Webkurs GSTOOL

Eine Einführung zur Anwendung und Administration

in das GSTOOL

Webkurs GSTOOL

InhaltsverzeichnisWillkommen zum Webkurs GSTOOL...............................................................................................5

Teil I: Was ist neu ab GSTOOL 4.5?..................................................................................................6

Teil II: Anwendung..............................................................................................................................7

1 Das GSTOOL anwenden – Überblick..............................................................................................7

2 Start und Oberfläche.........................................................................................................................82.1 Das GSTOOL starten....................................................................................................................82.2 Die Benutzungsoberfläche – Aufbau............................................................................................9

3 Stammdaten erfassen......................................................................................................................113.1 Überblick....................................................................................................................................113.2 Zielobjekte..................................................................................................................................123.3 Erstes Zielobjekt: Informationsverbund......................................................................................133.4 Zielobjekte erfassen (1)..............................................................................................................143.5 Zielobjekte erfassen (2)..............................................................................................................153.6 Gruppen bilden...........................................................................................................................163.7 Stammdaten auflisten..................................................................................................................173.8 Test.............................................................................................................................................18

4 Stammdaten strukturieren..............................................................................................................194.1 Überblick....................................................................................................................................194.2 Struktur Zielobjekte....................................................................................................................204.3 Logische und technische Verknüpfungen...................................................................................214.4 Zielobjekte verknüpfen (1): Drag & Drop..................................................................................234.5 Zielobjekte verknüpfen (2): Verknüpfungen pflegen..................................................................244.6 Verknüpfungen pflegen..............................................................................................................254.7 Verknüpfungen verschieben und löschen...................................................................................264.8 Darstellung anpassen..................................................................................................................274.9 Test.............................................................................................................................................28

5 Schutzbedarf dokumentieren..........................................................................................................295.1 Überblick....................................................................................................................................295.2 Schutzbedarfsdefinitionen anpassen...........................................................................................295.3 Schutzbedarf feststellen (1)........................................................................................................315.4 Schutzbedarf feststellen (2)........................................................................................................325.5 Schutzbedarf vererben................................................................................................................335.6 Test.............................................................................................................................................35

6 IT-Grundschutz prüfen...................................................................................................................366.1 Überblick....................................................................................................................................366.2 Die Ansicht Modellierung..........................................................................................................366.3 Verknüpfungen mit Bausteinen ergänzen...................................................................................386.4 Verknüpfungen mit Bausteinen entfernen...................................................................................406.5 Basis-Sicherheitscheck (1): Angaben zum Baustein eintragen...................................................416.6 Basis-Sicherheitscheck (2): Umsetzungsstand der Maßnahmen dokumentieren.........................426.7 Basis-Sicherheitscheck (3): Umsetzungsstand und Siegelstufe...................................................436.8 Ergänzende Sicherheitsanalyse...................................................................................................446.9 Realisierungsplanung (1): Kosten schätzen................................................................................466.10 Realisierungsplanung (2): Verantwortliche eintragen...............................................................476.11 Bausteine referenzieren.............................................................................................................476.12 Test...........................................................................................................................................48

7 Risikoanalyse...................................................................................................................................507.1 Überblick....................................................................................................................................507.2 Die Ansicht Risikoanalyse..........................................................................................................50

- 2 -

Webkurs GSTOOL

7.3 Gefährdungsübersicht erstellen...................................................................................................527.4 Zusätzliche Gefährdungen ermitteln...........................................................................................527.5 Gefährdungen bewerten..............................................................................................................547.6 Risiken behandeln.......................................................................................................................557.7 Maßnahmen verknüpfen.............................................................................................................567.8 Risikobausteine...........................................................................................................................587.9 Test.............................................................................................................................................59

8 IT-Grundschutz anpassen...............................................................................................................618.1 Überblick....................................................................................................................................618.2 Die Ansicht IT-Grundschutz benutzerdefiniert...........................................................................618.3 Bausteine anlegen (1): Allgemeine Eigenschaften festlegen.......................................................638.4 Bausteine anlegen (2): Maßnahmen und Gefährdungen zuordnen..............................................648.5 Zielobjekt-Subtypen definieren..................................................................................................658.6 IT-Grundschutz-Management.....................................................................................................668.7 Test.............................................................................................................................................68

9 Berichte erstellen, Filter setzen.......................................................................................................699.1 Überblick....................................................................................................................................699.2 Berichtsvorlagen auswählen.......................................................................................................709.3 Berichte erstellen........................................................................................................................719.4 Berichte anpassen.......................................................................................................................729.5 Filter anwenden..........................................................................................................................739.6 Basisfilter definieren...................................................................................................................749.7 Erweiterten Filter definieren.......................................................................................................759.8 Terminfilter einstellen................................................................................................................779.9 Test.............................................................................................................................................77

Teil III: Administration.....................................................................................................................79

1 Das GSTOOL installieren, in Betrieb nehmen und konfigurieren..............................................79

2 Das GSTOOL einrichten.................................................................................................................802.1 Überblick....................................................................................................................................802.2 Das GSTOOL installieren...........................................................................................................812.3 Sicherheit einstellen....................................................................................................................822.4 Testbetrieb und Lizenzierung.....................................................................................................832.5 Daten aus GSTOOL 4.1 übernehmen.........................................................................................842.6 Namen der Organisation und des Informationsverbundes ändern...............................................852.7 Historisierungstiefe einstellen.....................................................................................................862.8 Metadaten aktualisieren..............................................................................................................862.9 Test.............................................................................................................................................87

3 Zugriffsrechte verwalten.................................................................................................................893.1 Überblick....................................................................................................................................893.2 Anwender anlegen......................................................................................................................893.3 Anwendern Rollen zuweisen......................................................................................................913.4 Rollen anlegen (1): Allgemeine Eigenschaften festlegen............................................................923.5 Rollen anlegen (2): Zugriffsrechte auf Informationsverbünde zuweisen....................................933.6 Rollen anlegen (3): Zugriffsrechte auf Zielobjekte zuweisen.....................................................943.7 Dynamische Rechtevergabe........................................................................................................953.8 Rollenkonzept entwickeln...........................................................................................................963.9 Test.............................................................................................................................................97

4 Datenbanken konfigurieren............................................................................................................984.1 Überblick....................................................................................................................................984.2 Datenbank-Server auswählen......................................................................................................984.3 Datenbank-Server starten und anhalten.....................................................................................1004.4 Datenbanken umbenennen........................................................................................................1004.5 Datenbanken anhängen.............................................................................................................101

- 3 -

Webkurs GSTOOL

4.6 Daten sichern............................................................................................................................1024.7 Daten wiederherstellen.............................................................................................................1034.8 Test...........................................................................................................................................104

5 Daten austauschen.........................................................................................................................1055.1 Überblick..................................................................................................................................1055.2 Export anlegen..........................................................................................................................1055.3 Import anlegen..........................................................................................................................1075.4 Zielobjekte-Export und Zielobjekte-Import..............................................................................1075.5 Standard-Export und Standard-Import......................................................................................1085.6 Einweg-Export und Einweg-Import..........................................................................................1095.7 Basis-Export und Basis-Import.................................................................................................1105.8 Daten verschlüsseln..................................................................................................................1115.9 Test...........................................................................................................................................112

Anhang 1: Auflösungen zu den Testfragen.....................................................................................114Lösungen zu Teil II, Kapitel 3: Stammdaten erfassen....................................................................114Lösungen zu Teil II, Kapitel 4: Stammdaten strukturieren.............................................................115Lösungen zu Teil II, Kapitel 5: Schutzbedarf feststellen................................................................116Lösungen zu Teil II, Kapitel 6: IT-Grundschutz prüfen..................................................................117Lösungen zu Teil II, Kapitel 7: Risikoanalyse................................................................................118Lösungen zu Teil II, Kapitel 8: IT-Grundschutz anpassen..............................................................119Lösungen zu Teil II, Kapitel 9: Berichte erstellen, Filter setzen.....................................................120Lösungen zu Teil III, Kapitel 2: Das GSTOOL einrichten.............................................................121Lösungen zu Teil III, Kapitel 3: Zugriffsrechte verwalten..............................................................122Lösungen zu Teil III, Kapitel 4: Datenbanken konfigurieren..........................................................123Lösungen zu Teil III, Kapitel 5: Daten austauschen.......................................................................124

Anhang 2: Glossar............................................................................................................................125

Anhang 3: Kontakte.........................................................................................................................130

- 4 -

Webkurs GSTOOL

Willkommen zum Webkurs GSTOOL

Lernen Sie das GSTOOL des Bundesamts für Sicherheit in der Informationstechnik (BSI), in diesem Kurs auf schnelle und einfache Weise kennen:

• Wenn Sie bereits Erfahrung mit den Vorgängerversionen des GSTOOLs (4.0 bzw. 4.1) gewonnen haben, finden Sie unter „Was ist neu ab GSTOOL 4.5?“ eine Darstellung wesentlicher neuer oder geänderter Funktionen des Werkzeugs in den Versionen 4.5 bis 4.7.

• Im Abschnitt Anwendung wird beschrieben, wie Sie mit dem GSTOOL Sicherheitskonzepte gemäß IT-Grundschutz entwickeln können. Die dafür benötigten Funktionen, wie die Erfassung und Strukturierung der Stammdaten, die Überprüfung der umgesetzten Sicherheitsmaßnahmen und die Erstellung von Berichten werden hier schrittweise erklärt.

• Unter Administration erfahren Sie, wie das GSTOOL installiert und in Betrieb genommen wird. Ferner lernen Sie in diesem Abschnitt spezielle Funktionen des Programms kennen, wie die Benutzer- und Rechteverwaltung oder die Möglichkeiten zum Export und Import von Daten.

Mit den Schaltflächen Neues, Anwendung und Administration gelangen Sie zur Startseite des jeweiligen Abschnitts. Im linken Navigationsmenü werden anschließend die zugehörigen Kapitel eingeblendet. Textteile mit bestimmten Bedeutungen werden im Kurs durch folgende Piktogramme gekennzeichnet:

Hinweise auf GSTOOL-spezifisches

Tipps für Arbeitserleichterungen mit dem Tool

Wichtige Empfehlungen und Hinweise, die über GSTOOL-spezifisches hinausgehen

Empfehlung zu Erläuterungen im GSTOOL-Handbuch

Warnungen vor Fehlern und Beeinträchtigungen

Erläuterungen zum Beispiel, einem fiktiven Unternehmen namens RECPLAST GmbH

Testfragen am Ende eines Kapitels, mit denen Sie Ihre Kenntnisse zum Inhalt eines Kapitels überprüfen können. Die Lösungen finden Sie im Anhang.

Viel Erfolg!

- 5 -

Webkurs GSTOOL

Teil I: Was ist neu ab GSTOOL 4.5?

Gegenüber der Version 4.0 enthält das GSTOOL eine Fülle an zusätzlichen Leistungsmerkmalen und Verbesserungen, die insgesamt dazu führen, dass

• die IT-Grundschutz-Vorgehensweise noch besser unterstützt wird,

• Sicherheitskonzepte leichter arbeitsteilig entwickelt und verwaltet werden können und

• das Werkzeug flexibler benutzt und an die spezifischen Bedürfnisse eines Anwenders ange­passt werden kann.

Seit der Version 4.5 können die ergänzende Sicherheitsanalyse und die Risikoanalyse auf Basis von IT-Grundschutz (BSI-Standard 100-3) vollständig mit dem GSTOOL abgebildet werden.

• Für welche Zielobjekte ist eine ergänzende Sicherheitsanalyse erforderlich?

• Soll ein Zielobjekt einer Risikoanalyse unterzogen werden oder nicht?

• Welche Gefährdungen müssen berücksichtigt werden?

• Schützen die bereits umgesetzten oder geplanten Maßnahmen hinreichend vor diesen Gefähr­dungen? Falls nicht, ergreifen Sie zusätzliche Maßnahmen und wenn ja, welche? Oder wie behandeln Sie die Risiken anstelle dessen?

Das GSTOOL unterstützt Sie sowohl dabei, diese Fragen zu beantworten, als auch Ihre Entscheidungen und zugrunde liegenden Begründungen zu dokumentieren. Berichte, die Sie zum Beispiel im Rahmen eines Audits für eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz benötigen, können mittels der integrierten Vorlagen auf einfache Weise erzeugt werden.

Die Gliederung der Maßnahmen in den IT-Grundschutz-Bausteinen folgt einem Lebenszyklus-Modell. Diese Struktur wird jetzt auch im GSTOOL in der Ansicht Modellierung berücksichtigt. Bei Standardbausteinen ist die Einstufung in eine Phase durch die IT-Grundschutz-Kataloge vorgegeben, benutzerdefinierten und konkretisierten Maßnahmen können Sie eine passende Phase zuweisen.

Mehr Flexibilität bieten auch die neuen Möglichkeiten, Daten zu erfassen und zu strukturieren. Beispielsweise können Sie jetzt:

• Verknüpfungen von Räumen mit Räumen und IT-Systemen mit IT-Systemen anlegen,

• Zusatzattribute für Zielobjekt-Subtypen vergeben und

• Verweise auf ergänzende Dokumente mit Erläuterungen versehen.

Das GSTOOL erlaubt es, Sicherheitskonzepte arbeitsteilig anzufertigen und die Zugriffe auf die Funktionen des Werkzeugs und die verwendete Datenbank über ein rollen-basiertes Berechti­gungskonzept zu steuern. Dieses Konzept wurde verfeinert, indem die Möglichkeit zum Zugriff auf weitere Bestandteile des Tools (Berichte, Bausteine, Zielobjekt-Typen und Zielobjekt-Subtypen) an Berechtigungen gekoppelt sowie ein explizites Recht zum Löschen von Datenbankeinträgen erteilt werden kann.

Die neue Funktion IT-Grundschutz Management erlaubt es, benutzerdefinierte und konkretisierte Maßnahmen einer Versionsverwaltung zu unterziehen sowie bei diesen Bearbeitungszustände zu markieren.

Verbesserungen beim Import und Export von Daten sowie die Möglichkeit, mehrere Standard-Arbeitsbereiche mit jeweils eigenen Metadaten in einer Datenbank zu verwalten, tragen zusätzlich dazu bei, das GSTOOL den speziellen Erfordernissen eines Benutzers entsprechend einzusetzen.

Eine umfassende Übersicht über alle Änderungen und Erweiterungen finden Sie auf den Webseiten des BSI zum GSTOOL unter Leistungsmerkmale.

- 6 -

Webkurs GSTOOL

Teil II: Anwendung

1 Das GSTOOL anwenden – ÜberblickDie Entwicklung eines Sicherheitskonzepts erfordert ein strukturiertes und nachvollziehbares Vorgehen. Die IT-Grundschutz-Vorgehensweise bietet in Verbindung mit den IT-Grund­schutz-Katalogen ein effizientes Verfahren für diese Aufgabe. Das GSTOOL unterstützt Sie

systematisch bei der Anwendung der Methode und vereinfacht den Zugriff auf die passenden Bausteine und Maßnahmen der IT-Grundschutz-Kataloge.

So können Sie Ihr Sicherheitskonzept systematisch erarbeiten, dokumentieren und fortschreiben. Das Werkzeug erleichtert es Ihnen auch, die Informationen über den Umsetzungsstand und die Kosten der vorgesehenen Schutzmaßnahmen zusammenzustellen, und unterstützt damit sowohl die Revision Ihres Managementsystems für Informationssicherheit als auch dessen Auditierung und eine gegebenenfalls gewünschte Zertifizierung.

In diesem Webkurs erfahren Sie detailliert, wie Sie das Tool beim Vorgehen gemäß IT-Grundschutz unterstützt. Die folgende Tabelle stellt die dazugehörigen Schritte und die Themen des Lehrgangs im Überblick dar:

Kapitel Themen

2 Start und Oberfläche Start des GSTOOLs, Struktur der Benutzungsoberfläche

3 Stammdaten erfassen Anlegen von Zielobjekten; Gruppierung, Eigenschaften, Subtypen

4 Stammdaten strukturieren Ansicht Struktur Zielobjekte, Verknüpfungen

5 Schutzbedarf dokumentieren Definition der Schutzbedarfskategorien; Schutzbedarf erfassen; Vererbung

6 IT-Grundschutz prüfen Bausteine überprüfen und anpassen; Sicherheitsmaßnahmen im Soll-Ist-Vergleich; Ergänzende Sicherheitsanalyse; Realisierungsplanung

7 Risikoanalyse Risikoanalyse gemäß BSI-Standard 100-3

8 IT-Grundschutz anpassen IT-Grundschutz benutzerdefiniert: Anwendung, Anpassung, IT-Grundschutz Management

9 Berichte erstellen, Filter setzen Berichte: Arten, Einsatzmöglichkeiten, Erstellung, GestaltungFilter: Basis- und erweiterte Filter, Terminfilter

Die Webseite des BSI bietet weitere Informationen und Arbeitshilfen zum GSTOOL, zum Beispiel das Handbuch, ein FAQ sowie eine Seite mit Tipps und Tricks. Sie finden dort auch Beispieldatenbanken zu dem in diesem Kurs verwendeten fiktiven Unternehmen RECPLAST

GmbH sowie zu den beiden IT-Grundschutz-Profilen für eine mittlere und eine große Institution.

- 7 -

Webkurs GSTOOL

2 Start und Oberfläche

2.1 Das GSTOOL startenSie starten das GSTOOL durch Doppelklick auf das Programm-Icon oder über Start|Programme|BSI|GSTOOL 4.7.

LizenzierungSolange Sie das Programm noch nicht lizenziert haben, werden Sie dazu aufgefordert, einen Lizenz­schlüssel einzugeben. Entscheiden Sie sich entweder für Später lizenzieren oder tragen Sie den 24-stelligen Lizenzschlüssel ein, um das Programm mit allen Funktionen unbefristet anwenden zu können (mehr dazu in Teil III, Abschnitt 2.4 Testbetrieb und Lizenzierung).

Einstellungen beim Start des ProgrammsNach dem Start können Sie die folgenden Einstellungen vornehmen:

1. Wahl des Servers und der Datenbank:Unter Verbindungsoptionen wählen Sie den gewünschten Datenbank-Server aus einer Liste aller im Netz erreichbaren Server aus. Der auf dem lokalen Rechner installierte Datenbank-Server steht am Anfang der Liste. Mit Auswahl der Datenbank und OK öffnet sich das Hauptfenster des GSTOOLs, dessen Elemente Ihnen auf der nächsten Seite vorgestellt werden.Weitere Erläuterungen zur Auswahl von Datenbank-Server und Datenbank finden Sie in Teil II, Kapitel 4 Datenbanken konfigurieren.

- 8 -

Webkurs GSTOOL

2. Zugriffsschutz:Auf der Registerkarte Anmeldeinformationen melden Sie sich so an, wie es Ihr Administrator definiert hat: entweder mit integrierter Sicherheit oder mit Datenbank-Sicherheit (zur Bedeutung dieser Optionen siehe Teil II, Kapitel 2.3 Sicherheit einstellen)

Wenn Sie eine Datenbank wählen, für die Sie kein Zugriffsrecht haben, erhalten Sie eine Fehlermeldung.

2.2 Die Benutzungsoberfläche – AufbauDie Oberfläche des GSTOOLs ist ähnlich aufgebaut, wie Sie es von anderen Windows-Anwendungen her gewohnt sind. Es gibt verschiedene Ansichten: Stammdaten, Struktur Zielobjekte, Modellierung, Risikoanalyse, Berichte, IT-Grundschutz benutzerdefiniert, IT-Grundschutz Management sowie Export / Import. Die Bedeutung dieser Ansichten für die unterschiedlichen Bearbeitungsschritte wird in den folgenden Kapiteln erläutert.

- 9 -

Webkurs GSTOOL

Das Bildschirmfenster ist in die folgenden Funktionsbereiche unterteilt:

• eine Menüleiste, über die sich alle Funktionen des Programms erschließen lassen,

• eine Toolbar zur Auswahl wichtiger und häufig genutzter Funktionen,

• einen Navigator mit Schaltflächen zum raschen Umschalten in eine gewünschte Ansicht,

• eine Statusleiste mit Informationen zur Bearbeitungssituation sowie

• den Bereich zur Anzeige und Bearbeitung der Informationen, die in der Datenbank des Tools gespeichert sind. Der Aufbau dieses Bereichs hängt von der gewählten Ansicht ab. In den Ansichten Struktur Zielobjekte und Modellierung enthält er beispielsweise als Baum strukturierte Listen sowie eine Bearbeitungsmaske, in der Detailangaben zu einem im Baum markierten Eintrag angezeigt und geändert werden können.

Einzelne Programmfunktionen sind nur dann aktiv, wenn dies in der jeweiligen Bearbei­tungssituation sinnvoll ist und Sie als Anwender dazu berechtigt sind, diese auszuführen.

Es gibt eine Vielzahl an Optionen, mit denen Sie die Oberfläche anpassen können. So kön­nen Sie festlegen, ob die Anzeige deutschsprachig oder englisch ist, Sie können Symbol­leisten sowie einzelne Symbole aus- und einblenden. Detaillierte Anleitungen dazu finden Sie

im Handbuch zum GSTOOL.

- 10 -

Webkurs GSTOOL

3 Stammdaten erfassen

3.1 Überblick

Die ersten Schritte bei der Entwicklung oder Überprüfung eines Sicherheitskonzepts bestehen darin:

• den Ausschnitt der Informationstechnik festzulegen, der betrachtet werden soll (= Festlegen des Informationsverbundes) und anschließend

• die einzelnen infrastrukturellen, organisatorischen, personellen und technischen Komponenten zu be­schreiben, aus denen sich der gewählte Ausschnitt zusammensetzt (= Strukturanalyse)

Ziel der Strukturanalyse ist es, den Informationsverbund möglichst vollständig und strukturiert mit allen relevanten Komponenten zu beschreiben. Dazu werden zuerst aktuelle Daten zur eingesetzten Informationstechnik, ihrer Nutzung und zu organisatorischen Ressourcen erfasst. Netzpläne, Bestandsverzeichnisse oder Interviews mit Verantwortlichen sind hierfür typische Informationsquellen.

Auf den folgenden Seiten sehen Sie in Ausschnitten, wie Sie die erhobenen Informationen mit dem GSTOOL erfassen und dokumentieren. Das Ergebnis ist eine Liste von Stammdaten wie nachfolgend abgebildet.

Als Anwendungsbeispiel dient ein fiktives Unternehmen, die RECPLAST GmbH, die Sie vielleicht bereits in dem Webkurs zur Einführung in die IT-Grundschutz-Vorgehensweise kennengelernt haben.

- 11 -

Webkurs GSTOOL

3.2 ZielobjekteAls Zielobjekte werden im Tool die zu beschreibenden Komponenten des Informationsverbundes bezeichnet, einschließlich des Informationsverbundes selber. Ein Zielobjekt kann andere enthalten, wie ein Gebäude, das mehrere Räume mit Informationstechnik enthält. Ein Zielobjekt kann auch anderen strukturell zugeordnet sein, wie ein IT-System, das bestimmte Anwendungen unterstützt.

Im GSTOOL werden verschiedene Zielobjekt-Typen unterschieden. Standardmäßig sind dies die fol­genden:

• Informationsverbund (= IT-Verbund)

• Gebäude

• Raum

• IT-System

• Netz

• Anwendung

• Mitarbeiter

Bei einzelnen Zielobjekt-Typen werden zusätzlich Subtypen unterschieden. Zum Beispiel hat ein Raum die Subtypen:

• Besprechungs-, Veranstaltungs- und Schulungsraum, Büroraum, Datenträgerarchiv, häus­licher Arbeitsplatz, Raum für technische Infrastruktur, Rechenzentrum, Schutzschrank sowie Serverraum.

Zu den Zielobjekt-Typen Informationsverbund, Gebäude und Mitarbeiter werden im Tool keine Subtypen unterschieden.

Der Begriff Zielobjekte soll verdeutlichen, dass bei der späteren Modellierung die IT-Grund­schutz-Bausteine auf diese Komponenten angewendet werden („auf diese abzielen“). Nur wenn Sie Typen und Subtypen richtig auswählen, kann das GSTOOL bei der Modellierung

die richtigen Bausteine zuordnen.

Mehr zur Modellierung erfahren Sie im Kapitel 6 IT-Grundschutz prüfen.

Zielobjekte werden Zielobjekt-Typen und Zielobjekt-Subtypen zugeordnet. Anhand dieser Zuordnung erkennt das GSTOOL, welche Bausteine für die Zielobjekte standardmäßig zu bearbeiten sind. Sie können neue Zielobjekt-Typen und -Subtypen definieren und diesen

geeignete Bausteine zuordnen. Mehr dazu erfahren Sie im Kapitel 8 IT-Grundschutz anpassen.

- 12 -

Webkurs GSTOOL

3.3 Erstes Zielobjekt: InformationsverbundDie meisten Ansichten im GSTOOL bieten die Möglichkeit, Stammdaten einzugeben. Der zentrale Arbeitsbereich für diese Aufgabe ist jedoch die Stammdatenverwaltung, die eingeblendet wird, wenn Sie im Navigator auf Stammdaten klicken.

Diese zeigt in einer Übersichtstabelle die bislang erfassten Einträge. Zu Beginn der Arbeit mit dem GSTOOL enthält die Tabelle lediglich einen Eintrag und zwar für den Informationsverbund BSI.

Umbenennen des InformationsverbundesStatt einen neuen Informationsverbund einzutragen, sollten Sie den vorhandenen Eintrag BSI umbenennen. Mit einem Doppelklick auf diesen Eintrag öffnen Sie ein Fenster, in dem Sie dies vornehmen können. Überschreiben Sie die Bezeichnung BSI mit dem Namen des

Informationsverbundes, den Sie gerade bearbeiten möchten, und ergänzen Sie die weiteren Einträge.

Die Abbildung zeigt die Eingabemaske für das Beispielunternehmen RECPLAST. Einige Felder sind (standardmäßig gelb) hinterlegt. Dies bedeutet, dass Sie in diesen Feldern Eintragungen vornehmen müssen, wenn das betreffende Objekt gespeichert werden soll (= Pflichtfelder). Im Beispiel sind dies ein Name, ein Kürzel, ein Subtyp und eine Anzahl.

Im Feld Erläuterung können Sie eine Definition und Abgrenzung des Informationsverbundes eintragen. Insbesondere dann, wenn Sie mehrere Informationsverbünde in die Stammdaten eingetragen haben oder eintragen möchten, ist hier eine Unterscheidung hilfreich.

- 13 -

Webkurs GSTOOL

3.4 Zielobjekte erfassen (1)

Wie gehen Sie vor?Wenn Sie ein weiteres Zielobjekt zu den Stammdaten hinzufügen möchten, aktivieren Sie in der Toolbar die Funktion Neu und gehen anschließend wie folgt vor:

1. Bestimmen Sie den Typ des Zielobjekts.Dafür wird ein Fenster geöffnet mit einer Liste der im Tool unterschiedenen Zielobjekt-Typen.

Markieren Sie den zutreffenden Typ und bestätigen Sie die Auswahl mit OK.

2. Legen Sie die weiteren Eigenschaften des Zielobjekts fest.Wenn Sie wie in der Abbildung den Typ Gebäude ausgewählt haben, wird anschließend das Fenster Neues Zielobjekt: Gebäude geöffnet zur detaillierten Beschreibung des neuen Eintrags. Auch hier sind die Pflichtfelder (Name, Kürzel, Subtyp, Anzahl) gelb hinterlegt.

3. Bestätigen Sie Ihre Eingaben mit OK.

Das Zielobjekt ist nun mit den von Ihnen eingetragenen Eigenschaften in der Datenbank gespeichert.

- 14 -

Webkurs GSTOOL

3.5 Zielobjekte erfassen (2)Alle Zielobjekt-Typen haben als Pflichtfelder Name, Kürzel, Subtyp und Anzahl. Zusätzlich haben Sie immer die Möglichkeit, in ein Textfeld Erläuterung Beschreibungen zu dem eingegebenen Objekt einzutragen. Einige Zielobjekt-Typen haben weitere Eingabefelder.

AnwendungenFenster für die Beschreibung einer Anwendung enthalten beispielsweise eine Registerkarte Fachaufgabe, in der Sie angeben können, wie dringlich der IT-Einsatz für eine Anwendung ist. Immer dann, wenn Sie die Notwendigkeit des IT-Einsatzes bejahen, müssen Sie dies begründen.

MitarbeiterFür Zielobjekte vom Typ Mitarbeiter können Sie Angaben zur Telefonnummer, E-Mail-Adresse und Organisationseinheit notieren.

Beachten Sie bitte, dass Sie zusätzlich auf der Registerkarte Rollen festlegen sollten, welche Rollen der betreffende Mitarbeiter haben soll. Nutzen Sie dazu die Schaltfläche Hinzufügen. Es öffnet sich die Rollenauswahl Mitarbeiter, in der Sie die zutreffenden Rollen markieren.

Ein Tipp:Wenn Sie mehrere Zielobjekte gleichen Typs mit ähnlichen Beschreibungen einzugeben haben, können Sie sich die Eingabe erleichtern. Das Tool bietet Ihnen hierfür die Funktion an, Daten aus einem Zielobjekt in ein anderes zu übernehmen. Markieren Sie hierfür ein Ziel­

objekt und wählen Sie anschließend Neu | Daten übernehmen. Sie erhalten eine Dublette des Ziel­objektfensters, in dem Sie nur noch kleine Änderungen zur Beschreibung des neuen Zielobjekts eintragen müssen.

- 15 -

Webkurs GSTOOL

3.6 Gruppen bildenZu den Pflichtfeldern jedes Zielobjekt-Typs gehört das Feld Anzahl. Dies weist Sie darauf hin, dass Sie Ihre Zielobjekte so weit wie möglich gruppieren sollten. Es kommt bei der Strukturanalyse näm­lich insbesondere darauf an, Komponenten (IT-Systeme, Anwendungen, Räume usw.) mit gleichem Schutzbedarf und – daraus abgeleitet – gleichen Sicherheitsmaßnahmen zusammenzufassen.

Sinnvolle Gruppenbildungen erleichtern die Erfassung der Stammdaten. Je mehr Sie die Komponen­ten bei der Eingabe gruppieren, desto weniger Zielobjekte müssen Sie im Tool durchgängig behandeln und desto übersichtlicher werden die Darstellungen.

Generell gilt, dass Sie Komponenten zusammenfassen sollten, die

• vom gleichen Typ sind,

• gleich oder nahezu gleich konfiguriert sind,

• gleich oder nahezu gleich in das Netz eingebunden sind,

• den gleichen administrativen und infrastrukturellen Rahmenbedingungen unterliegen,

• die gleichen Anwendungen bedienen und

• den gleichen Schutzbedarf haben.

Gruppenbildung erspart nicht nur bei der Erfassung der Stammdaten unnötige Arbeit, sondern insbesondere auch in den nachfolgenden Phasen. Überlegen Sie sich jedoch sorgfältig, was Sie gruppieren. Wenn Sie Komponenten zusammenfassen, die unterschiedlichen Schutzbedarf

haben, können Sicherheitslücken entstehen.

- 16 -

Webkurs GSTOOL

3.7 Stammdaten auflistenAlle erfassten Zielobjekte werden mit ihren Informationen in die Liste der Stammdaten (siehe Abbildung) aufgenommen.

Sie können sich die Stammdatenliste auch ausdrucken lassen. Das Tool hält dafür die Funktion Berichte bereit. Erläuterungen dazu finden Sie in dem Kapitel 9 Berichte erstellen, Filter setzen.

Wenn Sie Angaben zu einem Zielobjekt ändern möchten, markieren Sie das Objekt in der Liste. Mit einem Doppelklick öffnen Sie das Fenster mit den Eigenschaften des Objekts, in dem Sie die vorhandenen Angaben überschreiben können.

Wenn Sie statt aller eingegebenen Stammdaten nur eine bestimmte Auswahl aufgelistet haben möchten, können Sie einen Filter auswählen. Sie können entweder die vorgegebenen Filter (zum Beispiel Raum, IT-System, Netz, Anwendung, Mitarbeiter) wählen oder solche,

die Sie zuvor selbst definiert haben. Mehr dazu im Kapitel 9 Berichte erstellen, Filter setzen.

Zielobjekte löschenSie löschen Zielobjekte, indem Sie diese markieren und anschließend die Schaltfläche Löschen klicken.

- 17 -

Webkurs GSTOOL

3.8 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Erfassung der Stammdaten im GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche der folgenden Objekte sind im GSTOOL ein eigener Zielobjekt-Typ?

a) Gebäude

b) Kommunikationsmedien

c) Räume

d) Mitarbeiter

2. Welche Funktion hat die Liste der Stammdaten im GSTOOL?

a) Sie ist ein Inventar der Vermögenswerte einer Institution.

b) Sie dient dazu, die Objekte zu erfassen, die im Sicherheitskonzept einer Institution berücksichtigt werden.

c) Sie enthält den aktuellen Stand der IT-Grundschutz-Kataloge.

d) Sie enthält Beschreibungen der unveränderlichen Eigenschaften eines Unternehmens.

3. Wie stellen Sie im GSTOOL eine Gruppe von IT-Systemen dar?

a) Sie erfassen die IT-Systeme, markieren die zu gruppierenden IT-Systeme und wählen anschließend die Option Gruppieren.

b) Sie erfassen ein einzelnes Zielobjekt und tragen dabei die Anzahl gleichartiger IT-Systeme ein.

c) Sie erfassen die IT-Systeme, wählen anschließend die Funktion „Ähnliche suchen“ und fassen das Suchergebnis zu einer Gruppe zusammen.

d) Sie erfassen die IT-Systeme und statten deren Namen mit einem einheitlichen Präfix aus.

4. Welche IT-Systeme sollten im GSTOOL nicht gruppiert werden?

a) solche mit ungleichem Schutzbedarf

b) solche, deren Einsatzalter sehr stark voneinander abweicht

c) solche mit unterschiedlichem Betriebssystem

d) solche mit unterschiedlichem Standort

5. Ein Informationsverbund (oder IT-Verbund) ist eine Bezeichnung für ...

a) … Informationen, die auf unterschiedlichen Medien verwaltet werden, aber zusammen­gehören.

b) … den in einem Sicherheitskonzept zu berücksichtigenden Ausschnitt einer Institution.

c) … eine Gruppe von IT-Systemen, zwischen denen Informationen ausgetauscht werden.

d) … eine Gruppe von Mitarbeitern, die Kenntnis von den Berichten erhalten sollen, die mit dem GSTOOL erzeugt werden.

- 18 -

Webkurs GSTOOL

4 Stammdaten strukturieren

4.1 ÜberblickGemäß IT-Grundschutz-Vorgehensweise ist für jede Anwendung anzugeben, auf welchen IT-Syste­men sie im Einsatz ist und welche Netze genutzt werden. Außerdem soll ausgewiesen werden, welche IT-Systeme sich in welchen Räumen und welche Räume sich in welchen Gebäuden des Informationsverbundes befinden. Diese Strukturierung der Daten ist Teil der Strukturanalyse und trägt zur Vollständigkeit der Dokumentation bei. Wichtiger noch ist jedoch, dass sie eine wesentliche Voraussetzung ist, für

• die korrekte Ableitung des Schutzbedarfs von IT-Systemen, Räumen, Netzen und Gebäuden bei der nachfolgenden Schutzbedarfsfeststellung und daraus abgeleitet für

• die folgerichtige Zuweisung von Bausteinen an die Zielobjekte bei der Modellierung gemäß IT-Grundschutz.

VerknüpfungenIm GSTOOL drücken Sie diese Zuordnungen aus, indem Sie die zuvor ein­gegebenen Zielobjekte mit­einander verknüpfen. Das Ergebnis ist eine hierar­chische Baumstruktur, die es ermöglicht, bei der Schutz­bedarfsfeststellung von Ver­erbungsmechanismen zu profitieren. Sinnvoll ver­knüpfen Sie in der Reihen­folge, die in der neben­stehenden Abbildung dar­gestellt ist.

Darüber hinaus können Sie Mitarbeiter mit den Ziel­objekten verknüpfen, für die sie jeweils zuständig sind.

Inhalt dieses KapitelsSchrittweise bauen Sie durch das Anlegen von Verknüpfungen eine Baumstruktur zu dem bearbeiteten Informationsverbund auf. Auf den folgenden Seiten wird an Beispielen veranschaulicht:

• aus welchen Elementen sich diese Baumstruktur zusammensetzt,

• was logische und technische Verknüpfungen unterscheidet,

• wie Verknüpfungen angelegt werden sowie

• wie sie geändert, verschoben und gelöscht werden.

- 19 -

Webkurs GSTOOL

4.2 Struktur Zielobjekte

BaumstrukturDer zentrale Arbeitsbereich zum Anlegen von Verknüpfungen ist die Ansicht Struktur Zielobjekte. Diese zeigt einen Baum mit einer Struktur aus Zielobjekten und Zielobjekt-Typen. Wenn Sie die diesbezügliche Voreinstellung nicht geändert haben, sehen Sie, dass

bereits während der Stammdatenerfassung die Gebäude, Räume, IT-Systeme, Anwendungen und Mitarbeiter mit dem Informationsverbund verknüpft worden sind.

Der Baum ist standardmäßig zweigeteilt:Sie sehen Symbole und Bezeichnungen für Gebäude, Räume, IT-Systeme, Netze, Anwen­dungen und Mitarbeiter einmal in dem oberen Bereich unter dem Informationsverbund und ein zweites Mal in der unteren Baumstruktur. Die beiden Hälften des Baumes unterscheiden sich wie folgt:

Im oberen Teil enthält der Baum unterhalb der Zielobjekt-Typen die jeweils angelegten Ver­knüpfungen.

Der untere Teil zeigt Ihnen immer die voll­ständige Liste aller erfassten Stammdaten.

Wenn sich unterhalb eines Symbols weitere Einträge befinden, wird dies durch ein vorangestelltes „+“ oder ein „-“ dargestellt. Klicken Sie zum Beispiel in der unteren Hälfte der Baumstruktur auf das Zeichen „+“, werden alle in den Stammdaten erfassten Zielobjekte dieses Typs eingeblendet (umgekehrt mit „-“ wieder ausgeblendet).

Inhalt der BearbeitungsmaskeDie folgende Abbildung zeigt einen Ausschnitt aus der Baumstruktur für den Informationsverbund des Beispielunternehmens RECPLAST GmbH. Der Zielobjekt-Typ IT-System ist markiert, die Bearbei­tungsmaske rechts des Baums zeigt die Liste der zugeordneten IT-Systeme. Durch Anklicken der Auswahlkästchen im linken Bereich können Sie Verknüpfungen zu den Zielobjekten entfernen oder anlegen.

- 20 -

Webkurs GSTOOL

Wenn Sie im Baum ein konkretes Zielobjekt markieren, werden in der Bearbeitungsmaske die Eigen­schaften dieses Objekts angezeigt:

Das Tool stellt Ihnen so die jeweils relevanten Stammdaten zur Verfügung. Sie können sich schnell orientieren, um welches Zielobjekt (Typ, Eigenschaften) es sich handelt und mit welchem anderen Zielobjekt (Typ, Eigenschaften) Sie es verknüpfen wollen.

4.3 Logische und technische VerknüpfungenZielobjekte können im GSTOOL auf unterschiedliche Weise mit Informationsverbünden verknüpft werden, und zwar logisch oder technisch.

• Ein Objekt ist logisch mit einem Informationsverbund verknüpft, wenn es in der Liste der Zielobjekt-Typen direkt unterhalb des Informationsverbundes enthalten ist.Nur dann wird das betreffende Zielobjekt bei der Modellierung berücksichtigt.

• Ein Objekt ist lediglich technisch mit einem Informationsverbund verknüpft, wenn es im Baum unterhalb der direkt verknüpften Zielobjekte eingeordnet ist.Diese Verknüpfungen helfen bei der späteren Schutzbedarfsfeststellung, den Schutzbedarf voneinander abhängiger Zielobjekte angemessen einzuschätzen.

Zielobjekte können folglich entweder gar nicht mit einem Informationsverbund verknüpft werden, logisch und technisch oder nur auf eine dieser beiden Weisen.

Die folgende Abbildung veranschaulicht den Unterschied zwischen logisch und technisch verknüpften Zielobjekten am Beispiel der Räume, die zu dem Informationsverbund RECPLAST erfasst wurden.

- 21 -

Webkurs GSTOOL

- 22 -

Webkurs GSTOOL

4.4 Zielobjekte verknüpfen (1): Drag & DropAuf eine einfache Weise können Sie Verknüpfungen anlegen, indem Sie das zu verknüpfende Ziel ­objekt aus der unteren Baumliste in die obere Verknüpfungshierarchie ziehen (Drag & Drop).

Sie gehen wie folgt vor:

1. Wählen Sie das Zielobjekt aus, das Sie verknüpfen möchten(im Beispiel ist dies der Technikraum TK BG).

2. Ziehen Sie es bei gedrückter linker Maustaste auf das Zielobjekt, mit dem Sie es verknüpfen möch­ten (im Beispiel ist dies das Verwaltungsgebäude).

3. Wählen Sie die Option Verknüpfung anlegen.

Das GSTOOL sortiert die Verknüpfung dem Typ des ausgewählten Zielobjekts (Raum) entsprechend bei den Räumen des Verwaltungsgebäudes ein.

Das Tool enthält Verknüpfungsregeln, nach denen einem Zielobjekt ein anderes unter­geordnet werden kann, wenn es von diesem den Schutzbedarf übernimmt oder von diesem betreut, versorgt oder benutzt wird. Deshalb können Mitarbeiter sowohl Anwendungen,

- 23 -

Webkurs GSTOOL

Netzen und IT-Systemen als auch Räumen und Gebäuden zugeordnet werden. Sie können auch ver­schiedene Anwendungen miteinander verknüpfen und dabei festlegen, welche Anwendung über- und welche untergeordnet werden soll. Ebenso ist es möglich, Abhängigkeiten zwischen IT-Systemen durch Verknüpfungen auszudrücken, wie auch unterschiedliche Räume miteinander zu verknüpfen.

4.5 Zielobjekte verknüpfen (2): Verknüpfungen pflegenNeben Drag & Drop gibt es eine zweite Möglichkeit, Zielobjekte miteinander zu verknüpfen. Hierfür klicken Sie das zu verknüpfende Objekt (hier Clients Entwicklungsabteilung) mit der rechten Maustaste an. Es öffnet sich ein Menü, unter anderem mit der Option Verknüpfungen pflegen.

Wählen Sie den Typ des Zielobjekts aus, mit dem Sie verknüpfen möchten (im Beispiel Raum).

Ein Fenster Verknüpfungen zu den Zielobjekten vom Typ <Raum> pflegen wird geöffnet mit einer Liste aller angelegten Räume. Markieren Sie diejenigen, mit denen Sie das Objekt verknüpfen möch­ten, und bestätigen Sie Ihre Auswahl mit OK.

- 24 -

Webkurs GSTOOL

4.6 Verknüpfungen pflegenDie Funktion Verknüpfungen pflegen ist gegenüber dem Anlegen von Verknüpfungen mit Drag & Drop immer dann vorteilhaft, wenn Sie ein Zielobjekt mit vielen anderen verknüpfen wollen, zum Bei­spiel einen Mitarbeiter mit mehreren Anwendungen, eine Anwendung mit mehreren IT-Systemen oder einen Raum mit mehreren IT-Systemen.

Wenn Sie beispielsweise im GSTOOL ausdrücken wollen, welche IT-Systeme ein Raum beherbergt, gehen Sie wie folgt vor:

1. Klicken Sie mit der rechten Maustaste auf den gewünschten Raum in der oberen Verknüpfungs­struktur.

2. Wählen Sie die Funktion Verknüpfungen pflegen und geben dabei den Zielobjekt-Subtyp IT-System an.

3. Markieren Sie in dem daraufhin geöffneten Fenster alle IT-Systeme, die sich in dem ausgewählten Raum befinden.

4. Bestätigen Sie Ihre Auswahl mit OK.

In dem Fenster, das nach Auswahl von Verknüpfungen pflegen geöffnet wird, können Sie auf einfache Weise zuvor angelegte Verknüpfungen zu einem Zielobjekt korrigieren. Die Schaltflächen ermög­lichen die folgenden Operationen:

• Mit Alle markieren Sie sämtliche Einträge in der Liste. Dies ist sinnvoll, wenn Sie nur wenige Haken wieder entfernen müssen.

• Mit Keine heben Sie sämtliche Markierungen wieder auf. Nach der Bestätigung wären damit alle Verknüpfungen zu dem ausgewählten Zielobjekt wieder gelöscht.

• Mit Umkehren werden alle bislang noch nicht markierten Einträge markiert; bei allen bislang markierten Einträgen werden die Haken entfernt.

- 25 -

Webkurs GSTOOL

4.7 Verknüpfungen verschieben und löschenSie können Verknüpfungen verschieben. Wenn beispielsweise eine Telefonanlage von einem Serverraum in einen Technikraum verlagert wird, vollziehen Sie diesen Vorgang im Tool durch Ver­schieben der Verknüpfung per Drag & Drop vom Server- zum Technikraum nach. Wenn einer Ver­knüpfung andere Verknüpfungen untergeordnet sind, werden auch diese abhängigen Verknüpfungen verschoben.

Es gibt verschiedene Wege, Verknüpfungen zu löschen. Eine einfache Möglichkeit bietet die zuletzt beschriebene Funktion Verknüpfungen pflegen. Sie können aber auch im Baum die gewünschte Verknüpfung markieren und anschließend entweder die Taste Entf klicken oder die Funktion Verknüpfung löschen aus dem Menü wählen, das Sie mit der rechten Maustaste öffnen.

Wenn Sie eine Verknüpfung löschen, werden alle Verknüpfungen ebenfalls gelöscht, die sich unterhalb des gewählten Baumknotens befinden.

Beachten Sie bitte den Unterschied zwischen dem Löschen von Zielobjekten im oberen und unteren Teil des Baums. Im ersten Fall löschen Sie lediglich eine Verknüpfung. Anders im zweiten Fall: Hier löschen Sie den eigentlichen Eintrag aus den Stammdaten – und damit auch

sämtliche Verknüpfungen, die Sie zu ihm angelegt haben.

- 26 -

Webkurs GSTOOL

4.8 Darstellung anpassenDie Benutzungsoberfläche und die Darstellung des Baums sowie seiner Elemente kann auf vielfältige Weise an die Bedürfnisse eines Anwenders angepasst werden. So lassen sich Schrift- und Hintergrundfarben ändern, Elemente ein- und ausblenden oder die Reihenfolge der Angaben zu einem Zielobjekt bestimmen. Diese Einstellungen nehmen Sie in der nachfolgend abgebildeten Registerkarte Extras | Optionen | Darstellung vor.

In der Abbildung sind einige Optionen markiert, die sich in besonderer Weise auf die Ansicht Struktur Zielobjekte auswirken:

• Mit dem Auswahlfeld Anzeige der Zielobjekte können Sie die Voreinstellung ändern, dass die Zielobjekte in zwei Bereichen (oben die Informationsverbünde, unten die insgesamt verfüg­baren Objekte) dargestellt werden.

• Wenn Sie anstelle dessen festlegen, dass die Zielobjekte nur in einem einzigen Bereich angezeigt werden, können Sie diese entweder gemäß ihres Typs oder gemäß einer im Feld K-N-ID-Einstellung festgelegten Reihenfolge sortieren lassen (Option Anzeige der Typ-Knoten). Für die verknüpften Zielobjekte können Sie eine verwandte Einstellung vornehmen (Option Sortierung verknüpfter Zielobjekte).

• Mit dem Auswahlfeld Anzeige der Typ-Knoten legen Sie fest, ob Knoten für Informations­verbünde und Zielobjekt-Typen angezeigt werden sollen oder nicht.

- 27 -

Webkurs GSTOOL

• Unter Technische Verknüpfung IT-Verbünde können Sie die Anzeige der technischen Ver­knüpfungen ein- und ausschalten. Wenn Sie diese deaktivieren, werden Verknüpfungen, die Sie in der Baumdarstellung vornehmen, nicht mehr direkt angezeigt.

4.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Struktu­rierung der Stammdaten mit dem GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Was ermöglicht die logische Verknüpfung von Zielobjekten?

a) die automatische Vererbung des Schutzbedarfs zwischen den miteinander verknüpften Zielobjekten

b) Vorschläge für die Vererbung des Schutzbedarfs zwischen den verknüpften Zielobjekten

c) die Berücksichtigung der Zielobjekte in der Modellierung

d) die Erzeugung eines Strukturdiagramms

2. Wenn ein Zielobjekt technisch mit einem Informationsverbund verknüpft ist, dann ist es ...

a) … automatisch auch logisch mit diesem verknüpft.

b) … Bestandteil des Informationsverbundes.

c) … mit allen anderen Zielobjekten verknüpft, die ebenfalls technisch mit dem Informations­verbund verknüpft sind.

d) … nicht mehr mit anderen Zielobjekten verknüpfbar.

3. Was ermöglicht die technische Verknüpfung von Zielobjekten?

a) die automatische Vererbung des Schutzbedarfs zwischen den miteinander verknüpften Zielobjekten

b) Vorschläge für die Vererbung des Schutzbedarfs zwischen den verknüpften Zielobjekten

c) die Berücksichtigung der Zielobjekte in der Modellierung

d) die Erzeugung eines Strukturdiagramms

4. Was ändern Sie im GSTOOL, wenn Sie ein IT-System in einen anderen Raum verlegt haben?

a) Sie ändern die Angabe im Pflichtfeld Standort in der Registerkarte zur Beschreibung der Eigenschaften des IT-Systems.

b) Sie lösen die Verknüpfung des IT-Systems mit seinem früheren Standort.

c) Sie verknüpfen das IT-System mit seinem neuen Standort.

d) Sie geben dem IT-System eine neue Versionsnummer.

- 28 -

Webkurs GSTOOL

5 Schutzbedarf dokumentieren

5.1 ÜberblickGemäß IT-Grundschutz-Vorgehensweise folgt auf die Struktur­analyse die Feststellung des Schutzbedarfs der Komponenten eines Informationsverbundes.

Hierfür sind zunächst die Schutzbedarfskategorien an die speziellen Bedingungen Ihrer Institution anzupassen.

Im nächsten Schritt sind diese Kategorien auf die einzelnen Zielobjekte des Informationsverbundes anzuwenden und es ist zu entscheiden, welche Auswirkungen Beeinträchtigungen der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit jeweils hätten.

Die Schutzbedarfsfeststellung können Sie mit dem Tool in folgender sinnvoller Reihenfolge unterstützen:

1. Passen Sie die Schutzbedarfsdefinitionen an die Institution an, für die Sie ein Sicherheitskonzept anfertigen.

2. Geben Sie den Schutzbedarf der Anwendungen ein.

3. Geben Sie danach den Schutzbedarf der IT-Systeme, Räume und Gebäude ein. Dabei können Sie Vorschläge des Tools einbeziehen. Bestimmen Sie ferner die kritischen Kommuni­kationsverbindungen.

Sie erfahren in diesem Kapitel, wie Sie die im Tool vorgeschlagenen Definitionen für die Schutz ­bedarfskategorien ändern und den Schutzbedarf der Komponenten mit Begründungen dokumentieren. Diese Dokumentation liefert die Kriterien für die Auswahl angemessener Sicherheitsmaßnahmen für Anwendungen, IT-Systeme, Netze, Räume und Gebäude.

5.2 Schutzbedarfsdefinitionen anpassenSie finden die im Tool verwendeten Definitionen der Schutzbedarfskategorien, wenn Sie in der Ansicht IT-Grundschutz benutzerdefiniert die Registerkarte Schutzbedarfsdefinitionen auswählen. Diese enthält als Voreinstellung die Definitionen des BSI-Standards 100-2 für die

Schutzbedarfskategorien normal, hoch und sehr hoch mit allgemeinen Formulierungen zu möglichen Beeinträchtigungen und Auswirkungen:

1. Verstoß gegen Gesetze/Vorschriften/Verträge

2. Beeinträchtigung des informationellen Selbstbestimmungsrechts

3. Beeinträchtigung der persönlichen Unversehrtheit

4. Beeinträchtigung der Aufgabenerfüllung

5. Negative Außenwirkung

6. Finanzielle Auswirkungen

Die folgende Abbildung zeigt die Definition der Schutzbedarfskategorie normal.

- 29 -

Webkurs GSTOOL

Diese Definitionen müssen Sie für Ihre Organisation anpassen. Die nächste Abbildung zeigt als Beispiel, wie die Schutzbedarfskategorie normal für die RECPLAST GmbH formuliert wurde.

- 30 -

Webkurs GSTOOL

In gleicher Weise können Sie die Definitionen für hohen und sehr hohen Schutzbedarf auf Ihre Institution zuschneiden.

Die im GSTOOL vorgesehenen Schutzbedarfskategorien entsprechen den Vorgaben der IT-Grundschutz-Methode. Sie können diese daher weder umbenennen oder löschen noch eigene Kategorien hinzufügen.

5.3 Schutzbedarf feststellen (1)Das GSTOOL enthält für jede Anwendung, jedes IT-System, jeden Raum und jedes Gebäude eine Registerkarte Schutzbedarf, auf der Sie den Schutzbedarf in Bezug auf die drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit einschätzen und begründen können.

Nehmen Sie für diese Einschätzungen die Schadensszenarien des BSI-Standards 100-2 zu Hilfe. Gemäß der dort beschriebenen Vorgehensweise bestimmen Sie zuerst den Schutzbedarf für alle in der Strukturanalyse erfassten Anwendungen.

Zu diesem Zweck lassen Sie das Tool mit Hilfe der Filterfunktion eine Liste aller Anwendungen zusammenstellen. Erläuterungen zur Nutzung der Filter finden Sie im Kapitel Berichte erstellen, Filter setzen.

In der folgenden Abbildung ist aus einer Liste der Anwendungen im Unternehmen RECPLAST die Anwendung Systemmanagement ausgewählt worden. Zu diesem Zielobjekt ist die Registerkarte Schutzbedarf geöffnet. Sie enthält für jeden Grundwert Felder zur Einschätzung und Begründung des Schutzbedarfs sowie ein Feld Vorschlag, in das keine Angabe eingetragen ist.

- 31 -

Webkurs GSTOOL

5.4 Schutzbedarf feststellen (2)Bei der Schutzbedarfsfeststellung einer Anwendung schätzen Sie den Schutzbedarf im Hinblick auf die mit ihr bearbeiteten Informationen ein. Bezüglich der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit haben Sie die Wahl zwischen den Schutzbedarfskategorien normal, hoch und sehr hoch. Sobald Sie eine Kategorie ausgewählt haben, signalisiert das Tool, dass eine Begründung erforderlich ist, indem es das dafür vorgesehene Eingabefeld zum Pflichtfeld macht. Formulieren Sie die Begründung so, dass sie auch von Dritten und zu späteren Zeitpunkten nachvollzogen werden kann.

In Fortsetzung des Beispiels wird in der folgenden Abbildung gezeigt, wie der Schutzbedarf der Anwendung Systemmanagement des Unternehmens RECPLAST eingestuft und begründet wurde.

Beachten Sie, dass bei Unterschieden in den Schutzbedarfskategorien vom Tool das Maxi­mum hervorgehoben wird, hier im Beispiel hoch.

Wie bei der exemplarisch gezeigten Erfassung des Schutzbedarfs einer Anwendung, bestimmen und dokumentieren Sie der Reihe nach den Schutzbedarf für die weiteren Anwendungen, die IT-Systeme, Räume und Gebäude.

Schutzbedarfsbestimmung für NetzeFür die Netze müssen Sie gemäß IT-Grundschutz-Methode die kritischen Verbindungen bestimmen. Falls Sie diese beim Erfassen der Netze in den Stammdaten noch nicht dokumentiert haben, können Sie dies jetzt nachholen. Auf der Registerkarte Netz markieren Sie, welche der folgenden Kriterien für das Netz beziehungsweise seine Kommunikationsverbindungen zutreffen: Außenverbindung, hohe Vertraulichkeit, hohe Integrität, hohe Verfügbarkeit oder hochschutzbedürftige Informationen dürfen nicht übertragen werden.

- 32 -

Webkurs GSTOOL

5.5 Schutzbedarf vererbenWenn der Schutzbedarf einer Anwendung bezüglich Vertraulichkeit, Integrität und Verfügbarkeit eingeschätzt ist, wird er an alle Zielobjekte vererbt, die dieser Anwendung übergeordnet sind.

Wenn der Schutzbedarf aller Anwendungen festgestellt wurde, die mit einem bestimmten IT-System verknüpft sind, finden Sie auf der Registerkarte Schutzbedarf dieses IT-Systems Vorschläge für dessen Schutzbedarf. Für jeden Grundwert wird der höchste Schutzbedarf vorgeschlagen, der bei dem entsprechenden Grundwert aller verknüpften Anwendungen festgestellt wurde (Maximumprinzip).

Beispiele dafür sehen Sie in der folgenden Abbildung. Sie zeigt die Registerkarte Schutzbedarf zu einem IT-System Domänen-Controller, das im Beispielunternehmen RECPLAST mit der Anwendung Benutzerauthentisierung verknüpft ist.

- 33 -

Webkurs GSTOOL

Auch dann, wenn Sie die Vorschläge des Tools übernehmen, sind Begründungen erforderlich. Im ab­gebildeten Beispiel wurden für Vertraulichkeit normal und für Integrität hoch übernommen und jeweils mit dem Maximumprinzip bezüglich der verknüpften Anwendung begründet.

Wenn außer dem Maximumprinzip auch Kumulations- und Verteilungseffekte sowie Abhängig­keiten zwischen Anwendungen zu berücksichtigen sind, können Sie von den Vorschlägen des Tools abweichen. Auch dies sollten Sie begründen. Im Beispiel wird der niedriger festgestellte Schutzbedarf für die Verfügbarkeit mit dem Vorhandensein eines zweiten Domänen-Controllers erklärt.

Wie bei der Schutzbedarfsfeststellung der IT-Systeme und aus dieser abgeleitet, erzeugt das Tool Vorschläge für den Schutzbedarf der Räume. Aus diesen wiederum leitet es Vorschläge für den Schutzbedarf der Gebäude ab. Sollte die Registerkarte Schutzbedarf eines Gebäudes

keine Vorschläge enthalten, haben Sie noch nicht den Schutzbedarf aller untergeordneten Ziel­objekte festgestellt.

- 34 -

Webkurs GSTOOL

5.6 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Schutzbedarfsfeststellung mit dem GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche Voraussetzungen sollten im GSTOOL erfüllt sein, bevor Sie den Schutzbedarf der Zielobjekte eines Informationsverbundes dokumentieren?

a) Sie sollten die Zielobjekte möglichst vollständig erfasst haben.

b) Sie sollten alle Verknüpfungen der Zielobjekte entfernen, da ansonsten der Schutzbedarf automatisch abgeleitet wird.

c) Die Schutzbedarfsdefinitionen müssen für die Organisation angepasst worden sein.

d) Die Zielobjekte sollten entsprechend ihrer Abhängigkeiten miteinander technisch verknüpft sein.

2. Welche Ursachen kann es dafür geben, dass im GSTOOL keine Vorschläge zum Schutzbedarf eines Serverraums angezeigt werden?

a) Die Schutzbedarfsdefinitionen wurden noch nicht angepasst.

b) Der Serverraum ist nicht mit den IT-Systemen verknüpft, die in ihm untergebracht sind.

c) Der Schutzbedarf der im Raum befindlichen IT-Systeme wurde noch nicht eingetragen.

d) Der Schutzbedarf des Gebäudes, in dem sich der Serverraum befindet, wurde noch nicht festgestellt.

3. Wie viele Schutzbedarfskategorien sieht das GSTOOL vor?

a) fünf: sehr niedrig, niedrig, normal, hoch und sehr hoch

b) drei: normal, hoch und sehr hoch

c) vier: niedrig, mittel, hoch und sehr hoch

d) standardmäßig drei (normal, hoch und sehr hoch), Anzahl und Bezeichnung der Kategorien können jedoch vom Benutzer geändert werden

4. Welches Prinzip wendet das GSTOOL bei der Erzeugung seiner Vorschläge zum Schutzbedarf an?

a) das Kumulationsprinzip

b) das Verteilungsprinzip

c) das Maximumprinzip

d) das Minimumprinzip

5. Welche Schutzziele werden bei der Schutzbedarfsfeststellung im GSTOOL betrachtet?

a) Vertraulichkeit

b) Authentizität

c) Verfügbarkeit

d) Integrität

- 35 -

Webkurs GSTOOL

6 IT-Grundschutz prüfen

6.1 ÜberblickAuch die nächsten Schritte des IT-Grundschutzes, Modellierung, Basis-Sicherheitscheck und Realisierungsplanung, werden durch das GSTOOL umfassend unterstützt.

So liefert es einen ersten Vorschlag dafür, welche IT-Grund­schutz-Bausteine Sie für den betrachteten Informationsverbund und die mit ihm verknüpften Zielobjekte berücksichtigen sollten. Ihre Aufgabe ist es, diesen Vorschlag zu prüfen und gegebenenfalls so zu verändern, dass er den tatsächlichen Bedingungen des Informationsverbundes gerecht wird (= Modellierung gemäß IT-Grundschutz).

Das Ergebnis der Modellierung ist Grundlage für die Ermittlung des Umsetzungsstands der Sicherheitsmaßnahmen in einem Basis-Sicherheitscheck. Alle dafür notwendigen Angaben können Sie mit dem GSTOOL dokumentieren. Gleiches gilt für die ergänzende Sicherheitsanalyse, die für bestimmte Zielobjekte unter Umständen erforderlich sein kann.

Umfassende Unterstützung bietet das Tool auch für die Realisierungsplanung der nicht oder nur unvollständig umgesetzten Sicherheitsmaßnahmen mit Eingabemöglichkeiten für die Kosten- und Aufwandsschätzung, die Festlegung einer

Umsetzungsreihenfolge, die Bestimmung von Verantwortlichkeiten und die Auswahl begleitender Maßnahmen.

In diesem Kapitel erfahren Sie, wie Sie:

• die Modellierungsvorschläge anpassen,

• einen Basis-Sicherheitscheck und eine ergänzende Sicherheitsanalyse dokumentieren sowie

• Informationen zur Realisierungsplanung erfassen

Die IT-Grundschutz-Vorgehensweise sieht vor, dass für Komponenten (Zielobjekte) mit hohem oder sehr hohem Schutzbedarf vor der Realisierungsplanung eine ergänzende Sicherheitsanalyse und gegebenenfalls eine Risikoanalyse sowie die Anpassung oder

Erweiterung der IT-Grundschutz-Bausteine erforderlich sind. Auch diese Schritte werden durch das GSTOOL unterstützt. In den nächsten beiden Kapiteln, 7 Risikoanalyse sowie 8 IT-Grundschutzanpassen, erfahren Sie mehr dazu.

6.2 Die Ansicht ModellierungDer Arbeitsbereich für die Schritte Modellierung, Basis-Sicherheitscheck, ergänzende Sicherheitsanalyse und Realisierungsplanung ist die Ansicht Modellierung. Diese zeigt in einer Baumstruktur die logisch mit einem Informationsverbund verknüpften Zielobjekte

sowie diesen zugeordneten Bausteine und Maßnahmen.

Sie können mit der Schaltfläche Modell zwischen zwei Darstellungsweisen des Baums wählen: dem Schichten- und dem Objektmodell. Diese unterscheiden sich im Umfang und der Gliederung der dargestellten Zielobjekte und Bausteine.

- 36 -

Webkurs GSTOOL

Schichtenmodell: Gliederung der Zielobjekte anhand der BausteineHier sind die Zielobjekte gemäß Schichtenmodell der IT-Grunschutz-Kataloge in die fünf Schichten übergreifende Aspekte, Infrastruktur, IT-Systeme, Netze und Anwendungen gegliedert und den zugehörigen Bausteinen nachgeordnet. Diese Darstellung enthält folglich ausschließlich Zielobjekte, denen ein Baustein zugewiesen wurde.

Objektmodell: Gliederung der Bausteine anhand der ZielobjekteIn dieser Darstellungsweise werden die Zielobjekte direkt unterhalb des Informationsverbundes dargestellt, mit dem sie logisch verknüpft sind. Jedem Zielobjekt sind die zugewiesenen Bausteine mit ihren Maßnahmen nachgeordnet. Die Darstellung enthält damit auch Zielobjekte, denen kein Baustein zugewiesen wurde.

- 37 -

Webkurs GSTOOL

Es gibt eine Reihe von Optionen, mit denen Sie die Übersichtlichkeit des Baums beein­flussen können. So können Sie Mitarbeiter aus der Darstellung ausblenden, Filter anwenden oder die Sortierung der Elemente festlegen. Ausführliche Beschreibungen dazu finden Sie in Kapitel 5 Modellierung des Handbuchs zum GSTOOL.

6.3 Verknüpfungen mit Bausteinen ergänzen

Das GSTOOL erzeugt einen Vorschlag für die Zuordnung von Bausteinen und Maßnahmen zu den Zielobjekten. Es ist Ihre Aufgabe, die Vollständigkeit und Angemessenheit dieses Vorschlags zu prüfen und gegebenenfalls zu korrigieren.

So kann es vorkommen, dass Sie ergänzend zum Modellierungsvorschlag einen Baustein mit einem Zielobjekt verknüpfen möchten.

- 38 -

Webkurs GSTOOL

Ein Beispiel:Für Zielobjekte des Subtyps Allgemeine Anwendung liefert das GSTOOL grundsätzlich keine Vorschläge. Wenn ein Baustein sinnvoll auf ein derartiges Zielobjekt angewendet werden kann, müssen Sie diesen selbst mit dem Zielobjekt verknüpfen.

Angenommen, Sie möchten eine allgemeine Anwendung Videokonferenz mit einem benutzer­definierten Baustein Videokonferenz verknüpfen. Dafür gehen Sie wie folgt vor:

1. Stellen Sie in der Ansicht Modellierung die Darstellungsweise Objektmodell ein.

2. Markieren Sie im Baum die Anwendung Videokonferenz.

3. Mit der Option Bearbeiten | Modellierung | Baustein verknüpfen öffnen Sie das Fenster zur Auswahl der Bausteine.

4. Markieren Sie den gewünschten Baustein und bestätigen Sie Ihre Auswahl mit OK.

Der Vorschlag für die Modellierung wird entsprechend ergänzt.

Im Kapitel 8 IT-Grundschutz anpassen ist beschrieben, wie Sie benutzerdefinierte Bausteine anlegen. Dort erfahren Sie auch, wie Sie das GSTOOL dazu bringen können, diese Bausteine in seine Vorschläge zur Modellierung einfließen zu lassen.

- 39 -

Webkurs GSTOOL

6.4 Verknüpfungen mit Bausteinen entfernenUmgekehrt kann es sich anbieten, dass Sie die Verknüpfung mit einem Baustein entfernen möchten, zum Beispiel weil der betreffende Baustein für ein Zielobjekt nicht relevant ist.

Ein BeispielDer Modellierungsvorschlag des GSTOOLs enthält unter den übergreifenden Aspekten den Baustein Outsourcing. Falls Sie keine IT-Dienstleistungen an externe Firmen ausgelagert haben, brauchen Sie diesen Baustein nicht anzuwenden. Mit anderen Worten: Sie können die Verknüpfung des Zielobjekts (in diesem Fall des Informationsverbundes) mit dem betreffenden Baustein löschen.

Markieren Sie hierfür den Baustein Outsourcing und wählen Sie anschließend aus dem Kontextmenü, das Sie mit der rechten Maustaste öffnen, die Option Verknüpfung löschen.

In der Ansicht Modellierung werden nur Zielobjekte angezeigt, die logisch mit dem Informationsverbund verknüpft sind. Eine Möglichkeit, ausschließlich technisch ver­knüpfte Zielobjekte nachträglich logisch zu verknüpfen, bietet die Option Verknüpfte

hinzufügen. Markieren Sie dazu das Zielobjekt, auf das Sie diese Funktion anwenden wollen, und wählen Sie die Option aus dem Menü, das Sie mit der rechten Maustaste erhalten.

- 40 -

Webkurs GSTOOL

In der Ansicht Modellierung können Sie auch festlegen, mit welchen Maßnahmen ein Bau­stein verknüpft sein soll. Informationen dazu entnehmen Sie bitte Kapitel 5.3 des Handbuchs zum GSTOOL. Streichen Sie bitte keine Maßnahmen aus einem Baustein, die für eine Zertifizierung oder ein Auditortestat bedeutsam sind.

6.5 Basis-Sicherheitscheck (1): Angaben zum Baustein eintragen

Bei einem Basis-Sicherheitscheck prüfen Sie, ob und inwieweit die für ein Zielobjekt empfohlenen Maßnahmen in dem zu untersuchenden Informationsverbund umgesetzt sind.

Dies ermitteln Sie anhand von Unterlagen, Gesprächen mit kompetenten Verantwortlichen sowie stichprobenartigen Überprüfungen vor Ort. Das GSTOOL unterstützt Sie umfassend bei der Doku­mentation dieser Erhebung.

So können Sie angeben, wann und zwischen welchen Personen eine Befragung zu einem Baustein stattgefunden hat. Für diese Angaben markieren Sie in der Ansicht Modellierung und bei eingeblendetem Objektmodell den Baustein, dessen Bearbeitungsstand Sie dokumentieren möchten. Die Bearbeitungsmaske zeigt das Register Eigenschaften der Bausteinzuordnung, unter anderem mit den beiden Registerkarten Allgemein und Befragung.

Registerkarte Allgemein

Auf der Registerkarte Allgemein wählen Sie im Feld Bearbeitet den Bearbeitungsstand aus:

• Mit ja bestätigen Sie, dass der Baustein bearbeitet wird.

• Mit nein drücken Sie aus, dass der Baustein nicht oder noch nicht bearbeitet wird.

- 41 -

Webkurs GSTOOL

• Die Option entbehrlich wählen Sie, wenn Sie die Anwendung des Bausteins für nicht erforderlich halten. Diese Entscheidung müssen Sie im Feld Erläuterung begründen.

Zusätzlich sollten Sie hier das Erfassungsdatum eingeben.

Die Registerkarte enthält ein weiteres Eingabefeld: Im Zielobjekt. Unter 6.11 Bausteinereferenzieren ist beschrieben, wann ein Eintrag in diesem Feld zweckmäßig ist.

Registerkarte Befragung

In der Registerkarte Befragung wählen Sie aus den Mitarbeitern, die im Tool eingetragen sind, diejenigen aus, die an der Befragung als Leitung und Befragte teilgenommen haben.

6.6 Basis-Sicherheitscheck (2): Umsetzungsstand der Maßnahmen dokumentieren

Sowohl im Objekt- als auch im Schichtenmodell enthält der Baum unterhalb jedes Bausteins die zugehörigen Maßnahmen. Wenn Sie eine Maßnahme mar­kieren, zeigt die Bearbeitungs­maske das Register Eigen­schaften der Maßnahme mit der Registerkarte Umsetzung. Diese enthält neben unver­änderbaren Informationen wie der Nummer und der Bezeich­nung der ausgewählten Maß­nahme die Möglichkeit zur Dokumentation ihres Um­setzungsstands.

Das Feld Umsetzung zeigt als Voreinstellung den Wert unbearbeitet. Wenn Sie die Maßnahme bearbeiten, haben Sie hier die Wahl zwischen den Festlegungen ja, nein, teilweise und entbehrlich. In Übereinstimmung mit der IT-Grundschutz-Vorgehensweise wählen Sie folgendermaßen aus:

- 42 -

Webkurs GSTOOL

• ja, wenn alle in der Maßnahme genannten Empfehlungen vollständig und wirksam umgesetzt sind,

• teilweise, wenn zwar einige, aber nicht alle Empfehlungen umgesetzt sind,

• nein, wenn keine oder nahezu keine Empfehlungen umgesetzt sind,

• entbehrlich, wenn die Maßnahme nicht benötigt wird, weil Sie mindestens gleichwertige alternative Maßnahmen umgesetzt haben oder weil das zu schützende Objekt nicht vorhanden ist.

Insbesondere die Entscheidungen teilweise und entbehrlich müssen begründet werden. Daher wird in diesen Fällen das Feld Erläuterung zum Pflichtfeld.

Im Feld Umsetzung bis legen Sie den Termin fest, bis zu dem eine Maßnahme vollständig realisiert sein sollte. Es wird aktiviert, wenn Sie als Umsetzungsstatus nein oder teilweise eintragen.

Texte der Bausteine und Maßnahmen einsehenSie können sich rasch über den Inhalt von Bausteinen oder Maßnahmen informieren. Mit der Schaltfläche Ansicht öffnen Sie einen Browser mit der zusammen mit dem GSTOOL

installierten lokalen Version der IT-Grundschutz-Kataloge.

Wenn im Baum eine Maßnahme markiert ist, wird im Browser der zugehörige Text angezeigt.

Der Text eines Bausteins wird dort angezeigt, wenn Sie im Objektmodell den gewünschten Baustein oder im Schichtenmodell ein Zielobjekt markieren, das dem betreffenden Baustein untergeordnet ist.

6.7 Basis-Sicherheitscheck (3): Umsetzungsstand und Siegelstufe

Maßnahmen und SiegelstufenUnterhalb jedes Bausteins sind die zu ihm gehörenden Maßnahmen einsortiert, verbunden mit einer Angabe über die Siegelstufe im Rahmen der ISO 27001-Zertifizierung auf Basis von IT-Grund­schutz. Im Einzelnen bedeutet die Siegelstufe folgendes:

• ABC sind die erforderlichen Maßnahmen für alle drei Stufen der IT-Grundschutz-Qualifizierung.

• -BC sind erforderliche Maßnahmen für das Auditor-Testat Aufbaustufe und das ISO 27001-Zertifikat auf Basis von IT-Grundschutz.

• --C sind erforderliche Maßnahmen für das ISO 27001-Zertifikat auf Basis von IT-Grundschutz.

• --- bezeichnet Maßnahmen, deren Umsetzung zwar empfohlen wird, aber für keine der drei Siegelstufen erforderlich ist.

Daneben gibt es zwei weitere Kennzeichnungen für Maßnahmen, die ein Anwender einem Baustein hinzugefügt hat:

• Ein >I< bedeutet, dass die betreffende Maßnahme in der Modellierung hinzugefügt wurde (also nur individuell in dem betreffenden Baustein gilt) und

• ein >G< bedeutet, dass die betreffende Maßnahme in der Ansicht IT-Grundschutz benutzerdefiniert hinzugefügt wurde (also generell gilt).

Beide Arten von Maßnahmen sind für die Zertifizierung nicht relevant.

- 43 -

Webkurs GSTOOL

Bausteine und SiegelstufenWenn alle Maßnahmen eines Bausteins bearbeitet sind, wird angezeigt, welcher Siegelstufe der er­reichte Umsetzungsstand entspricht. Eine vergleichbare Kennzeichnung erhält auch der Informations­verbund, sobald Sie alle Bausteine bearbeitet haben.

Umsetzungsstand bei Maßnahmen, Bausteinen und Zielobjekten

Sie können anhand des Baumes leicht erkennen, ob eine Maßnahme bearbeitet wurde und wie ihr Umsetzungsstand ist. Allen bearbeiteten Maßnahmen ist ein Balken vorangestellt mit unterschied­lichen Farben zur Kennzeichnung des Umsetzungsstands. Der Balken ist:

• | grün bei vollständig,

• | gelb bei teilweise,

• | rot bei nicht umgesetzten sowie

• | blau bei entbehrlichen Maßnahmen.

In gleicher Weise werden Bausteine gekennzeichnet, wenn alle zugehörigen Maßnahmen bearbeitet sind, und Zielobjekte, wenn alle verknüpften Bausteine bearbeitet sind.

Detailliert ist im Handbuch, Kapitel 13, beschrieben, wie sich der Umsetzungsstand von Maßnahmen auf Bausteine, Zielobjekte und den gesamten Informationsverbund sowie die Anzeige der erreichten Siegelstufe vererbt.

6.8 Ergänzende SicherheitsanalyseDie IT-Grundschutz-Maßnahmen sind so zugeschnitten, dass sie für einen mit üblichen Anwendungen betriebenen und mit gängigen IT-Systemen ausgestatteten Informationsverbund eine Sicherheit bieten, die für den normalen Schutzbedarf angemessen und ausreichend ist. Für solche Komponenten, die

• einen hohen oder sehr hohen Schutzbedarf in einem der drei Grundwerte Vertraulichkeit, Verfügbarkeit oder Integrität aufweisen,

• nicht hinreichend durch IT-Grundschutz-Bausteine abgebildet werden können oder

• in einer untypischen Einsatzumgebung betrieben werden,

sind möglicherweise zusätzliche, stärker wirksame Sicherheitsmaßnahmen erforderlich. Die Auswahl dieser Maßnahmen kann durch eine Risikoanalyse unterstützt werden, in der die Gefährdungen identifiziert und bewertet werden, denen das zu schützende Objekt ausgesetzt ist.

Ob eine Risikoanalyse durchgeführt werden soll oder nicht, wird gemäß BSI-Standard 100-2 in einer ergänzenden Sicherheitsanalyse entschieden. Das GSTOOL bietet die Möglichkeit, diese Entscheidungen zu dokumentieren. Hierfür gehen Sie wie folgt vor:

1. Markieren Sie das zu betrachtende Zielobjekt in der Ansicht Struktur Zielobjekte und wählen Sie die Registerkarte Ergänzende Sicherheitsanalyse.

- 44 -

Webkurs GSTOOL

Diese Registerkarte sieht die folgenden Eingabefelder vor:

• Im Auswahlfeld Risikoanalyse legen Sie fest, ob eine Risikoanalyse durchzuführen ist („Ja“) oder nicht („Nein“).

• Bei dieser Entscheidung können Sie sich auf den Wert stützen, der im Feld Vorschlag angezeigt wird. Dieser wird „Ja“, wenn mindestens eines der folgenden Kriterien zutrifft:

• Der Schutzbedarf des Zielobjekts wurde auf der zugehörigen Registerkarte in mindestens einem der drei Grundwerte (Vertraulichkeit, Verfügbarkeit und Integrität) oder einer benutzerdefinierten Gesamtbewertung höher als normal eingestuft.

• Sie haben das Feld Besonderes Einsatzszenario aktiviert.

• Sie haben das Feld Nicht mit den IT-Grundschutz-Katalogen modellierbar aktiviert.

• Wenn eine Entscheidung für oder gegen eine Risikoanalyse getroffen wurde, geben Sie in den Pflichtfeldern Begründung, Entscheidung und am ein, warum, von wem und wann diese getroffen wurde.

• Sie können ferner angeben, bis wann eine Risikoanalyse abgeschlossen sein sollte (in dem optionalen Feld Durchführung bis) und zusätzlich einen Verweis auf ein weiterführendes Dokument anlegen.

2. Tragen Sie die erforderlichen und gewünschten Angaben zur ergänzenden Sicherheitsanalyse ein.

Ihre Einträge werden in die Datenbank übernommen.

Bei der Risikoanalyse unterstützt Sie das GSTOOL in der Ansicht Risikoanalyse. Alle Zielobjekte, für die Sie eine solche Untersuchung durchführen möchten, werden daher in dieser Ansicht angezeigt und können dort weiterbearbeitet werden.

Die Entscheidung für oder gegen eine Risikoanalyse ist so wichtig, dass nachweisbar sein muss, wann und von wem diese Entscheidung getroffen wurde. Die entsprechenden Felder sind daher Pflichtfelder. Dies bedeutet auch, dass Sie nur dann eine ergänzende

Sicherheitsanalyse dokumentieren können, wenn Sie zuvor die berechtigten Mitarbeiter als Zielobjekt in der Datenbank angelegt haben.

Bericht zur Ergänzenden SicherheitsanalyseDer Nachweis über die ergänzende Sicherheitsanalyse ist Teil der Dokumente, die für eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz vorzulegen sind. Das GSTOOL bietet Ihnen daher die Möglichkeit, einen Bericht mit den Ergebnissen der ergänzenden

Sicherheitsanalyse für alle betroffenen Zielobjekte eines Informationsverbundes zu erzeugen. Siehe dazu das Kapitel 9 Berichte erstellen, Filter setzen.

- 45 -

Webkurs GSTOOL

6.9 Realisierungsplanung (1): Kosten schätzen

Das GSTOOL unterstützt die Planungen zur Umsetzung fehlender Sicherheitsmaßnahmen durch Eingabemöglichkeiten für Umsetzungstermine, Kosten und Verantwortliche sowie durch vielfältige Berichte, die bei der Entscheidungsfindung nützlich sein können (siehe dazu das Kapitel 9 Berichte erstellen, Filter setzen).

Kosten eintragenWenn Sie eine Maßnahme markieren, können Sie in der Bearbeitungsmaske auf der Registerkarte Kosten den Personal- und Sachkostenaufwand für die Umsetzung dieser Maßnahme angeben.

Den Personalaufwand geben Sie in Personentagen (PT) an, bei den Sachkosten haben Sie die Wahl zwischen Euro (EUR), US-Dollar (USD), Schweizer Franken (CHF) und Schwedischen Kronen (SEK) als Währungseinheit. Zusätzlich können Sie für die variablen Personal- und Sachkosten getrennt festlegen, in welchem Intervall (Tag, Woche, Monat, Quartal, Jahr) diese anfallen.

Falls Sie die Kosten nicht in im GSTOOL, sondern über ein externes Werkzeug verwalten möchten, können Sie über das Schaltfeld Kostenmanagement eine Datei auswählen, in der Informationen zu den Umsetzungskosten enthalten sind. Ein Datenaustausch zwischen der ausgewählten Datei und dem GSTOOL wird jedoch nicht unterstützt.

- 46 -

Webkurs GSTOOL

6.10 Realisierungsplanung (2): Verantwortliche eintragenSicherheitsmaßnahmen werden in der Regel nur dann plangemäß umgesetzt, wenn zuvor die Verantwortlichkeiten hierfür vorab eindeutig festgelegt sind. Das GSTOOL bietet daher auf der Registerkarte Verantwortlich die Möglichkeit, Zuständige für die Initiierung und die Durchführung der Umsetzung festzulegen.

Diese Registerkarte enthält als Vorgabe eine Liste aller Personen, deren Rollenzuweisung zu der Zuordnung passt, die in den IT-Grundschutz-Katalogen für jede Maßnahme vorgesehen ist. Für jede Person enthält sie:

• im Feld für die Angabe, ob sie für die Initiierung, Umsetzung oder beides zuständig ist, und

• im Feld Standard den Vorschlag der IT-Grundschutz-Kataloge zum Zuständigkeitsbereich.

Die Liste stützt sich auf die Rollen, die Sie den Mitarbeitern in den Stammdaten zugewiesen haben. Siehe dazu Abschnitt 3.5 Zielobjekte erfassen (2).

Sie weisen Verantwortlichkeiten zu, indem Sie die betreffenden Mitarbeiter markieren und aus dem Menü, das Sie mit der rechten Maustaste erhalten, den gewünschten Verantwortungsbereich auswählen.

SicherheitsrevisionDas GSTOOL unterstützt Sie auch bei der Sicherheitsrevision: Für jede Maßnahme können Sie auf der Registerkarte Revision Termin und Durchführende der letzten und der nächsten Revision angeben.

6.11 Bausteine referenzierenWenn ein Informationsverbund mehrere Zielobjekte des gleichen Typs enthält, sind entsprechend auch die zugewiesenen Bausteine mehrfach im Baum enthalten. Bei gleichen oder annähernd gleichen Angaben zu diesen Bausteinen können Sie Ihren Erfassungsaufwand deutlich verringern, indem Sie Bausteine referenzieren. Dazu gehen Sie beispielsweise in der Darstellungsweise Objektmodell der Ansicht Modellierung folgendermaßen vor:

1. Markieren Sie im Baum den Baustein, von dem aus Sie eine Referenzierung aufbauen möchten (= Referenzziel).

- 47 -

Webkurs GSTOOL

2. Öffnen Sie die Registerkarte Eigenschaften der Bausteinzuordnung | Allgemein. Diese enthält ein Feld Im Zielobjekt zur Auswahl einer Referenzquelle aus den Zielobjekten, die mit demselben Baustein verknüpft sind. Voreingestellt ist, dass der Baustein nicht referenziert wird.

3. Wählen Sie die gewünschte Referenzquelle aus der Liste der dafür infrage kommenden Zielobjekte aus.

Sämtliche Einträge zu einem Baustein und seinen Maßnahmen in dem als Referenzquelle ausgewähl­ten Zielobjekt werden auf das Referenzziel übertragen.

Wenn Sie nach dem Aufbau und dem Speichern einer Referenzierung, diese wieder abbauen, bleiben die Daten erhalten und können beliebig geändert werden. Referenzierung kann also auch dann die Arbeit wesentlich erleichtern, wenn sich der Inhalt zweier Bausteine nur

geringfügig unterscheidet.

Änderungen in einem referenzierten Baustein wirken sich auf alle Zielobjekte aus, mit denen der Baustein verknüpft ist. Nehmen Sie diese daher entsprechend sorgfältig vor.

6.12 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zu den Inhalten dieses Kapitels (Modellierung, Basis-Sicherheitscheck, ergänzende Sicherheits­analyse, Umsetzung von Sicherheitsmaßnahmen) überprüfen. Die Auflösungen zu den Fragen

finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Die Ansicht Modellierung bietet zwei Darstellungsweisen: das Objektmodell und das Schichtenmodell. Worin unterscheiden sich diese?

a) Im Objektmodell können Sie den Modellierungsvorschlag des GSTOOLs nicht ändern, wohl aber im Schichtenmodell.

b) Das Objektmodell zeigt, welche Bausteine mit einem Zielobjekt verknüpft sind, hingegen das Schichtenmodell zeigt, welche Zielobjekte mit einem Baustein verknüpft sind.

c) Im Objektmodell werden alle logisch verknüpften Zielobjekte angezeigt, im Schichtenmodell nur dann, wenn sie mit einem Baustein verknüpft sind.

d) Im Objektmodell werden keine ausschließlich technisch mit einem Informationsverbund verknüpften Zielobjekte angezeigt, wohl aber im Schichtenmodell.

- 48 -

Webkurs GSTOOL

2. Wozu kann die Referenzierung von Bausteinen dienen?

a) Sie verhindert das versehentliche Löschen eines Bausteins aus der Modellierung.

b) Sie erleichtert die Modellierung des Informationsverbundes.

c) Sie ersetzt eine sonst durchzuführende ergänzende Sicherheitsanalyse.

d) Sie verringert den Erfassungsaufwand beim Basis-Sicherheitscheck.

3. Welche Auswirkungen hat es, wenn Sie in der ergänzenden Sicherheitsanalyse entscheiden, dass für ein Zielobjekt eine Risikoanalyse durchzuführen ist?

a) Das betreffende Zielobjekt wird nicht mehr in der Ansicht Modellierung, sondern nur noch in der Ansicht Risikoanalyse angezeigt.

b) Ein Fenster wird geöffnet, in dem Sie zusätzliche Sicherheitsmaßnahmen für das Zielobjekt festlegen können.

c) Das betreffende Zielobjekt wird in der Ansicht Risikoanalyse angezeigt.

d) Alle Felder, in denen Sie den Basis-Sicherheitscheck dokumentieren können, werden solange deaktiviert, bis Sie die Risikoanalyse abgeschlossen haben.

4. Welche Angaben dokumentieren Sie im GSTOOL für die Realisierungsplanung?

a) die voraussichtlichen Sachkosten für Einführung und Betrieb einer Maßnahme

b) die Zertifikatsrelevanz einer Maßnahme

c) die Verantwortlichkeiten für die Umsetzung der Maßnahme und deren Initiierung

d) den voraussichtlichen Personalaufwand für Einführung und Betrieb einer Maßnahme

5. Welche Maßnahmen müssen für ein ISO 27001 Zertifikat auf Basis von IT-Grundschutz umgesetzt werden oder als entbehrlich gekennzeichnet sein?

a) alle mit „--C“ gekennzeichneten Maßnahmen

b) alle mit „-BC“ gekennzeichneten Maßnahmen

c) alle mit „ABC“ gekennzeichneten Maßnahmen

d) alle Maßnahmen, also auch diejenigen, die mit „I“ oder „---“ gekennzeichnet sind

- 49 -

Webkurs GSTOOL

7 Risikoanalyse

7.1 ÜberblickIn den Fällen, in denen die IT-Grundschutz-Maßnahmen keine hinreichende Sicherheit bieten, ist zu prüfen, ob wirksamere Sicherheitsmaßnahmen umzusetzen sind und welche dies gegebenenfalls sein sollen. Hierfür ist gemäß BSI-Standard 100-2 zunächst in der ergänzenden Sicherheitsanalyse zu prüfen, ob ein Bedarf an weiteren Sicherheitsuntersuchungen besteht (siehe 6.8 Ergänzende Sicherheitsanalyse). Für die Zielobjekte, in denen dieser Analysebedarf bejaht wird, enthält der BSI-Standard 100-3: Risikoanalyse auf Basis von IT-Grundschutz ein Vorgehensmodell.

Es sieht die folgenden Schritte vor:

• Schritt 1: Erstellen einer GefährdungsübersichtZusammenstellen einer Liste der möglichen Gefährdungen für die betrachteten Zielobjekte mit Hilfe der IT-Grundschutz-Kataloge

• Schritt 2: Ermitteln zusätzlicher GefährdungenErgänzen dieser Übersicht um weitere Gefährdungen, die in den IT-Grundschutz-Bausteinen nicht berücksichtigt sind

• Schritt 3: Bewerten der GefährdungenPrüfen, ob die vorgesehenen oder umgesetzten Schutzmaßnahmen hinreichend gegen die Gefährdungen wirken

• Schritt 4: Behandeln der RisikenEntscheiden, wie in den Fällen, in denen die vorgesehenen oder umgesetzten Schutz­maßnahmen nicht genügen, zu verfahren ist

• Schritt 5: Konsolidieren des SicherheitskonzeptsIntegrieren der aufgrund der Risikoanalyse identifizierten zusätzlichen Maßnahmen in das Sicherheitskonzept

In diesem Kapitel wird exemplarisch dargestellt, wie das GSTOOL diesen Prozess unterstützt.

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 3:Gefährdungen bewerten

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

7.2 Die Ansicht RisikoanalyseIn der Ansicht „Risikoanalyse“ werden in der Baumdarstellung alle Zielobjekte aufgelistet, für die in der ergänzenden Sicherheitsanalyse entschieden wurde, eine Risikoanalyse durch­zuführen. Die Zielobjekte sind den jeweiligen Informationsverbünden zugeordnet und

hierarchisch strukturiert.

Gefährdungsübersicht einblendenDurch Doppelklick auf ein Zielobjekt blenden Sie die zugehörige Gefährdungsübersicht ein.

- 50 -

Webkurs GSTOOL

Bei dieser handelt es sich um eine Zusammenstellung aller Gefährdungen, die mit dem betreffenden Zielobjekt verknüpft sind, die also auf dieses Objekt einwirken und in der Risikoanalyse zu berück­sichtigen sind. Die Liste enthält folglich alle Gefährdungen,

• die in den Bausteinen referenziert werden, die für das Zielobjekt relevant sind, sowie jene,

• die Sie im Rahmen Ihrer Risikoanalyse zusätzlich mit dem Zielobjekt verknüpfen.

Ansichten der BearbeitungsmaskeDie Bearbeitungsmaske kann eine von drei Darstellungen enthalten: Normal, IT-Grund­schutz oder Verknüpfungsmodus. Sie wählen die von Ihnen gewünschte Darstellung aus dem Menü Ansicht aus, das sie mit einem Klick mit der rechten Maustaste auf einen Zielobjekt­knoten im Baum öffnen.

Die folgende Tabelle stellt zusammen, welchen Inhalt die jeweiligen Ansichten haben:

Ansicht Inhalt

Normal Bei ausgewähltem Zielobjekt: Registerkarten, auf denen Sie die Eigenschaften des Zielobjekts bearbeiten könnenBei ausgewählter Gefährdung: Registerkarte zur Gefährdungsbewertung

IT-Grundschutz Nur bei ausgewählter Gefährdung: aus den IT-Grundschutz-Katalogen übernommener Text der Gefährdung

Verknüpfungsmodus Nur bei ausgewähltem Zielobjekt: Zusammenstellung zur Verknüpfung von Gefährdungen mit einem Zielobjekt

- 51 -

Webkurs GSTOOL

7.3 Gefährdungsübersicht erstellen

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 3:Gefährdungen bewerten

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

Gemäß BSI-Standard 100-2 besteht der erste Schritt der Risikoanalyse darin, die Gefährdungen zusammenzustellen, die gemäß der zugeordneten IT-Grundschutz-Bausteine auf ein Objekt einwirken, und dabei nicht relevante und redundante Gefährdungen zu streichen.

Diese Aufgabe übernimmt das GSTOOL automatisch für Sie. Jedem Zielobjekt, für das eine Risiko­analyse durchgeführt werden soll, werden im Baum alle Gefährdungen zugeordnet, die in den ver ­knüpften Bausteinen referenziert werden. Sie erkennen diese generellen Gefährdungen an einem ihnen vorangestellten >G<. In welchen Bausteinen eine Gefährdung referenziert wird, wird Ihnen in der Registerkarte Bausteine zu einer markierten Gefährdung angezeigt.

Sie können die Verknüpfung einer generelle Gefährdung mit einem Zielobjekt nicht direkt lösen, sondern allenfalls indirekt (und im Widerspruch zur IT-Grundschutz-Vorgehensweise), indem Sie die Verknüpfung zwischen dem Zielobjekt und den Bausteinen, in denen die

Gefährdung referenziert wird, lösen.

7.4 Zusätzliche Gefährdungen ermitteln

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 3:Gefährdungen bewerten

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

Im nächsten Schritt der Risikoanalyse ist zum Beispiel im Rahmen eines Workshops zu prüfen, ob weitere, in den IT-Grundschutz-Bausteinen nicht vorhandene, Gefährdungen auf das betrachtete Ziel­objekt einwirken. Die Gefährdungsübersicht ist um die ermittelten Gefährdungen zu ergänzen. Diesen Schritt unterstützt das GSTOOL, indem es die Möglichkeit anbietet, weitere Gefährdungen mit einem Zielobjekt zu verknüpfen. Hierfür gehen Sie wie folgt vor:

- 52 -

Webkurs GSTOOL

1. Klicken Sie mit der rechten Maustaste auf das betrachtete Zielobjekt und wählen Sie die Option Gefährdungen verknüpfen aus dem Menü, das Sie mit der rechten Maustaste öffnen.

Das Fenster Gefährdungen verknüpfen wird geöffnet. Es enthält eine Liste aller Gefährdungen aus den IT-Grundschutz-Katalogen sowie alle benutzerspezifisch angepassten (konkretisierten) oder ergänzten (benutzerdefinierten) Gefährdungen. Alle Gefährdungen, die bereits mit dem Zielobjekt verknüpft sind, sind in dem zugehörigen Kontrollfeld mit einem Haken versehen.

Wie Sie benutzerdefinierte Gefährdungen erzeugen oder vorhandene Gefährdungen konkreti­sieren, ist detailliert in Kapitel 8.5 des Handbuchs zum GSTOOL beschrieben.

2. Markieren Sie die Gefährdungen, die Sie zusätzlich mit dem betrachteten Zielobjekt verknüpfen möchten und bestätigen Sie Ihre Auswahl mit OK.

- 53 -

Webkurs GSTOOL

Die ausgewählten Gefährdungen sind nun mit dem Zielobjekt verknüpft und durch ein vorangestelltes >I< als individuelle Gefährdung gekennzeichnet, da sie nicht aufgrund ihrer Zugehörigkeit zu einem Baustein mit dem Zielobjekt verknüpft sind, sondern aufgrund individueller Entscheidung der Benutzer.

Anders als generelle können Sie individuelle Gefährdungen direkt aus der Gefährdungs­übersicht zu einem Zielobjekt löschen. Entfernen Sie hierfür den entsprechenden Haken im Fenster Gefährdungen verknüpfen und bestätigen Sie dies mit OK.

7.5 Gefährdungen bewerten

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 3:Gefährdungen bewerten

Der nächste Schritt der Risikoanalyse besteht darin, die generellen und individuellen Gefährdungen zu bewerten. Dies bedeutet, für jede Gefährdung zu prüfen, ob die bereits vorhandenen oder geplan­ten Sicherheitsmaßnahmen hinreichenden Schutz bieten oder nicht. Im Einzelnen sind die folgenden Fragen zu beantworten:

• Schützen die Maßnahmen gegen alle Aspekte der jeweiligen Gefährdung (Prüfung auf Voll­ständigkeit)?

• Sind die Maßnahmen hinreichend wirksam (Prüfung auf Mechanismenstärke)?

• Wie schwer können die Maßnahmen umgegangen werden (Prüfung auf Zuverlässigkeit)?

Das GSTOOL unterstützt Sie bei der Dokumentation dieser Prüfungen. Hierfür finden Sie auf der Registerkarte Gefährdungsbewertung die Möglichkeit, Ihre Entscheidungen und deren Begründung zu jedem einzelnen Prüfkriterium einzutragen.

- 54 -

Webkurs GSTOOL

Die Angaben sind zu allen drei Prüfkriterien optional, wirken sich aber auf das Feld Vorschlag aus: Sobald eines der drei Prüfkriterien mit Nein beantwortet wurde, enthält diese Empfehlung für die Gesamtantwort Ausreichender Schutz den Wert Nein, sobald alle drei Prüfkriterien mit Ja beantwortet wurden, wird auch der Vorschlag zu einem Ja.

7.6 Risiken behandeln

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 3:Gefährdungen bewerten

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

Falls eine Gefährdung nicht vollständig abgedeckt ist, müssen Sie anschließend entscheiden, wie mit dem dadurch gegebenen Risiko zu verfahren ist. Diese Entscheidung dokumentieren Sie ebenfalls auf der Registerkarte Gefährdungsbewertung in dem Auswahlfeld Risikobehandlung. Dieses sieht – in Übereinstimmung mit dem BSI-Standard 100-3 – die folgenden vier Strategien zur Behandlung von Risiken vor:

• A – Risikoreduktion durch ergänzende MaßnahmenDie Eintrittswahrscheinlichkeit von Schadensereignissen oder das mögliche Schadensausmaß wird durch höherwertige Sicherheitsmaßnahmen verringert.

• B – Risikoreduktion durch UmstrukturierungDie Risiken werden durch Umstrukturierung des Informationsverbundes herabgesetzt, zum Beispiel durch Verzicht auf riskante Prozesse oder Systeme.

• C – RisikoübernahmeDie Risiken werden akzeptiert, zum Beispiel weil die möglichen Schutzmaßnahmen zu kostspielig erscheinen oder mit einem unzumutbaren Komfortverlust verbunden sind.

• D – RisikotransferDie Risiken werden verlagert, zum Beispiel durch Outsourcing oder – als Vorbeugung gegen finanzielle Risiken – durch den Abschluss von Versicherungen.

Ihre Entscheidung für eine Risikobehandlung dokumentierten Sie ebenfalls auf der Registerkarte Gefährdungsbewertung.

- 55 -

Webkurs GSTOOL

Zu jeder Gefährdung, der kein ausreichender Schutz testiert wurde, können Sie hier die folgenden Angaben dokumentieren:

• RisikobehandlungHier wählen Sie die aus Ihrer Sicht angemessene der vier möglichen Risikostrategien aus.

• BegründungHier begründen Sie die getroffene Entscheidung – diese Angabe ist ein Pflichtfeld.

• Durchführung von und bisHier können Sie einen Zeitraum festlegen, in dem die Entscheidungen zur Gefährdungsbewertung und zur Risikobehandlung getroffen werden sollen.

• EntscheiderHier tragen Sie Verantwortliche für die getroffenen Entscheidungen ein. Sie können Entscheider entweder individuell für jede einzelne oder global für alle Gefährdungen des betrachteten Zielobjekts zuordnen.

Entscheider anlegenUm Entscheider anzulegen, klicken Sie auf Hinzufügen. Ein Dialogfenster wird geöffnet, in dem Sie die folgenden Einstellungen vornehmen:

• Im Feld Entscheider wählen Sie den gewünschten Mitarbeiter aus einer Liste alle eingetragenen Mitarbeiter aus.

• Das Datum der Entscheidung tragen Sie in das gleichnamige Feld ein.

• Sie wählen aus, ob zu dieser Entscheidung eine Unterschrift vorliegt oder nicht (sofern Ihnen dies bekannt ist).

7.7 Maßnahmen verknüpfen

Schritt 2:Zusätzliche

Gefährdungen ermitteln

Schritt 5:Sicherheitskonzept

konsolidieren

Schritt 3:Gefährdungen bewerten

Schritt 4:Risiken behandeln

Schritt 1:Gefährdungsübersicht

erstellen

Falls Sie sich dafür entschieden haben, die Risiken durch zusätzliche Maßnahmen zu verringern, müssen Sie geeignete Maßnahmen auswählen, konkretisieren und in das vorhandene Sicherheits­konzept integrieren.

Auch dieser Schritt, die Auswahl von Maßnahmen, die wirksam gegen eine Gefährdung schützen, wird im GSTOOL unterstützt. Hierfür verknüpfen Sie Maßnahmen:

1. Klicken Sie mit der rechten Maustaste auf die betrachtete Gefährdung und wählen Sie die Option Maßnahmen verknüpfen aus dem zugehörigen Kontextmenü.

- 56 -

Webkurs GSTOOL

Das Fenster Maßnahmen verknüpfen wird geöffnet. Es enthält eine Liste aller Maßnahmen aus den IT-Grundschutz-Katalogen sowie alle benutzerspezifisch angepassten („konkretisierten“) oder ergänzten („benutzerdefinierten“) Maßnahmen. Alle Maßnahmen, die bereits mit der Gefährdung verknüpft sind, sind in dem zugehörigen Kontrollfeld mit einem Haken versehen.

Wie Sie benutzerdefinierte Maßnahmen erzeugen oder vorhandene Maßnahmen konkreti­sieren, ist in Kapitel 8, IT-Grundschutz anpassen, des Handbuchs zum GSTOOL beschrieben.

2. Markieren Sie die Maßnahmen, die Sie mit der betrachteten Gefährdung verknüpfen möchten, und bestätigen Sie Ihre Auswahl mit OK.

Die ausgewählten Maßnahmen sind mit der Gefährdung verknüpft und werden entsprechend im Baum angezeigt.

Die Option Maßnahmen verknüpfen wird aktiviert, sobald Sie festgelegt haben, dass der Gefährdung durch zusätzliche Maßnahmen begegnet werden soll, wenn Sie also Variante A bei der Risikobehandlung gewählt haben. Sonst bleibt die Option deaktiviert.

Für den Erwerb eines ISO 27001-Zertifikats auf Basis von IT-Grundschutz ist es erforderlich, die mit Hilfe einer Risikoanalyse ermittelten ergänzenden Maßnahmen umzusetzen. Diese Maßnahmen erhalten daher automatisch die Siegelstufe „C“ (= zertifikatsrelevant).

- 57 -

Webkurs GSTOOL

7.8 RisikobausteineFür alle Zielobjekte, die einer Risikoanalyse unterzogen wurden, wird ein Risikobaustein angelegt, der einer „virtuellen“ Schicht 99 Risikoanalyse zugeordnet wird.

Risikobausteine sind durch ein vorangestelltes „r“ gekennzeichnet und nur in der Ansicht Modellierung sichtbar, wo sie auch bearbeitet werden können.

Wenn Sie einen Risikobaustein oder eine mit diesem verknüpfte Maßnahme im Baum markieren, können Sie auf den zugehörigen Registerkarten alle Aufgaben bearbeiten, die sich gemäß BSI-Standard 100-2 bei der Sicherheitskonzeption stellen. Sie können im einzelnen:

• bei dem anschließend erforderlichen Basis-Sicherheitsscheck Angaben zum Umsetzungs­stand der mit dem Risikobaustein verknüpften Maßnahmen dokumentieren,

• im Rahmen der Realisierungsplanung Verantwortlichkeiten und Kosten für die Umsetzung der Maßnahmen bestimmen sowie

• die Ergebnisse einer Sicherheitsrevision eintragen.

Ein Risikobaustein ist zwar nur in der Ansicht Modellierung sichtbar. Die verknüpften Maßnahmen können Sie aber ebenfalls in der Ansicht Risikoanalyse bearbeiten und dort zum Beispiel Angaben zum Umsetzungsstand dokumentieren.

Kennzeichnung im BaumSobald eine Gefährdung abschließend bearbeitet ist, also Risikobehandlung und Entscheider (samt Unterschrift) dokumentiert sowie die gegebenenfalls beschlossenen Maßnahmen zur Risikoreduktion umgesetzt sind, wird dies durch eine unterschiedlich farbige Markierung im Baum verdeutlicht:

• | grüner Balken = Risikoreduktion durch ergänzende Maßnahmen

• | gelber Balken = Risikoreduktion durch Umstrukturierung

• | roter Balken = Risiko-Übernahme

• | blauer Balken = Risiko-Transfer

- 58 -

Webkurs GSTOOL

Wenn alle Gefährdungen eines Zielobjekts bearbeitet sind, wird dies durch einen Haken dargestellt. In gleicher Weise erhält auch der übergeordnete Informationsverbund einen Haken, wenn alle ver­knüpften Zielobjekte vollständig bearbeitet wurden.

Risikoanalyse löschen und wiederherstellenDa Sie zuvor in der ergänzenden Sicherheitsanalyse entschieden haben, dass eine Risiko­analyse für ein Zielobjekt erforderlich ist, können Sie einen Risikobaustein nur löschen, indem Sie diese Erfordernis auf der Registerkarte Ergänzende Sicherheitsanalyse zurück­

nehmen.

Eine gelöschte Risikoanalyse kann wiederhergestellt werden, wenn Sie später erneut ent­scheiden, dass eine solche Prüfung sinnvoll ist. Beantwor­ten Sie hierfür die Frage in der Dialogbox mit Ja.

7.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Risikoanalyse auf Basis von IT-Grundschutz mit dem GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Ein Zielobjekt wird in der Ansicht Risikoanalyse angezeigt, wenn ...

a) ... es einen mindestens hohen Schutzbedarf in einem Grundwert hat.

b) … Sie bei der ergänzenden Sicherheitsanalyse dokumentiert haben, dass eine Risikoanalyse erforderlich ist.

c) … es bei der Modellierung keinen IT-Grundschutz-Baustein zugewiesen bekommen hat.

d) … Sie es mit einem Objekt technisch verknüpfen, das bereits in der Risikoanalyse angezeigt wird.

2. Sie können in der Ansicht Risikoanalyse Maßnahmen mit einer Gefährdung verknüpfen, wenn Sie sich bei der Risikobehandlung für ...

a) … die Risiko-Übernahme entschieden haben.

b) … den Risiko-Transfer entschieden haben.

c) … die Risikoreduktion durch ergänzende Maßnahmen entschieden haben.

d) … die Risikoreduktion durch Umstrukturierung entschieden haben.

3. Warum erhalten Maßnahmen, die Sie in der Risikoanalyse mit einer Gefährdung verknüpfen, automatisch die Kennung „C“?

a) weil Sie nur solche Maßnahmen auswählen können, die als „C“-Maßnahmen gekennzeichnet sind

b) weil die Umsetzung der in einer Risikoanalyse als erforderlich eingestuften Maßnahmen für eine Zertifizierung unerlässlich ist

c) weil diese Maßnahmen nur eine nachrangige Priorität besitzen

- 59 -

Webkurs GSTOOL

d) weil das GSTOOL immer dann, wenn es eine Entscheidung nicht automatisch treffen kann, eine möglichst strenge, aber von Ihnen änderbare Voreinstellung wählt

4. Was machen Sie bei einer ergänzenden Sicherheitsanalyse?

a) Sie prüfen und korrigieren gegebenenfalls die Modellierung.

b) Sie prüfen, ob zusätzliche Gefährdungen zu berücksichtigen sind.

c) Sie prüfen, ob für ein Zielobjekt eine Risikoanalyse erforderlich ist oder nicht.

d) Sie prüfen und korrigieren gegebenenfalls die Schutzbedarfsfeststellung.

5. Welche Kriterien berücksichtigen Sie, wenn Sie die Wirkung der bereits umgesetzten oder geplanten Maßnahmen im Rahmen der Gefährdungsbewertung prüfen?

a) Vollständigkeit

b) Wirtschaftlichkeit

c) Mechanismenstärke

d) Zuverlässigkeit

- 60 -

Webkurs GSTOOL

8 IT-Grundschutz anpassen

8.1 Überblick

Die IT-Grundschutz-Bausteine enthalten Standard-Sicherheitsmaßnahmen für übliche Komponenten mit einem normalen Schutzbedarf. Sie sind damit auf eine breite Anwendbarkeit hin ausgerichtet. In vielen Fällen bedürfen sie aber der Konkretisierung an die speziellen Anforderungen der Institution, etwa für Verweise auf betriebliche Anweisungen oder um Besonderheiten bei der Umsetzung der Maßnahmen zu erläutern, die für eine Organisation spezifisch sind.

Auch eigene, benutzerdefinierte Bausteine und Maßnahmen können erforderlich sein, zum Beispiel für Komponenten,

• für die es keinen geeigneten IT-Grundschutz-Baustein gibt oder

• bei denen aufgrund ihres Schutzbedarfs gegebenenfalls höherwertige Sicherheitsmaßnahmen erforderlich sind

Aus diesem Grund können Sie im GSTOOL

• die aus den IT-Grundschutz-Katalogen übernommenen Bausteine, Maßnahmen und Gefähr­dungen konkretisieren,

• benutzerdefinierte Bausteine, Maßnahmen und Gefährdungen anlegen,

• eigene Zielobjekt-Subtypen definieren,

• die Verknüpfungen zwischen Zielobjekt-Subtypen und Bausteinen bearbeiten sowie

• einen Lebenszyklus für konkretisierte und benutzerdefinierte Bausteine, Maßnahmen und Gefährdungen verwalten.

8.2 Die Ansicht IT-Grundschutz benutzerdefiniertDie Ansicht IT-Grundschutz benutzerdefiniert enthält neben den bereits im Kapitel Schutz­bedarf dokumentieren erwähnten Schutzbedarfsdefinitionen fünf weitere Registerkarten mit Listen der Zielobjekt-Typen, Zielobjekt-Subtypen, Bausteine, Maßnahmen und Gefährdungen.

Nachfolgend sehen Sie als Beispiel die Registerkarte Bausteine, die sämtliche im Tool bekannten Bausteine auflistet, jeweils mit Nummer, Bezeichnung, Schichtzugehörigkeit und der Kennung Obsolet, wenn ein Baustein für den IT-Grundschutz nicht mehr relevant ist. Die Angabe BSI-Standard im Feld Typ weist darauf hin, dass es sich um einen unveränderten IT-Grundschutz-Baustein handelt.

- 61 -

Webkurs GSTOOL

Die Optionen der Registerkarte ermöglichen es Ihnen,

• BSI-Standard-Bausteine zu ändern (Konkretisieren),

• neue Bausteine anzulegen (Neu),

• detaillierte Informationen zu Bausteinen aufzurufen (Öffnen) oder

• Bausteine zu löschen (Löschen).

Konkretisierte und benutzerdefinierte Bausteine, Maßnahmen und GefährdungenWenn Sie einen Baustein konkretisieren, passen Sie seine Beschreibung oder die Zusammenstellung seiner Maßnahmen und Gefährdungen so an, dass er Ihren Einsatzzwecken gerecht wird. Ein konkreti ­sierter Baustein ersetzt im GSTOOL den ursprünglichen. Diese Funktion empfiehlt sich folglich nur für geringfügige Änderungen, die keine negativen Auswirkungen auf die Informationssicherheit haben.

Bei umfangreicheren Änderungen oder für andersartige Zielobjekt-Subtypen sollten Sie anstelle des­sen die vorhandenen Bausteine um eigene benutzerdefinierte Bausteine ergänzen.

Für Maßnahmen und Gefährdungen gilt dies entsprechend.

Nur benutzerdefinierte, konkretisierte und obsolete Bausteine, Maßnahmen und Gefähr­dungen können gelöscht werden. Wenn Sie ein konkretisiertes Objekt löschen, wird es durch das ursprüngliche Objekt ersetzt.

- 62 -

Webkurs GSTOOL

8.3 Bausteine anlegen (1): Allgemeine Eigenschaften festlegenEin einfaches Beispiel soll die Schritte veranschaulichen, die notwendig sind, um einen neuen Baustein anzulegen.

Das Beispiel:Die Anwendungstypen sollen um einen Subtypen Videokonferenz erweitert werden, der mit einem ebenfalls neu anzulegenden gleichnamigen Baustein verknüpft werden soll.

So gehen Sie vor:Einen neuen Baustein definieren Sie über IT-Grundschutz benutzerdefiniert | Bausteine | Neu. Das anschließend geöffnete Fenster Neuen Baustein anlegen bietet Ihnen verschiedene Registerkarten zu dessen Beschreibung an.

Auf der Registerkarte Allgemein legen Sie die allgemeinen Eigenschaften des Bausteins fest:

• Sie wählen die Schicht aus, in die er einsortiert werden soll. Für einen Baustein Video­konferenz ist dies die Schicht Anwendungen.

• Sie geben ihm eine Nummer. Sie können sich bei der Nummerierung an dem Schichten­modell der IT-Grundschutz-Kataloge orientieren, aber auch Ihr eigenes Klassifizierungs­system verwenden.

• Sie benennen ihn im Feld Bezeichnung.

• Sie beschreiben ihn im Feld Bausteintext, zum Beispiel mit einer Darstellung des Einsatzzwecks und Hinweisen zur Anwendung der zugeordneten Maßnahmen.

- 63 -

Webkurs GSTOOL

8.4 Bausteine anlegen (2): Maßnahmen und Gefährdungen zuordnenEin IT-Grundschutz-Baustein enthält Verweise auf Maßnahmen und Gefährdungen. Im GSTOOL wird ein solcher Verweis als Verknüpfung bezeichnet.

Maßnahmen verknüpfenDie Registerkarte Neuen Baustein anlegen | Maßnahmen zeigt, welche Maßnahmen mit einem Bau­stein verknüpft sind. Bei dem neuen Baustein Videokonferenz ist diese Liste zunächst leer. Mit Neu öffnen Sie ein Fenster zur Auswahl der Maßnahmen, die Sie mit dem Baustein verknüpfen möchten.

Das Fenster zeigt alle im GSTOOL bekannten Maßnahmen, auch die benutzerdefinierten oder konkre­tisierten. Markieren Sie diejenigen, die Sie mit dem Baustein Videokonferenz verknüpfen möchten, und bestätigen Sie Ihre Auswahl mit OK.

Gefährdungen verknüpfenZur Verknüpfung des Bausteins mit Gefährdungen wählen Sie die Registerkarte Neuen Baustein anlegen | Gefährdungen, dort Neu und anschließend die zutreffenden Gefährdungen aus der Liste der im GSTOOL definierten Gefährdungen aus.

Neue Maßnahmen und Gefährdungen hinzufügenFür einen Baustein Videokonferenz würden sich auch Maßnahmen anbieten, die bis lang noch nicht in den Maßnahmenkatalogen des IT-Grundschutzes (und damit auch des GSTOOLs) enthalten sind, zum Beispiel eine Maßnahme Auswahl einer Videokonferenz-Software. Wie

Sie vorgehen, um eine neue Maßnahme anzulegen, ist in Kapitel 8.4 des Handbuchs beschrieben, und um zusätzliche Gefährdungen zu definieren, in Kapitel 8.5.

- 64 -

Webkurs GSTOOL

8.5 Zielobjekt-Subtypen definierenAlle angelegten Bausteine können Sie beliebig mit Zielobjekt-Subtypen verknüpfen. Bei neuen Bau­steinen wie Videokonferenz ist es dazu notwendig, ebenfalls einen geeigneten Subtyp zu definieren. Dazu gehen Sie wie folgt vor:

1. Wählen Sie in der Ansicht IT-Grundschutz benutzerdefiniert die Registerkarte Subtypen und dort die Option Neu. Ein Fenster mit Registerkarten zur Beschreibung des Zielobjekt-Subtyps wird geöffnet.

2. Auf der Registerkarte Allgemein benennen Sie den neuen Zielobjekt-Subtyp (im Beispiel erhält dieser wie schon der Baustein den Namen Videokonferenz) und wählen seinen übergeordneten Typ aus (im Beispiel Anwendung). Bei Bedarf tragen Sie in das Feld Erläuterung zusätzliche Beschreibungen ein, etwa zu dessen Verwendung.

3. Wechseln Sie in die Registerkarte Bausteine. Diese enthält eine (anfänglich noch leere) Liste der Bausteine, die mit dem Zielobjekt-Subtyp verknüpft sind.

4. Mit Neu öffnen Sie ein Fenster, in dem Sie Bausteine mit einem Zielobjekt-Subtyp verknüpfen können.

- 65 -

Webkurs GSTOOL

5. Markieren Sie den oder die zutreffenden Bausteine (im Beispiel Videokonferenz) und bestätigen Sie Ihre Auswahl mit OK.

FazitMit den Schritten, die in diesem Kapitel beschrieben wurden, sind der neue Baustein und der Zielobjekt-Subtyp Videokonferenz zum Bestandteil der Metadaten des GSTOOLs und miteinander verknüpft worden. Dies hat zur Folge, dass

• bei der Eingabe einer neuen Anwendung der Zielobjekt-Subtyp Videokonferenz zur Auswahl angeboten wird,

• bei der Modellierung der Baustein Videokonferenz allen logisch verknüpften Zielobjekten dieses Subtyps zugeordnet wird und Sie

• beim Basis-Sicherheitscheck diejenigen Sicherheitsmaßnahmen prüfen können, die Sie mit diesem Baustein verknüpft haben.

8.6 IT-Grundschutz-ManagementMit der Funktion IT-Grundschutz-Management können Sie für ausgewählte Arbeitsbereiche Bearbeitungszustände vermerken und eine Versionsverwaltung für Bausteine und Maß­nahmen einrichten.

Sie aktivieren und deaktivieren diese Funktion auf der Registerkarte Import der Ansicht Export / Import. Markieren Sie den gewünschten Standard-Arbeitsbereich mit der rechten Maustaste und wählen die Funktion IT-Grundschutz Management aktivieren.

- 66 -

Webkurs GSTOOL

Wenn Sie das IT-Grundschutz Management deaktivieren, werden alle archivierten Versionen und Bearbeitungsstände gelöscht. Nur die aktuellen in Kraft gesetzten Bausteine und Maßnahmen bleiben erhalten.

BearbeitungszuständeSobald die Funktion IT-Grundschutz Management aktiviert ist, können Sie Bausteinen und Maß­nahmen Bearbeitungszustände zuweisen. Die folgenden Zustände werden unterschieden:

• In Bearbeitung – in diesem Zustand erscheint ein Objekt nicht in der Modellierung, kann aber geändert werden

• Zur Freigabe – in diesem Zustand erscheint ein Objekt nicht in der Modellierung, gilt aber als eingefroren und kann daher nicht mehr geändert werden

• In Kraft – das Objekt ist als gültig erklärt worden und erscheint damit in der Modellierung, kann aber in diesem Zustand nicht mehr geändert werden

• Außer Kraft – das Objekt ist nicht mehr gültig und nicht änderbar, es gibt aber noch keine gültige Nachfolgeversion

AktionenIn der Ansicht IT-Grundschutz-Management können Sie mithilfe der drei Schaltflächen In Kraft, In Bearbeitung und Bereitgestellt steuern, welche Objekte angezeigt werden. Ferner können Sie dort den gewünschten Bearbeitungszustand festlegen. Die folgenden Aktionen sind möglich, wenn Sie ein Objekt markieren:

• Bearbeiten eines benutzer­definierten oder konkreti­sierten Objekts

• Konkretisieren eines Bausteins oder einer Maß­nahme aus den IT-Grund­schutz-Katalogen

• Öffnen einer Version eines Objekt

• Bereitstellen eines Bear­beitungsstands

• Zurückweisen eines bereit­gestellten Bearbeitungs-stands

• Freigeben eines bereitge­stellten Bearbeitungsstands

• Außer Kraft setzen eines Objekts

• Löschen eines bereitgestell­ten Objekts.

In dem Kontextmenü sind immer nur diejenigen Aktionen markiert, die aufgrund des aktuellen Bearbeitungszustands eines Objekts sinnvoll sind.

- 67 -

Webkurs GSTOOL

Mehr Informationen zum IT-Grundschutz Management finden Sie in Kapitel 9 des Hand­buchs zum GSTOOL.

8.7 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zum Anlegen und Anpassen von Bausteinen, Maßnahmen und Gefährdungen mit dem GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche Folgen hat es, wenn Sie einen Baustein mit einem Zielobjekt-Typen verknüpfen?

a) Der Baustein kann nicht mehr gelöscht werden.

b) Der Baustein wird bei der Modellierung automatisch mit allen Zielobjekten des gleichen Typs verknüpft.

c) Sie können den Baustein nur dann in der Ansicht Modellierung mit einem Zielobjekt des gleichen Typs verknüpfen.

d) Der Baustein wird nicht mehr in der Ansicht Risikoanalyse angezeigt.

2. Wenn Sie der Meinung sind, dass Sie für ein bestimmtes Zielobjekt eine Maßnahme eines IT-Grundschutz-Bausteins nicht anzuwenden brauchen, sollten Sie ...

a) … in der Ansicht IT-Grundschutz benutzerdefiniert die Verknüpfung zur nicht benötigten Maßnahme löschen.

b) … die Maßnahme beim Basis-Sicherheitsscheck als entbehrlich kennzeichnen und dies begründen.

c) … die Maßnahme beim Basis-Sicherheitscheck als nicht umgesetzt kennzeichnen und dies begründen.

d) … in der Ansicht Modellierung die Verknüpfung zur nicht benötigten Maßnahme aus dem Baustein löschen.

3. Wenn Sie in der Ansicht Modellierung einen Baustein mit einer weiteren Maßnahme verknüpfen, ...

a) … ist dies nur für das Zielobjekt relevant, mit dem der betreffende Baustein verknüpft ist.

b) … erzeugen Sie einen konkretisierten Baustein.

c) … erzeugen Sie einen benutzerdefinierten Baustein.

d) … wirkt sich dies auf alle Zielobjekte des gleichen Typs oder Subtyps aus, sofern Sie die Maßnahme in der Ansicht IT-Grundschutz benutzerdefiniert mit dem Baustein verknüpfen.

4. In der Ansicht IT-Grundschutz Management ...

a) … aktualisieren Sie die in das GSTOOL integrierten Informationen zu den IT-Grundschutz-Katalogen.

b) … können Sie festlegen, wer welchen Zugriff auf die Bausteine und Maßnahmen im GSTOOL haben darf.

c) … können Sie unterschiedliche Versionen eines benutzerdefinierten Bausteins verwalten.

d) … Können Sie konkretisierte und benutzerdefinierte Bausteine und Maßnahmen freigeben oder außer Kraft setzen.

- 68 -

Webkurs GSTOOL

9 Berichte erstellen, Filter setzen

9.1 Überblick

Wenn Sie während Ihrer Arbeit an einem Sicherheitskonzept Berichte für die Projektgruppe oder das Management benötigen, unterstützt Sie das GSTOOL mit einer Vielzahl an Berichtsvorlagen. So können Sie je nach Arbeitsfortschritt folgende Berichte erzeugen:

• nach der Eingabe der Stammdaten die Listen Anwendungen und IT-Systeme,

• nach der Strukturierung der Zielobjekte mit dem Bericht Anwendungen und Systeme, eine Tabelle, in der die Verknüpfungen der Anwendungen zu den IT-Systemen dargestellt sind,

• nach der Modellierung mit den Berichten Modellierung Bausteine und Modellierung Maßnahmen Tabellen, in denen dargestellt ist, welche Bausteine und Maßnahmen für die einzelnen Zielobjekte zu bearbeiten sind,

• nach dem Basis-Sicherheitscheck und zur Unterstützung der Realisierungsplanung Über­sichten über den Umsetzungsgrad sowie Kostenaufstellungen zu Bausteinen und Maßnahmen,

• einen Bericht über die durchgeführten Revisionen,

• einen Auditbericht, der eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz oder ein Auditor-Testat unterstützt.

Diese und viele weitere Berichte liefert Ihnen das GSTOOL auf Knopfdruck. Die Berichtsfunktion nimmt Ihnen somit die Auswertung der Datenerfassung ab. Art und Umfang der Daten, die in den Berichten angezeigt werden, können Sie durch gezielte Aus- und Abwahl der zu berücksichtigenden Objekte sowie Filter beeinflussen.

In diesem Kapitel erfahren Sie,

• wie Sie Berichte auswählen und erstellen,

• wie Sie diese Berichte anpassen und eigene Berichte erstellen können sowie

• wie Sie die vorhandenen Filter benutzen und eigene Filter definieren können.

- 69 -

Webkurs GSTOOL

9.2 Berichtsvorlagen auswählenDie Ansicht Berichte zeigt das Objektmodell, also eine Baumdarstellung aller logisch mit dem Informationsverbund verknüpften Zielobjekte sowie die diesen zugeordneten Bausteine und Maßnahmen. In dem Baum legen Sie fest, welche Objekte in einen Bericht aufgenommen

werden sollen. Die Bearbeitungsmaske enthält die verfügbaren Berichtsvorlagen. Hier wählen Sie die gewünschte Berichtsart aus.

Wenn Sie im Baum ein Zielobjekt markieren, zeigt die Bearbeitungsmaske alle Berichtsvorlagen, die sinnvoll für die getroffene Objektauswahl verwendet werden können. Die folgende Abbildung zeigt Ihnen zum Beispiel die Vorlagen für den gesamten Informationsverbund.

Berichtsumfang festlegenMarkieren Sie im Baum die Zielobjekte, die Sie in einen Bericht einbeziehen möchten. Mit der rechten Maustaste öffnen Sie ein Menü, unter anderem mit den Optionen Abhängige auswählen und Abhängige abwählen. Mit diesen wählen Sie die Bausteine (und Maßnahmen) aus oder ab, die in dem Bericht berücksichtigt werden sollen.

Bei gedrückter Strg-Taste können Sie mehrere Zielobjekte und Bausteine aus- oder abwählen.

- 70 -

Webkurs GSTOOL

9.3 Berichte erstellenWenn Sie zum Beispiel einen Bericht über die Kosten wünschen, die durch Sicherheitsmaßnahmen für einen Serverraum entstehen, gehen Sie wie folgt vor:

1. Markieren Sie das betreffende Zielobjekt (in der Abbildung Serverraum BN-BG) und den Baustein Serverraum im Baum.

2. Wählen Sie die Vorlage Kostenaufstellung Maßnahmen aus der Liste der verfügbaren Berichts­vorlagen aus.

3. Klicken Sie die Schaltfläche Erstellen.

Der erzeugte Bericht wird in einem Browser angezeigt. Wählen Sie anschließend Speichern, wird der Bericht als XML- und HTML-Datei an einem von Ihnen festzulegenden Ort abgelegt.

- 71 -

Webkurs GSTOOL

Welches Ausgabeformat ein Bericht hat, hängt von der Art des Berichts ab. Neben HTML und XML gibt es auch Berichte, die als Excel-Datei erzeugt werden und mit einem kompatiblen Tabellenkalkulationsprogramm geöffnet und bearbeitet werden können.

Berichte, die in einem Webbrowser angezeigt werden, können Sie mit den üblichen Funktionen dieses Browsers drucken, speichern oder anderweitig bearbeiten.

9.4 Berichte anpassen

Berichtskopf ändernStandardmäßig enthalten alle Berichte im Kopf das BSI-Logo. Als Anwendungsadministrator (siehe Rollen anlegen (1)) können Sie dieses aber auch durch ein eigenes Logo ersetzen. Wählen Sie dazu im Menü Extras | Optionen und anschließend die Registerkarte Berichtskopf.

Sie finden dort den Pfad und den Namen der Datei angegeben, unter denen das Logo gespeichert ist. Sie können diesen Eintrag ändern. Wählen Sie dazu die von Ihnen gewünschte Logo-Datei aus. Zulässige Dateiformate sind GIF, JPG und BMP.

Sie können ferner unter Erläuterung einen Vortext angeben, der in allen Berichten unterhalb des Logos angezeigt wird.

Die folgende Abbildung zeigt, wie sich solche Änderungen auf einen Berichtskopf auswirken.

Das Logo wird immer dann, wenn ein Bericht erstellt wird, aus dem angegebenen Verzeich­nis geladen. Wählen Sie deshalb ein Verzeichnis, das ständig verfügbar ist.

- 72 -

Webkurs GSTOOL

Berichtsvorlagen anpassen und anlegenUnter Extras | Optionen finden Sie auch die Registerkarte Berichte. Diese enthält eine Liste aller im GSTOOL bekannten Berichtsvorlagen und Optionen zum Ändern vorhandener sowie zum Anlegen neuer Berichtsvorlagen.

Die Vorlagen verwenden XML. Sie müssen fundierte Kenntnisse dieser Auszeichnungs­sprache haben, wenn Sie Berichtsvorlagen anpassen oder neu anlegen möchten. Genauere Informationen zur Anpassung der Berichtsvorlagen entnehmen Sie bitte dem Kapitel 7

Berichte des Handbuchs zum GSTOOL.

9.5 Filter anwendenWenn Sie sehr viele Daten zur vorhandenen Informationstechnik erfasst haben und trotzdem einen schnellen und zielgerichteten Zugriff auf die für Sie wesentlichen Informationen wünschen, können Sie mit Hilfe von Filtern solche Informationen ausblenden, die Sie in der

aktuellen Bearbeitungssituation nicht benötigen.

Zum gezielten Einschränken von Informationen können Sie nicht nur auf standardmäßig vorhandene Filter zurückgreifen, sondern auch eigene Filter definieren und anwenden.

Das FiltermenüDie meisten Fenster im GSTOOL, in denen Listen angezeigt werden, enthalten einen Bereich zur Auswahl und Bearbeitung von Filtern, das Filtermenü.

Dieses Menü enthält ein Listenfeld, in dem Sie aus den im jeweiligen Arbeitskontext verfügbaren Filtern einen gewünschten auswählen können, sowie drei Schaltflächen, mit denen Sie eigene Filter definieren und bearbeiten können:

• Mit öffnen Sie einen ausgewählten selbst definierten Filter und können ihn anschließend ändern,

- 73 -

Webkurs GSTOOL

• mit legen Sie einen neuen Filter für die aktuelle Ansicht oder Maske an,

• mit löschen Sie einen ausgewählten selbst definierten Filter.

Das Filtermenü ist fester Bestandteil vieler Masken. In allen Ansichten mit Ausnahme von Stammdaten, IT-Grundschutz benutzerdefiniert und Export / Import können Sie es mit der Schaltfläche Filter ein- und ausblenden.

Ein BeispielDie folgende Abbildung zeigt als Beispiel die Ansicht Stammdaten mit aufgeklappter Liste zur Auswahl eines Filters. Der eingestellte Filter bewirkt, dass nur Anwendungen angezeigt werden.

9.6 Basisfilter definierenWenn Sie einen eigenen Filter definieren möchten, öffnen Sie mit der Schaltfläche Neu das Fenster Filter anlegen. Das Fenster enthält die beiden Registerkarten Basisfilter und Erweiterter Filter zur Beschreibung von Filterkriterien. Diese unterscheiden sich wie folgt:

• Bei einem Basisfilter können Sie lediglich festgelegte Felder und Suchkriterien verwenden.

• Bei einem erweiterten Filter haben Sie darüber hinaus die Möglichkeit, eigene Suchkriterien zu definieren und diese mit unterschiedlichen logischen Operatoren miteinander zu ver­knüpfen.

- 74 -

Webkurs GSTOOL

Die folgende Abbildung zeigt die Registerkarte Basisfilter mit der Definition eines Filters, der in den Ansichten Modellierung und Berichte nur noch die Maßnahmen anzeigt, die noch nicht umgesetzt sind.

Es hängt von der aktuellen Ansicht oder Bearbeitungsmaske ab, welche Filterkriterien auf der Registerkarte Basisfilter zu Auswahl angeboten werden. Alle Kriterien, die Sie auswählen, werden mit UND verknüpft.

9.7 Erweiterten Filter definierenWenn Sie feinere Filterkriterien benötigen als diejenigen, die Ihnen auf der Registerkarte Basisfilter angeboten werden, können Sie den von Ihnen gewünschten Filter auf der Registerkarte Erweiterter Filter definieren.

Die Eingabemaske ist wie folgt aufgebaut:

• In der Spalte Suchfeld/Sortierung können Sie bis zu fünf Datenfelder auswählen, die in den Filterkriterien berücksichtigt werden. In den zugehörigen Listenfeldern werden Ihnen dafür jeweils alle in der Datenbank vorhandenen Felder angeboten.

- 75 -

Webkurs GSTOOL

• In den Feldern der drei Blöcke Entweder und Oder legen Sie logische Operatoren und Vergleichswerte für diese Datenfelder fest. Sofern der Typ des Datenfelds dies zulässt, können Sie auch hierfür die passenden Werte aus Listen auswählen.

Die von Ihnen festgelegten Filterkriterien werden innerhalb der Blöcke mit UND sowie zwischen den Blöcken mit ODER verknüpft.

Ein BeispielDer folgende Filter gibt lediglich diejenigen Maßnahmen aus, die

• nicht umgesetzt und für die Siegelstufe A-Eingangsstufe erforderlich sind und bei denen Personalaufwand entsteht (Block 1), sowie diejenigen, die

• teilweise umgesetzt und für Siegelstufe C-Zertifikat erforderlich sind und deren Sachkosten mehr als 1.000 Euro betragen (Block 2).

Nachfolgend sehen Sie, wie sich dieser Filter auf einen Bericht zu den Kosten der Sicherheits ­maßnahmen für einen Serverraum auswirkt.

- 76 -

Webkurs GSTOOL

9.8 Terminfilter einstellenBisweilen ist es wünschenswert, Maßnahmen oder andere Ereignisse unter zeitlichen Gesichtspunkten zusammenzustellen. Hierfür enthält das Filtermenü in den Ansichten Modellierung, Risikoanalyse und Berichte die Möglichkeit, einen Terminfilter einzustellen.Mit diesem Filter können Sie beispielsweise die folgenden Anzeigen erzeugen:

• alle Maßnahmen, die ab oder bis zu einem gewählten Zeitpunkt umzusetzen sind,

• alle innerhalb eines gewählten Zeitraums geplanten oder abgeschlossenen Revisionen,

• alle Bausteine, die innerhalb eines gewählten Zeitraums erfasst wurden,

• alle Risikoanalysen, die innerhalb eines gewählten Zeitraums durchgeführt werden müssen.

Mit Terminfiltern können Sie damit auf einfache Weise Listen ausstehender Aufgaben anlegen.

Terminfilter wählen Sie mit Hilfe des Filtermenüs aus. Wenn Sie den vordefinierten Filter Termine auswählen, wird ein Bereich eingeblendet, in dem Sie

• zunächst eine Aufgabe auswählen, auf die ein zeitlicher Filter angewendet werden soll, und anschließend

• entweder direkt oder mit Hilfe des ausklappbaren Kalendersteuerelements Anfangs- und Endpunkte des Sie interessierenden Zeitintervalls angeben.

Anschließend werden ausschließlich die zu der gewählten Aufgabe und dem festgelegten Zeitintervall (einschließlich der Intervallgrenzen) passenden Einträge angezeigt.

Je nach Ansicht werden unterschiedliche Aufgaben angeboten. In der Ansicht Risikoanalyse ist es nur möglich, nach den Durchführungszeitpunkten von Risikoanalysen zu filtern.

9.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Erzeugung von Berichten und der Verwendung von Filtern mit dem GSTOOL überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche Angaben zu den Berichtsköpfen in den Standard-Berichtsvorlagen sind zutreffend?

a) Sie dürfen den Copyright-Vermerk des Bundesamts für Sicherheit in der Informationstechnik nicht ändern.

b) Sie können den Namen Ihrer Organisation einfügen.

c) Sie können das Logo Ihrer Organisation einfügen.

d) Sie können beim Erzeugen eines Berichts angeben, ob Sie diesen mit oder ohne Kopf haben möchten.

2. Mit Filtern können Sie im GSTOOL …

a) … steuern, welche Zielobjekte in Listen angezeigt werden.

b) … festlegen, welche Eigenschaftsfelder eines Zielobjekts in einem Bericht berücksichtigt werden.

c) … die in Listen angezeigten Zielobjekte auf einen bestimmten Typ einschränken.

d) … die Anzeige von Zielobjekten für bestimmte Anwender gezielt ausblenden.

- 77 -

Webkurs GSTOOL

3. Welche Voraussetzungen müssen erfüllt sein, damit Sie einen Bericht über den Umsetzungsstand von Maßnahmen erzeugen können?

a) Sie müssen einen hierfür geeigneten Berichtstyp auswählen.

b) Sie müssen mit einem Filter festlegen, dass ausschließlich Maßnahmen in den Bericht aufgenommen werden.

c) Die im Bericht behandelten Maßnahmen müssen zuvor bearbeitet worden sein.

d) Sie müssen Inhaber einer Rolle sein, die dazu berechtigt, den gewünschten Bericht zu erzeugen.

4. Was wird durch einen Terminfilter ermöglicht?

a) die Sortierung der Zielobjekte anhand ihres Erfassungsdatums

b) die Erzeugung von Listen mit Maßnahmen, die in einem bestimmten Zeitraum umzusetzen sind

c) ein einfacher Weg veraltete IT-Systeme aus der Liste der Stammdaten zu löschen

d) die Ausgabe von Listen, in denen festgelegt ist, wer, wann, welche Stammdaten im GSTOOL zu erfassen hat

- 78 -

Webkurs GSTOOL

Teil III: Administration

1 Das GSTOOL installieren, in Betrieb nehmen und konfigurierenDas GSTOOL bietet viele Möglichkeiten, es an Ihre besonderen Arbeitsbedingungen anzupassen. Wenn Sie diese optimal ausnutzen wollen, sollten Sie einige administrative Einstellungen vornehmen, bevor Sie die Informationen, die Sie für Ihr Sicherheitskonzept benötigen, eintragen und bearbeiten.

Dazu sind jedoch besondere Rechte für die Benutzung des Tools notwendig. So kann nur der Systemadministrator das Tool installieren und erste Anwender einrichten. Andere Aufgaben, wie Rechte verwalten, eigene Logos oder den Unternehmensnamen integrieren, kann auch der Tool-Administrator. Daten exportieren und importieren dürfen Anwender mit speziellen Berechtigungen.

In dem Abschnitt für die Administration erfahren Sie, wie Sie

• das GSTOOL installieren und in Betrieb nehmen,

• Anwender mit differenzierten Zugriffsrechten auf das Tool ausstatten,

• die zugehörigen Datenbanken für die Benutzung am Arbeitsplatz und im Netz einrichten,

• Daten zwischen verschiedenen Instanzen der Datenbank des GSTOOLs sowie zwischen dem GSTOOL und anderen Programmen austauschen können.

Um Sie nicht mit Informationen zu überfrachten, wird nicht jede Einzelheit zu den Leistungs­merkmalen und der Benutzung des Tools vorgestellt. Detaillierte Anweisungen entnehmen Sie bitte dem Handbuch zum GSTOOL. Bei verschiedenen Themen ist jeweils vermerkt, in

welchem Kapitel des Handbuchs Sie ausführliche Informationen zu den dargestellten Sachverhalten finden.

- 79 -

Webkurs GSTOOL

2 Das GSTOOL einrichten

2.1 Überblick

Das GSTOOL muss auf jedem Rechner installiert werden, auf dem es eingesetzt werden soll. Es ist also nicht möglich, das Programm auf einem zentralen Server zu installieren und von unterschied­lichen Clients aus aufzurufen.

Anders verhält es sich mit den Datenbanken, in denen die Eingaben der Anwender gespeichert werden: Diese können auf einem zentralen Server abgelegt werden, sodass eine Datenbank von mehreren Anwendern gemeinsam bearbeitet werden kann.

In diesem Kapitel erfahren Sie, wie Sie das GSTOOL installieren und lizenzieren, ferner wie Sie grundlegende Sicherheitseinstellungen für die Benutzung des Tools vornehmen können.

SystemvoraussetzungenDas GSTOOL ist unter folgenden Betriebssystemen lauffähig:

• MS Windows 2000,

• MS Windows XP.

Es erfordert die folgenden Ressourcen:

• etwa 500 MB freier Festplattenplatz (bei einer vollständigen Installation des Programms einschließlich der HTML-Version der IT-Grundschutz-Kataloge),

• mindestens 512 MB Hauptspeicher (empfohlen wird 1 GB),

• Browser-Software – alle gängigen Browser werden unterstützt; die Berichte, die sich mit dem Tool erzeugen lassen, sind jedoch für den Internet Explorer optimiert. In anderen Browsern kann es zu Layout-Abweichungen oder Darstellungsfehlern kommen.

- 80 -

Webkurs GSTOOL

2.2 Das GSTOOL installierenDie Version 4.7 des GSTOOLs installieren Sie in folgenden Schritten:

1. Installieren Sie zunächst die Version 4.5 des GSTOOLs, wie nachfolgend beschrieben.

2. Installieren Sie anschließend das Servicepack 3 für GSTOOL 4.5, 4.6 und 4.7 (Stand: 05/2011). Sie finden die Installationsdatei sowie eine detaillierte Anleitung zur Installation unter Servicepacks für GSTOOL auf der Webseite des BSI. Beachten Sie bitte die Hinweise in der Anleitung.

3. Aktualisieren Sie anschließend die Metadaten und die HTML-Seiten mit den IT-Grundschutz-Katalogen. Sie finden die zugehörigen Dateien und Anleitungen unter Metadaten-Aktualisierung auf der Webseite des BSI. Beachten Sie auch hier unbedingt die Hinweise in der Anleitung.

Ein wichtiger Hinweis vorweg:Sie benötigen Administratorrechte auf dem Rechner, auf dem Sie das Programm installieren.

Starten des InstallationsprogrammsWenn Sie die CD mit dem GSTOOL 4.5 einlegen, wird die Installation normalerweise automatisch gestartet. Falls nicht oder wenn Sie das Programm von der Webseite des BSI heruntergeladen haben, starten Sie das Programm setup.exe.

Anschließend haben Sie die Wahl zwischen einer deutschen und einer englischen Version des Tools. Sie können die hier vorgenommene Spracheinstellung auch später innerhalb des GSTOOLs ändern.

Eingabe der BenutzerinformationenGeben Sie zu Beginn der Installation des Tools den Namen des Benutzers und den der Organisation ein. Außerdem legen Sie hier fest, ob das Programm nur für diesen einen Benutzer oder für alle Benutzer des betreffenden Computers installiert werden soll.

Upgrade von Version 4.1 auf 4.7Falls vorher das GSTOOL 4.1 auf dem Rechner installiert war, informiert Sie das nächste Fenster, dass die Standarddatenbank BSIDB_V410 automatisch übernommen wird. Zusätzlich wird eine neue Datenbank BSIDB_V45 installiert. Im Kapitel Datenbanken konfigurieren erfahren Sie, wie Sie andere Datenbanken anhängen können.

Vollständige oder angepasste InstallationSie können zwischen der vollständigen und einer angepassten Installation wählen:

• Bei der vollständigen Installation wird das GSTOOL mit allen Komponenten automatisch auf der aktiven Partition (in der Regel C:\) unter Programme/BSI/GSTOOL45 installiert.

• Bei der angepassten Installation können Sie den Umfang der Installation festlegen und auch den Installationspfad ändern. Dabei wird allerdings nur der Pfad der Anwendung geändert, nicht der des Datenbank-Servers.

- 81 -

Webkurs GSTOOL

Das GSTOOL reparieren und deinstallierenSie können das Installationsprogramm auch dazu verwenden, eine vorhandene Installation des GSTOOLs zu reparieren oder das Programm zu deinstallieren. Bei einer Deinstallation wird nur die Anwendung gelöscht, die angelegten Datenbanken bleiben erhalten.

2.3 Sicherheit einstellen

Ändern des Administrator-KennwortsBei der Installation wird automatisch ein Anwender sa mit dem Kennwort bsi eingerichtet, der als Tool-Administrator über alle Rechte innerhalb des Werkzeugs verfügt.

Das Installationsprogramm ist so voreingestellt, dass Sie abschließend dazu aufgefordert werden, mit dem Programm Datenbank konfigurieren das Kennwort des Tool-Administrators zu ändern. Um unbefugte Zugriffe auf das Tool zu verhindern, sollten Sie dieser Aufforderung nachkommen. Das Eingabefeld zur Änderung des Kennworts finden Sie auf der Registerkarte Kennwort.

Das Programm Datenbank konfigurieren starten Sie unter Start | Programme | BSI | Tools. Es kann nur vom Tool-Administrator und nur auf dem Rechner gestartet werden, auf dem die verwendete Datenbank abgelegt ist.

Um nicht immer den Systemadministrator für die Pflege des Tools hinzuziehen zu müssen, sollte eine weitere Person das sa-Passwort kennen.Der Systemadministrator kann das Passwort jederzeit ändern, ohne es zu kennen.

Integrierte Sicherheit und Datenbank-SicherheitDie folgende Abbildung zeigt die Registerkarte Anmeldung des Hilfsprogramms Datenbank konfigurieren. Dort wählen Sie die Art der Anmeldung aus.

- 82 -

Webkurs GSTOOL

Falls der System-Administrator, unter dessen Namen und Passwort das GSTOOL installiert wurde, auch der Tool-Administrator sein soll, so ist für die Anmeldung Windows Integrierte Sicherheit aus­reichend. Bei dieser werden die Informationen übernommen, mit denen sich ein Benutzer am Rechner angemeldet hat. Er muss sich also nicht erneut zur Benutzung des Tools anmelden.

Soll eine andere Person Tool-Administrator (sa) werden, so wählen Sie Datenbank-Sicherheit. Dann muss sich der Tool-Administrator am Datenbank-Server mit einer zusätzlichen Benutzerkennung (Name und Passwort) anmelden.

2.4 Testbetrieb und LizenzierungWenn Sie alle Funktionen des GSTOOLs unbefristet nutzen möchten, müssen Sie das Programm lizenzieren. Ansonsten ist nur ein auf 30 Tage befristeter Testbetrieb möglich.

An den Testbetrieb werden Sie beim Programmstart erinnert. In einem Fenster Lizenzierung werden Sie dazu aufgefordert, einen 24-stelligen Lizenzschlüssel einzugeben.

Diesen Schlüssel erhalten Sie vom BSI, wenn Sie das GSTOOL erwerben. Hierfür enthält das Fenster Verweise zu einem Bestellformular und zu den Webseiten des BSI zum GSTOOL mit den Bezugs­bedingungen.

Wollen Sie das GSTOOL erst einmal testen, so wählen Sie Später lizenzieren. Anschließend stehen Ihnen 30 Tage lang alle Funktionen uneingeschränkt zur Verfügung. Nach Ablauf dieser Frist können Sie zwar keine Daten mehr speichern, Sie können die eingegebenen Daten aber weiterhin lesen.

- 83 -

Webkurs GSTOOL

Damit die Lizenzierung dauerhaft gilt, muss der Lizenzschlüssel unter Administratorrechten eingegeben werden. Sonst müsste dies bei jedem Programmstart wiederholt werden.

Der Lizenzschlüssel kann auch nach Ablauf der 30-Tage-Frist eingegeben werden, alle bereits gespeicherten Daten bleiben erhalten.

2.5 Daten aus GSTOOL 4.1 übernehmenFalls Sie Anwender von Version 4.1 des GSTOOLs sind und Ihre Daten in die neuere Version übernehmen möchten, so wählen Sie Datenübernahme aus GSTOOL 4.1 aus dem Menü Datei.

VorgehensweiseBevor Sie eine Datenbank aus Version 4.1 übernehmen können, müssen Sie diese an das GSTOOL anhängen (siehe Abschnitt 4.5 Datenbanken anhängen). Zusätzlich benötigen Sie für jede Datenbank eine sinnvoll benannte Kopie der im Auslieferungsumfang des GSTOOLs enthaltenen leeren Datenbank, die Sie ebenfalls anhängen müssen.

Auf der Registerkarte Import wählen Sie anschließend den Datenbank-Server und die Datenbank aus, die sie übernehmen möchten. Mit Ausführen starten Sie die Funktion für jede Datenbank gesondert, deren Daten Sie übernehmen möchten.

Vor Übernahme der Daten werden alle Daten der aktuellen Datenbank gelöscht. Wenn Sie die Daten noch benötigen, legen Sie bitte vorher eine Sicherungskopie an.

Es ist nicht möglich, Daten aus einer Datenbank zu übernehmen, die mit einer früheren Version als GSTOOL 4.1 erzeugt wurde. Derartige Datenbanken müssen Sie erst mit den älteren Programmversionen in das zu GSTOOL 4.1 passende Format übertragen, bevor Sie

deren Daten in die Version 4.7 übernehmen können.

Achten Sie darauf für jede Datenbank, die Sie aus der Vorgängerversion übernommen haben, das aktuelle Service-Pack zu überspielen. Dieses finden Sie zusammen mit einer Installationsanleitung auf den Webseiten des BSI unter Servicepacks für GSTOOL.

- 84 -

Webkurs GSTOOL

Übernahme von Anwendern und RollenAlle definierten Rollen werden vollständig übernommen. Für die Übernahme von Anwendern gelten folgende Einschränkungen:

• Für Anwender mit Datenbanksicherheit kann das Kennwort nicht automatisch übernommen werden und wird daher auf das Standardkennwort bsi zurückgesetzt.

• Anwender mit integrierter Sicherheit werden nur dann vollständig übernommen, wenn die Übernahme auf demselben System durchgeführt wird, auf dem diese angelegt wurden. Sonst werden sie in Anwender mit Datenbanksicherheit umgewandelt und erhalten ebenfalls das Standardkennwort bsi.

Eine ausführliche Beschreibung des Vorgangs finden Sie in Kapitel 2.3.2 des Handbuchs zum GSTOOL.

2.6 Namen der Organisation und des Informationsverbundes ändernAlle Objekte, die Sie im GSTOOL anlegen, werden in der Ansicht Struktur Zielobjekte in einer Baumdarstellung angezeigt.

Standardmäßig finden Sie dort nach der Installation des Programms zwei Objekte mit dem Namen BSI:

• die Organisation, und zwar mit zwei Einträgen: einmal als Wurzel für die im oberen Teil des Baums eingetragenen Informationsverbünde, zum Zweiten als Wurzel für die Stammdaten im unteren Teil des Baumes;

• einen ersten Informationsverbund (als IT-Verbund abgekürzt).

Beide Objekte können Sie zwar nicht löschen, aber umbenennen und so an Ihre Bedingungen an­passen.

So ändern Sie den Namen des Informationsverbundes ...Wenn Sie den Namen des Informationsverbundes in der Ansicht Struktur Zielobjekte markieren, werden die Eigenschaften dieses Zielobjekts im rechten Fensterbereich angezeigt. Überschreiben Sie den voreingestellten Namen BSI sowie den Eintrag im Feld Kürzel.

... und so den OrganisationsnamenDer Organisationsname erscheint nicht nur in der Baumdarstellung, sondern auch in den Berichts­köpfen. Um diesen Namen zu ändern, wählen Sie Optionen aus dem Menü Extras, anschließend die Registerkarte Allgemein 2. Geben Sie dort den von Ihnen gewünschten Organisationsnamen ein.

- 85 -

Webkurs GSTOOL

Nur als Anwendungs-Administrator sind Sie berechtigt, die Einstellungen auf der Register­karte Allgemein 2 zu ändern. Dieses Recht haben standardmäßig der System- und der Tool-Administrator. Im Kapitel 3 Zugriffsrechte verwalten wird beschrieben, wie Sie dieses Recht

an weitere Anwender vergeben können.

2.7 Historisierungstiefe einstellenDas GSTOOL führt für eine Vielzahl von Feldern, in die Sie Einträge vornehmen können, eine Historie. So können Sie nicht nur jederzeit sehen, wer Daten eingegeben oder geändert hat, sondern zum Beispiel auch, wann eine Revision zu Maßnahmen durchgeführt wurde und wer der Revisor war.

Die Anzahl der Einträge, die in der Änderungshistorie geführt und angezeigt werden, legen Sie auf der Registerkarte Allgemein 2 fest. Jede weitere Änderung überschreibt den jeweils ältesten Protokoll­eintrag. Wenn Sie die Historisierungstiefe nachträglich verringern, werden alle über den neuen Wert hinausgehenden Einträge gelöscht.

2.8 Metadaten aktualisierenIn den Datenbanken, die das GSTOOL verwendet, sind die Informationen zu den IT-Grundschutz-Katalogen mit Bausteinen, Maßnahmen und Gefährdungen als sogenannte Metadaten gespeichert. Die IT-Grundschutz-Kataloge werden ständig erweitert und aktualisiert. Damit auch das GSTOOL aktuell bleibt, müssen dessen Metadaten an diese Änderungen zeitnah angepasst werden.

Wie gelangen Sie zu aktuellen Metadaten?Sobald geänderte Metadaten bereitstehen, werden diese zusammen mit einer Anleitung auf der Internetseite des BSI zum kostenlosen Download angeboten und zwar unter:Themen → IT-Grundschutz GSTOOL → Download → Metadaten-Aktualisierung.

Nach dem Download der Aktualisierungsdatei können Sie mit der Option IT-Grundschutz Metadaten aktualisieren aus dem Menü Datei die Metadaten der Datenbank auf den neuesten Stand bringen.

- 86 -

Webkurs GSTOOL

Falls Sie mehrere Datenbanken eingerichtet haben, müssen Sie jede einzeln aktualisieren. Wenn eine Datenbank darüber hinaus mehrere Arbeitsbereiche mit eigenen Metadaten enthält, müssen auch diese jeweils gesondert aktualisiert werden.

Bei der Datenübernahme aus dem GSTOOL 4.1 werden in diese Datenbank ebenso die aktuellen Metadaten übernommen.

Neben den Metadaten müssen Sie auch die HTML-Seiten zum IT-Grundschutz austauschen, damit die im GSTOOL abgelegten Verweise zu den Texten der IT-Grundschutz-Kataloge korrekt funktionieren. Eine detaillierte Anleitung dazu finden Sie ebenfalls unter Themen → IT-Grundschutz GSTOOL → Download → Metadaten-Aktualisierung.

Bausteine, die Sie konkretisiert haben, indem Sie Maßnahmen gestrichen oder geändert haben, werden als benutzerdefinierte Bausteine weiter in der Datenbank geführt. Der neue Baustein wird zusätzlich hinzugefügt. Wurden Maßnahmen oder Bausteine entfernt, werden

sie bei der Modellierung wieder als unbearbeitet hinzugefügt.

2.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zur Inbetriebnahme des GSTOOLs überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welcher Benutzer wird bei der Installation des GSTOOLs automatisch eingerichtet?

a) der Systemadministrator

b) der Tool-Administrator sa

c) der Datenbankadministrator dbo

d) der Benutzer bsi

2. Welche Bedeutung haben die mit BSI bezeichneten Einträge in der Ansicht Struktur Zielobjekte?

a) Sie bezeichnen einen Organisationsnamen.

b) Sie dienen als Überschrift für Zielobjekte, die sich von der Webseite des BSI herunterladen lassen.

c) Sie bezeichnen einen Informationsverbund.

d) Sie bezeichnen den Herausgeber des GSTOOLs.

3. Welche Angaben gehören zu den Metadaten des GSTOOLs?

a) die Versionsnummer des verwendeten Datenbanksystems

b) die Zuordnung von IT-Grundschutz-Bausteinen zu Subtypen

c) der Lizenzschlüssel des GSTOOLs

- 87 -

Webkurs GSTOOL

d) alle Angaben (Bausteine, Maßnahmen, Gefährdungen) zu den IT-Grundschutz-Katalogen

4. Warum sollten Sie unmittelbar nach der Installation das Kennwort für den Tool-Administra­tor sa ändern?

a) damit sich keine Unbefugten anmelden können, da das Standard-Passwort allgemein bekannt ist

b) weil sich sonst das GSTOOL nicht starten lässt

c) weil Eingaben sonst nicht dauerhaft gespeichert werden können

d) weil das Standardpasswort die für ein sicheres Passwort erforderliche Mindestlänge von acht Zeichen nicht erfüllt

5. Was kann sich ändern, wenn Sie die Metadaten aktualisieren?

a) die Einträge in der Ansicht Struktur Zielobjekte

b) die Einträge in der Ansicht Modellierung

c) die Einträge in der Registerkarte Eigenschaften der Maßnahme zu einer ausgewählten Maßnahme in der Ansicht Modellierung

d) die Einträge in der Ansicht IT-Grundschutz benutzerdefiniert

- 88 -

Webkurs GSTOOL

3 Zugriffsrechte verwalten

3.1 ÜberblickDas GSTOOL erlaubt es, ein Sicherheitskonzept arbeitsteilig zu entwickeln. Hierfür müssen mehrere Mitglieder eines Teams auf eine Datenbank zugreifen und die gespeicherten Daten bearbeiten und ergänzen können. Oft ist es jedoch nicht wünschenswert, dass jeder beteiligte Mitarbeiter sämtliche möglichen Operationen ausführen darf und Zugriff auf alle Daten hat. Daher kann im GSTOOL mittels Rollen, die Sie definieren und einzelnen Anwendern zuweisen können, sehr genau festgelegt werden, wer welche Zugriffsrechte auf die eingetragenen Informationen und die möglichen Programmfunktionen hat.

Das GSTOOL unterscheidet zwischen System-Rollen, Rechte-Rollen und Anwender-Rollen:

• Als System-Rollen sind die Rollen sa und Import 4.1 vorgegeben. Die Rechte dieser Rollen können nicht verändert werden.

• Als Rechte-Rollen definieren Sie Rollen wie Projektleiter oder Anwendungsbetreuer, also Rollen, bei denen Sie den Umfang der zugeordneten Berechtigungen frei wählen können. Alle Inhaber einer Rolle haben dieselben Rechte.

• Anwender-Rollen werden automatisch erzeugt, wenn Sie einen neuen Anwender eintragen, der Zielobjekte anlegen darf. Derartige Rollen können Sie nicht manuell bearbeiten. Anwen­der haben exklusive Schreib- und Leserechte für alle von ihnen angelegten Objekte, solange keinen anderen Anwendern explizit Rechte an den eingegebenen Objekten zugewiesen wurden.

In diesem Kapitel erfahren Sie mehr darüber, wie Sie die Anwender- und Rechteverwaltung des GSTOOLs für die Arbeit im Team einsetzen können.

3.2 Anwender anlegen

Wenn Sie im Menü Extras die Option Anwender wählen, erhalten Sie eine Übersicht über alle bereits angelegten Anwender. Darunter befindet sich auch der vom System vorgegebene Anwender dbo. Dieser Eintrag kann weder gelöscht noch geändert werden.

- 89 -

Webkurs GSTOOL

Bei Anwendern, die sich mit Datenbank-Sicherheit anmelden, ist das Feld Konto leer, sonst enthält es den Namen der Domäne, über die eine Anmeldung erfolgte.

Mit den Schaltflächen

• Neu können Sie neue Anwender anlegen,

• Öffnen einen zuvor markierten Eintrag ändern und

• Löschen einen zuvor markierten Eintrag löschen.

Alle drei Operationen können Sie jedoch nur dann ausüben, wenn Sie Inhaber der Rolle System oder einer anderen Rolle sind, die das Recht Anwender und Rollen anlegen/Löschen einschließt.

Sicherheit festlegenWenn Sie einen neuen Anwender anlegen, geben Sie diesem einen Namen und wählen, auf welche Weise er sich bei dem GSTOOL anmelden soll:

• Bei Datenbank-Sicherheit müssen Sie ein Anmeldekennwort definieren. Es sollte hinreichend sicher sein (siehe dazu die IT-Grundschutz-Maßnahme M 2.11 Regelung des Passwortgebrauchs).

• Bei integrierter Sicherheit reicht die erfolgreiche Anmeldung an der Domäne beziehungsweise am Rechner. Geben Sie unter Konto den Namen des Anwenders einschließlich seiner Domäne an.

Die Checkbox Konto ist aktiviert muss angekreuzt sein, damit ein Konto benutzt werden kann. Wenn Sie diese für einen Anwender deaktivieren, sperren Sie ihm den Zugriff auf die Datenbank.

Ein neu angelegter Anwender verfügt erst dann über Rechte, wenn Sie ihm eine Rolle zugewiesen haben.

Wenn Sie einen Anwender neu anlegen, ändern oder löschen wollen, so geht dies nur über das GSTOOL. Es ist nicht möglich, Anwender über den SQL-Server zu verwalten.

In einer Windows-Umgebung setzt sich die Bezeichnung eines Benutzerkontos aus dem Namen des Benutzers und dem seiner Domäne zusammen. Sie finden die korrekte Schreib­weise für den Eintrag in das Feld Konto beispielsweise bei Windows XP, indem Sie mit der

rechten Maustaste auf Arbeitsplatz klicken und die Option Eigenschaften auswählen, anschließend Erweitert wählen und sich dann die Eigenschaften zu den Benutzerprofilen anzeigen lassen.

- 90 -

Webkurs GSTOOL

3.3 Anwendern Rollen zuweisenRollen beschreiben, was ein Anwender tun darf und was nicht. Mit Hilfe von Rollen weisen Sie folglich Anwendern Rechte zu. Üblicherweise verwenden Sie hierfür Rechte-Rollen. Diese können vom GSTOOL vorgegeben sein oder selbst definiert werden.

In der Registerkarte Rollen des Fensters Anwender werden die bislang definierten Rechte-Rollen angezeigt. Aktivieren Sie diejenigen Rollen, die auf den Anwender zutreffen sollen.

Die Rollen System, die alle Rechte besitzt, und Import 4.1, die zur Übernahme von Daten aus der Vorgängerversion des GSTOOLs berechtigt, sind vorgegeben und können nicht verändert werden.

Wenn Sie einem Anwender eine Rolle zuweisen möchten, die bislang noch nicht definiert ist oder aber eine vorhandene Rolle ändern möchten, bevor sie diese zuweisen, können Sie, sofern Sie dazu berechtigt sind,

• mit der Schaltfläche Neu zusätzliche Rollen anlegen sowie

• mit der Schaltfläche Öffnen vorhandene Rollen bearbeiten.

Diese Aufgaben werden auf den folgenden Seiten genauer beschrieben.

Wenn Sie eine Rolle ändern, ändern Sie die Rechte für alle Anwender, denen diese Rolle zugewiesen ist.

- 91 -

Webkurs GSTOOL

3.4 Rollen anlegen (1): Allgemeine Eigenschaften festlegenWenn Sie eine neue Rolle anlegen möchten, öffnen Sie über die Option Extras | Rollen | Neu ein Fenster, in dem Sie deren Namen festlegen, die mit ihr verbundenen Rechte bestimmen sowie zusätzliche Angaben zur Beschreibung eintragen können.

Rechte können auf verschiedenen Ebenen und in unterschiedlicher Granularität vergeben werden:

• Globale Rechte beziehen sich auf die grundsätzliche Behandlung der Daten im GSTOOL,

• Rechte an Zielobjekttypen und -subtypen regeln den Umgang mit allen Zielobjekten eines bestimmten Typs oder Untertyps,

• Rechte an IT-Verbünden regeln die Zugriffe auf die eingetragenen Informationsverbünde,

• der Zugriff auf einzelne Einträge wird über die Vergabe von Rechten an Zielobjekten gesteuert,

• Rechte an Berichten regeln die Befähigung zur Erzeugung bestimmter Berichtstypen.

Für jede dieser Ebenen gibt es eine eigene Registerkarte.

- 92 -

Webkurs GSTOOL

Globale Rechte zuweisenIm Einzelnen können Sie einer Rolle auf der dafür vorgesehenen Registerkarte die folgenden globalen Rechte zuweisen:

Recht Beschreibung

Metadaten pflegen Dies berechtigt dazu, Bausteine zu konkretisieren, benutzerdefinierte Bausteine zu erstellen sowie die Metadaten zu aktualisieren. Sie sollten es nur an wenige Teammitglieder vergeben.

IT-Verbünde anlegen Es berechtigt dazu, einen neuen Informationsverbund anzulegen. Existierende Verbünde bearbeiten und löschen kann ein Anwender im Rahmen der Rechte, die auf der Registerkarte IT-Verbünde vergeben werden.

Zielobjekte anlegen Es ermöglicht das Anlegen von Zielobjekten.

Wiederherstellen Mit diesem Recht kann ein Anwender Zielobjekte oder Verknüpfungen wiederherstellen, die zuvor gelöscht wurden.

Anwender und Rollen anlegen und löschen

Anwender mit diesen Rechten dürfen auch ihre eigenen Rechte ändern und neue Anwender anlegen. Das Recht sollte nur sehr restriktiv vergeben werden. Der Tool-Administrator hat es automatisch.

Datenbank sichern Dieses Recht befähigt dazu, eine Datenbank zu sichern.Nur der Tool-Administrator kann eine Datenbanksicherung wieder einspielen.

Anwendungs-Administrator

Dieses Recht gibt die Möglichkeit dazu, Anwendungseinstellungen, das Layout von Berichten und die Angaben zur Auditierung eines Informationsverbundes zu ändern. Es sollte dem Projektleiter vorbehalten sein.

Historie einsehen Dieses Recht ermöglicht Einsicht in die Änderungshistorie von Feldinhalten.

Exporte und Importe Diese Rechte regeln die Bearbeitung der verschiedenen Arten von Datenexporten und -importen (siehe dazu Kapitel 5 Daten austauschen).

3.5 Rollen anlegen (2): Zugriffsrechte auf Informationsverbünde zuweisen

Nachdem Sie allgemeine Rechte an eine Rolle vergeben haben, können Sie dieser Zugriffsrechte auf einzelne Eintragsarten (Zielobjekt-Typen, Zielobjekt-Subtypen), Einträge (Informationsverbünde, Zielobjekte) und Berichtsarten zuweisen.

Für Informationsverbünde vergeben Sie diese auf der Registerkarte IT-Verbünde. Für jeden dort eingetragenen Informationsverbund zeigt sie:

• in der Spalte übergreifende Aspekte/Risikoanalyse diejenigen Rechte, die ein Anwender an den übergreifenden Aspekten und den Risikoanalysen des Informationsverbundes hat,

• in der Spalte Zielobjekte diejenigen Rechte, die er an den logisch verknüpften Zielobjekten hat, und

• in der Spalte Modellierung/Risikoanalyse diejenigen Rechte die er an der zugehörigen Modellierung (einschließlich der Risikoanalysen) hat.

- 93 -

Webkurs GSTOOL

Bei neu angelegten Rollen sind noch keine Rechte zugewiesen. Ein Klick mit der rechten Maustaste auf einen Informationsverbund öffnet ein Menü, mit dem Sie Rechte gesondert für diesen Eintrag, die zu diesem gehörenden übergreifenden Aspekte, die logisch mit ihm verknüpften Zielobjekte sowie die Modellierung und Risikoanalyse zuweisen können. Die folgende Tabelle zeigt, welche Alternativen, grundsätzlich ausgewählt werden können.

Recht Beschreibung

keine Rechte Der Anwender hat keine Rechte für den Informationsverbund und dessen Zielobjekte. Dieser wird ihm somit auch nicht angezeigt.

lesen Der Anwender kann übergreifende Aspekte (oder Zielobjekte) des Informationsverbundes lesen, aber nicht ändern.

bearbeiten Der Anwender kann übergreifende Aspekte (oder Zielobjekte) nicht nur lesen, sondern auch ändern.

löschen Der Anwender kann übergreifende Aspekte (oder Zielobjekte) nicht nur lesen und ändern, sondern auch löschen.

verknüpfen Der Anwender kann Zielobjekte miteinander verknüpfen.

Auditor Die Registerkarte Eigenschaften des Zielobjekts | Auditinformationen für den betreffenden Informationsverbund kann bearbeitet werden.

Diese Rechte können Sie nur für Objekte vergeben, die bereits in der Datenbank eingetragen sind. Weitergehende Mechanismen zur Vergabe von Rechten werden im Abschnitt 3.7Dynamische Rechtevergabe beschrieben.

3.6 Rollen anlegen (3): Zugriffsrechte auf Zielobjekte zuweisenÜber die Registerkarte Zielobjekte können Sie für jedes Zielobjekt gesonderte Rechte festlegen. Dies ist sinnvoll, wenn Sie im Team arbeiten. Wollen Sie beispielsweise einem Mitarbeiter der Haustechnik nicht das Recht geben, Zielobjekte anzulegen, wohl aber bestimmte Zielobjekte zu bearbeiten, etwa Gebäude oder Räume, können Sie diesem auf der Registerkarte IT-Verbünde nur lesenden Zugriff einräumen. Wenn Sie die Zielobjekte eingetragen haben, können Sie dem Mitarbeiter anschließend auch schreibenden Zugriff auf ausgewählte Zielobjekte erlauben.

Sie legen für ausgewählte Zielobjekte Rechte fest, indem Sie:

• diese auf der Registerkarte Zielobjekte markieren und

• anschließend die gewünschten Rechte aus dem Menü auswählen, das Sie mit der rechten Maustaste öffnen.

- 94 -

Webkurs GSTOOL

Die Optionen Alle Rechte lesen, Alle bearbeiten, Alle löschen und Alle verknüpfen beziehen sich auf sämtliche angezeigten Einträge. Welche Zielobjekte angezeigt werden, können Sie mit dem Auswahl­feld Filter eingrenzen, beispielsweise wie in der Abbildung auf Räume.

Wenn auf der Registerkarte IT-Verbünde für alle logisch verknüpften Zielobjekte ein anderes Recht vergeben wurde als für das betreffende Zielobjekt auf der Registerkarte Zielobjekte, gilt immer das umfangreichere Recht.

Bei gleichzeitiger Betätigung der Taste Strg und der linken Maustaste wählen Sie mehrere aufeinander folgende Einträge aus.Bei gleichzeitiger Betätigung der Umschalttaste und der linken Maustaste wählen Sie mehrere

Einträge unabhängig von ihrer Position in der Liste aus.

3.7 Dynamische RechtevergabeBei der Definition einer Rolle können Rechte nur für Zielobjekte vergeben werden, die zu diesem Zeitpunkt existieren. Um eine effektive Arbeit mit dem GSTOOL für einzelne oder mehrere Anwender einer Datenbank zu ermöglichen, werden Rechte an Zielobjekten vom Programm in drei Stufen dynamisch ergänzt:

• Recht am eigenen ZielobjektEin Anwender ist automatisch berechtigt, alle Zielobjekte, die er selber angelegt hat, zu lesen und zu ändern.

• Recht an logisch verknüpften ZielobjektenLese- und Schreibrechte, die auf der Registerkarte IT-Verbünde in der Spalte Rechte Zielobjekte eingetragen sind, gelten auch für solche Zielobjekte, die andere Anwender angelegt haben.

• Recht einer Anwender-RolleBisweilen ist es erforderlich, dass mehrere Anwender mit den gleichen Rechten mit einer Datenbank arbeiten und jeder sämtliche Zielobjekte bearbeiten darf, unabhängig davon, wer diese jeweils angelegt hat. Dies ermöglichen Sie, indem Sie diesen Anwendern neben Rechte-Rollen auch eine gemeinsame Anwender-Rolle zuweisen.

Weiterführende Erklärungen hierzu finden Sie im Handbuch zum GSTOOL, Kapitel 12.3.

- 95 -

Webkurs GSTOOL

3.8 Rollenkonzept entwickelnIn der Regel wird der IT-Sicherheitsbeauftragte bei der Entwicklung eines Sicherheitskonzepts und der Erfassung der dafür notwendigen Informationen von einem Team unterstützt. Den Mitgliedern dieses Teams sollten Rollen zugewiesen werden, die zu den jeweiligen Aufgaben berechtigen:

• Mitarbeiter, die Zielobjekte erfassen sollen, benötigen das diesbezügliche Recht (Zielobjekte anlegen). Für gespeicherte Zielobjekte kann weiteren Personen ein Lese- oder Schreibrecht gegeben werden.

• Mitarbeiter, die einen Basis-Sicherheitscheck durchführen oder an der Realisierungs­planung beteiligt sein sollen, müssen Leserechte auf die übergreifenden Aspekte des Informationsverbundes erhalten, damit ihnen in der Ansicht Modellierung die zum Basis-Sicherheitscheck gehörenden Registerkarten angezeigt werden. Außerdem benötigen sie Lese- und Schreibrechte für alle Zielobjekte, deren Sicherheitsmaßnahmen sie prüfen sollen.

Mit einem Rollenkonzept können Aufgaben sinnvoll verteilt werden. Beispielsweise kann die Er­fassung und Pflege der Stammdaten auf mehrere Personen verteilt werden, die für unterschiedliche Bereiche zuständig sind, etwa die Haustechnik für die infrastrukturellen Gegebenheiten oder die IT-Administration für die IT-Systeme.

Für den IT-Sicherheitsbeauftragten kann eine mit umfassenden Rechten ausgestattete Rolle Projektleiter definiert werden. Um ihn von der technischen Administration des GSTOOLs und der Datenbanken zu entlasten, können Aufgaben wie die Sicherung von Datenbanken, die Konfiguration des GSTOOLs und die Anpassung von Berichten oder die Pflege von Anwendern und Rollen an einen Tool-Administrator übertragen werden.

BeispielEin mögliches Rechte-Rollen-Konzept zeigt die folgende Abbildung:

- 96 -

Webkurs GSTOOL

3.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zu der Benutzer- und Rechteverwaltung des GSTOOLs überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Wie legen Sie fest, welche Rechte ein Anwender des GSTOOLs hat?

a) Sie weisen die gewünschten Rechte explizit zu, wenn Sie diesen Anwender neu anlegen.

b) Sie weisen dem Anwender eine Rolle zu, welche die gewünschten Berechtigungen enthält.

c) Sie tragen den betreffenden Anwender in die Liste Inhaber einer Rolle mit den gewünschten Berechtigungen ein.

d) Sie tragen den Mitarbeiter bei allen Zielobjekten, auf die er Zugriff haben soll, als dazu berechtigt ein.

2. Welche der folgenden Berechtigungen können Sie explizit im GSTOOL zuweisen?

a) die Berechtigung, Zielobjekte eines bestimmten Typs oder Subtyps ändern zu können

b) die Berechtigung, die Ansicht Struktur Zielobjekte einzublenden

c) die Berechtigung, Zielobjekte mit einem Informationsverbund zu verknüpfen

d) die Berechtigung bestimmte Berichte erzeugen zu können

3. Welche der nachfolgend aufgeführten Rechte werden vom GSTOOL dynamisch vergeben?

a) das Recht, alle eingetragenen Daten lesen zu dürfen

b) das Recht, selbst angelegte Zielobjekte auch ändern und verknüpfen zu dürfen

c) das Recht, die übergeordneten Aspekte zu einem selbst angelegten Zielobjekt ändern zu dürfen

d) das Recht, die übergeordneten Aspekte zu einem selbst angelegten Zielobjekt lesen zu können

4. Welche Rechte an Objekten können Sie für neu angelegte Rollen vergeben?

a) das Recht, Zielobjekte anlegen zu dürfen

b) das Recht, alle Zielobjekte lesen zu dürfen

c) das Recht, einzelne Zielobjekte anlegen zu dürfen, ohne ein Schreibrecht für den übergeordneten Informationsverbund zu haben

d) das Recht, vorhandene Zielobjekte ändern zu dürfen

5. Welche Aussagen zur Anwenderverwaltung des GSTOOLs sind zutreffend?

a) Nachdem Sie ein neues Zielobjekt Mitarbeiter erfasst haben, können Sie diesem anschließend eine Rolle mit den gewünschten Berechtigungen zur Benutzung des GSTOOLs zuweisen.

b) Jeder Anwender, den Sie neu anlegen, wird automatisch mit einem voreingestellten Informationsverbund verknüpft.

c) Bei der Anlage eines Anwenders legen Sie fest, in welcher Weise er das GSTOOL benutzen und welche Informationen er einsehen und ändern darf.

d) Personen, die Sie als Zielobjekt Mitarbeiter in die GSTOOL-Datenbank eintragen, müssen zusätzlich als Anwender eingetragen werden, um das GSTOOL mit den von Ihnen gewünschten Berechtigungen benutzen zu können.

- 97 -

Webkurs GSTOOL

4 Datenbanken konfigurieren

4.1 ÜberblickAlle Daten, die Sie in das GSTOOL eingeben, werden in einer Datenbank gespeichert. Diese Datenbank und der dazugehörige Datenbank-Server werden standardmäßig auf demselben Rechner eingerichtet, auf dem auch das GSTOOL installiert ist.

Es ist jedoch auch möglich, mit einer anderen als der bei der Installation bereitgestellten Datenbank zu arbeiten, zum Beispiel einer Datenbank auf einem Server im Netz, sodass mehrere Anwender gleich ­zeitig mit derselben Datenbasis arbeiten können.

In diesem Kapitel wird gezeigt:

• welche Datenbank-Server benutzt werden können,

• welche Datenbanken automatisch erzeugt werden,

• wie Datenbanken an- und abgehängt werden können,

• wie Datenbanken umbenannt und geklont werden können sowie

• wie Datenbanken gesichert und bei Bedarf wiederhergestellt werden können.

4.2 Datenbank-Server auswählen

Welche Server werden unterstützt?Jede Installation des GSTOOLs erzeugt einen eigenen Datenbank-Server und zwar die Microsoft Desktop Engine 2000 (MSDE 2000). Bei dieser handelt es sich um eine Komponente des Microsoft SQL-Servers.

Datenbanken, die unter der MSDE 2000 betrieben werden, können maximal 2 GB groß sein und soll­ten von nicht mehr als fünf Anwendern gleichzeitig bearbeitet werden. Für höhere Anforderungen an die Kapazität oder Mehrbenutzerfähigkeit der Datenbank hat das GSTOOL Schnittstellen zum Microsoft SQL-Server 2000, der damit anstelle der MSDE als Datenbank-Server eingesetzt werden kann.

- 98 -

Webkurs GSTOOL

Wie wählen Sie den Server aus?Beim Start durchsucht das GSTOOL das Netz nach Datenbank-Servern und Datenbanken, die mit dem Programm genutzt werden können. Die dabei gefundenen Server und Datenbanken werden auf der Registerkarte Verbindungsoptionen angezeigt (auch solche, die nicht vom GSTOOL erzeugt wurden) und können dort ausgewählt werden.

Wie sichern Sie die Mehrbenutzerfähigkeit der Datenbank?Auch ohne MS SQL-Server kann jedes installierte GSTOOL über die MSDE als Datenbank-Server für andere Anwender dienen, sodass diese auf eine zentral installierte Datenbank zugreifen können. Die Zugriffsrechte dieser Anwender richten sich danach, welche Rechte für sie in der Rechteverwaltung vergebenen wurden.

Damit auch ohne MS SQL-Server mehrere Anwender auf eine Datenbank im Netz zugreifen können, müssen Sie das GSTOOL auf dem Rechner installieren, auf dem die Datenbank angelegt werden soll. Auf die dabei eingerichtete MSDE können mehrere Anwender

gleichzeitig zugreifen. Sie können jedoch nicht über das Netz auf das GSTOOL zugreifen. Jeder Rechner benötigt dazu eine eigene Installation des Programms.

Wenn Sie den Rechner abschalten, auf dem die Datenbank betrieben wird, werden alle aufgebauten Verbindungen abgebrochen. Vergewissern Sie sich also vorher, dass die Datenbank nicht mehr verwendet wird. Sonst kann es zu Datenverlusten kommen.

- 99 -

Webkurs GSTOOL

4.3 Datenbank-Server starten und anhaltenBei der Installation des GSTOOLs wird automatisch ein Datenbank-Server ge­startet. Unter Umständen kann es zweck­mäßig sein, diesen Server anzuhalten oder zu beenden.

Diese Operationen sowie das Fortsetzen oder erneute Starten des Servers können beim Start des GSTOOLs vorgenommen werden. Bei der Anmeldung wird der Status des ausgewählten Servers durch eine Ampel angezeigt. Bei grüner Ampel – wie nebenstehend abgebildet – ist ein Server aktiv, bei roter nicht.

Mit Anhalten kann ein Server gestoppt, mit Beenden vollständig heruntergefahren werden. Danach sind Zugriffe auf diesen Server und die durch ihn unterstützten Datenbanken erst dann wieder möglich, wenn der Server wieder gestartet wurde. Diese Funktionen sollten Sie daher nur dann verwenden, wenn sicher ist, dass kein Benutzer mehr auf den jeweiligen Server zugreifen will.

Mit den Schaltflächen Fortsetzen und Starten kann ein Server wieder in Betrieb genommen werden.

Alle genannten Operationen kann nur der Tool-Administrator sa vornehmen.

Optionen zum Starten und Stoppen des Datenbank-Servers bietet auch das Hilfsprogramm Datenbanken konfigurieren (Start/Programme/BSI/Tools/Datenbanken konfigurieren).

4.4 Datenbanken umbenennenBei der Installation des GSTOOLs wird automatisch eine Datenbank (BSIDB_V45.MDF) eingerichtet. Sie können diese Standarddatenbank umbenennen. Immer dann, wenn Sie mit den Mitteln des Betriebssystems auf eine Datenbank zugreifen möchten, beispielsweise um diese zu kopieren, zu verschieben oder umzubenennen, müssen Sie die Datenbank entweder erst abhängen und dann wieder anhängen oder den Datenbank-Server stoppen.

Gehen Sie daher wie folgt vor, wenn Sie die Standarddatenbank umbenennen möchten:

1. Starten Sie das Programm Datenbank konfigurieren (Start/Programme/BSI/Tools/Datenbank konfigurieren), um die Standarddatenbank vom Datenbank-Server abzuhängen.

2. Wählen Sie die Registerkarte Datenbanken. Diese zeigt diejenigen Datenbanken an, auf die der ausgewählte Server zugreifen kann.

- 100 -

Webkurs GSTOOL

3. Markieren Sie die Datenbank, die Sie abhängen möchten, und klicken Sie auf Trennen.

4. Die abgehängte Datenbank können Sie mit den üblichen Mitteln des Betriebssystems umbenennen. Achten Sie darauf, die Endung .MDF beizubehalten. Anschließend können Sie diese Datenbank wieder mit dem Server verbinden.

4.5 Datenbanken anhängenAuf der vorherigen Seite wurde darauf hingewiesen, dass bei der Installation von GSTOOL 4.7 automatisch eine Datenbank BSIDB_V45.MDF eingerichtet wird. Sie können auch zusätzliche Datenbanken anlegen, zum Beispiel um eine Mandantenfähigkeit zu erreichen. Zur Vermeidung von Verwechslungen sollten Sie diese Datenbanken unterschiedlich benennen.

- 101 -

Webkurs GSTOOL

So gehen Sie vor:Erstellen Sie eine Kopie der leeren Originaldatenbank – am besten von der Installations-CD – und be­nennen Sie diese um. Falls Sie die Datenbank gemeinsam im Netz mit dem SQL-Server 2000 benutzen wollen, so müssen Sie die Datenbank auf den Server bringen und an den SQL-Server 2000 anhängen.

Sie können aber auch auf Ihrem Arbeitsplatzrechner weitere Datenbanken anhängen. Legen Sie dazu die Datenbank in ein beliebiges Verzeichnis auf dem Rechner, auf dem das GSTOOL installiert ist und über dessen MSDE der Zugriff auf die Datenbank erfolgen soll.

Wenn Sie jetzt diese Datenbank (über Datenbank konfigurieren) anhängen, wird sie beim nächsten Start des GSTOOLs in der Liste der auswählbaren Datenbanken angezeigt.

Sie können nur Datenbanken anhängen, die sich auf demselben Rechner befinden wie der Datenbank-Server.

Sie können Datenbanken auch vervielfältigen, indem Sie diese auf der Ebene des Betriebssystems kopieren. Dabei wird jedoch ein echter Klon erzeugt, der unter Umständen zu Problemen bei bestimmten Programmfunktionen führen kann. Wenn Sie unmittelbar nach

dem Klonen einer Datenbank die Funktion Datenbank leeren ausführen, erhalten Sie eine leere, uneingeschränkt benutzbare Datenbank. Mehr Informationen zu dieser Funktion finden Sie im Handbuch zum GSTOOL, Kapitel 2.3.13. Sollten Sie eine zweite, identische Datenbank benötigen, informieren Sie sich bitte im Handbuch, Kapitel 1.6.2, über die sinnvolle Vorgehensweise.

4.6 Daten sichernFalls Sie Ihr Sicherheitskonzept auf einem Rechner bearbeiten, dessen Dateien nicht automatisch gesichert werden, sollten Sie Ihre Datenbanken regelmäßig sichern. Dies ermöglicht Ihnen auch, bei Bedarf eine Datenbank auf einen älteren Stand zurücksetzen zu können.

So sichern Sie Ihre Daten:Im Menü Datenbank finden Sie die Option Daten sichern und wiederherstellen. Mit dieser öffnen Sie das gleichnamige Fenster, in dem Sie angeben, welche Datenbank Sie sichern möchten sowie an welchem Ort und unter welchem Namen die Sicherungsdatei gespeichert werden soll. Die Vorschläge, die Ihnen das GSTOOL dazu macht, können Sie ändern. Als Speicherort können Sie jedoch nur ein lokales Laufwerk wählen, nicht aber eines im Netz.

Mit Sichern starten Sie den Sicherungsvorgang. Unter Verlauf erhalten Sie anschließend Protokoll­informationen zur erfolgten Datensicherung.

Nicht vergessen: Sichern Sie regelmäßig Ihre GSTOOL-Datenbanken. Beachten Sie bitte dabei, dass die Option Daten sichern und wiederherstellen nur ausgeführt werden kann, wenn die Datenbank an das Tool angehängt ist.

- 102 -

Webkurs GSTOOL

4.7 Daten wiederherstellenWenn Sie Daten aus einer Sicherung wieder einspielen möchten, wenden Sie hierfür die Funktion Daten sichern und wiederherstellen an. Die dazu erforderlichen Angaben nehmen Sie im gleichnamigen Fenster vor: Im Feld Name der Datenbank wählen Sie aus, welche Datenbank wiederhergestellt werden soll, und in dem Feld Sicherungsdatei geben Sie den Namen der Datei an, von der die Sicherung eingespielt werden soll.

Im Beispiel wird die Datenbank BSIDB_V45 durch die Datei G:\GSTOOL4\BSIDB_V45.bak überschrieben.

Das Recht, Daten wiederherzustellen, hat nur der Tool-Administrator sa. Zusätzlich müssen folgende Bedingungen erfüllt sein:

• Die Sicherungsdatei muss sich auf dem Rechner befinden, auf dem auch der Datenbank-Server läuft.

• Während die Sicherungsdatei eingespielt wird, darf kein anderer Anwender Zugriff auf die Datenbank haben.

Wählen Sie die Zieldatenbank sorgfältig aus. Die ausgewählte Datenbank wird vollständig durch die Sicherungsdatei überschrieben.

Anwender und ihre Rechte wiederherstellenFür die Informationen zu den eingetragenen Anwendern gilt bei der Wiederherstellung der Datenbank:

• Befindet sich die Zieldatenbank auf einem Server, der die Anwender kennt, werden alle Anwender und deren Rechtezuordnung zum Zeitpunkt der Sicherung eingespielt.

• Wird die Sicherung in die ursprüngliche Datenbank zurück gespielt, so gehen in der Zwischenzeit angelegte Anwender verloren. Wurden jedoch Anwender in der Zwischenzeit gelöscht, so werden sie auch durch die Wiederherstellung nicht wieder eingespielt.

Wenn Sie den Bericht Anwender und Rollen erzeugen und abspeichern, bevor Sie die Datenbank auf einen älteren Stand zurückstellen, sichern Sie sich eine Dokumentation der zwischenzeitlich vorgenommenen Änderungen. Diesen Bericht finden Sie in der Ansicht

Berichte, wenn Sie den Organisationsnamen markieren. Mehr zu Berichten erfahren Sie im Abschnitt Anwendung unter 9 Berichte erstellen, Filter setzen.

- 103 -

Webkurs GSTOOL

4.8 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zu der Behandlung von Datenbanken überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche Aussagen zum Anhängen von Datenbanken sind zutreffend?

a) Sie können hierfür das Programm Datenbank konfigurieren verwenden.

b) Sie finden die entsprechenden Optionen unter Extras | Optionen im GSTOOL.

c) Sie können hierfür sowohl das Tool Datenbank konfigurieren als auch das GSTOOL verwenden.

d) Es ist nicht erforderlich, Datenbanken explizit anzuhängen, solange sie nur die standardmäßig vorgesehene Datenbank benutzen.

2. Was muss gewährleistet sein, damit ein Anwender mit einer Datenbank arbeiten kann?

a) Der Datenbankserver muss gestartet sein.

b) Die Datenbank darf von keinem weiteren Anwender geöffnet sein.

c) Die Datenbank muss angehängt sein.

d) Das Tool Datenbank konfigurieren muss gestartet sein.

3. Alle Datenbanken, die mit dem GSTOOL bearbeitet werden, …

a) … müssen sich auf demselben Computer befinden wie das Programm.

b) … müssen sich auf demselben Computer befinden, dies muss aber nicht unbedingt derselbe sein wie der, auf dem das GSTOOL installiert ist.

c) … können auf unterschiedlichen Computern gespeichert sein.

d) … können gleichzeitig in einer GSTOOL-Sitzung bearbeitet werden.

4. Welche der folgenden Aussagen zum Zugriff auf die GSTOOL-Datenbank sind zutreffend?

a) Wenn ein Anwender eine Datenbank bearbeitet, kann sich ein zweiter nur als Administrator an dieser Datenbank anmelden.

b) Mehrere Anwender können gleichzeitig sowohl lesend als auch schreibend auf eine GSTOOL-Datenbank zugreifen.

c) Während ein Anwender auf eine GSTOOL-Datenbank zugreift, ist sie für weitere Anwender sowohl für den lesenden als auch den schreibenden Zugriff gesperrt.

d) Anwender können nur lesend auf eine Datenbank zugreifen, solange diese von einem anderen Anwender bearbeitet wird.

- 104 -

Webkurs GSTOOL

5 Daten austauschen

5.1 ÜberblickDas GSTOOL ermöglicht es, dezentral von mehreren Clients aus auf eine zentrale und gemeinsam genutzte Datenbank zuzugreifen. Unter Umständen kann es jedoch erforderlich

sein, Daten zwischen verschiedenen Datenbanken auszutauschen, beispielsweise wenn Daten auf einem nicht-vernetzten PC erfasst wurden oder an einen solchen übertragen werden sollen. Für diesen Zweck bietet das Tool verschiedene Funktionen zum Exportieren und Importieren von Daten an.

Im Einzelnen sind dies die Funktionen:

• Zielobjekt-Export und Zielobjekt-Import, mit denen Zielobjekte in Tabellenform exportiert und in eine andere Datenbank eingelesen werden können,

• Standard-Export und Standard-Import, mit denen nicht nur Zielobjekte, sondern auch Informationen zu Bausteinen und Maßnahmen aus einer GSTOOL-Datenbank exportiert und in eine andere importiert werden können,

• Re-Export und Re-Import, mit denen Daten, die zuvor mit Standard-Ex- und -Import übertragen und gegebenenfalls anschließend bearbeitet wurden, in die Quelldatenbank zurück-gespielt werden können,

• Einweg-Export und Einweg-Import, mit denen eine Datenbank vollständig oder teilweise in eine andere übertragen werden kann,

• Basis-Export und Basis-Import, mit denen benutzerdefinierte Änderungen an Metadaten (Bausteine, Gefährdungen und Maßnahmen, Zielobjekttypen und Subtypen) in eine andere Datenbank übernommen werden können.

In diesem Kapitel wird beschrieben, für welche Zwecke Sie diese Verfahren jeweils verwenden können und wie Sie dabei im Einzelnen vorgehen. Zusätzlich erfahren Sie, wie Sie Export-Dateien verschlüsseln und damit gegen unerwünschte Mitleser schützen können.

Ein Anwender kann nur die Exporte und Importe durchführen, für die er die Rechte besitzt, und er kann nur die Zielobjekte exportieren, für die er Schreibrechte hat.

5.2 Export anlegenDas Vorgehen zur Anlage eines Exports ist bei allen Export-Arten ähnlich: Sie wechseln in die Ansicht Export / Import, wählen dort die Option Neu auf der Registerkarte Export und öffnen damit das Fenster Export anlegen, in dem Sie den beabsichtigten Export genauer beschreiben.

Typ des Exports und allgemeine Angaben festlegenAuf der Registerkarte Eigenschaften wählen Sie den gewünschten Export-Typ aus und benennen den Export.

Im Feld Rückgabe bis können Sie ein Datum angeben, bis zu dem die Daten in die Quell­datenbank zurückgegeben werden sollen. Diese Angabe dient der Dokumentation und wird vom Programm nicht ausgewertet.

Ferner können Sie in das Textfeld Erläuterung zusätzliche Kommentare zur Exportdatei ein­tragen.

- 105 -

Webkurs GSTOOL

Umfang des Exports festlegenAuf den Registerkarten IT-Verbünde und Zielobjekte legen Sie fest, welche Informationen exportiert werden sollen.

Auf der Registerkarte IT-Verbünde können Sie Informationsverbünde auswählen. Es werden alle logisch (direkt) mit einem ausgewählten Informationsverbund verknüpften Zielobjekte in den Export übernommen, ebenso alle sonstigen Informationen, die mit diesem verbunden sind, nicht aber die technisch (indirekt) verknüpften Zielobjekte.

Die folgende Abbildung zeigt einen Ausschnitt der Registerkarte Zielobjekte, auf der Sie diejenigen Zielobjekte auswählen können, die Sie exportieren möchten.

Durch Wahl eines Zielobjekt-Typs können Sie die Auswahlliste eingrenzen, beispielsweise auf Gebäu­de oder – wie abgebildet – auf IT-Systeme.

Alle Zielobjekte, die Sie auf dieser Registerkarte auswählen, werden bei dem Export berücksichtigt, unabhängig davon, wie diese verknüpft sind.

Export ausführen oder speichernSie können einen Export unmittelbar starten oder zunächst sichern und dann zu einem späteren Zeitpunkt ausführen:

• Mit Durchführen starten Sie den Export und werden aufgefordert, die Export-Datei zu benennen und ihren Speicherort anzugeben.

• Wenn Sie stattdessen die Option Speichern wählen, wird der Export in die Liste der Exporte übernommen und kann von dort aus später ausgeführt werden.

Auf der Registerkarte Verlauf wird der Fortschritt des Exportvorgangs angezeigt. Nach erfolgreichem Abschluss eines Exports können Sie die Exportdatei außerhalb der Quelldatenbank verwenden.

Jeder Export kann nur einmal ausgeführt werden. Daher ist die Schaltfläche Ausführen für bereits ausgeführte Exporte deaktiviert.

- 106 -

Webkurs GSTOOL

5.3 Import anlegenFür den Import von Daten gehen Sie wie folgt vor:

1. Öffnen Sie beim Start des GSTOOLs die Datenbank, in die Sie Daten importieren wollen.

2. Stellen Sie die Ansicht Export / Import ein.

3. Mit der Option Neu auf der Registerkarte Import öffnen Sie das Fenster Import anlegen.

4. Wählen Sie dort die Import-Datei über die Schaltfläche Durchsuchen aus.

Anhand der ausgewählten Datei erkennt das GSTOOL den Typ des vorgesehenen Imports und den Namen des zugrunde liegenden Exports und trägt diese Informationen in die Felder Import-Typ und Name ein. Diese automatisch vorgenommenen Angaben können Sie nicht ändern.

5. Starten Sie den Import mit Ausführen.

Auch hier können Sie den Fortschritt des Vorgangs auf der Registerkarte Verlauf verfolgen. Nach Abschluss wird der Import in die Liste der angelegten Importe übernommen.

5.4 Zielobjekte-Export und Zielobjekte-Import

Wenn Sie Daten, die Sie mit dem GSTOOL erfasst haben, für andere Programme zur Verfügung stellen möchten, können Sie mit der Option Zielobjekt-Export in Textdatei die Informationen zu Zielobjekten in tabellarischer Form in eine Textdatei exportieren.

- 107 -

Webkurs GSTOOL

Bei dieser Option können Sie zusätzlich festlegen, ob weitere Angaben zu den ausgewählten Ziel­objekten exportiert werden sollen:

• Zusatzattribute, die gegebenenfalls für ein Zielobjekt definiert sind,

• Rollen von Mitarbeitern, die als Zielobjekt für den Export vorgesehen sind,

• die globale Zielobjekt-ID, mit der bei einem späteren Import zwischenzeitlich erfolgte Änderungen des Zielobjekts in der Ausgangsdatenbank nachvollzogen werden können, sowie

• die Verknüpfungen der ausgewählten Zielobjekte.

Informationen zu Bausteinen und Maßnahmen werden bei diesem Exporttyp nicht berücksichtigt.

Sie können zwischen unterschiedlichen Formaten der Exportdatei wählen und zwar: TXT, CSV und XML. Bedenken Sie bitte bei der Auswahl, dass XML-Dateien nicht in das GSTOOL importiert werden können.

Textdateien importierenDaten, die Sie mit dem GSTOOL oder anderen Programmen (z. B. einem Tabellenkalkulations­programm) als Textdatei in einem der beiden Formate TXT oder CSV gesichert haben, können Sie mit der Option Zielobjekt-Import aus Textdatei in die geöffnete Datenbank des GSTOOLs importieren.

Mit dieser Funktion können Sie den Aufwand für die Erfassung der Stammdaten verringern, indem Sie Daten eines Bestandsverzeichnisses Ihrer IT-Systeme in das GSTOOL übernehmen.

Um für den Import geeignet zu sein, müssen die Daten gewissen Formatvorgaben genügen. Hinweise dazu sowie zu den eventuell erforderlichen Korrekturen an den importierten Daten finden Sie in Kapitel 14.3 des Handbuchs zum GSTOOL.

5.5 Standard-Export und Standard-ImportHaben Sie beim Anlegen eines neuen Exports Standard-Export angegeben, so werden von Ihnen ausgewählte Ausschnitte der Datenbank einschließlich aller Informationen zu Bausteinen und Maßnahmen zur Bearbeitung in einer anderen GSTOOL-Datenbank bereitgestellt.

Der Standard-Export erzeugt eine Access-Datenbank (.mdb), die Sie mittels Standard-Import anschließend wieder in eine andere Datenbank einlesen können.

- 108 -

Webkurs GSTOOL

Sie können dieses Verfahren zum Beispiel verwenden, um den Umsetzungsstand von Sicherheits­maßnahmen vor Ort mit dem GSTOOL zu dokumentieren und die erfassten Informationen anschließend in eine zentrale GSTOOL-Datenbank zu übertragen.

Da das GSTOOL nur gestartet werden kann, wenn eine Datenbank angehängt ist, diese Daten aber nicht mit den Daten des Standard-Imports vermischt werden dürfen, wird für die Import-Daten ein zusätzlicher Arbeitsbereich angelegt. Mehr Informationen dazu, wie Sie mit

unterschiedlichen Arbeitsbereichen umgehen, finden Sie in den Abschnitten 10.5.1 bis 10.5.3 des Handbuchs zum GSTOOL.

Re-Export und Re-ImportMit Re-Export und Re-Import können Sie die Daten nach der Bearbeitung in die ursprüngliche Datenbank zurückübertragen.

Re-Export und ein Re-Import können jeweils nur einmal durchgeführt werden. Werden für den Re-Export nicht alle Zielobjekte ausgewählt, die im Standard-Export enthalten waren, lassen sich diese nur über den Weg des Einweg-Exports zurückübertragen. Ein Re-Import wird wieder vollständig in den Standard-Arbeitsbereich der ursprünglichen Quell-Datenbank einbezogen.

Ein Re-Import kann nur durchgeführt werden, wenn der zugehörige Standard-Export in der Quelldatenbank noch angelegt ist, also nicht gelöscht wurde.

Sie können diese Möglichkeit dazu benutzen, um zeitlich befristet die Daten der Quell-Datenbank in einer anderen Datenbank zu bearbeiten. Die bearbeiteten Daten können dann per Re-Export und Re-Import wieder in die ursprüngliche Datenbank zurückübertragen

werden. Bis zu diesem Re-Import sind die Daten in der Quell-Datenbank gesperrt, können dort also nicht bearbeitet werden. Falls Sie diese Daten weiterbearbeiten wollen, zum Beispiel weil der Standard-Export verloren gegangen ist, müssen Sie den Export aus der Liste der Exporte löschen. Allerdings ist dann ein Re-Import nicht mehr möglich.

Lesen Sie bitte im Handbuch zum GSTOOL, Kapitel 10.5.4, nach, wie Sie bei der Bearbeitung vorgehen müssen, falls kein Informationsverbund im Standard-Import enthalten ist.

5.6 Einweg-Export und Einweg-ImportSollen Daten einer Datenbank auf Dauer an einer anderen Stelle weiterbearbeitet werden, so wählen Sie dafür die Funktionen Einweg-Export und Einweg-Import. Diese Verfahren können Sie beispielsweise dann verwenden, wenn Sie die Informationen über eine Außenstelle auf einem Laptop erfasst haben und anschließend in eine zentrale Datenbank einspielen möchten. Die Vorgehensweise entspricht der beim Standard-Export und -Import.

- 109 -

Webkurs GSTOOL

Auch der Einweg-Export sperrt die exportierten Zielobjekte für die weitere Bearbeitung in der Quell-Datenbank. Diese Sperre können Sie aufheben, indem Sie den Export aus der Liste der Exporte löschen.

Für Einweg-Importe werden keine gesonderten Arbeitsbereiche angelegt. Die importierten Objekte werden in die aktuelle Datenbank einbezogen. Sie können dieses Verfahren damit auch dazu benutzen, dezentral erfasste Daten in einen zentral bearbeiteten Informationsverbund zu integrieren.

Ist bereits ein gleichnamiges Objekt in der Datenbank enthalten, wird die Bezeichnung des importierten Objekts um eine Tilde und eine fortlaufende Nummer ergänzt, damit die beiden Einträge unterschieden werden können. Sie können die Einträge jederzeit umbenennen.

Exporte LöschenFalls Sie gesperrte Zielobjekte wieder bearbeiten möchten, müssen Sie den Export löschen, der die Sperrung verursacht hat. Hierzu markieren Sie den betreffenden Export in der Liste der Exporte, wählen anschließend die Option Löschen und bestätigen Ihre Absicht mit OK. Sobald der Export gelöscht ist, werden auch alle zugehörigen Bearbeitungssperren wieder gelöst. Wenn Sie einen Einweg-Export löschen, hat dies keine weiteren Auswirkungen.

Wenn Sie hingegen einen Standard-Export löschen, ist der zugehörige Re-Import nicht mehr möglich! Sie können die zugehörigen Objekte nur noch über einen Einweg-Export und Einweg-Import zurückholen, wobei die ursprünglichen Zielobjekte allerdings unverändert

bleiben und die zurückgeholten Objekte zusätzlich angelegt werden.

5.7 Basis-Export und Basis-ImportDie Ansicht IT-Grundschutz benutzerdefiniert bietet die Möglichkeit, die Metadaten des GSTOOLs zu ändern. Sie können zum Beispiel eigene Bausteine, Maßnahmen und Gefährdungen anlegen oder die standardmäßig vorhandenen Bausteine, Maßnahmen und Gefährdungen konkretisieren (siehe dazu Kapitel 8 IT-Grundschutz anpassen).

Unter Umständen ist es sinnvoll, solche Änderungen auch in anderen Datenbanken zu verwenden, beispielsweise dann, wenn Sie vom BSI-Standard abweichende Bausteine, Maßnahmen oder auch Zielobjekt-Typen und Subtypen als Vorgabe für Sicherheitskonzepte einsetzen möchten, die Sie dezentral an unterschiedlichen Standorten mit Hilfe des GSTOOLs entwickeln.

Für diesen und vergleichbare Anwendungsfälle enthält das GSTOOL zwei Funktionen:

• Mit einem Basis-Export legen Sie eine Datei an, die sämtliche in der aktuellen Datenbank vorhandenen Abweichungen der Metadaten vom BSI-Standard enthält.

• Mit einem Basis-Import können Sie anschließend den Inhalt dieser Datei in eine andere Datenbank einlesen.

Die Funktion Basis-Export wird nur dann angeboten, wenn kein Basis-Import in der Liste der Importdateien enthalten ist.

Wie sich ein Basis-Import auf eine Zieldatenbank auswirkt, hängt von deren Inhalten ab. Einzelheiten dazu sind im Abschnitt 10.13.1 des Handbuchs zum GSTOOL beschrieben.

- 110 -

Webkurs GSTOOL

5.8 Daten verschlüsselnFalls Sie Export-Dateien über ein unsicheres Medium wie das Internet übertragen wollen, können Sie diese verschlüsseln, um sie vor unerwünschten Mitlesern zu schützen. Hierfür enthält das GSTOOL eine auf dem Algorithmus Chiasmus des BSI beruhende Verschlüsselungskomponente.

Mit Extras | Verschlüsselung öffnen Sie das Fenster Chiasmus-Verschlüsselung mit drei Registerkarten zum Verschlüsseln und Entschlüsseln von Dateien sowie zur Verwaltung der dafür verwendeten Schlüssel.

Dateien verschlüsselnSie verschlüsseln Dateien, indem Sie auf der Registerkarte Datei verschlüsseln angeben:

• welche Datei verschlüsselt werden soll,

• unter welchem Namen und an welchem Speicherort die verschlüsselte Datei abgelegt werden soll sowie

• welcher Schlüssel dafür verwendet werden soll.

Dateien, die mit einem Chiasmus-Schlüssel verschlüsselt wurden, haben die Endung .mdx.

Dateien entschlüsselnIn gleicher Weise entschlüsseln Sie Dateien, indem Sie auf der Registerkarte Datei entschlüsseln angeben:

• welche Datei entschlüsselt werden soll,

• unter welchem Namen und an welchem Speicherort die entschlüsselte Datei abgelegt werden soll sowie

• welcher Schlüssel zum Entschlüsseln verwendet werden soll.

Derselbe Schlüssel, der zum Verschlüsseln einer Datei benutzt wurde, muss auch verwendet werden, um diese wieder zu entschlüsseln.

Schlüssel verwaltenDie Registerkarte Schlüssel verwalten bietet Optionen zum Erzeugen und Löschen der benötigten Schlüssel.

Gehen Sie sorgfältig mit den Schlüsseldateien um! Wenn Sie zum Beispiel versehentlich eine Schlüsseldatei löschen, können Sie sämtliche Daten nicht mehr entschlüsseln, die mit dem in dieser Datei gespeicherten Schlüssel verschlüsselt sind.

- 111 -

Webkurs GSTOOL

5.9 TestWenn Sie möchten, können Sie mit den nachfolgenden Fragen Ihre Kenntnisse zu den Import- und Exportfunktionen des GSTOOLs überprüfen. Die Auflösungen zu den Fragen finden Sie im Anhang.

Gegebenenfalls können auch mehrere Antwortmöglichkeiten zutreffend sein.

1. Welche Export-Funktionen werden vom GSTOOL angeboten?

a) Basis-Export

b) Standard-Export

c) Re-Export

d) verteilter Export

2. Welche Aussagen zum Einweg-Export sind zutreffend?

a) Ein solcher Export ist nicht Bestandteil des GSTOOLs.

b) Die exportierten Zielobjekte werden für die weitere Bearbeitung in der Quelldatenbank gesperrt.

c) Bei einem Einweg-Export wird ein Hashwert der exportierten Daten erzeugt.

d) Ein Einweg-Import kann nur von einem Tabellenkalkulationsprogramm wieder eingelesen werden.

3. Welche Vorgehensweise bietet sich an, um Daten aus einem Tabellenkalkulationsprogramm als Zielobjekte in eine Datenbank des GSTOOLs zu importieren?

a) Sie wählen die Funktion Zielobjekt-Import aus Textdatei, anschließend die Datei des Tabellen­kalkulationsprogramms, danach die Option in Text konvertieren und lassen die Daten einlesen.

b) Sie überführen die Daten des Tabellenkalkulationsprogramms in eine CSV-Datei, die Sie an­schließend über die Option Zielobjekt-Import aus Textdatei in das GSTOOL einlesen lassen.

c) Sie fügen dem Notizblock des passenden Informationsverbundes einen Verweis auf die Ausgangstabelle hinzu.

d) Sie schreiben ein passendes Makro mit dem Tabellenkalkulationsprogramm und wenden dies auf die gewünschten Daten an.

4. Welche Export- und Importfunktionen bieten sich an, um dezentral auf einem Laptop mit dem GSTOOL erfasste Zielobjekte in eine zentrale GSTOOL-Datenbank zu übertragen?

a) mittels Einweg-Export aus der Datenbank des Laptops exportieren, mittels Einweg-Import in die zentrale Datenbank importieren

b) mittels Basis-Export aus der Datenbank des Laptops exportieren, mittels Basis-Import in die zentrale Datenbank importieren

c) mittels Einweg-Export aus der Datenbank des Laptops exportieren, mittels Re-Import in die zentrale Datenbank importieren

d) mittels Re-Export aus der Datenbank des Laptops exportieren, mittels Einweg-Import in die zentrale Datenbank importieren

5. Mit welchem Exporttyp können Sie benutzerdefinierte oder konkretisierte Bausteine, Maßnahmen und Gefährdungen für andere GSTOOL-Datenbanken bereitstellen?

a) Einweg-Export

b) Basis-Export

- 112 -

Webkurs GSTOOL

c) Standard-Export

d) Metadaten-Export

- 113 -

Webkurs GSTOOL

Anhang 1: Auflösungen zu den TestfragenNachfolgend finden Sie die Auflösungen zu den Testfragen am Ende der Kapitel dieses Kurses. Die richtigen Antworten sind fett hervorgehoben und mit einem Haken (✔) versehen.

Lösungen zu Teil II, Kapitel 3: Stammdaten erfassen

1. Welche der folgenden Objekte sind im GSTOOL ein eigener Zielobjekt-Typ?

a) Gebäude (✔)

b) Kommunikationsmedien

c) Räume (✔)

d) Mitarbeiter (✔)

2. Welche Funktion hat die Liste der Stammdaten im GSTOOL?

a) Sie ist ein Inventar der Vermögenswerte einer Institution.

b) Sie dient dazu, die Objekte zu erfassen, die im Sicherheitskonzept einer Institution berücksichtigt werden. (✔)

c) Sie enthält den aktuellen Stand der IT-Grundschutz-Kataloge.

d) Sie enthält Beschreibungen der unveränderlichen Eigenschaften eines Unternehmens.

3. Wie stellen Sie im GSTOOL eine Gruppe von IT-Systemen dar?

a) Sie erfassen die IT-Systeme, markieren die zu gruppierenden IT-Systeme und wählen anschließend die Option Gruppieren.

b) Sie erfassen ein einzelnes Zielobjekt und tragen dabei die Anzahl gleichartiger IT-Systeme ein. (✔)

c) Sie erfassen die IT-Systeme, wählen anschließend die Funktion „Ähnliche suchen“ und fassen das Suchergebnis zu einer Gruppe zusammen.

d) Sie erfassen die IT-Systeme und statten deren Namen mit einem einheitlichen Präfix aus.

4. Welche IT-Systeme sollten im GSTOOL nicht gruppiert werden?

a) solche mit ungleichem Schutzbedarf (✔)

b) solche, deren Einsatzalter sehr stark voneinander abweicht

c) solche mit unterschiedlichem Betriebssystem (✔)

d) solche mit unterschiedlichem Standort

5. Ein Informationsverbund (oder IT-Verbund) ist eine Bezeichnung für ...

a) … Informationen, die auf unterschiedlichen Medien verwaltet werden, aber zusammen­gehören.

b) … den in einem Sicherheitskonzept zu berücksichtigenden Ausschnitt einer Institution. (✔)

c) … eine Gruppe von IT-Systemen, zwischen denen Informationen ausgetauscht werden.

d) … eine Gruppe von Mitarbeitern, die Kenntnis von den Berichten erhalten sollen, die mit dem GSTOOL erzeugt werden.

- 114 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 4: Stammdaten strukturieren

1. Was ermöglicht die logische Verknüpfung von Zielobjekten?

a) die automatische Vererbung des Schutzbedarfs zwischen den miteinander verknüpften Zielobjekten

b) Vorschläge für die Vererbung des Schutzbedarfs zwischen den verknüpften Zielobjekten

c) die Berücksichtigung der Zielobjekte in der Modellierung (✔)

d) die Erzeugung eines Strukturdiagramms

2. Wenn ein Zielobjekt technisch mit einem Informationsverbund verknüpft ist, dann ist es ...

a) … automatisch auch logisch mit diesem verknüpft.

b) … Bestandteil des Informationsverbundes. (✔)

c) … mit allen anderen Zielobjekten verknüpft, die ebenfalls technisch mit dem Informations­verbund verknüpft sind.

d) … nicht mehr mit anderen Zielobjekten verknüpfbar.

3. Was ermöglicht die technische Verknüpfung von Zielobjekten?

a) die automatische Vererbung des Schutzbedarfs zwischen den miteinander verknüpften Zielobjekten

b) Vorschläge für die Vererbung des Schutzbedarfs zwischen den verknüpften Zielobjekten (✔)

c) die Berücksichtigung der Zielobjekte in der Modellierung

d) die Erzeugung eines Strukturdiagramms

4. Was ändern Sie im GSTOOL, wenn Sie ein IT-System in einen anderen Raum verlegt haben?

a) Sie ändern die Angabe im Pflichtfeld Standort in der Registerkarte zur Beschreibung der Eigenschaften des IT-Systems.

b) Sie lösen die Verknüpfung des IT-Systems mit seinem früheren Standort. (✔)

c) Sie verknüpfen das IT-System mit seinem neuen Standort. (✔)

d) Sie geben dem IT-System eine neue Versionsnummer.

- 115 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 5: Schutzbedarf feststellen

1. Welche Voraussetzungen sollten im GSTOOL erfüllt sein, bevor Sie den Schutzbedarf der Zielobjekte eines Informationsverbundes dokumentieren?

a) Sie sollten die Zielobjekte möglichst vollständig erfasst haben.(✔)

b) Sie sollten alle Verknüpfungen der Zielobjekte entfernen, da sonst der Schutzbedarf automatisch abgeleitet wird.

c) Die Schutzbedarfsdefinitionen müssen für die Organisation angepasst worden sein. (✔)

d) Die Zielobjekte sollten entsprechend ihrer Abhängigkeiten miteinander technisch verknüpft sein.(✔)

2. Welche Ursachen kann es dafür geben, dass im GSTOOL keine Vorschläge zum Schutzbedarf eines Serverraums angezeigt werden?

a) Die Schutzbedarfsdefinitionen wurden noch nicht angepasst.

b) Der Serverraum ist nicht mit den IT-Systemen verknüpft, die in ihm untergebracht sind. (✔)

c) Der Schutzbedarf der im Raum befindlichen IT-Systeme wurde noch nicht eingetragen. (✔)

d) Der Schutzbedarf des Gebäudes, in dem sich der Serverraum befindet, wurde noch nicht festgestellt.

3. Wie viele Schutzbedarfskategorien sieht das GSTOOL vor?

a) fünf: sehr niedrig, niedrig, normal, hoch und sehr hoch

b) drei: normal, hoch und sehr hoch (✔)

c) vier: niedrig, mittel, hoch und sehr hoch

d) standardmäßig drei (normal, hoch und sehr hoch), Anzahl und Bezeichnung der Kategorien können jedoch vom Benutzer geändert werden

4. Welches Prinzip wendet das GSTOOL bei der Erzeugung seiner Vorschläge zum Schutzbedarf an?

a) das Kumulationsprinzip

b) das Verteilungsprinzip

c) das Maximumprinzip (✔)

d) das Minimumprinzip

5. Welche Schutzziele werden bei der Schutzbedarfsfeststellung im GSTOOL unterschieden?

a) Vertraulichkeit (✔)

b) Authentizität

c) Verfügbarkeit (✔)

d) Integrität (✔)

- 116 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 6: IT-Grundschutz prüfen

1. Die Ansicht Modellierung bietet zwei Darstellungsweisen: das Objektmodell und das Schichtenmodell. Worin unterscheiden sich diese?

a) Im Objektmodell können Sie den Modellierungsvorschlag des GSTOOLs nicht ändern, wohl aber im Schichtenmodell.

b) Das Objektmodell zeigt, welche Bausteine mit einem Zielobjekt verknüpft sind, das Schichtenmodell hingegen, für welche Zielobjekte Bausteine verknüpft sind. (✔)

c) Im Objektmodell werden alle logisch verknüpften Zielobjekte angezeigt, im Schichten­modell nur dann, wenn sie mit einem Baustein verknüpft sind. (✔)

d) Im Objektmodell werden keine ausschließlich technisch mit einem Informationsverbund verknüpften Zielobjekte angezeigt, wohl aber im Schichtenmodell.

2. Wozu kann die Referenzierung von Bausteinen dienen?

a) Sie verhindert das versehentliche Löschen eines Bausteins aus der Modellierung.

b) Sie erleichtert die Modellierung des Informationsverbundes.

c) Sie ersetzt eine sonst durchzuführende ergänzende Sicherheitsanalyse.

d) Sie verringert den Erfassungsaufwand beim Basis-Sicherheitscheck. (✔)

3. Welche Auswirkungen hat es, wenn Sie in der Ergänzenden Sicherheitsanalyse entscheiden, dass für ein Zielobjekt eine Risikoanalyse durchzuführen ist?

a) Das betreffende Zielobjekt wird nicht mehr in der Ansicht Modellierung, sondern nur noch der Ansicht Risikoanalyse angezeigt.

b) Ein Fenster wird geöffnet, in dem Sie zusätzliche Sicherheitsmaßnahmen für das Zielobjekt festlegen können.

c) Das betreffende Zielobjekt wird in der Ansicht Risikoanalyse angezeigt. (✔)

d) Alle Felder, in denen Sie den Basis-Sicherheitscheck dokumentieren können, werden solange deaktiviert, bis Sie die Risikoanalyse abgeschlossen haben.

4. Welche Angaben dokumentieren Sie im GSTOOL für die Realisierungsplanung?

a) die voraussichtlichen Sachkosten für Einführung und Betrieb einer Maßnahme (✔)

b) die Zertifikatsrelevanz einer Maßnahme

c) die Verantwortlichkeiten für die Umsetzung der Maßnahme und deren Initiierung (✔)

d) den voraussichtlichen Personalaufwand für Einführung und Betrieb einer Maßnahme (✔)

5. Welche Maßnahmen müssen für ein ISO 27001 Zertifikat auf Basis von IT-Grundschutz umgesetzt oder als entbehrlich gekennzeichnet sein?

a) alle mit „--C“ gekennzeichneten Maßnahmen (✔)

b) alle mit „-BC“ gekennzeichneten Maßnahmen (✔)

c) alle mit „ABC“ gekennzeichneten Maßnahmen (✔)

d) alle Maßnahmen, also auch diejenigen, die mit „I“ oder „---“ gekennzeichnet sind

- 117 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 7: Risikoanalyse

1. Ein Zielobjekt wird in der Ansicht Risikoanalyse angezeigt, wenn ...

a) ... es einen mindestens hohen Schutzbedarf in einem Grundwert hat.

b) … Sie bei der ergänzenden Sicherheitsanalyse dokumentiert haben, dass eine Risiko­analyse erforderlich ist. (✔)

c) … es bei der Modellierung keinen IT-Grundschutz-Baustein zugewiesen bekommen hat.

d) … Sie es mit einem Objekt logisch verknüpfen, das bereits in der Risikoanalyse angezeigt wird.

2. Sie können in der Ansicht Risikoanalyse Maßnahmen mit einer Gefährdung verknüpfen, wenn Sie sich bei der Risikobehandlung für ...

a) … die Risiko-Übernahmen entschieden haben.

b) … den Risiko-Transfer entschieden haben.

c) … die Risikoreduktion durch ergänzende Maßnahmen entschieden haben. (✔)

d) … die Risikoreduktion durch Umstrukturierung entschieden haben.

3. Warum erhalten Maßnahmen, die Sie in der Risikoanalyse mit einer Gefährdung verknüpfen, automatisch die Kennung „C“?

a) weil Sie nur solche Maßnahmen auswählen können, die als „C“-Maßnahmen gekennzeichnet sind

b) weil die Umsetzung der in einer Risikoanalyse als erforderlich eingestuften Maßnahmen für eine Zertifizierung unerlässlich ist (✔)

c) weil diese Maßnahmen nur eine nachrangige Priorität besitzen

d) weil das GSTOOL immer dann, wenn es eine Entscheidung nicht automatisch treffen kann, eine möglichst strenge, aber von Ihnen änderbare Voreinstellung wählt

4. Was machen Sie bei einer ergänzenden Sicherheitsanalyse?

a) Sie prüfen und korrigieren gegebenenfalls die Modellierung.

b) Sie prüfen, ob zusätzliche Gefährdungen zu berücksichtigen sind.

c) Sie prüfen, ob für ein Zielobjekt eine Risikoanalyse erforderlich ist oder nicht. (✔)

d) Sie prüfen und korrigieren gegebenenfalls die Schutzbedarfsfeststellung.

5. Welche Kriterien berücksichtigen Sie, wenn Sie die Wirkung der bereits umgesetzten oder geplanten Maßnahmen im Rahmen der Gefährdungsbewertung prüfen?

a) Vollständigkeit (✔)

b) Wirtschaftlichkeit

c) Mechanismenstärke (✔)

d) Zuverlässigkeit (✔)

- 118 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 8: IT-Grundschutz anpassen

1. Welche Folgen hat es, wenn Sie einen Baustein mit einem Zielobjekt-Typen verknüpfen?

a) Der Baustein kann nicht mehr gelöscht werden.

b) Der Baustein wird bei der Modellierung automatisch mit allen Zielobjekten des gleichen Typs verknüpft. (✔)

c) Sie können den Baustein nur dann in der Ansicht Modellierung mit einem Zielobjekt des gleichen Typs verknüpfen.

d) Der Baustein wird nicht mehr in der Ansicht Risikoanalyse angezeigt.

2. Wenn Sie der Meinung sind, dass Sie für ein bestimmtes Zielobjekt eine Maßnahme eines IT-Grundschutz-Bausteins nicht anzuwenden brauchen, sollten Sie ...

a) … in der Ansicht IT-Grundschutz benutzerdefiniert die Verknüpfung zur nicht benötigten Maßnahme löschen.

b) … die Maßnahme beim Basis-Sicherheitsscheck als entbehrlich kennzeichnen und dies begründen. (✔)

c) … die Maßnahme beim Basis-Sicherheitscheck als nicht umgesetzt kennzeichnen und dies begründen.

d) … in der Ansicht Modellierung die Verknüpfung zur nicht benötigten Maßnahme aus dem Baustein löschen.

3. Wenn Sie in der Ansicht Modellierung einen Baustein mit einer weiteren Maßnahme verknüpfen, ...

a) … ist dies nur für das Zielobjekt relevant, mit dem der betreffende Baustein verknüpft ist. (✔)

b) … erzeugen Sie einen konkretisierten Baustein.

c) … erzeugen Sie einen benutzerdefinierten Baustein.

d) … wirkt sich dies auf alle Zielobjekte des gleichen Typs oder Subtyps aus, sofern Sie die Maßnahme in der Ansicht IT-Grundschutz benutzerdefiniert mit dem Baustein verknüpfen.

4. In der Ansicht IT-Grundschutz Management ...

a) … aktualisieren Sie die in das GSTOOL integrierten Informationen zu den IT-Grundschutz-Katalogen.

b) … können Sie festlegen, wer welchen Zugriff auf die Bausteine und Maßnahmen im GSTOOL haben darf.

c) … können Sie unterschiedliche Versionen eines benutzerdefinierten Bausteins verwalten. (✔)

d) … können Sie konkretisierte und benutzerdefinierte Bausteine und Maßnahmen freigeben oder außer Kraft setzen. (✔)

- 119 -

Webkurs GSTOOL

Lösungen zu Teil II, Kapitel 9: Berichte erstellen, Filter setzen

1. Welche Angaben zu den Berichtsköpfen in den Standard-Berichtsvorlagen sind zutreffend?

a) Sie dürfen den Copyright-Vermerk des Bundesamts für Sicherheit in der Informationstechnik nicht ändern.

b) Sie können den Namen Ihrer Organisation einfügen. (✔)

c) Sie können das Logo Ihrer Organisation einfügen. (✔)

d) Sie können beim Erzeugen eines Berichts angeben, ob Sie diesen mit oder ohne Kopf haben möchten.

2. Mit Hilfe von Filtern können Sie im GSTOOL …

a) … steuern, welche Zielobjekte in Listen angezeigt werden. (✔)

b) … festlegen, welche Eigenschaftsfelder eines Zielobjekts in einem Bericht berücksichtigt werden.

c) … die in Listen angezeigten Zielobjekte auf einen bestimmten Typ einschränken. (✔)

d) … die Anzeige von Zielobjekten für bestimmte Anwender gezielt ausblenden.

3. Welche Voraussetzungen müssen erfüllt sein, damit Sie einen Bericht über den Umsetzungsstand von Maßnahmen erzeugen können?

a) Sie müssen einen hierfür geeigneten Berichtstyp auswählen. (✔)

b) Sie müssen mit einem Filter festlegen, dass ausschließlich Maßnahmen in den Bericht aufgenommen werden.

c) Die im Bericht behandelten Maßnahmen müssen zuvor bearbeitet worden sein.

d) Sie müssen Inhaber einer Rolle sein, die dazu berechtigt, den gewünschten Bericht zu erzeugen. (✔)

4. Was wird durch einen Terminfilter ermöglicht?

a) die Sortierung der Zielobjekte anhand ihres Erfassungsdatums

b) die Erzeugung von Listen mit Maßnahmen, die in einem bestimmten Zeitraum umzusetzen sind (✔)

c) ein einfacher Weg veraltete IT-Systeme aus der Liste der Stammdaten zu löschen

d) die Ausgabe von Listen, in denen festgelegt ist, wer, wann, welche Stammdaten im GSTOOL zu erfassen hat

- 120 -

Webkurs GSTOOL

Lösungen zu Teil III, Kapitel 2: Das GSTOOL einrichten

1. Welcher Benutzer wird bei der Installation des GSTOOLs automatisch eingerichtet?

a) der Systemadministrator

b) der Tool-Administrator sa (✔)

c) der Datenbankadministrator dbo

d) der Benutzer bsi

2. Welche Bedeutung haben die mit BSI bezeichneten Einträge in der Ansicht Struktur Zielobjekte?

a) Sie bezeichnen einen Organisationsnamen. (✔)

b) Sie dienen als Überschrift für Zielobjekte, die sich von der Webseite des BSI herunterladen lassen.

c) Sie bezeichnen einen Informationsverbund. (✔)

d) Sie bezeichnen den Herausgeber des GSTOOLs.

3. Welche Angaben gehören zu den Metadaten des GSTOOLs?

a) die Versionsnummer des verwendeten Datenbanksystems

b) die Zuordnung von IT-Grundschutz-Bausteinen zu Subtypen (✔)

c) der Lizenzschlüssel des GSTOOLs

d) alle Angaben (Bausteine, Maßnahmen, Gefährdungen) zu den IT-Grundschutz-Katalogen (✔)

4. Warum sollten Sie unmittelbar nach der Installation das Kennwort für den Tool-Administra­tor sa ändern?

a) damit sich keine Unbefugten anmelden können, da das Standard-Passwort allgemein bekannt ist (✔)

b) weil sich sonst das GSTOOL nicht starten lässt

c) weil Eingaben sonst nicht dauerhaft gespeichert werden können

d) weil das Standardpasswort die für ein sicheres Passwort erforderliche Mindestlänge von acht Zeichen nicht erfüllt

5. Was kann sich ändern, wenn Sie die Metadaten aktualisieren?

a) die Einträge in der Ansicht Struktur Zielobjekte

b) die Einträge in der Ansicht Modellierung (✔)

c) die Einträge in der Registerkarte Eigenschaften der Maßnahme zu einer ausgewählten Maßnahme in der Ansicht Modellierung (✔)

d) die Einträge in der Ansicht IT-Grundschutz benutzerdefiniert (✔)

- 121 -

Webkurs GSTOOL

Lösungen zu Teil III, Kapitel 3: Zugriffsrechte verwalten

1. Wie legen Sie fest, welche Rechte ein Anwender des GSTOOLs hat?

a) Sie weisen die gewünschten Rechte explizit zu, wenn Sie diesen Anwender neu anlegen.

b) Sie weisen dem Anwender eine Rolle zu, welche die gewünschten Berechtigungen enthält. (✔)

c) Sie tragen den betreffenden Anwender in die Liste Inhaber einer Rolle mit den gewünschten Berechtigungen ein.

d) Sie tragen den Mitarbeiter bei allen Zielobjekten, auf die er Zugriff haben soll, als dazu berechtigt ein.

2. Welche der folgenden Berechtigungen können Sie explizit im GSTOOL zuweisen?

a) die Berechtigung, Zielobjekte eines bestimmten Typs oder Subtyps ändern zu können (✔)

b) die Berechtigung, die Ansicht Struktur Zielobjekte einzublenden

c) die Berechtigung, Zielobjekte mit einem Informationsverbund zu verknüpfen (✔)

d) die Berechtigung, bestimmte Berichte erzeugen zu können (✔)

3. Welche der nachfolgend aufgeführten Rechte werden vom GSTOOL dynamisch vergeben?

a) das Recht, alle eingetragenen Daten lesen zu dürfen

b) das Recht, selbst angelegte Zielobjekte auch ändern und verknüpfen zu dürfen (✔)

c) das Recht, die übergeordneten Aspekte zu einem selbst angelegten Zielobjekt ändern zu dürfen

d) das Recht, die übergeordneten Aspekte zu einem selbst angelegten Zielobjekt lesen zu können

4. Welche Rechte an Objekten können Sie für neu angelegte Rollen vergeben?

a) das Recht, Zielobjekte anlegen zu dürfen (✔)

b) das Recht, alle Zielobjekte lesen zu dürfen (✔)

c) das Recht, einzelne Zielobjekte lesen zu dürfen, ohne ein Schreibrecht für den übergeordneten Informationsverbund zu haben

d) das Recht, vorhandene Zielobjekte ändern zu dürfen (✔)

5. Welche Aussagen zur Anwenderverwaltung des GSTOOLs sind zutreffend?

a) Nachdem Sie ein neues Zielobjekt Mitarbeiter erfasst haben, können Sie diesem anschließend eine Rolle mit den gewünschten Berechtigungen zur Benutzung des GSTOOLs zuweisen.

b) Jeder Anwender, den Sie neu anlegen, wird automatisch mit einem voreingestellten Informationsverbund verknüpft.

c) Bei der Anlage eines Anwenders legen Sie fest, in welcher Weise er das GSTOOL benutzen und welche Informationen er einsehen und ändern darf. (✔)

d) Personen, die Sie als Zielobjekt Mitarbeiter in die GSTOOL-Datenbank eintragen, müssen zusätzlich als Anwender eingetragen werden, um das GSTOOL mit den von Ihnen gewünschten Berechtigungen benutzen zu können. (✔)

- 122 -

Webkurs GSTOOL

Lösungen zu Teil III, Kapitel 4: Datenbanken konfigurieren

1. Welche Aussagen zum Anhängen von Datenbanken sind zutreffend?

a) Sie können hierfür das Programm Datenbank konfigurieren verwenden. (✔)

b) Sie finden die entsprechenden Optionen unter Extras | Optionen im GSTOOL.

c) Sie können hierfür sowohl das Tool Datenbank konfigurieren als auch das GSTOOL verwenden.

d) Es ist nicht erforderlich, Datenbanken explizit anzuhängen, solange sie nur die standardmäßig vorgesehene Datenbank benutzen. (✔)

2. Was muss gewährleistet sein, damit ein Anwender mit einer Datenbank arbeiten kann?

a) Der Datenbankserver muss gestartet sein. (✔)

b) Die Datenbank darf von keinem weiteren Anwender geöffnet sein.

c) Die Datenbank muss angehängt sein. (✔)

d) Das Tool Datenbank konfigurieren muss gestartet sein.

3. Alle Datenbanken, die mit dem GSTOOL bearbeitet werden, …

a) … müssen sich auf demselben Computer befinden wie das Programm.

b) … müssen sich auf demselben Computer befinden, dies muss aber nicht unbedingt derselbe sein wie der, auf dem das GSTOOL installiert ist.

c) … können auf unterschiedlichen Computern gespeichert sein. (✔)

d) … können gleichzeitig in einer GSTOOL-Sitzung bearbeitet werden.

4. Welche der folgenden Aussagen zum Zugriff auf die GSTOOL-Datenbank sind zutreffend?

a) Wenn ein Anwender eine Datenbank bearbeitet, kann sich ein zweiter nur als Administrator an dieser Datenbank anmelden.

b) Mehrere Anwender können gleichzeitig sowohl lesend als auch schreibend auf eine GSTOOL-Datenbank zugreifen. (✔)

c) Während ein Anwender auf eine GSTOOL-Datenbank zugreift, ist sie für weitere Anwender sowohl für den lesenden als auch den schreibenden Zugriff gesperrt.

d) Anwender können nur lesend auf eine Datenbank zugreifen, solange diese von einem anderen Anwender bearbeitet wird.

- 123 -

Webkurs GSTOOL

Lösungen zu Teil III, Kapitel 5: Daten austauschen

1. Welche Export-Funktionen werden vom GSTOOL angeboten?

a) Basis-Export (✔)

b) Standard-Export (✔)

c) Re-Export (✔)

d) verteilter Export

2. Welche Aussagen zum Einweg-Export sind zutreffend?

a) Ein solcher Export ist nicht Bestandteil des GSTOOLs.

b) Die exportierten Zielobjekte werden für die weitere Bearbeitung in der Quell-Datenbank gesperrt. (✔)

c) Bei einem Einweg-Export wird ein Hashwert der exportierten Daten erzeugt.

d) Ein Einweg-Import kann nur von einem Tabellenkalkulationsprogramm wieder eingelesen werden.

3. Welche Vorgehensweise bietet sich an, um Daten aus einem Tabellenkalkulationsprogramm als Zielobjekte in eine Datenbank des GSTOOLs zu importieren?

a) Sie wählen die Funktion Zielobjekt-Import aus Textdatei, anschließend die Datei des Tabellen­kalkulationsprogramms, danach die Option in Text konvertieren und lassen die Daten einlesen.

b) Sie überführen die Daten des Tabellenkalkulationsprogramms in eine CSV-Datei, die Sie dann über die Option Zielobjekt-Import aus Textdatei in das GSTOOL einlesen lassen. (✔)

c) Sie fügen dem Notizblock des passenden Informationsverbundes einen Verweis auf die Ausgangstabelle hinzu.

d) Sie schreiben ein passendes Makro mit dem Tabellenkalkulationsprogramm und wenden dies auf die gewünschten Daten an.

4. Welche Export- und Importfunktionen bieten sich an, um dezentral auf einem Laptop mit dem GSTOOL erfasste Zielobjekte in eine zentrale GSTOOL-Datenbank zu übertragen?

a) mittels Einweg-Export aus der Datenbank des Laptops exportieren, mittels Einweg-Import in die zentrale Datenbank importieren (✔)

b) mittels Basis-Export aus der Datenbank des Laptops exportieren, mittels Basis-Import in die zentrale Datenbank importieren

c) mittels Einweg-Export aus der Datenbank des Laptops exportieren, mittels Re-Import in die zentrale Datenbank importieren

d) mittels Re-Export aus der Datenbank des Laptops exportieren, mittels Einweg-Import in die zentrale Datenbank importieren

5. Mit welchem Exporttyp können Sie benutzerdefinierte oder konkretisierte Bausteine, Maßnahmen und Gefährdungen für andere GSTOOL-Datenbanken bereitstellen?

a) Einweg-Export

b) Basis-Export (✔)

c) Standard-Export

d) Metadaten-Export

- 124 -

Webkurs GSTOOL

Anhang 2: GlossarAnwender

Anwender im Sinne des GSTOOLs sind Personen, die tatsächlich an einem PC mit dem Programm arbeiten, also Daten erfassen, ansehen, auswerten, ausdrucken usw.Der Begriff „benutzerdefiniert“ (für Bausteine, Maßnahmen etc.) ist abweichend davon so gewählt. Es wird angenommen, dass benutzerdefinierte Elemente nicht aufgrund persönlicher Ent­scheidungen des Anwenders angelegt und benannt werden, sondern entsprechend der Erfordernisse, die sich aus der tatsächlich existierenden IT der Tool-nutzenden Organisation ergeben.

Basis-SicherheitscheckDer Begriff bezeichnet gemäß IT-Grundschutz die Überprüfung, ob die nach IT-Grundschutz empfohlenen Maßnahmen in einer Organisation bereits umgesetzt sind und welche grundlegenden Sicherheitsmaßnahmen noch fehlen.

BausteinDer Begriff dient zur Strukturierung von Empfehlungen der IT-Grundschutz-Kataloge. Bausteine sind die Einheiten innerhalb einer Schicht (z. B. IT-Systeme, Netze). Sie beschreiben teils technische Komponenten (wie Verkabelung), teils organisatorische Verfahren (wie Notfallvorsorge-Konzept) und besondere Einsatzformen (wie häuslicher Arbeitsplatz). In jedem Baustein werden die betrachtete IT-Komponente und die Gefährdungslage beschrieben sowie organisatorische und technische Sicherheitsmaßnahmen empfohlen.

DB-ServerDatenbank-Server.

Ergänzende SicherheitsanalyseDiese Analyse ist nach IT-Grundschutz erforderlich, wenn Zielobjekte des betrachteten Informationsverbundes einen erhöhten Schutzbedarf haben, nicht geeignet modelliert werden können oder in untypischen Einsatzszenarien betrieben werden. Die Vorgehensweise hierzu ist im BSI-Standard 100-2: IT-Grundschutz-Vorgehensweise beschrieben. Die ergänzende Sicherheits­analyse dient dazu festzustellen, für welche Teile des Informationsverbundes eine Risikoanalyse notwendig ist.

FreifeldEingabefelder, bei denen es dem Benutzer freigestellt ist, Eintragungen vorzunehmen oder nicht, sind Freifelder. Freifelder sind entsprechend der Farbwahl für das Bildelement Fenster eingefärbt. Bei einer Windows-Standard-Einstellung ist dies „weiß“.

GefährdungskatalogeGefährdungskataloge sind Teil der IT-Grundschutz-Kataloge und enthalten Beschreibungen möglicher Gefährdungen der Informationstechnik. Sie sind in die Schadensursachen höhere Gewalt, organisatorische Mängel, menschliche Fehlhandlungen, technisches Versagen und vorsätzliche Handlungen gegliedert.

InformationsverbundUnter einem Informationsverbund (oder auch IT-Verbund) ist die Gesamtheit von infra­strukturellen, organisatorischen, personellen und technischen Objekten zu verstehen, die der Auf­gabenerfüllung in einem bestimmten Anwendungsbereich der Informationsverarbeitung dienen. Ein Informationsverbund kann dabei als Ausprägung die gesamte Institution oder auch einzelne Bereiche, die durch organisatorische Strukturen (z. B. Abteilungen) oder gemeinsame Geschäfts­prozesse bzw. Anwendungen (z. B. Personalinformationssystem) gegliedert sind, umfassen.

InformationssicherheitInformationssicherheit hat den Schutz von Informationen als Ziel. Dabei können Informationen sowohl auf Papier, in Rechnern oder auch in Köpfen gespeichert sein. IT-Sicherheit beschäftigt sich an erster Stelle mit dem Schutz elektronisch gespeicherter Informationen und deren Verarbeitung. Der Begriff „Informationssicherheit“ statt IT-Sicherheit ist daher umfassender und wird zunehmend verwendet. Da aber in der Literatur noch überwiegend der Begriff „IT-Sicherheit“

- 125 -

Webkurs GSTOOL

zu finden ist, wird er auch in dieser sowie in anderen Publikationen des IT-Grundschutzes weiterhin verwendet, allerdings werden die Texte sukzessive stärker auf die Betrachtung von Informationssicherheit ausgerichtet.

IntegritätIntegrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen. Wenn der Begriff Integrität auf „Daten“ angewendet wird, drückt er aus, dass die Daten vollständig und unverändert sind. In der Informationstechnik wird er in der Regel aber weiter gefasst und auf „Informationen“ angewendet. Der Begriff „Information“ wird dabei für „Daten“ verwendet, denen je nach Zusammenhang bestimmte Attribute wie z.B. Autor oder Zeitpunkt der Erstellung zugeordnet werden können. Der Verlust der Integrität von Informationen kann daher bedeuten, dass diese unerlaubt verändert, Angaben zum Autor verfälscht oder Zeitangaben zur Erstellung manipuliert wurden.

IT-GrundschutzIT-Grundschutz bezeichnet eine Methodik zum Aufbau eines Sicherheitsmanagementsystems sowie zur Absicherung von Informationsverbünden über Standard-Sicherheitsmaßnahmen. Außerdem wird mit IT-Grundschutz der Zustand bezeichnet, in dem die vom BSI empfohlenen Standard-Sicherheitsmaßnahmen umgesetzt sind, die als Gesamtheit von infrastrukturellen, organisatorischen, personellen und technischen Sicherheitsmaßnahmen Institutionen mit normalem Schutzbedarf hinreichend absichern.

IT-GrundschutzanalyseZu einer IT-Grundschutzanalyse gehören die Modellierung mit der Ermittlung der notwendigen Sicherheitsmaßnahmen und der Basis-Sicherheitscheck, in dem ein Soll-Ist-Vergleich den aktuellen Umsetzungsgrad von Sicherheitsmaßnahmen in einem Unternehmen oder einer Behörde beschreibt.

IT-SicherheitIT-Sicherheit bezeichnet einen Zustand, in dem die Risiken, die beim Einsatz von Informations­technik aufgrund von Bedrohungen und Schwachstellen vorhanden sind, durch angemessene Maßnahmen auf ein tragbares Maß reduziert sind. IT-Sicherheit ist also der Zustand, in dem Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Informationstechnik durch angemessene Maßnahmen geschützt sind.

IT-SicherheitsbeauftragterPerson mit eigener Fachkompetenz zur Informationssicherheit in einer Stabsstelle eines Unter­nehmens oder einer Behörde, der für alle Aspekte rund um die Informationssicherheit, Mitwirkung im Sicherheitsprozess und IS-Management-Team zuständig ist, die Leitlinie zur Informations­sicherheit, das Sicherheitskonzept und andere Konzepte z. B. für Notfallvorsorge koordinierend erstellt und deren Umsetzung plant und überprüft.Die Rolle des Verantwortlichen für Informationssicherheit wird je nach Art und Ausrichtung der Institution anders genannt. Häufige Titel sind IT-Sicherheitsbeauftragter oder kurz IT-SiBe, Chief Security Officer (CSO), Chief Information Security Officer (CISO) oder Information Security Manager. Mit dem Titel „Sicherheitsbeauftragter“ werden dagegen häufig die Personen bezeichnet, die für Arbeitsschutz, Betriebssicherheit oder Werkschutz zuständig sind.

KumulationseffektDer Kumulationseffekt beschreibt, dass sich der Schutzbedarf eines IT-Systems erhöhen kann, wenn durch Kumulation mehrerer (z. B. kleinerer) Schäden auf einem IT-System ein insgesamt höherer Gesamtschaden entstehen kann. Ein Auslöser kann auch sein, dass mehrere Anwendungen bzw. eine Vielzahl kritischer Informationen auf einem IT-System verarbeitet werden, sodass durch Kumulation von Schäden der Gesamtschaden höher sein kann.

MaßnahmenkatalogeIn den IT-Grundschutz-Katalogen werden zu jedem Baustein passende Maßnahmen empfohlen. Diese sind in Katalogen zusammengefasst, die in Infrastruktur, Organisation, Personal, Hardware/Software, Kommunikation und Notfallvorsorge gegliedert sind.

- 126 -

Webkurs GSTOOL

Maximumprinzip Nach dem Maximum-Prinzip bestimmt der Schaden bzw. die Summe der Schäden mit den schwerwiegendsten Auswirkungen den Schutzbedarf eines Geschäftsprozesses, einer Anwendung bzw. eines IT-Systems.

Modellierung Bei der Vorgehensweise nach IT-Grundschutz wird bei der Modellierung der betrachtete Informationsverbund eines Unternehmens oder einer Behörde mit Hilfe der Bausteine aus den IT-Grundschutz-Katalogen nachgebildet. Hierzu enthält Kapitel 2.2 der IT-Grundschutz-Kataloge für jeden Baustein einen Hinweis, auf welche Zielobjekte er anzuwenden ist und welche Voraussetzungen dabei gegebenenfalls zu beachten sind.

Metadaten Metadaten sind sämtliche aus den IT-Grundschutz-Katalogen vorliegenden Informationen, die innerhalb des GSTOOLs verwendet werden, um die Erstellung eines Sicherheitskonzepts zu ermöglichen.

Netzplan Ein Netzplan ist eine graphische Übersicht über die Komponenten eines Netzes und ihrer Verbindungen.

Pflichtfeld In vielen Bearbeitungsfenstern und Masken sind farbig markierte Felder zu finden. Dies sind Pflichtfelder, in denen Angaben gemacht werden müssen, um den Inhalt der Maske speichern zu können. Es gibt zwei Arten von Pflichtfeldern: permanente Pflichtfelder und bedingte Pflichtfelder.In permanenten Pflichtfeldern muss auf jeden Fall etwas ausgewählt oder eingetragen werden. Bedingte Pflichtfelder werden nur in Abhängigkeit von Angaben in anderen Feldern zum Pflichtfeld. Sind sie Pflichtfeld, ist auch hier eine Eintragung zwingend. Wird ein bedingtes Pflichtfeld durch Änderungen der auslösenden Eintragungen wieder zum Freifeld, bleibt der Eintrag zwar erhalten, kann aber gelöscht werden.

QualifizierungsstufeDer IT-Grundschutz sieht drei Qualifizierungsstufen vor: das Auditor-Testat „Einstiegsstufe“ (im GSTOOL die Stufe „A“), das Auditor-Testat „Aufbaustufe“ (im GSTOOL die Stufe „B“), das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz (im GSTOOL die Stufe „C“). Näheres zur IT-Grundschutz-Zertifizierung finden Sie im BSI-Standard 100-2 im Kapitel 5.3 IT-Grundschutz-Zertifizierung.

RECPLASTDer Name eines fiktiven Unternehmens, zu dem in diesem Webkurs exemplarische Anwendungen der Vorgehensweise nach IT-Grundschutz ausgeführt sind. Mögliche Ähnlichkeiten dieses Unternehmens mit existierenden Unternehmen sind rein zufällig.

Referenzierung Zur Arbeitserleichterung ist es möglich, im Basis-Sicherheitscheck Bausteine mit deren Maßnahmen aufeinander zu referenzieren. Dadurch können Informationen gleichzeitig für mehrere Bausteine bearbeitet werden.

Referenzquelle Ein Baustein, auf den ein anderer referenziert ist, dessen Informationen also an andere weitergegeben werden, ist die Referenzquelle.

Referenzziel Ein Baustein, der auf einen anderen referenziert ist, dessen Informationen also von dem anderen übernommen werden, ist das Referenzziel.

Revision Revision ist die systematische Überprüfung der Eignung und Einhaltung vorgegebener (Sicherheits-)Richtlinien. Die Revision sollte unabhängig und neutral sein.

- 127 -

Webkurs GSTOOL

RisikoanalyseMit einer Risikoanalyse wird untersucht, welche schädigenden Ereignisse eintreten können, wie wahrscheinlich das Eintreten eines schädigenden Ereignisses ist und welche negativen Folgen der Schaden hätte.

SchutzbedarfDer Schutzbedarf beschreibt, welcher Schutz für die Geschäftsprozesse, die dabei verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist.

SchutzbedarfsdefinitionenDies sind auf die jeweils betrachtete Institution angepasste Kriterien, anhand derer entschieden werden kann, welche Schutzbedarfskategorie auf eine IT-Komponente anzuwenden ist.

SchutzbedarfsfeststellungBei der Schutzbedarfsfeststellung wird der Schutzbedarf der Geschäftsprozesse, der verarbeiteten Informationen und der IT-Komponenten bestimmt. Hierzu werden für jede Anwendung und die verarbeiteten Informationen die zu erwartenden Schäden betrachtet, die bei einer Beeinträchtigung der Grundwerte der Informationssicherheit – Vertraulichkeit, Integrität oder Verfügbarkeit – entstehen können. Wichtig ist es dabei auch, die möglichen Folgeschäden realistisch einzuschätzen. Bewährt hat sich eine Einteilung in die drei Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“.

SicherheitskonzeptEin Sicherheitskonzept dient zur Umsetzung der Sicherheitsstrategie und beschreibt die geplante Vorgehensweise, um die gesetzten Sicherheitsziele einer Institution zu erreichen. Das Sicherheitskonzept ist das zentrale Dokument im Sicherheitsprozess eines Unternehmens bzw. einer Behörde. Jede konkrete Sicherheitsmaßnahme muss sich letztlich darauf zurückführen lassen.

StrukturanalyseIn einer Strukturanalyse werden die erforderlichen Informationen über den ausgewählten Informationsverbund, die Anwendungen, IT-Systeme, Netze, Räume, Gebäude und Verbindungen erfasst und so aufbereitet, dass sie die weiteren Schritte gemäß IT-Grundschutz unterstützen.

SystemadministratorVerwalter eines Rechners oder Computernetzes, der uneingeschränkte Zugriffsrechte auf den Rechner oder das Netz hat. Ein Systemadministrator installiert Betriebssysteme und Anwendungsprogramme, richtet neue Benutzer ein und verteilt die für die Arbeit notwendigen Rechte.

Tool-AdministratorDer Tool-Adminstrator ist die Person oder Personengruppe, die sich im Hilfsprogramm „Datenbank konfigurieren“ als Anwender sa anmeldet, das zugehörige Kennwort kennt und über die damit verbundenen Rechte im GSTOOL verfügt. Trotz des gleichen Anwendernamens (sa) hat der Tool-Administrator nicht die Rechte eines System-Administrators.

VerfügbarkeitDie Verfügbarkeit von Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.

VerknüpfungVerknüpfung meint die Herstellung jeder Art von Verbindungen (mit Ausnahme der Referen­zierung) zwischen Zielobjekten untereinander sowie zwischen Maßnahmen, Bausteinen und Zielobjekten.

VerteilungseffektDer Verteilungseffekt kann sich auf den Schutzbedarf relativierend auswirken, wenn zwar eine Anwendung einen hohen Schutzbedarf besitzt, ihn aber deshalb nicht auf ein betrachtetes IT-System überträgt, weil auf diesem IT-System nur unwesentliche Teilbereiche der Anwendung laufen.

- 128 -

Webkurs GSTOOL

VertraulichkeitVertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein.

ZielobjektZielobjekte sind die real existierenden Teile der IT, für die mit dem GSTOOL ein Sicherheitskonzept nach IT-Grundschutz erstellt wird. Einzelne Zielobjekte können andere enthalten, sie können dabei hierarchisch einander zugeordnet sein. So kann das Zielobjekt Serverraum Teil des Zielobjektes Gebäude sein, aber nicht umgekehrt.

Zielobjekt-Typ/Zielobjekt-SubtypÜber die Festlegung von Zielobjekt-Typ und, wenn wählbar, Zielobjekt-Subtyp wird im GSTOOL die Bausteinzuordnung gesteuert. Das Ergebnis der Bausteinzuordnung wird in der Modellierung dem Anwender als Vorschlag angeboten.Die Zielobjekt-Typen IT-Verbund, Gebäude und Mitarbeiter enthalten keine weiteren Zielobjekt-Subtypen.Die Zielobjekt-Typen Raum, IT-System, Netz und Anwendung enthalten jeweils mehrere Ziel­objekt-Subtypen.

- 129 -

Webkurs GSTOOL

Anhang 3: Kontakte

Herausgeber dieses Kurses

Bundesamt für Sicherheit in der Informationstechnik (BSI)Referat 114 – IT-Sicherheitsmanagement und IT-GrundschutzPostfach 20 03 6353133 BonnTel.: +49 (0) 228 99 9582-5369Fax: +49 (0) 228 99 9582-5405E-Mail: grundschutz@bsi.bund.de

Entwickler dieses Kurses

Fraunhofer-Institut für Sichere Informationstechnologie SITBereich Anwendungs- und Prozesssicherheit (APS)Schloss Birlinghoven53754 Sankt AugustinTel.: +49 (0) 2241/14-3272Fax: +49 (0) 2241/14-3007

Hotline zum GSTOOL

Fragen, Wünsche, Anregungen zum GSTOOL und seinen Funktionen richten Sie an:

Bundesamt für Sicherheit in der InformationstechnikProjektgruppe GSTOOLPostfach 20 03 6353133 BonnTel.: +49 (0) 228 99 9582-5299 Fax: +49 (0) 228 99 10 9582-5299 E-Mail: gstool@bsi.bund.de

Bei technischen Problemen mit dem Programm (z.B. bei Installationsproblemen, Programmabstürzen oder Fehlermeldungen) wenden Sie sich an den technischen Support.E-Mail: gstool-support@bsi.bund.de

- 130 -