Der IT-Grundschutz wird überschaubarer und handhabbarer

Die TÜV Informationstechnik GmbH (TÜViT), eine Tochter des TÜV Nord, hat nach eigenen Angaben in den vergangenen mehr als zehn Jahren über 600 Unternehmen in Deutschland auf dem Weg zur Zertifizierung nach ISO 27001 und IT-Grundschutz begleitet.

com! professional spricht mit Tobias Kippert, stellvertretender Abteilungsleiter und vom BSI zugelassener Teamleiter für Audits nach ISO 27001 auf der Basis von IT-Grundschutz, über die Auswirkungen der 2017 durch das BSI vorgenommenen Änderungen am IT-Grundschutzkatalog.

Tobias Kippert, IT-Grundschutzexperte bei TÜViT

(Quelle: TÜViT )

Tobias Kippert: Der IT-Grundschutz ist ein sogenannter Best-Practice-Standard für die ISO-Norm 27001. Diese definiert Anforderungen an ein Informations-Sicherheits-Management­System (ISMS), also an das „Was“. Der IT-Grundschutz gibt zusätzlich Empfehlungen für Maßnahmen an die Hand, also neben dem „Was“ auch das „Wie“. Er beschreibt dabei eine zur ISO 27001 kompatible Vorgehensweise zum Aufbau eines ISMS.

Kippert: Der Grundschutz ist für all diejenigen eine gute Anlaufstelle, die sich mit dem Aufbau eines ISMS befassen.

Darüber hi­naus eignet sich gerade der modernisierte Grundschutz für unterschiedliche Zielgruppen wie KMUs, größere Firmen und Organisationen, die mit besonders sensiblen Daten umgehen müssen.

com! professional: Aus welchen Gründen war in Ihren Augen eine Modernisierung nötig?

Kippert: Die Modernisierung des IT-Grundschutzes ist auch für Organisationen, die vielleicht nicht sofort ein Zertifikat erlangen wollen, ein sinnvoller Einstieg in ein grundlegendes Sicherheitskonzept. Der „alte“ Grundschutz hatte das Image, dass die Einstiegshürde sehr hoch hängt. Durch die Modernisierung wird der Einstieg deutlich erleichtert. Der IT-Grundschutz wird dadurch überschaubarer und somit handhabbarer.

Kippert: Man muss beim Grundschutz nicht immer gleich die sogenannte Standard-Absicherung mit einer Zertifizierung als Ziel haben. Als „Zwischenschritte“ bietet der neue Grundschutz die Kernabsicherung und die Basisabsicherung. Gerade mit der Basisabsicherung können KMUs einen ersten Schritt in die organisierte Absicherung gehen.

Kippert: Es bietet sich an, das Projekt mit Grundschutz-erfahrenen Beratern zu initialisieren und gegebenenfalls durch diese begleiten zu lassen. Das gilt erst recht, wenn am Ende eine Zertifizierung ins Auge gefasst wird.