Eine Anforderung ist keine Maßnahme

„Ist die Maßnahme umgesetzt?“ In einer Runde mit der IT-Leitung, dem Informationssicherheitsbeauftragten und einer Auditorin kann diese Frage drei verschiedene Dinge bedeuten. Die IT-Leitung denkt an die konkrete Konfiguration, die sie letzte Woche ausgerollt hat. Der ISB denkt an eine Anforderung aus dem IT-Grundschutz-Kompendium. Die Auditorin denkt an ein Control aus Anhang A der ISO 27001, das in der deutschen Fassung ebenfalls Maßnahme heißt.

Alle drei antworten mit Ja, und alle drei haben recht. Nur über dasselbe haben sie nicht gesprochen.

Baustein: wofür

Der Baustein ist die Einheit, in der das Kompendium denkt. Er gehört zu einem Zielobjekt, also zu einem Server-Typ, einer Anwendung, einem Raum oder einem Prozess. Das Kompendium beschreibt seinen Inhalt so:

„Die Bausteine des IT-Grundschutz-Kompendiums enthalten jeweils eine Beschreibung der betrachteten Komponente, Vorgehensweisen und IT-Systeme, gefolgt von einem kurzen Überblick über spezifische Gefährdungen sowie konkreter Anforderungen, um das Zielobjekt abzusichern.“

Ein Baustein ist also weder eine Pflicht noch eine Umsetzung. Er ist das Paket, das sagt, welche Pflichten für welches Zielobjekt gelten. Welche Zielobjekte es gibt und warum der Server selten das eigentlich Schützenswerte ist, war Thema in Folge 4.

Anforderung: was erfüllt sein muss

Im Baustein stehen die Anforderungen, eindeutig nummeriert, etwa SYS.3.4.A2. Das Kompendium beschreibt ihre Rolle so:

„Die dort formulierten Anforderungen beschreiben, was generell umzusetzen ist, um mit geeigneten Sicherheitsmaßnahmen den Stand der Technik zu erreichen.“

Was, nicht wie. Eine Anforderung ist prüfbar, aber offen in der Ausführung. Sie ist einer von drei Stufen zugeordnet: Basis-Anforderungen sind vorrangig umzusetzen, zusammen mit den Standard-Anforderungen bilden sie den Stand der Technik für normalen Schutzbedarf, dazu kommen Anforderungen bei erhöhtem Schutzbedarf.

Wie verbindlich eine Anforderung ist, steht im Modalverb. Zu MUSS heißt es, es handle sich um eine Anforderung, die unbedingt erfüllt werden muss, mit dem Zusatz in Klammern:

„uneingeschränkte Anforderungen, für die keine Risikoübernahme möglich ist“

SOLLTE dagegen bedeutet, dass eine Anforderung normalerweise erfüllt werden muss, es aber Gründe geben kann, dies nicht zu tun. Diese Abweichung „muss aber sorgfältig abgewogen und stichhaltig begründet werden“.

Maßnahme: wie es bei Ihnen erfüllt wird

Die Maßnahme ist die konkrete Umsetzung in Ihrer Umgebung: die Gruppenrichtlinie, der Prozess, der Vertrag, die verschlossene Tür. Das Kompendium beschreibt den Weg von der einen zur anderen: Für typische Einsatzszenarien wurden Sicherheitsanforderungen ausgewählt,

„die dann in Sicherheitsmaßnahmen überführt werden können, die zu den individuellen Rahmenbedingungen passen.“

Die Anforderung ist für alle gleich, die Maßnahme ist Ihre. Zu vielen Bausteinen veröffentlicht das BSI Umsetzungshinweise mit Vorschlägen, und die Nummerierung macht die Trennung sichtbar:

„Gibt es passende Umsetzungshinweise, trägt die dort aufgeführte Maßnahme zu einer Anforderung „A“ die gleiche Nummer mit einem vorangestellten Buchstaben „M“, im Beispiel also „SYS.3.4.M2“.“

A2 ist die Pflicht, M2 ist ein Vorschlag. Geprüft wird beim IT-Grundschutz-Check, ob die Anforderung erfüllt ist, nicht ob der Umsetzungshinweis wörtlich befolgt wurde. Wer eine andere Maßnahme wählt, die die Anforderung ebenso erfüllt, liegt richtig.

Control: dasselbe Wort, eine Ebene höher

In der ISO 27001 und der ISO 27002 heißt die Einheit Control. Sinngemäß ist ein Control eine Vorkehrung, die ein Risiko verändert oder auf einem Niveau hält. Die 93 Controls aus Anhang A beschreiben, was erreicht werden soll, etwa dass Zugriffe geregelt sind. Wie das geschieht, erläutert die ISO 27002 als Leitfaden.

In der deutschen Fassung der Norm werden die Controls als Maßnahmen bezeichnet. Damit liegt das ISO-Wort „Maßnahme“ inhaltlich näher an der Grundschutz-Anforderung als an der Grundschutz-Maßnahme. Genau hier entsteht die Verwechslung aus dem ersten Absatz: Die Auditorin fragt nach einem Ziel, die IT-Leitung antwortet mit einer Konfiguration.

Woran man die Ebenen auseinanderhält

• Baustein: Für welches Zielobjekt gilt das? Antwort ist ein Name, etwa SYS.3.4.
• Anforderung: Was muss erfüllt sein, und wie verbindlich? Antwort ist ein Prüfpunkt mit MUSS oder SOLLTE, etwa SYS.3.4.A2.
• Maßnahme im Grundschutz-Sinn: Wie ist es bei uns erfüllt? Antwort ist etwas, das man zeigen kann.
• Control, in der deutschen ISO-Fassung Maßnahme: Welches Ziel aus Anhang A wird adressiert? Antwort ist eine Nummer aus Anhang A und eine Begründung in der Erklärung zur Anwendbarkeit.

Praktisch heißt das: In einem Sicherheitskonzept gehören Anforderung und Maßnahme in getrennte Spalten. Steht in der Spalte „Umsetzung“ nur „erfüllt“, fehlt die Maßnahme. Steht dort eine Konfiguration ohne Bezug, fehlt die Anforderung. Und wer Grundschutz und ISO nebeneinander führt, sollte bei jedem „Maßnahme“ dazusagen, aus welcher Welt das Wort kommt.

Quellen

BSI IT-Grundschutz-Kompendium, Edition 2023, Kapitel „IT-Grundschutz – Basis für Informationssicherheit“, Abschnitte zu Bausteinen, Aufbau der Bausteine und Modalverben. ISO/IEC 27001:2022, Anhang A, und ISO/IEC 27002:2022 (sinngemäß, Normtext urheberrechtlich geschützt).

In der nächsten Folge: Grundschutz-Check, interne Revision, Audit. Wer prüft, wogegen, und mit welcher Folge.

Die vorige Folge: Eine Leitlinie ist keine Richtlinie.