Einführung desIT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
Severin RastLeiter IT Security ConsultingINFODAS GmbH
178.179 aktive Soldaten und Soldatinnen umfasst die Bundeswehr insgesamt• Bundesministerium der Verteidigung: 983
• diesem unmittelbar nachgeordnete Dienststellen: 2.014
• Streitkräftebasis: 40.720
• Zentraler Sanitätsdienst: 19.819
• Heer: 60.245
• Luftwaffe: 28.291
• Marine: 16.281
• CIR: 188
• Bereich Infrastruktur, Umweltschutz, Dienstleistungen: 964
• Bereich Ausrüstung, Informationstechnik, Nutzung: 1.571
• Bereich Personal: 7.103, davon 4.319 Studierende an den Bw-Universitäten
Die Bundeswehr als komplexe Verwaltungsstruktur
1. www.bundeswehr.de (Berlin, 19.05.2017, BMVg P I 1.)
Einleitung
• Anforderungen der Bundeswehr: Standardisierte Vorgehensweise für Effizienz und Effektivität für
Nicht standardisierten Informationsverbund
Sicherheit als Teilaspekt einer komplexen Gesamtheit von Prozessen und Aktivitäten
• Merkmale des IT-Grundschutz: Bewährte Methodik und solide Maßnahmenkataloge
Anwendung abseits eines idealen Informationsverbundes schwierig
Die Bundeswehr als komplexe Verwaltungsstruktur Einleitung
• Projekte, Dienststellen und IT-Sicherheitskonzepte
Die Bundeswehr als komplexe Verwaltungsstruktur Einleitung
Informationen Anwendungen
Netze
Infrastruktur
IT-Systeme
IT-SichhKDst
Informationen Anwendungen
Netze
Infrastruktur
IT-Systeme
IT-SichhKProj 1
Informationen Anwendungen
Netze
Infrastruktur
IT-Systeme
IT-SichhKProj 2
Informationen Anwendungen
Netze
Infrastruktur
IT-Systeme
IT-SichhKProj n
Vorgaben
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
• Vorschriften und Werkzeuge im Überblick
IT-Sicherheit und der IT-Grundschutz in der Bundeswehr
Werkzeuge:
- GSTOOL
- SAVe
IT-Sicherheits-dokumentation:
- IT-Grundschutzkonform
- vorschriftenkonform
GSTOOL SAVe
ZDv
AH
GV
IT-SichhK
Interne Vorschriften und Dokumente:
- Zentrale Dienst-vorschrift
- Arbeitshilfe
- Gliederungsvorlage
Geschichte
Methodik in der Bundeswehr
Bundeswehrspezifische Methodik
ZDv 54/100(April 2013)
201720162015201420132012201120102009
ZDv A-960/1(Januar 2016)
ZDv 54/100(Ä3 Sept. 2010)
ZDv 54/100(Ä2 Okt. 2008)
Bundeswehrspezifische Methodik
ZDv 54/100(Mai 2007)
200820072006200520042003200220012000
ZDv 54/100(Ä1 Febr. 2008)
ZDv 54/100(Oktober 1999)
IT-GrundschutzBwBundeswehrspezifische Methodik
Geschichte
Arbeitshilfe IT-SichhKProj / Tools in der Bundeswehr
GSTOOL
AH V. 1.4(März 2015)
20172016201520142013
AH V. 1.3(April 2014)AH V. 1.2
Januar 2014
SAVe
AH V. 1.0(August 2005)
20082007200620052004
AH V. 2.0(Nov./Dez. 2007)
AH V. 1.1Dezember 2013
AH V. 1.0September 2013
SAVeSAVe GSTOOL
2018
Supportende Nutzungsende
Generallizenz SAVefür die Bundeswehr
Geschichte
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
IT-SichhK
Konkurrierende Vorschriften
Datenschutz
§Geheimschutz
§
IT-Grundschutz
ZDv ...
Interessenskonflikte
• ZDv A-1525/1 und /2: Prüf- und Zulassungswesen für Luftfahrt in der Bundeswehr
• Schiffsausrüstungsrichtlinie des BSH: (Maritime Equipment Directive – MED)
• DIN ISO 61508: Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme.
Beispiele im Umfeld BundeswehrInteressenskonflikte
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
Grundlegende Überarbeitung der bisherigen IT-SichhK notwendig
Definition SchutzbedarfStrukturierung /
Modellierung
Maßnahmenkatalog ersetzt
Anforderungskatalog
Ergänzende Sicherheitsanalyse /
Risikoanalyse
Wechsel in der Methodik zur Erstellung von IT-Sicherheitskonzepten in der Bundeswehr
Wechsel von der alten ZDv 54/100 zur neuen ZDv A 960/1
Herausforderungen bei Übergang/UmstellungHerausforderungen in der Bw
ZDv 54/100:Katalog von generischen Anforderungen, der gemäß Schutzbedarf auf die Teilsysteme und Segmente eines Systems angewendet wird.
Ca. 250 Anforderungen
ZDv A-960/1:Maßnahmenkataloge des IT-Grundschutzes sowie ergänzende bw-spezifische Maßnahmen werden
auf den betrachteten Informationsverbund angewendet.
>1500 Maßnahmen
Mehr spezifische MaßnahmenHerausforderungen in der Bw
Projekte mit einfacher Liste von IT-Sicherheitsmaßnahmen
IT-SichhKProj nach Anlage 16/21(ZDv 54/100)
IT-SichhKProj nachIT-Grundschutz(ZDv A-960/1)
Projekte und Dienststellen in der ÜbergangszeitHerausforderungen in der Bw
Informationen Anwendungen
Netze
Infrastruktur
IT-Systeme
IT-SichhKDstVorgaben IT-SichhKProj
• IT in den Dienststellen der Bundeswehr ist bunt!
IT-SichhK Projekt/Dienststelle – viele verzahnte Informationsverbünde
Projekt 1
Projekt 3
DSt A „weiße IT“ bereit-gestellt
durch BWI
Projekt 2
Projekt 4
Herausforderungen in der Bw
• IT-Grundschutz geht von einer „normalen“ Büroumgebung aus
• Bundeswehr kennt auch verlegefähige und mobile Einsatzszenarien (z.B. Schiff oder Boot)
• Keine IT-Grundschutz-Bausteine
• Schiffe müssen Anforderung des BSH (Schiffsausrüstungs-richtlinie) und schiffsbauspezifische Anforderungen einhalten
Spezifische AnwendungsszenarienSchiff / Boot
Computer
Server
?VERGISS ES! SO SIEHT‘S
AUS:
Herausforderungen in der Bw
2. CC-BY-SA 4.0 (Ein Dahmer, Wikipedia) BADEN-WURTTEMBERG_00257_(cropped).jpg
• Für viele Systeme sind keine IT-Grundschutz-Bausteine vorhanden
• Luftfahrzeuge und deren Bodenstationen müssen eine Luftfahrtzulassung haben
• Die Zulassungen beziehen sich oft auf spezifische Konfigurationsstände
• Regelmäßige Aktualisierungen des Patch-Standes bedeuten den Verlust der Zulassung
Spezifische AnwendungsszenarienLuftfahrzeug
Herausforderungen in der Bw
3. CC-BY-SA 4.0 (Krasimir Grozev, Wikipedia) German_eurofighter.JPG
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
• Die Erfüllung von– gesetzlichen Anforderungen,
– Normen und Standards,
– Internen Regularien und Compliance-Anforderungen
lässt sich in vielen Kontexten in eine Umsetzung von IT-Grund-schutzmaßnahmen überführen.
• Beispiele:– M 2.1 Festlegung von
Verantwortlichkeiten und Regelungen
– M 2.2 Betriebsmittelverwaltung
– M 2.40 Rechtzeitige Beteiligung des Personal-/Betriebsrates
Spezifische Vorschriften als Treiber fürIT-Sicherheit nutzen
Umsetzung vonIT-Grundschutzmaßnahmen
DIN / ISO
§
Com-pliance
Lösungen für komplexe Verwaltungsstrukturen
Geheimschutz, Datenschutz und IT-Sicherheit in Beziehung setzen
3. ZDv A-960/1, 11.4.4 Generische Informationsstruktur
Lösungen für komplexe Verwaltungsstrukturen
abgestufte IT-Sicherheitsmaßnahmen realisieren
Teilsysteme mit entsprechend einheitlichem Schutzbedarf
Informationen unterschiedlichen Schutzbedarfes in einem IT-System
Schutzbedarf, Teilsysteme und Sicherheitsgateways
Bei Einstufung VS-VERTRAULICH oder höher, müssen die Sicherheitsgateways zugelassen
sein
Sicherheitsgateways bei einem Sicherheitsgefälle zur Schutzbedarfskategorie
„sehr hoch“ einsetzen
4. ZDv A-960/1, 11.2.2 Grundsätze bei der Festlegung von IT-Sicherheitsmaßnahmen4. ZDv A-960/1, 11.2.3.6 Informationsaustausch zwischen unterschiedlichen Informationsräumen
Teilsystem 2Teilsystem 1
Lösungen für komplexe Verwaltungsstrukturen
• Analyse des Umsetzungsstandes und Wiederverwendung bestehender Maßnahmen im GS-Kontext
Reifegrade des ISMS bestimmenLösungen für komplexe Verwaltungsstrukturen
• Stringente Aufteilung von Verantwortlichkeiten
• klare Abgrenzung von Informationsverbünden
• Definition von Schnittstellen technisch
infrastrukturell
organisatorisch
Informationsverbünde & Schnittstellen definieren
Lösungen für komplexe Verwaltungsstrukturen
Ansatz: Bearbeitung von Maßnahmen nach Phasen
Planung und Konzeption
Beschaffung
Umsetzung
Betrieb
Aussonderung
Ansatz: „Doppelter BSC“
Modellierung als SOLL-Vorgabe für eine Systemimplementierung während der Projektplanung
1. Basis-Sicherheitscheck:Interviewverfahren zu Prüfung der Umsetzbarkeit der
identifizierten Maßnahmen während der Planung
2. Basis-Sicherheitscheck:Systemprüfung nach der Systeminbetriebnahme
Frühzeitige, projektbegleitende Implementierung des IT-Grundschutzes
Lösungen für komplexe Verwaltungsstrukturen
Teilsystem
Segment
Element
Information
Service Systembaustein
Raum / Gebäude
Grundfunktion
IT-Grundschutz-
Baustein
(zielobjektbezogen)
IT-Grundschutz-
Baustein
(übergreifend)
1 n 1 1
1
1
n
n
1
1
Erweiterung durch spezifische Bausteine
Teilsystem
Segment
Element
Information
Service Systembaustein
Raum / Gebäude
Grundfunktion
IT-Grundschutz-
Baustein
(zielobjektbezogen)
IT-Grundschutz-
Baustein
(übergreifend)
1 n 1 1
1
1
n
n
1
1
IT-GrundschutzBw-
Baustein
IT-GrundschutzBw-
Baustein
IT-GrundschutzBw-
Baustein
IT-GrundschutzBw-
Baustein
Lösungen für komplexe Verwaltungsstrukturen
Kontinuierlichen Fortschreibungsprozessetablieren
Ausgangslage, Projektstart, Systementwicklung
Entwicklungsbegleitende Erstellung / Fortschreibung
Mitprüfung und Qualitätssicherung
Veröffentlichung und Inkraftsetzung
Fortschreibung / kontinuierliche Verbesserung
Lösungen für komplexe Verwaltungsstrukturen
IT-Sicherheitskonzepte
Äußere Faktoren – konstanter Änderung unterworfen
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
• Bausteine aus dem IT-GrundschutzBw wurden in Abstimmung zwischen BAAINBw und BSI „neutralisiert“ und veröffentlicht: Baustein B 3.407 Eingebettetes System
Baustein B 5.26 Serviceorientierte Architektur
Eigene Bausteine werden Teil des Katalogs
IT-SichhK
IT-Grundschutz
-BausteinBw-Baustein
IT-Grundschutz
-Baustein
IT-Grundschutz-Baustein
Bw-Baustein
...
Feedbackschleife
5. Quelle/URL: www.bsi.bund.de
Methodische Ansätze der Bundeswehr lassen sich abstrakt übertragen und angepasst auf andere
Informationsverbünde anwenden.
Viele Organisationen benötigen jedoch eine zusätzliche Perspektive auf die erfasste IT-Struktur
und davon abgeleitete Modellierung.
Die Strukturierung in Teilsysteme und Segmente ist ein bundeswehrspezifischer Ansatz.
Erprobte methodische Ansätze lassen sich übertragen
Feedbackschleife
Teilsystem 2Teilsystem 1
Organisation
Abteilung 1 Abteilung 2 Abteilung 3
Zentrale Verwaltung
• Geschichte
• Interessenskonflikte
• Herausforderungen in der Bw
• Lösungen für komplexe Verwaltungsstrukturen
• Feedbackschleife
• Perspektiven
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr
Mögliche Auswirkung Modernisierung des IT-Grundschutz
B 3.x
B 4.x
B 1.x
B 2.x
B 5.x
B 3.x
B 4.x
B 5.x
B 1.x
B 2.x
ÜbergeordneteIT-Sicherheitskonzeption
SystembezogenesIT-Sicherheitskonzept
VerfahrensbezogenesIT-Sicherheitskonzept
B 1.x
B 2.x
Basisabsicherung
Kernabsicherung
Vorgabe vonIT-Grundschutz-Profilen
Perspektiven
• Anpassung interner Vorschriften Grundschutzkompendium statt Grundschutzkataloge
Anpassung der Methodik auf Basis BSI-Standard 200-2
Risikoanalyse auf Basis BSI-Standard 200-3
Mögliche Auswirkung Modernisierung des IT-Grundschutz
Perspektiven
ZDv ...
6. Abbildung: (Münch / Schildt / Wiemers, BSI) Modernisierung des IT-Grundschutzes
• Update des eingesetzten IT-Grundschutz-Tools Prozesse (oder Services) als Zielobjekte
Neue IT-Grundschutzbausteine
Filterung von IT-Sicherheitsmaßnahmen zur einfachen Anwendung von Basisabsicherung und Kernabsicherung
Nutzung von Grundschutz-Profilen anstelle von Vorgabe
…
Mögliche Auswirkung Modernisierung des IT-Grundschutz
Perspektiven
Anpassung selbsterstellter Bausteine an die neue Struktur:
Mögliche Auswirkung Modernisierung des IT-Grundschutz
Perspektiven
Umsetzungs-hinweise
AnforderungenBaustein
B x.y
Basis …
Standard …
Erhöhter Schutzbedarf
…
Änderungen bei Audits, Zertifizierungen, Akkreditierungen
Neue Bewertungsmaßstäbe auf Basis des IT-Grundschutz-
Kompendiums
Geändertes Vorgehen bei Prüfung/Bewertung von z.B. Anforderungen und Umsetzungshinweisen
Mögliche Auswirkung Modernisierung des IT-Grundschutz
Perspektiven
„Nichts ist so unglaubwürdig wie die Wirklichkeit.“Fjodor Michailowitsch Dostojewski (1821-81)
• Die IT und damit das Management von IT-Sicherheit in der Bundeswehr sind hoch komplex.
• Viele Anwendungsfälle lassen sich durch den Standard desIT-Grundschutzes nicht abdecken.
• Ausgehend von bestehenden Regelungen und unter Berücksichtigung des IT-Grundschutzes lassen sich jedoch selbst in komplexen Verwaltungsstrukturen Lösungen für ein effizientes IT-Sicherheitsmanagement erarbeiten.
Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel BundeswehrFazit
1. Quelle/URL: www.bundeswehr.de (Berlin, 24.04.2017, BMVg P I 1.)
2. Quelle/Dokument: Zentrale Dienstvorschrift der Bundeswehr ZDv A-960/1
3. Abbildung: CC-BY-SA 4.0 (Ein Dahmer, Wikipedia) de.wikipedia.org/wiki/Baden-W%C3%BCrttemberg-Klasse#/media/File:BADEN-WURTTEMBERG_00257_(cropped).jpg
4. Abbildung: CC-BY-SA 4.0 (Krasimir Grozev, Wikipedia) de.wikipedia.org/wiki/ Eurofighter_Typhoon#/media/File:German_eurofighter.JPG
5. Quelle/URL: www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/ Inhalt/ _content/allgemein/vorwort/Danksagung.html
6. Abbildung: Foliensatz „Modernisierung des IT-Grundschutzes“ (Münch / Schildt / Wiemers, BSI), IT-Grundschutz-Tag, Nürnberg, 19.10.2016
Quellen
• SAVe® ist ein ISMS-Werkzeug zur Modellierung von IT-Sicherheitsprozessen und Erstellen von IT-Sicherheitskonzepten.
• SAVe® wird im Rahmen von Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz verwendet und ist von der Zertifizierungsstelle des BSI anerkannt.
• SAVe® zeigt seine Stärken insbesondere im Umfeld komplexer, verteilter und heterogener IT-Infrastrukturen, mit zum Teil sehr hohen Schutzanforderungen.
• SAVe® ist modular aufgebaut. Dies ermöglicht die flexible Erweiterbarkeit von Sicherheitsmodellen wie:
IT-Grundschutz (BSI Standards 100-1 bis 100-3 und zukünftig 200-1 bis 200-3)
Notfallvorsorge (BSI Standard 100-4 und ISO 22301)
Datenschutz (BDSG und LDSGs und zukünftig Datenschutzrichtlinie)
ISO 2700x
SAVe 5: Wichtigste Funktionalitäten I
• Importfunktion der Daten aus dem GSTOOL
• Abwärtskompatibilität zu Vorgängerversionen
• Erweiterter und flexibler Berichtsmanager für regelmäßige und anlassbezogene Berichte
• Mandantenfähigkeit (strikte Trennung von Nutzerdaten)
• Skalierbarkeit des Tools von Stand-Alone-Betrieb über Kleingruppe bis hin zur Client-Server-Umgebung.
• Mehrbenutzerfähigkeit ermöglicht gleichzeitiges, teambasiertes Arbeiten
• Berichtsausgabe als PDF und in MS-Office-kompatiblen Formaten
• SAVe® ist lizensiert zur Nutzung der Daten der IT-Grundschutz-Kataloge des BSI
• SAVe® unterstützt bereits heute die Vorgehensweise des modernisierten IT-Grundschutz.
Weitere Informationen zu SAVe® erhalten Sie unter: www.save-infodas.de
SAVe 5: Wichtigste Funktionalitäten II