BSI IT-Grundschutz
Alle 28 isidaten-Artikel zum Thema BSI IT-Grundschutz, die neuesten zuerst.
Ein vergessener Server zieht trotzdem Strom
Maschinenraum, Folge 4: In fast jedem Serverraum läuft ein Gerät, das niemand mehr braucht und niemand abschalten will. Es zieht Strom, muss gekühlt werden und belegt Höheneinheiten. Was das Energieeffizienzgesetz dazu verlangt, warum Abschalten am Eigentümer scheitert und wie man Ghost-Server findet, ohne einen produktiven Server zu erwischen.
Weiterlesen
Auf die, die in der Stabsübung sagen: „Das wissen wir nicht“
Stille Arbeit, Folge 3: Zwanzig Minuten in der Stabsübung, die Leitung fragt, ob die Sicherungen betroffen sind. Am Tisch sagt jemand „Nein“, weil es immer so war. Und dann sagt jemand anderes: „Das wissen wir nicht.“ Warum dieser Satz die Übung erfolgreich macht und wo BSI-Standard 200-4 ihn verlangt.
Weiterlesen
A/B ist erst redundant, wenn jede Seite allein trägt
Maschinenraum, Folge 3: Zwei Stromschienen, zwei Leisten pro Rack, jeder Server mit zwei Netzteilen. Auf dem Plan ist das redundant. Ob es das auch ist, entscheidet sich an drei Stellen: an der Last jeder Seite, an der Frage, wo A und B zusammenlaufen, und an den Geräten, deren zweites Netzteil an derselben Leiste hängt. Was der IT-Grundschutz dazu sagt und wie man es prüft.
Weiterlesen
Im Intranet abgelegt ist nicht zur Kenntnis gegeben
Die Richtlinie zur IT-Nutzung ist freigegeben, liegt im Intranet, und eine Rundmail hat darauf hingewiesen. Im Audit reicht das nicht. Der IT-Grundschutz verlangt, dass neue Beschäftigte die Richtlinie bestätigen, bevor sie die IT nutzen, und dass alle sie nach größeren Änderungen erneut bestätigen. Das Intranet ist der Ort zum Nachlesen, nicht der Nachweis.
Weiterlesen
Wer den Passwortwechsel abschafft, muss Leaks erkennen
Viele Häuser haben den Passwortwechsel alle 90 Tage abgeschafft, mit dem BSI auf ihrer Seite. Der IT-Grundschutz knüpft das aber an eine Bedingung: Wer nicht mehr nach Kalender wechseln lässt, muss erkennen, wenn ein Passwort kompromittiert ist. Woher diese Erkenntnis kommen kann, und was danach passieren muss.
Weiterlesen
Ein Grundschutz-Check ist kein Audit
Grundbegriffe, Folge 7: „Wir hatten im Frühjahr ein Audit.“ Oft war es ein IT-Grundschutz-Check, den der ISB mit den Verantwortlichen selbst durchgeführt hat. Das ist wertvoll, aber etwas anderes. Der BSI-Standard 200-2 unterscheidet drei Prüfungen: den Check als Soll-Ist-Vergleich, die IS-Revision als regelmäßige Überprüfung der Wirksamkeit und das Audit durch unabhängige Stellen. Wer prüft, wogegen, und mit welcher Folge.
Weiterlesen
Auf die, die um 17:55 den Phishing-Verdacht noch melden
Stille Arbeit, Folge 2: Freitag, kurz vor Feierabend, ein Klick auf einen Link, der sich falsch anfühlt. Zwei Möglichkeiten: den Rechner zuklappen und hoffen, oder anrufen und sagen, dass man vielleicht etwas angeklickt hat. Warum die zweite oft die früheste Erkennung ist, die ein Haus bekommt, wo der IT-Grundschutz sie verlangt, und warum sie so selten gedankt wird.
Weiterlesen
Für das BSI ein Rechenzentrum, für das EnEfG nicht
Maschinenraum, Folge 2: Drei Racks im Keller, vierzig Kilowatt, „wir haben kein Rechenzentrum“. Für das Energieeffizienzgesetz stimmt das, denn es zählt Kilowatt und beginnt bei 300. Der IT-Grundschutz zählt etwas anderes: die Bedeutung für die Aufgaben. Danach ist der einzige zentrale Serverraum grundsätzlich wie ein Rechenzentrum zu behandeln. Zwei Definitionen, zwei verschiedene Antworten auf dieselbe Frage.
Weiterlesen
Forensik beginnt vor dem Vorfall
Nach einem Angriff fragen Leitung, Versicherer und Aufsicht nach dem Einfallstor. Ob es darauf eine Antwort gibt, entscheidet sich oft in der ersten Stunde, und meist durch einen gut gemeinten Neustart. Der BSI-Baustein DER.2.2 macht deshalb drei Dinge zur Basis-Anforderung, die vor dem Vorfall erledigt sein müssen: rechtliche Klärung, ein Leitfaden für Erstmaßnahmen und ein vorab ausgewählter Forensik-Dienstleister.
Weiterlesen
Eine Anforderung ist keine Maßnahme
Grundbegriffe, Folge 6: „Ist die Maßnahme umgesetzt?“ Wer aus dem IT-Grundschutz kommt, meint damit etwas anderes als jemand, der nach ISO 27001 arbeitet. Das Kompendium trennt Baustein, Anforderung und Maßnahme sauber: was abgesichert wird, was erfüllt sein muss und wie es bei Ihnen erfüllt wird. In der deutschen ISO-Fassung heißt dagegen das Control „Maßnahme“. Dasselbe Wort, zwei Ebenen.
Weiterlesen
Auf die, die die Rücksicherung testen
Stille Arbeit, Folge 1: Eine Datensicherung, die jede Nacht grün meldet, sagt nichts darüber, ob sich aus ihr etwas zurückholen lässt. Das weiß nur, wer es ausprobiert, an einem Dienstagnachmittag, ohne Anlass und ohne Publikum. Warum der IT-Grundschutz genau das als Basis-Anforderung verlangt, und warum es trotzdem so selten jemand sieht.
Weiterlesen
Eine Leitlinie ist keine Richtlinie
Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.
Weiterlesen
Die Vertretung ist kein Schlupfloch
Meldefristen laufen weiter, wenn die zuständige Person im Urlaub ist, also braucht jede Rolle eine Vertretung. Der IT-Grundschutz setzt dabei eine Grenze, die im Alltag regelmäßig fällt: Auch Vertreter unterliegen der Funktionstrennung. Warum die Vertretung oft genau die Person ist, die den Antrag gestellt hat, und was eine Freigabe während der Abwesenheit festhalten muss.
Weiterlesen
Der Server ist nicht das Kronjuwel
Grundbegriffe, Folge 4: Informationsverbund, Zielobjekt und Asset werden im Alltag für dasselbe gehalten wie ein Inventar. Der IT-Grundschutz meint drei verschiedene Dinge, und keines davon ist eine Geräteliste. Warum 3.000 Clients ein Zielobjekt sein können und das Kronjuwel nie ein System ist.
Weiterlesen
Wer das Drehbuch kennt, übt nicht
Der BSI-Standard 200-4 erlaubt der Übungsleitung, eine Einlage früher, später oder gar nicht einzuspielen. Das geht nur, wenn der Stab das Drehbuch nicht sieht. Was eine Stabsübung von einer Lesung unterscheidet, welche Zeit der Standard gemessen haben will, und was eine Teilnehmerseite deshalb nie zeigen darf.
Weiterlesen
Seite zwei ist unauffällig
Active Directory beantwortet jede Suche mit höchstens 1.000 Objekten. Wer nicht weiterblättert, prüft die ersten 1.000 Konten und hält den Rest für sauber. Warum ein Härtungsbericht sagen muss, was er nicht gesehen hat, und was das für Score, Reifegrad und den Baustein APP.2.2 heißt.
Weiterlesen
Kern ist nicht die Mitte
Grundbegriffe, Folge 3: Basis-, Kern- und Standard-Absicherung werden in fast jeder Präsentation als Treppe gezeichnet. Der BSI-Standard 200-2 beschreibt etwas anderes: drei Vorgehensweisen für drei Situationen, auf zwei Achsen. Wer die Kern-Absicherung für die mittlere Stufe hält, unterschätzt sie.
Weiterlesen
Neun Dimensionen, eine Zahl
Am Ende einer Risikoanalyse steht eine Zahl. Aus ihr wird die Matrix, die Priorität, die Maßnahme. Nur sagt sie nicht, welcher Art der Schaden ist. Warum das Maximumprinzip die Vorgabe bleibt und der gewichtete Mittelwert eine Entscheidung ist, die man begründen muss.
Weiterlesen
Wie schlimm ist nicht wie schnell
Grundbegriffe, Folge 2: Schutzbedarfsfeststellung und Business Impact Analyse fragen beide nach Schaden, aber nach verschiedenem. Die eine kennt keine Uhr, die andere lebt von ihr. Warum das BSI selbst davor warnt, beide in einen Topf zu werfen, und was Normalbetrieb von Notbetrieb trennt.
Weiterlesen
Microsoft ist kein Cloud-Dienst
Eine Zeile im Dienstleisterverzeichnis beantwortet die Frage nach der Cloud-Nutzung nicht: Exchange Online, Teams und Entra ID sind drei Dienste mit verschiedenen Datenstandorten und Ausstiegswegen. Warum OPS.2.2 das Bezugsobjekt je Dienst verlangt und was ein Erprobungsdatum am Ausstieg leistet.
Weiterlesen
Bedrohung ist nicht Gefährdung
Grundbegriffe, Folge 1: Bedrohung, Schwachstelle, Gefährdung und Risiko bauen im IT-Grundschutz aufeinander auf und meinen vier verschiedene Dinge. Dazu der Begriff, den das BSI 2017 abgeschafft hat und den fast alle weiter verwenden.
Weiterlesen
Der Behelf wird Bestandteil
WiBA sah aus wie eine Einstiegshilfe für kleine Kommunen, die man später gegen das Richtige tauscht. Das BSI hat inzwischen entschieden: Die Checklisten werden fester Bestandteil des Nachfolgers vom IT-Grundschutz-Kompendium.
Weiterlesen
Einzeln erlaubt, zusammen kritisch
Der Schweregrad einer Cloud-Fehlkonfiguration steht im Katalog. Nur kennt der Katalog die Ressource nicht, auf der die Prüfung anschlägt. Wie wir das aufgelöst haben, und warum ein einzelner Risikofaktor dabei nichts anhebt.
Weiterlesen
§ 39 ist alle drei Jahre. KRITIS ist jeden Tag.
KRITIS-Betreiber im Gesundheitswesen müssen ihre IT-Sicherheit regelmäßig nachweisen, seit dem NIS2-Umsetzungsgesetz nach § 39 BSIG und nur noch alle drei Jahre. Je länger die Frist, desto größer die Lücke zwischen zwei Momentaufnahmen. Warum der B3S-Katalog nur das WAS beschreibt, die eigentliche Arbeit im WIE steckt und wie aus dem Prüfungs-Sprint ein laufend gemessener Zustand wird.
Weiterlesen
Härtung hat ein Haltbarkeitsdatum
Einmal härten kann jeder: Benchmark durcharbeiten, abhaken, fertig. Dann kommt der Alltag, und die Konfiguration driftet, leise und ohne böse Absicht. Warum Konfigurationsdrift der Normalzustand ohne Messung ist und wie isidaten jetzt täglich gegen 28 Härtungs-Benchmarks prüft, auf Linux direkt per OpenSCAP.
Weiterlesen
isidaten offiziell beim BSI als IT-Grundschutztool gelistet
isidaten wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) offiziell als IT-Grundschutztool anerkannt und gelistet.
Weiterlesenisidaten gestaltet den neuen BSI IT-Grundschutz++ aktiv mit
Als offiziell anerkanntes BSI IT-Grundschutztool engagieren wir uns aktiv in der Weiterentwicklung des zukünftigen IT-Grundschutz++
Weiterlesenisidaten ist nun ein offizielles BSI IT-Grundschutztool
isidaten hat mit dem BSI einen Lizenzvertrag zur Verarbeitung von Daten der IT-Grundschutz-Kataloge abgeschlossen
Weiterlesen