Aufbau der Domäne Grundschutz++
Objekt- und Subtypen
Scopeobjekte
- Institutionen: Zur Abbildung der Institution mit den wichtigsten Stammdaten.
- Informationsverbünde: Informationsverbünde, für die ein Anforderungspaket erstellt wird.
- Externe Dienstleister: Werden getrennt als externe Institutionen bzw. Organisationen betrachtet, z.B. für Outsourcing und Cloud-Dienste.
- Scopes (allgemein): Zur Abbildung sonstiger Betrachtungsgegenstände, z.B. des Anwendungsbereichs des ISMS oder von Projekten.
Prozessobjekte
- Geschäftsprozesse: Zur Dokumentation der Kernprozesse und unterstützenden Prozesse. Die Prozess-Art unterscheidet Kerngeschäft und unterstützenden Prozess.
- Fachverfahren: Zur Dokumentation spezifischer Fachverfahren oder Verwaltungsverfahren.
Assetobjekte
- Zielobjekte: Alle Assets des Informationsverbunds – z.B. Informationen, Anwendungen, IT-Systeme, Netze, Räume, Dienstleistungen oder Personengruppen. Anders als in der Domäne IT-Grundschutz gibt es nur einen Asset-Subtyp; die fachliche Einordnung erfolgt über die Zielobjektkategorien.
Personenobjekte
- Personen: Personen(gruppen) oder Rollen, z.B. Informationssicherheitsbeauftragte oder Asset-Owner.
Incidentobjekte
- Informationssicherheitsvorfälle: Zur Dokumentation von Vorfällen.
Dokumentenobjekte
- Netzpläne: Zur Speicherung von (Teil-)Netzplänen.
- Referenzdokumente: Zur Speicherung erstellter Referenzdokumente.
- Dokumente (allgemein): Zur Speicherung sonstiger Dokumentation, z.B. Leitlinie, Rollenbeschreibungen oder Nachweise, mit Angaben zur Dokumentenlenkung (Version, Klassifikation, Freigabe, Prüfintervall).
Controlobjekte
- Anforderungen: Alle Anforderungen des Grundschutz++-Katalogs sowie eigene Anforderungen. Den Aufbau einer Anforderung beschreibt der Abschnitt Anforderungskatalog.
- Zielobjektkategorien: Die Zielobjektkategorien des Katalogs sowie die Sammelkategorien „Verbundweite Anforderungen“ und Führungsprozesse, die jeweils die zugehörigen Anforderungen bündeln.
- Maßnahmen: Konkrete Maßnahmen, mit denen Anforderungen erfüllt oder Risiken behandelt werden.
Szenarien
- Elementare Gefährdungen: Die elementaren Gefährdungen G 0.x, auf die sich die Anforderungen des Katalogs beziehen. Sie werden für die Risikobetrachtung verwendet.
Katalog
Der Katalog der Domäne Grundschutz++ stellt den Anforderungskatalog Grundschutz++ zur Verfügung. Er wird aus dem OSCAL-Katalog der Stand-der-Technik-Bibliothek des BSI erzeugt und enthält:
| Inhalt | Anzahl |
|---|---|
| Anforderungen | 1.000 |
| Zielobjektkategorien (gesamt) | 52 |
| davon Zielobjektkategorien des Katalogs | 39 |
| davon Sammelkategorie „Verbundweite Anforderungen“ | 1 |
| davon Führungsprozesse | 12 |
| Elementare Gefährdungen | 47 |
Die Anforderungen stammen aus drei Quellen: dem BSI-Stand-der-Technik-Kernel (901), der Methodik Grundschutz++ (95) und den BSI-Anforderungen zum Risikomanagement (4). Einzelheiten zu Praktiken, Feldern und Kategorien finden Sie unter Anforderungskatalog.
Profile
Das Grundschutz++-Profil enthält einen Informationsverbund, der mit den Anforderungen zur Umsetzung der Methodik und den Führungsprozessen modelliert ist, sowie 39 Beispiel-Zielobjekte – je Zielobjektkategorie eines, modelliert mit den technisch-organisatorischen Anforderungen der Kategorie. Sie können die Beispiel-Zielobjekte an Ihre Institution anpassen (siehe Anforderungspaket aus Profil). Inhalt und Aufbau des Profils beschreibt die Seite Profile in der Domäne Grundschutz++.
Decisions
Keine
Risikodefinition
Die Risikodefinition GSRD stellt die Parameter für Schutzbedarf und Risikobetrachtung bereit:
- Schutzbedarf für die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit mit den Kategorien Unkritisch, Normal, Hoch und Sehr hoch
- Schadenshöhe mit den Kategorien Vernachlässigbar, Begrenzt, Beträchtlich und Existenzbedrohend
- Eintrittswahrscheinlichkeit mit den Kategorien Selten, Mittel, Häufig und Sehr häufig
- Risikokategorien Gering, Mittel, Hoch und Sehr hoch
- Umsetzungsstatus ja, nein, teilweise und nicht anwendbar
Der Schutzbedarf wird nach dem Maximumprinzip über die Verknüpfungen Erforderlicher Geschäftsprozess, Erforderliches Fachverfahren und Erforderliches Zielobjekt vererbt.
Schutzbedarfskategorien und Umsetzungsstatus
Grundschutz++ kennt nur die Schutzbedarfskategorien normal und hoch sowie die Umsetzungsstatus erfüllt, nicht erfüllt und nicht anwendbar. Wie Sie die Werte der Risikodefinition darauf abbilden, beschreiben die Abschnitte Schutzbedarfsfeststellung und Realisierung.