Das GSTOOL des BSI IT-Grundschutz sicher planen

Im vergangenen Jahr hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Version 4.5 seines IT-Grundschutztools (GSTOOL) veröffentlicht. Dieses Tool steht den Behörden seit einigen Jahren zur organisatorischen Absicherung der IT-Umgebungen zur Verfügung. Wir zeigen Ihnen, was sich hinter diesem Tool verbirgt, das in vielen Behörden im Einsatz ist, von Unternehmen aber oftmals übersehen wird.

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

Bundesamt für Sicherheit i.d.Informationstechnik

Zusammenfassend lässt sich das GSTOOL des BSI als eine Softwarelösung beschreiben, dass die Erstellung, Verwaltung und Fortbeschreibung von IT-Sicherheitskonzepten entsprechend dem IT-Grundschutz nach den BSI-Standards 100-1 bis 100-3 unterstützt.

Der Begriff „IT-Grundschutz“ wurde vorrangig vom BSI geprägt und beschreibt eine Methode, mit der Standardsicherheitsmaßnahmen für typische IT-Systeme bzw. definierte Schutzniveaus identifiziert und umgesetzt werden können. Hierfür liefert das BSI eine Sammlung von Vorlagen. Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes wird ein Grundschutz-Zertifikat vergeben.

Was für Behörden quasi als verpflichtendes Regelwerk gilt ist auch für viele Unternehmen ein nicht zu unterschätzender Sicherheitsaspekt, da es kaum andere so detailliert ausgearbeitete Sicherheits-Vorgaben und Prüfungsmöglichkeiten gibt. Trotzdem waren von den 11.000 im Jahr 2008 registrierten GSTOOL-Lizenzen mehr als 75% im behördlichen Bereich im Einsatz. GSTOOL ist aber für Behörden und Unternehmen gleichermaßen ein maßgeschneidertes Tool zur Verwaltung von IT-Grundschutz

Funkionen des GSTOOL

Das GSTOOL bildet die IT-Grundschutz-Vorgehensweise gemäß BSI vollständig ab und unterstützt mit Hilfe u.a. der nachstehenden Funktionen die Erstellung eines entsprechenden IT-Sicherheitskonzepts:

• Erfassung von IT-Systemen, Anwendungen, Netzen u.a.
• Schutzbedarfsfeststellung
• Modellierung nach IT-Grundschutz
• Risikoanalyse auf der Basis von IT-Grundschutz gemäß BSI-Standard 100-3
• ISO 27001 Zertifikat auf der Basis von IT-Grundschutz
• Basissicherheitscheck
• Maßnahmenumsetzung
• Berichterstellung
• Kostenauswertung

GSTOOL im Einsatz

Das GSTOOL basiert auf einer Datenbankanwendung (MSDE2000 oder SQLServer 2000), ist mehrsprachig (deutsch und englisch) sowie aufgrund des integrierten Rechte- und Rollenkonzepts mehrbenutzerfähig. So können auch mehrere von einander unabhängige IT-Umgebungen abgebildet werden (Mandantenfähigkeit).

Nach der einfach durchzuführenden Installation bietet die grafische Oberfläche Zugriff auf alle Funktionen, die es ermöglichen einerseits die erforderlichen Maßnahmen herauszufinden und andererseits auch die Umsetzung der durchzuführenden Maßnahmen zu dokumentieren und zu überwachen. Die Arbeit mit dem GSTOOL folgt dabei streng der Vorgehensweise des IT-Grundschutzes (BSI-Standard 100-2), sowie der Risikoanalyse auf der Basis von IT-Grundschutz (BSI-Standard 100-3).

Die ersten Schritte bestehen darin, den IT-Verbund festzulegen, d.h. den Ausschnitt der Informationstechnik, der betrachtet werden soll und die IT-Strukturanalyse durchzuführen. Im Rahmen der IT-Strukturanalyse sind alle beteiligten Komponenten (Gebäude, Räume, IT-Systeme, Netze, Anwendungen etc.) zu erfassen und zu beschreiben. Die Erfassung muss (sofern keine gesonderten Schnittstellen programmiert wurden) manuell erfolgen, eine automatisierte Erfassung ist leider nicht möglich. Bei diesen Arbeiten dient das GSTOOL ausschließlich als Werkzeug zur Dokumentation der erhobenen Informationen.

Nach der Erfassung der Stammdaten und dem Abschluss der IT-Strukturanalyse folgt die Schutzbedarfsfeststellung. Die Schutzbedarfsfeststellung wird durch das GSTOOL insoweit unterstützt, als allen Komponenten manuell Definitionen, Feststellungen und Begründungen hinzugefügt werden können

Seite 2: Tools können IT-Grundschutzkenntnisse nicht ersetzen

(ID:2021612)