Der Grundschutz ist meiner Meinung nach zu allgemein. Da steht ganz viel Kram drin, aber nicht wie du es technisch konkret umsetzt. Die genauen Hintergründe erfährst du dann in den angehangenen Technischen Richtlinien und weiterführenden Dokumenten. Der Grundschutz beschreibt eher den Aufbau eines ISMS Managementsystems inklusive Risiko- Notfallmanagement und oben drauf einem kontinuierlichen Verbesserungsprozess. Von technischen Normen liest man da nur ganz wenig. Er bietet sozusagen nur ein Framework Mit definierten Bausteinen und Schritten.
Da steht dann sowas wie: angemessene Absicherung nach Stand der Technik……
Schau die z.B. mal die „BSI-Grundschutz Schulung für Praktiker“ an. Hinter dem griffigen Namen verbirgt sich nicht unbedingt was man erwarten würde.
https://www.bitkom-akademie.de/lehr...4QEORLQwcmiX5gLL3gDr3pMlSRK_eDbRoCnpkQAvD_BwE
Für spezielle Branchen reicht der Grundschutz auch nicht mehr aus, hier kommt dann zusätzlich die Kritis, bzw. der B3S-Branchenstandard hinzu.
Das wird bei uns jährlich geprüft und Auditiert, das ganze Konstrukt ist aber auch ziemlich gewöhnungsbedürftig. Die Auditoren interessieren sich vor allem für Papier und Doku, also Wo steht, wie welche Richtlinie erfüllt wird. Ich kann dir nächste Woche mal ein paar unverfängliche Sachen raussuchen.
Wenn es jetzt um den Grundschutz geht würde ich folgendermaßen vorgehen….
Durcharbeiten des Grundschutz Katalogs und gezieltes bearbeiten von einzelnen Themen um erstmal warm zu werden. Fang zum Beispiel mit der Physischen Sicherheit und Perimeterschutz an. Das kann man sich gut vorstellen und ist relativ einfach zu verstehen.
Dann eine Bestandsaufnahme der relevanten Punkte und alles mal durchgehen. Anschließend kannst du eine Art Gap-Analyse machen und neuralgische Punkte durchgehen. Die größten Probleme und Risiken zuerst. Hier müssen dann geeignete Maßnahmen abgeleitet werden, die zur Verringerung des Risikos beitragen.
Das hat auch viel mit Risikomanagement zu tun, was gar nicht deine Aufgabe ist. Wenn der Vorgesetzte beschließt ein Risiko zu akzeptieren, ist das eben so.
Wenn Sachen für einen Auditor nicht klar sind, oder er der Meinung ist, dass die Anforderung nicht erfüllt wird, gibt es auch erstmal Hinweise und bei gröberen Verstößen, Anmerkungen. So schnell fällt man nämlich gar nicht durch ein Audit durch.
Um vollends durch den Grundschutz durchzusteigen müsstest du dich zum Auditor ausbilden lassen und dann auch noch die Lust haben, den technischen Teil nicht nur auf dem Papier zu bearbeiten.
Grüße
Edit: ja der Kunde mit 10 Jahre SSL Zertifikat ist so ein Standard gefühlt. Aber da kann man ja ganz einfach auf das BSI verweisen, die geben nicht ohne Grund Empfehlungen für die Laufzeit und Schlüssellänge. Wichtig ist es dann eben auch ein System zur einfach Pflege und Verteilung der Zertifikate zu haben. Dann ist’s auch wurst wenn der Kunde jede Woche ein neues Zertifikat bekommen würde.
. Mein AG würde gern wissen, wie Sie mich supporten können für meine Arbeit und da sehe ich das Thema Security als Themenkomplex bei dem ich noch am meisten lernen kann.
