierung“.

In der nächsten Folge: Leitlinie, Richtlinie, Konzept, Arbeitsanweisung. Vier Ebenen, verschiedene Verbindlichkeit und verschiedene Freigeber.

Die vorige Folge: Kern ist nicht die Mitte.