IT-Grundschutz-Check (GSC)

Copyright © Shutterstock/Blue Andy

Was ist der IT-Grundschutz-Check (GSC)?

Der IT-Grundschutz-Check (GSC) ist ein effizientes Instrument zur Feststellung, ob eine Institution ihre Informationen und die gesamte Informationstechnik umfassend genug schützt. Dazu wird das entwickelte IT-Grundschutz-Modell mit den umgesetzten Sicherheitsmaßnahmen verglichen.

Auf diese Weise kann das erreichte Sicherheitsniveau zuverlässig festgestellt und mit den relevanten Anforderungen verglichen werden. Weitere Verbesserungsmöglichkeiten werden nach dem getätigten Soll-Ist-Vergleich dokumentiert und mit weiteren IT-Grundschutz-Bausteinen ergänzt. Bis ausreichende technische und organisatorische Schutzmaßnahmen für den erhöhten Schutzbedarf von sensitiven Daten und den gesamten Cyberraum vollständig realisiert wurde.

Bedrohungen und Informationstechnik unterliegen laufenden Veränderungen

Die eingeführten Sicherheitsmaßnahmen müssen laufend auf ihre Wirksamkeit und aktuell angemessenen Schutz überprüft und analysiert werden. Deswegen muss das IT-Grundschutz-Modell um weitere Schutz-Bausteine erweitert werden. Veraltete Maßnahmen werden mit sinnvoll aktuell schützenden Komponenten ersetzt und wieder auf den neuesten Stand gebracht.

Eine eingehende und zweckmäßige Überprüfung des Umsetzungsgrades wird anhand von Interviews der zuständigen Verantwortlichen durchgeführt. Durch Begehung von Serverraum und Kontrolle der Konfigurationseinstellungen werden die einzelnen Maßnahmen im IT-Grundschutz-Check (GSC) lückenlos dokumentiert und festgehalten. Dazu können bereits vorhandene Informationen über Sicherheit relevante Abläufe, Sachverhalte und Regelungen in den Dokumenten helfen bei der effizienten Ermittlung des umgesetzten Erfüllungsgrads.

Wer ist verantwortlich für die Informations- und Cyber-Sicherheit?

Die Leitungsebene einer jeden Institution trägt die Gesamtverantwortung für die Informationssicherheit und Cyber-Sicherheit. Die Unternehmungsleitung ist gehalten den Sicherheitsprozess einzuleiten, zu steuern und stetig zu überprüfen. Darüber hinaus müssen die Zuständigkeiten für die Informationssicherheit klar festgelegt und die Mitarbeiter bestimmt werden.

Die verantwortlichen IT-Mitarbeiter müssen mit den erforderlichen Ressourcen und Kompetenzen ausgestattet werden. Zuständigkeiten und Zugriffe auf sensitive Daten müssen systematisch und räumlich strikt getrennt und aktualisiert werden. Die Anforderungen und Rahmenbedingungen mit entsprechendem Ablauf sind zwischen unterschiedlichen Rollen in ein Benutzer- und Administrationskonzept zu unterteilen.