IT-Grundschutz-Kompendium

716 Pages·2017·6.49 MB·English

Unternehmen und Wirtschaft

IT-Grundschutz-
Kompendium
1. Edition 2018
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte
bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Bundesanzeiger Verlag GmbH
Amsterdamer Straße 192
50735 Köln
Internet: www.bundesanzeiger-verlag.de
Weitere Informationen finden Sie auch in unserem Themenportal unter www.betrifft-unternehmen.de
E-Mail:
Vorwort
Vorwort
Ich freue mich, Ihnen mit Abschluss der Modernisierung des IT-Grundschutzes die erste Edition des neuen IT-Grund­
schutz-Kompendiums präsentieren zu können. Mit dieser Veröffentlichung erhalten Sie nach der umfangreichen
Überarbeitung der bewährten BSI-Methodik das notwendige Rüstzeug, um sich mit den zentralen Fragen und The­
men zur Informationssicherheit in Ihrer Institution zu befassen. Neben dem IT-Grundschutz-Kompendium sind die
Vorgehensweisen aus dem BSI-Standard 200-2 und der Leitfaden zur Basis-Absicherung die fundamentalen Werk­
zeuge.
Das IT-Grundschutz-Kompendium ist ein umfangreiches Nachschlagewerk zur Informationssicherheit. Es enthält
die ersten 80 IT-Grundschutz-Bausteine, die dem Stand der Technik entsprechen und für künftige Editionen konti­
nuierlich aktualisiert und erweitert werden. Bei der Erstellung der Bausteine hat das BSI bereits eine Risikobewer­
tung für Bereiche mit normalem Schutzbedarf durchgeführt und den Anwendern dadurch einen aufwendigen Ar­
beitsschritt abgenommen: Besonders für kleine und mittlere Unternehmen (KMU) und kleinere Behörden bedeutet
dies eine Arbeitserleichterung. Die vorliegende Edition kann bereits für Zertifizierungsvorhaben genutzt werden.
Auch nach der Modernisierung geht es weiter: Die rasant fortschreitenden Entwicklungen in der Digitalisierung
und die sich ändernde Rechtslage in der Informationssicherheit erfordern es, dass der IT-Grundschutz auch zukünf­
tig an die aktuellen Entwicklungen angepasst wird und neue Themen Eingang finden. Wenn wir es mit der Digitali­
sierung ernst meinen, dann ist Informationssicherheit eine wesentliche Voraussetzung für deren Erfolg. Der IT-
Grundschutz ebnet den Weg in eine sichere Digitalisierung für Unternehmen und Behörden aller Größen. Damit
wird die bewährte BSI-Methodik zur Erhöhung der Informationssicherheit in Ihrer Institution und in Deutschland
beitragen – heute und in Zukunft.
Ich wünsche Ihnen eine anregende Lektüre und eine erfolgreiche Arbeit mit dem IT-Grundschutz-Kompendium in
Ihrer Institution.
Arne Schönbohm
Präsident des Bundesamtes für Sicherheit in der Informationstechnik
IT-Grundschutz-Kompendium: Stand Februar 2018 1
Vorwort
2 IT-Grundschutz-Kompendium: Stand Februar 2018
Dankesworte
Dankesworte
Mit der Edition 2018 des IT-Grundschutz-Kompendiums wurde der IT-Grundschutz grundlegend modernisiert und
so auf aktuelle Entwicklungen angepasst. Für die Mitarbeit bei der Modernisierung des IT-Grundschutzes und die
engagierte Unterstützung bei der Erstellung neuer Bausteine wird an dieser Stelle allen Beteiligten gedankt.
Strategische Ausrichtung und Gesamtverantwortung:
Frau Isabel Münch, BSI
Gesamtkoordination und Chefredaktion:
Herr Holger Schildt, BSI
Management und Controlling:
Herr Alex Essoh, BSI
Herr Florian Hillebrand, BSI
Redaktionelle Bearbeitung:
Herr Ehad Qorri, BSI
Frau Katharina Thönnes, BSI
Herr Christoph Wiemers, BSI
Qualitätssicherung:
Frau Katrin Alberts, BSI
Herr Sebastian Frank, SecuMedia Verlag
Herr Peter Hohl, SecuMedia Verlag
Herr Alexander Stanik, BSI
Leitung Bausteinerstellung:
Frau Petra Bottenberg, BSI
Herr Alex Essoh, BSI
Herr Florian Hillebrand, BSI
Herr Birger Klein, BSI
Frau Verena Lang, BSI
Herr Ehad Qorri, BSI
Herr Holger Schildt, BSI
Frau Katharina Thönnes, BSI
Herr Christoph Wiemers, BSI
Die Anwender des IT-Grundschutzes konnten vor der Veröffentlichung des IT-Grundschutz-Kompendiums die Bau­
steine kommentieren. Viele Anwender haben das BSI dabei unterstützt und ihr Fachwissen in die Modernisierung
einfließen lassen. Auch hier sei den Mitwirkenden gedankt. Darüber hinaus sei allen gedankt, die sich durch kons­
truktive Kritik und praktische Verbesserungsvorschläge an der Verbesserung des IT-Grundschutzes beteiligt haben.
IT-Grundschutz-Kompendium: Stand Februar 2018 1
Dankesworte
1.1 Institutionen und Personen
Folgende Anwender und Auftragnehmer haben durch die Mitarbeit bei der Erstellung von Bausteinen ihr Fachwis­
sen in das IT-Grundschutz-Kompendium einfließen lassen. Ihnen gebührt ausdrücklicher Dank, da ihr Engagement
die Entstehung, Modernisierung und Weiterentwicklung des IT-Grundschutz-Kompendiums erst ermöglicht hat.
Auftragnehmer
Besonderer Dank gilt den Mitarbeitern der Firma HiSolutions AG für die Unterstützung bei der Modernisierung des
IT-Grundschutzes.
Außerdem danken wir den Firmen ComConsult Beratung und Planung GmbH sowie chm-software.com.
Anwender
Wir danken darüber hinaus folgenden Anwendern des IT-Grundschutzes:
Herrn Dr. Sönke Maseberg (datenschutz cert GmbH), Herrn Christoph Möhring (ITZBund), Herrn Jan Schirrmacher
(datenschutz cert GmbH), Herrn Steffen Schwalm (BearingPoint GmbH), Herrn Thomas Simon (ComConsult Bera­
tung und Planung GmbH), Herrn Andreas F. Scholtz (mc-2 management consulting GmbH), Herrn Roland Schwarz
(Bundesdruckerei GmbH), Herrn Martin Stolle (mc-2 management consulting GmbH), Herrn Dr. Gerhard Weck
(INFODAS GmbH) sowie den Mitgliedern der Arbeitsgruppe Informationssicherheit (AG InfoSic), des IT-Planungs­
rats und des AK Technik der Datenschutzbeauftragten des Bundes und der Länder für die zahlreichen konstruktiven
Kommentare.
1.2 Unterstützer von Bausteinen
Der IT-Grundschutz wird nicht nur vom BSI oder im Auftrag des BSI weiterentwickelt, sondern auch durch die Un­
terstützung der Anwender. Viele Themen genießen bei den Anwendern des IT-Grundschutzes so eine hohe Priori­
tät, dass sie Bausteine erstellen und kostenlos zur Verfügung stellen oder vorhandene Bausteine maßgebend kos­
tenlos verbessern. Den folgenden Anwendern, die die genannten Bausteine entwickelt oder umfangreich aktuali­
siert haben, gilt der größte Dank:
Herrn Dr. Martin Meints (Dataport) für CON.5 Entwicklung und Einsatz von Allgemeinen Anwendungen
Herrn Rainer Meisriemler (Oracle) für APP.4.3 Relationale Datenbanksysteme.
1.3 Bundesamt für Sicherheit in der Informationstechnik
Das IT-Grundschutz-Kompendium wurde mit dem fachlichen Wissen folgender Kollegen des Bundesamtes für Si­
cherheit in der Informationstechnik bereichert:
Herr Heinrich Altengarten, Herr Dr. Stephan Arlt, Herr Kirsten Beiss, Herr Thomas Caspers, Herr Armin Cordel, Herr
Markus de Brün, Herr Thorsten Dietrich, Herr Dr. Clemens Doubrava, Herr Michael Dwucet, Herr Dr. Lothar Eßer,
Herr Jürgen Förster, Herr Dr. Kai Fuhrberg, Herr Dr. Patrick Grete, Herr Carl-Daniel Hailfinger, Herr Dr. Dirk Häger,
Frau Veselina Hensel, Herr Dr. Hartmut Isselhorst, Herr Holger Junker, Herr Wilfried Kister, Herr Jens Kluge, Frau Dr.
Ulrike Korte, Herr Dr. Robert Krawczyk, Herr Dr. Helge Kreutzmann, Herr Daniel Loevenich, Herr Jens Mehrfeld,
Herr Marc Meyer, Herr Michael Mehrhoff, Herr Dr. Frank Niedermeyer, Herr Dr. Harald Niggemann, Herr Michael
Nosbüsch, Herr Detlef Nuß, Herr Michael Otter, Herr Rudolf Schick, Herr Karl Hubert Schmitz, Herr Arndt Schneider,
Herr Carsten Schulz, Herr Jens Sieberg, Herr Dr. Timo Steffens, Frau Anne-Kathrin Walter, Herr Frank Weber, Herr
Maximilian Winkler, Herr Dr. Dietmar Wippig sowie Herr Michael Förtsch, Herr Thomas Häberlen, Herr Christian
Merz, Herr Kevin Mosser.
2 IT-Grundschutz-Kompendium: Stand Februar 2018
Gesamtinhaltsverzeichnis
Gesamtinhaltsverzeichnis
Vorwort
Dankesworte
Inhaltsverzeichnis
Neues im IT-Grundschutz-Kompendium
IT-Grundschutz – Basis für Informationssicherheit
Schichtenmodell und Modellierung
Rollen
Elementare Gefährdungen
• G01 Feuer
• G02 Ungünstige klimatische Bedingungen
• G03 Wasser
• G04 Verschmutzung, Staub, Korrosion
• G05 Naturkatastrophen
• G06 Katastrophen im Umfeld
• G07 Großereignisse im Umfeld
• G08 Ausfall oder Störung der Stromversorgung
• G09 Ausfall oder Störung von Kommunikationsnetzen
• G010 Ausfall oder Störung von Versorgungsnetzen
• G011 Ausfall oder Störung von Dienstleistern
• G012 Elektromagnetische Störstrahlung
• G013 Abfangen kompromittierender Strahlung
• G014 Ausspähen von Informationen (Spionage)
• G015 Abhören
• G016 Diebstahl von Geräten, Datenträgern oder Dokumenten
• G017 Verlust von Geräten, Datenträgern oder Dokumenten
• G018 Fehlplanung oder fehlende Anpassung
• G019 Offenlegung schützenswerter Informationen
• G020 Informationen oder Produkte aus unzuverlässiger Quelle
• G021 Manipulation von Hard- oder Software
• G022 Manipulation von Informationen
• G023 Unbefugtes Eindringen in IT-Systeme
• G024 Zerstörung von Geräten oder Datenträgern
• G025 Ausfall von Geräten oder Systemen
• G026 Fehlfunktion von Geräten oder Systemen
• G027 Ressourcenmangel
• G028 Software-Schwachstellen oder -Fehler
• G029 Verstoß gegen Gesetze oder Regelungen
• G030 Unberechtigte Nutzung oder Administration von Geräten und Systemen
• G031 Fehlerhafte Nutzung oder Administration von Geräten und Systemen
• G032 Missbrauch von Berechtigungen
• G033 Personalausfall
• G034 Anschlag
• G035 Nötigung, Erpressung oder Korruption
• G036 Identitätsdiebstahl
• G037 Abstreiten von Handlungen
• G038 Missbrauch personenbezogener Daten
IT-Grundschutz-Kompendium: Stand Februar 2018 1
Gesamtinhaltsverzeichnis
• G039 Schadprogramme
• G040 Verhinderung von Diensten (Denial of Service)
• G041 Sabotage
• G042 Social Engineering
• G043 Einspielen von Nachrichten
• G044 Unbefugtes Eindringen in Räumlichkeiten
• G045 Datenverlust
• G046 Integritätsverlust schützenswerter Informationen
• G047 Schädliche Seiteneffekte IT-gestützter Angriffe
Prozess-Bausteine
ISMS: Sicherheitsmanagement
• ISMS.1 Sicherheitsmanagement
ORP: Organisation und Personal
• ORP.1 Organisation
• ORP.2 Personal
• ORP.3 Sensibilisierung und Schulung
• ORP.4 Identitäts- und Berechtigungsmanagement
• ORP.5 Compliance Management (Anforderungsmanagement)
CON: Konzepte und Vorgehensweisen
• CON.1 Kryptokonzept
• CON.2 Datenschutz
• CON.3 Datensicherungskonzept
• CON.4 Auswahl und Einsatz von Standardsoftware
• CON.5 Entwicklung und Einsatz von Allgemeinen Anwendungen
• CON.6 Löschen und Vernichten
• CON.7 Informationssicherheit auf Auslandsreisen
OPS: Betrieb
OPS.1 Eigener Betrieb
OPS1.1 Kern-IT-Betrieb
• OPS.1.1.2 Ordnungsgemäße IT-Administration
• OPS.1.1.3 Patch- und Änderungsmanagement
• OPS.1.1.4 Schutz vor Schadprogrammen
• OPS.1.1.5 Protokollierung
• OPS.1.1.6 Software-Tests und -Freigaben
OPS.1.2 Weiterführende Aufgaben
• OPS.1.2.2 Archivierung
• OPS.1.2.3 Informations- und Datenträgeraustausch
• OPS.1.2.4 Telearbeit
OPS.2 Betrieb von Dritten
• OPS.2.1 Outsourcing für Kunden
• OPS.2.4 Fernwartung
OPS.3. Betrieb für Dritte
OPS.3.1 Outsourcing für Dienstleister
DER: Detektion und Reaktion
DER.1 Detektion von sicherheitsrelevanten Ereignissen
DER.2 Security Incident Management
• DER.2.1 Behandlung von Sicherheitsvorfällen
2 IT-Grundschutz-Kompendium: Stand Februar 2018
Gesamtinhaltsverzeichnis
• DER.2.2 Vorsorge für die IT-Forensik
• DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle
DER.3 Sicherheitsprüfungen
• DER.3.1 Audits und Revisionen
• DER.3.2 IS-Revision für Bundesbehörden
DER.4 Notfallmanagement
System-Bausteine
APP: Anwendungen
APP.1 Client-Anwendungen
• APP.1.1 Office-Produkte
• APP.1.2 Web-Browser
APP.2 Verzeichnisdienst
• APP.2.1 Allgemeiner Verzeichnisdienst
• APP.2.2 Active Directory
APP.3 Netzbasierte Dienste
• APP.3.1 Webanwendungen
• APP.3.2 Webserver
• APP.3.3 Fileserver
• APP.3.4 Samba
• APP.3.6 DNS-Server
APP.4 Business-Anwendungen
• APP.4.3 Relationale Datenbanksysteme
APP.5 E-Mail/Groupware/Kommunikation
• APP.5.1 Allgemeine Groupware
• APP.5.2 Microsoft Exchange und Outlook
SYS: IT-Systeme
SYS.1 Server
• SYS.1.1 Allgemeiner Server
• SYS.1.2 Windows Server
঄ SYS.1.2.2 Windows Server 2012
• SYS.1.3 Server unter Unix
• SYS.1.5 Virtualisierung
• SYS.1.8 Speicherlösungen
SYS.2 Desktop-Systeme
• SYS.2.1 Allgemeiner Client
• SYS.2.2 Windows-Clients
঄ SYS.2.2.2 Clients unter Windows 8.1
঄ SYS.2.2.3 Clients unter Windows 10
• SYS.2.3 Clients unter Unix
SYS.3 Mobile Devices
• SYS.3.1 Laptops
• SYS.3.2 Tablet und Smartphone
঄ SYS.3.2.1 Allgemeine Smartphones und Tablets
঄ SYS.3.2.2 Mobile Device Management (MDM)
঄ SYS.3.2.3 iOS (for Enterprise)
঄ SYS.3.2.4 Android
• SYS.3.4 Mobile Datenträger
IT-Grundschutz-Kompendium: Stand Februar 2018 3
Gesamtinhaltsverzeichnis
SYS.4 Sonstige Systeme
• SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte
• SYS.4.4 Allgemeines IoT-Gerät
IND: Industrielle IT
IND.1 Betriebs- und Steuerungstechnik
IND.2 ICS-Komponenten
• IND.2.1 Allgemeine ICS-Komponente
• IND.2.2 Speicherprogrammierbare Steuerung (SPS)
• IND.2.3 Sensoren und Aktoren
• IND.2.4 Maschine
NET: Netze und Kommunikation
NET.1 Netze
• NET.1.1 Netzarchitektur und -design
• NET.1.2 Netzmanagement
NET.2 Funknetze
• NET.2.1 WLAN-Betrieb
• NET.2.2 WLAN-Nutzung
NET.3 Netzkomponenten
• NET.3.1 Router und Switches
• NET.3.2 Firewall
• NET.3.3 VPN
INF: Infrastruktur
• INF.1 Allgemeines Gebäude
• INF.2 Rechenzentrum sowie Serverraum
• INF.3 Elektrotechnische Verkabelung
• INF.4 IT-Verkabelung
• INF.7 Büroarbeitsplatz
• INF.8 Häuslicher Arbeitsplatz
• INF.9 Mobiler Arbeitsplatz
• INF.10 Besprechungs-, Veranstaltungs- und Schulungsräume
4 IT-Grundschutz-Kompendium: Stand Februar 2018