IT-Grundschutz-Audits und Einführung von IT-Grundschutz

Seit Mitte der 90er Jahre entwickelt das Bundesamt für Sicherheit in der In­formations­technik (BSI) den IT-Grundschutz weiter, der konkrete Maßnahmenvorschläge für die Erreichung eines Mindestschutzes (Grundschutz) für viele Bereiche der Informationstechnik umfasst.

IT-Grundschutz besteht aus dem Kopendium mit den in den BSI-Standards definierten Vorgehensweisen sowie den Bausteinen mit Referenzierug der elementaren Gefährdungen auf zu erfüllende Anforderungen, aus denen Maßnahmen abzuleiten sind.

IT-Grundschutz spielt neben der ursprünglichen Zielgruppe im Behördenumfeld auch in zahlreichen Unternehmen eine immer wichtigere Rolle. Unternehmen, die ihre Sicherheitsorganisation nach den Vorgaben des BSI ausrichten, können sich auditieren lassen und ein Zertifikat des BSI für die Umsetzung des IT-Grundschutzes (im ganzen Unternehmen oder auch in Teilbereichen) erhalten.

Auf den Webseiten des BSI findet sich eine Liste der vom BSI ausgestellten, derzeit gültigen Grundschutz-Zertifikate.

Ursprünglich war der IT-Grundschutz eine Sammlung von Sicherheitsmaßnahmen, die für normalen Schutzbedarf einen Basis-Schutz bieten. Der ISO 27001 hingegen beschreibt ein Management-System, in aus regelmäßigen Risikobewertungen geeignete Sicherheitsmaßnahmen abgeleitet werden. Während der IT-Grundschutz für Bereiche ohne erhöhten oder hohen Schutzbedarf dem Sicherheitsmanagement die Risikobewertung und die Maßnahmenauswahl abnimmt, enthält die ISO 27001 nur wenige abstrakte Controls, die zu erfüllen sind.

Inzwischen haben sich der Grundschutz und die ISO 27001 angenähert: Das Risikomanagement hat im IT-Grundschutz durch die BSI-Standards 200-1/-2 (ISMS), 200-3 (Risik Management) und 200-4 (Business Continuity Management) erheblich an Bedeutung gewonnen. Die "Maßnahmenkataloge" des ursprünglichen IT-Grundschutzes wurden zugleich durch ein Kompendium aus modularen Bausteinen ersetzt. Derzeit wird der IT-Grundschutz zu einem dem ISO 27001 sehr ähnlichen, prozessorientierten Regelwerk weiterentwickelt.