Kern ist nicht die Mitte

In Vorträgen zum IT-Grundschutz gibt es ein Bild, das fast immer auftaucht: drei Stufen, unten Basis, in der Mitte Kern, oben Standard. Eine Treppe, die man von unten nach oben geht.

Der BSI-Standard 200-2 zeichnet diese Treppe nicht. Er beschreibt drei Vorgehensweisen, und er sagt im ersten Satz dazu, wofür sie da sind:

„Der IT-Grundschutz bietet verschiedene Vorgehensweisen an, die sich an unterschiedliche Anwendergruppen richten und unterschiedliche Ziele verfolgen: Basis-, Standard- und Kern-Absicherung."

Unterschiedliche Anwendergruppen, unterschiedliche Ziele. Nicht ein Ziel in drei Reifegraden.

Basis: breit und flach

Die Basis-Absicherung will, so der Standard, „zunächst eine breite, grundlegende Erst-Absicherung über alle relevanten Geschäftsprozesse bzw. Fachverfahren einer Institution hinweg" erreichen. Breit ist das Stichwort: Sie deckt alles ab, aber nur bis zu einer bestimmten Tiefe.

Diese Tiefe ist genau definiert. Das Kompendium teilt seine Anforderungen in drei Kategorien, und die Basis-Absicherung nimmt nur die erste:

„Basis-Anforderungen müssen vorrangig erfüllt werden, da bei diesen Empfehlungen mit (relativ) geringem Aufwand der größtmögliche Nutzen erzielt werden kann. Es handelt sich um uneingeschränkte Anforderungen."

Entsprechend schlank ist das Verfahren. Kapitel 6 kennt vier Aktionsfelder: Geltungsbereich festlegen, Bausteine auswählen und priorisieren, IT-Grundschutz-Check gegen die Basis-Anforderungen, Realisierung. Was fehlt, ist auffällig: keine Schutzbedarfsfeststellung, keine Risikoanalyse. Beides braucht die Basis-Absicherung nicht, weil sie eine Voraussetzung mitbringt, die der Standard ausdrücklich nennt: „Das angestrebte Sicherheitsniveau ist normal." Und: „Kleinere Sicherheitsvorfälle können toleriert werden."

Kern: schmal und tief

Die Kern-Absicherung geht den umgekehrten Weg. Sie „konzentriert sich auf den Schutz von besonders schützenswerten Assets, den sogenannten ‚Kronjuwelen'". Ein kleiner Teil des Informationsverbunds, aber der, an dem die Institution hängt.

Und hier steht der Satz, der die Treppe kippt:

„Da sich die Kern-Absicherung auf die besonders schützenswerten Assets konzentriert, ist hier grundsätzlich von einem erhöhten Schutzbedarf auszugehen. Daher müssen die in den relevanten Bausteinen des IT-Grundschutz-Kompendiums aufgeführten Basis- und Standard-Anforderungen komplett umgesetzt werden."

Je Zielobjekt verlangt die Kern-Absicherung also mehr als die Standard-Absicherung: alle Basis- und alle Standard-Anforderungen, und obendrauf eine Risikoanalyse nach BSI-Standard 200-3, weil erhöhter Schutzbedarf unterstellt wird. Kapitel 7 führt entsprechend das volle Verfahren auf, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Check, Risikoanalyse, nur eben für wenige Objekte.

Die Kern-Absicherung ist nicht die Mitte zwischen Basis und Standard. Sie liegt auf einer anderen Achse.

Standard: breit und tief

Die Standard-Absicherung ist „die dritte und vom BSI präferierte Vorgehensweise" und entspricht dem klassischen IT-Grundschutz: der ganze Verbund, jedes Objekt so tief, wie sein Schutzbedarf es verlangt. Der Standard lässt keinen Zweifel, wohin die Reise geht:

„Die Basis- und die Kern-Absicherung sind jeweils Methoden, um zunächst zeitnah die wichtigsten Sicherheitsempfehlungen für den ausgewählten Einsatzbereich identifizieren und umsetzen zu können. Ziel muss es sein, mittelfristig ein vollständiges Sicherheitskonzept gemäß der Standard-Absicherung zu erstellen."

Es gibt also eine Richtung. Aber es gibt zwei Einstiege, und sie sind Alternativen, keine Stufen.

Zwei Achsen, eine Entscheidungsfrage

Wer die drei auf zwei Achsen legt, Breite und Tiefe, sieht, was der Standard meint: Basis ist breit und flach. Kern ist schmal und tief. Standard ist breit und tief. Das Feld „schmal und flach" gibt es nicht, und die Treppe gibt es auch nicht.

Welcher Einstieg der richtige ist, entscheidet sich an einer Frage, die in beiden Kriterienlisten des Kapitels 3.3 steht, einmal verneint und einmal bejaht: Gibt es Assets, „deren Diebstahl, Zerstörung oder Kompromittierung einen existenzbedrohenden Schaden für die Institution bedeutet"? Die Basis-Absicherung setzt voraus, dass es keine gibt. Die Kern-Absicherung setzt voraus, dass es welche gibt und dass sie sich eindeutig benennen lassen.

Wer Kronjuwelen hat, fängt bei ihnen an. Wer keine hat, fängt in der Breite an. Wer Kronjuwelen hat und trotzdem mit der Basis-Absicherung beginnt, schützt alles ein bisschen und das Entscheidende nicht genug.

Was die Wahl über die Zertifizierung entscheidet

Die Treppe suggeriert, jede Stufe sei ein Stück näher am Zertifikat. Auch das stimmt nicht. Kapitel 11 sagt:

„Eine solche Zertifizierung ist für die Standard-Absicherung vorgesehen sowie für die Kern-Absicherung grundsätzlich möglich. Bei einer reinen Basis-Absicherung reichen die umgesetzten Sicherheitsmaßnahmen für eine Zertifizierung nicht aus, können aber als Einstieg für eine der anderen beiden Vorgehensweisen dienen."

Kern führt zum Zertifikat für den abgegrenzten Verbund, Basis nicht. Auch daran sieht man, dass Kern nicht die Stufe unter Standard ist.

Quellen

BSI-Standard 200-2 (IT-Grundschutz-Methodik), Kapitel 3.3 „Entscheidung für Vorgehensweise", Kapitel 6 „Erstellung einer Sicherheitskonzeption nach der Vorgehensweise Basis-Absicherung", Kapitel 7.1 „Die Methodik der Kern-Absicherung", Kapitel 8.3 zu den Anforderungskategorien und Kapitel 11 „Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz". Beim BSI: BSI-Standard 200-2.

In der nächsten Folge: Zielobjekt, Asset, Informationsverbund. Was der Grundschutz modelliert und was nicht.

Die vorige Folge: Wie schlimm ist nicht wie schnell.