BSI: IT-Grundschutz

Question

Answer

• ein Zyklus aus den Schritten Plan, Do, Check und Act
• ein Verfahren zur Definition eines State-of-the-Art-Informationssicherheitsniveaus
• ein auf stetige Verbesserung angelegtes Modell
• ein Modell aus technischen Sicherheitsmaßnahmen

Question

Answer

• detaillierte technische Vorgaben für die Konfiguration wichtiger IT-Systeme
• konkrete Verhaltensregelungen für den Umgang mit vertraulichen Informationen
• Aussagen zur Bedeutung der Informationssicherheit für die betroffene Institution
• grundlegende Regelungen zur Organisation der Informationssicherheit

Question

Answer

• die Entwicklung von Sicherheitskonzepten zu koordinieren
• die eingesetzte Sicherheitstechnik zu konfigurieren
• der Leitungsebene über den Stand der Informationssicherheit zu berichten
• Presseanfragen zum den Stand der Informationssicherheit im Unternehmen zu beantworten

Question

Answer

• Die Zusammensetzung sollte auf Freiwilligkeit beruhen. Jede, die Interesse hat, wird aufgenommen.
• Nur die IT-Leiterin ordnet einige Mitarbeiterinnen in das Team ab.
• Aus jeder Abteilung des Unternehmens oder der Behörde werden Mitarbeiterinnen entsandt, damit alle Bereich gut vertreten sind.
• Die Geschäftsleitung setzt das Team aus Verantwortlichen für bestimmte IT-Systeme, Anwendungen, Datenschutz und IT-Service und (sofern vorhanden) der ICS-ISB zusammen.

Question

Answer

• das IS-Management-Team
• die ISB
• die Öffentlichkeitsabteilung eines Unternehmens oder einer Behörde
• die Unternehmens- oder Behördenleitung

Question

Answer

• Weil Informationssicherheit Schritt für Schritt umgesetzt werden soll. Mittelfristig kann das Sicherheitskonzept nach Standard-Absicherung ausgebaut werden.
• Weil die hochwertigen Informationen dringend geschützt werden müssen. Die Basis-Absicherung sorgt für den angemessenen Schutz der „Kronjuwelen“ einer Institution.
• Die Erfüllung der zugehörigen Anforderungen reicht in der Regel für ein normales Unternehmen völlig aus.
• Weil schnell Informationssicherheit umgesetzt werden muss und die Basis-Absicherung hierfür einen geeigneten Einstieg bietet.

Question

Answer

• die Identifizierung der Objekte, die besonders stark gefährdet sind
• die Ermittlung der Objekte, die in einem Sicherheitskonzept zu berücksichtigen sind
• die Ermittlung der Objekte, für die es passende Bausteine im IT-Grundschutz-Kompendium gibt
• die angemessene Zusammenfassung von Objekten, für die gleiche Sicherheitsmaßnahmen angewendet werden können

Question

Answer

• die Art der Vernetzung der IT-Systeme eines Informationsverbundes
• die Außenverbindungen des Netzes eines Informationsverbundes
• die bei der Erarbeitung des Sicherheitskonzepts beteiligten Organisationseinheiten
• die Art der IT-Systeme eines Informationsverbundes

Question

Answer

• wenn diese den gleichen Schutzbedarf und ähnliche Eigenschaften (Betriebssystem, Netzanbindung, unterstützte Anwendungen) haben
• wenn die Anzahl der insgesamt erfassten Objekte zu groß zu werden droht
• wenn es für diese Systeme eigene und geeignete Bausteine im IT-Grundschutz-Kompendium gibt
• wenn diese in denselben Räumlichkeiten untergebracht sind

Question

Answer

• die Modellierung der Geschäftsprozesse und Fachaufgaben eines Informationsverbundes
• die Erhebung der Informationen, Geschäftsprozesse, Anwendungen, IT-Systeme, Kommunikations­verbindungen und räumlichen Gegebenheiten eines Informationsverbundes
• die Überprüfung, ob die eingesetzte IT die Geschäftsprozesse und Fachaufgaben angemessen unterstützt
• die angemessene Gruppierung der Komponenten eines Informationsverbundes

Question

Answer

• alle Anwendungen, die von mindestens 20 Prozent der Mitarbeitenden genutzt werden
• alle Anwendungen, die für mindestens einen der bereits erfassten Geschäftsprozesse erforderlich sind
• alle Anwendungen, für die eine gültige Lizenz vorhanden ist
• alle Anwendungen, die auf den IT-Systemen im Informationsverbund installiert sind

Question

Answer

• Authentizität
• Integrität
• Verfügbarkeit
• Vertraulichkeit

Question

Answer

• wenn das IT-System spätestens innerhalb von 18 Monaten ausgesondert wird
• wenn das IT-System nicht eingesetzt wird
• wenn die Anwendungen, die es unterstützt, nur einen normalen Schutzbedarf haben
• wenn der Schutzbedarf bereits im Rahmen einer vor einem Jahr durchgeführten Revision festgestellt wurde

Question

Answer

• die maximal tolerierbare Ausfallzeit des IT-Systems
• den Aufwand, der erforderlich ist, um das IT-System nach einer Beschädigung wiederherzustellen
• die Anzahl der Benutzerinnen des IT-Systems
• die Anschaffungskosten des IT-Systems

Question

Answer

• die Informationen, die im Zusammenhang mit der Anwendung verwendet werden
• die Bedeutung der Anwendung für die Geschäftsprozesse oder Fachaufgaben
• die relevanten Gefährdungen, denen die Anwendung ausgesetzt ist
• die räumliche Umgebung des IT-Systems, das die Anwendung bereitstellt

Question

Answer

• wenn das IT-System nur solche Teile der Anwendungen bedient, die einen geringeren Schutzbedarf haben
• wenn der Buchwert des IT-Systems einen zuvor definierten Schwellwert unterschreitet
• wenn mindestens ein weiteres redundantes IT-System in Betrieb ist, das die betreffenden Anwendungen bereitstellen kann
• wenn die Anwendungen innerhalb der nächsten drei Monate so umstrukturiert werden sollen, dass das betreffende IT-System nicht mehr benötigt wird

Question

Answer

• … sich der Schutzbedarf des IT-Systems erhöht, weil sich Einzelschäden zu einem höheren Gesamtschaden addieren.
• … sich der für das IT-System festgestellte Schutzbedarf auch auf den Schutzbedarf anderer IT-Systeme auswirkt, die mit dem betreffenden IT-System vernetzt sind.
• … sich der Schutzbedarf des IT-Systems verringert, weil geeignete, sich gegenseitig verstärkende Sicherheitsmaßnahmen im Einsatz sind.
• … der Schutzbedarf des IT-Systems erst festgestellt werden kann, wenn der Schutzbedarf der mit diesem vernetzten IT-Systeme festgestellt ist.

Question

Answer

• Sie bilden den in der Strukturanalyse dokumentierten Informationsverbund mithilfe der IT-Grundschutz-Bausteine ab.
• Sie prüfen, welche IT-Grundschutz-Bausteine für den betrachteten Informationsverbund relevant sind.
• Sie merken Zielobjekte, die nicht geeignet modelliert werden können, für eine Risikoanalyse vor.
• Sie entwerfen die Sicherheitsarchitektur des betrachteten Informationsverbundes.

Question

Answer

• Angaben zur spezifischen Gefährdungslage
• Verweise auf weiterführende Informationen
• Sicherheitsanforderungen zu einem gegebenen Sachverhalt
• Beschreibungen zu Standard-Sicherheitsmaßnahmen

Question

Answer

• die Festlegung von Maßnahmen, mit denen die Anforderungen erfüllt werden können
• die Korrektur der Schutzbedarfsfeststellung für Zielobjekte, bei denen die Erfüllung der Anforderungen unrealistisch erscheint
• die Prüfung, ob für einzelne Anforderungen, deren Umsetzung im gegebenen Anwendungskontext mit vertretbarem Aufwand nicht möglich ist, Alternativen erforderlich sind
• die Dokumentation der Ergebnisse der Modellierung