Grundbegriffe
Alle 8 isidaten-Artikel zum Thema Grundbegriffe, die neuesten zuerst.
Ein Testat ist kein Zertifikat
Grundbegriffe, Folge 8: Im Lieferantenfragebogen steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ oder „akkreditiert“. Vier Antworten, die ähnlich klingen und Verschiedenes bedeuten. Wer prüft, wer den Prüfer prüft, und was am Ende auf dem Papier steht: Zertifizierung, Akkreditierung und Attestierung, mit den Stellen aus EU-Recht, BSI-Gesetz und dem C5 des BSI.
Weiterlesen
Ein Grundschutz-Check ist kein Audit
Grundbegriffe, Folge 7: „Wir hatten im Frühjahr ein Audit.“ Oft war es ein IT-Grundschutz-Check, den der ISB mit den Verantwortlichen selbst durchgeführt hat. Das ist wertvoll, aber etwas anderes. Der BSI-Standard 200-2 unterscheidet drei Prüfungen: den Check als Soll-Ist-Vergleich, die IS-Revision als regelmäßige Überprüfung der Wirksamkeit und das Audit durch unabhängige Stellen. Wer prüft, wogegen, und mit welcher Folge.
Weiterlesen
Eine Anforderung ist keine Maßnahme
Grundbegriffe, Folge 6: „Ist die Maßnahme umgesetzt?“ Wer aus dem IT-Grundschutz kommt, meint damit etwas anderes als jemand, der nach ISO 27001 arbeitet. Das Kompendium trennt Baustein, Anforderung und Maßnahme sauber: was abgesichert wird, was erfüllt sein muss und wie es bei Ihnen erfüllt wird. In der deutschen ISO-Fassung heißt dagegen das Control „Maßnahme“. Dasselbe Wort, zwei Ebenen.
Weiterlesen
Eine Leitlinie ist keine Richtlinie
Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.
Weiterlesen
Der Server ist nicht das Kronjuwel
Grundbegriffe, Folge 4: Informationsverbund, Zielobjekt und Asset werden im Alltag für dasselbe gehalten wie ein Inventar. Der IT-Grundschutz meint drei verschiedene Dinge, und keines davon ist eine Geräteliste. Warum 3.000 Clients ein Zielobjekt sein können und das Kronjuwel nie ein System ist.
Weiterlesen
Kern ist nicht die Mitte
Grundbegriffe, Folge 3: Basis-, Kern- und Standard-Absicherung werden in fast jeder Präsentation als Treppe gezeichnet. Der BSI-Standard 200-2 beschreibt etwas anderes: drei Vorgehensweisen für drei Situationen, auf zwei Achsen. Wer die Kern-Absicherung für die mittlere Stufe hält, unterschätzt sie.
Weiterlesen
Wie schlimm ist nicht wie schnell
Grundbegriffe, Folge 2: Schutzbedarfsfeststellung und Business Impact Analyse fragen beide nach Schaden, aber nach verschiedenem. Die eine kennt keine Uhr, die andere lebt von ihr. Warum das BSI selbst davor warnt, beide in einen Topf zu werfen, und was Normalbetrieb von Notbetrieb trennt.
Weiterlesen
Bedrohung ist nicht Gefährdung
Grundbegriffe, Folge 1: Bedrohung, Schwachstelle, Gefährdung und Risiko bauen im IT-Grundschutz aufeinander auf und meinen vier verschiedene Dinge. Dazu der Begriff, den das BSI 2017 abgeschafft hat und den fast alle weiter verwenden.
Weiterlesen