Aus Sicherheitsanforderungen werden konkrete Aufgaben: fachlich bewertet, mit der IT abgestimmt und nachvollziehbar dokumentiert.
Zwischen einem Sicherheitsstandard und dem IT-Betrieb liegen konkrete Entscheidungen: Welche Systeme sind betroffen? Welche Umsetzung passt zur vorhandenen Architektur? Wer bearbeitet offene Punkte? Informationssicherheit braucht deshalb sowohl fachliche Bewertung als auch Abstimmung mit den Menschen, die Systeme betreiben und Prozesse verantworten.
In meiner aktuellen Tätigkeit bei der BGE stimme ich Aufgaben mit Fachbereichen und technischen Teams ab. Ich prüfe Sicherheitskonzepte sowie technische und organisatorische Maßnahmen und arbeite an internen Richtlinien.
Dazu gehört für mich, Anforderungen zu konkretisieren, Zuständigkeiten abzustimmen und die Bearbeitung nachzuverfolgen. Diese Verbindung aus fachlicher Einordnung und Koordination prägt meine Arbeit: Eine Maßnahme muss verständlich beschrieben sein, damit sie sich im Betrieb umsetzen und später überprüfen lässt.
Die folgende Methodik beschreibt den fachlichen Rahmen des IT-Grundschutzes, keinen internen Projektablauf. Der Standard 200-2 des Bundesamts für Sicherheit in der Informationstechnik (BSI) verbindet die Beschreibung des Informationsverbunds mit passenden Anforderungen und einem Soll-Ist-Vergleich.
Die Schutzbedarfsfeststellung beginnt bei möglichen Schäden für die Organisation. Ein längerer Ausfall kann bei einer zeitkritischen Anwendung schwerer wiegen als bei einem Archiv; bei vertraulichen Unterlagen kann dagegen die unberechtigte Offenlegung entscheidend sein. Die Einstufung wird deshalb je Schutzziel begründet.
Abhängigkeiten sind dabei wesentlich: Unterstützt ein System mehrere Prozesse, müssen deren Anforderungen berücksichtigt werden. Ein technisch kleines System kann dadurch einen hohen Schutzbedarf haben. Verständliche Schadensszenarien helfen Fachbereichen, diese Bewertung gemeinsam mit der IT vorzunehmen.
BSI-Standard 200-3 ergänzt die Methodik insbesondere bei hohem oder sehr hohem Schutzbedarf, unzureichender Abdeckung durch vorhandene Bausteine oder ungewöhnlichen Einsatzszenarien. Dafür werden relevante Gefährdungen, erwartete Eintrittshäufigkeiten und Schadenshöhen betrachtet.
Bei der Risikobehandlung kommen Vermeidung, Reduktion, Transfer oder bewusste Akzeptanz infrage. Die Entscheidung muss zum konkreten Risiko passen; zusätzliche Technik ist nicht automatisch die sinnvollste Antwort. Neue Maßnahmen fließen in das Sicherheitskonzept zurück. Verbleibende Risiken werden erneut bewertet.
Der fachliche Prüfpunkt ist die tatsächliche Umsetzung: Eine Richtlinie und eine wirksame Betriebspraxis sind unterschiedliche Nachweise. Im Grundschutz-Check werden Aussagen deshalb durch Dokumente und geeignete Stichproben überprüfbar. Offene Anforderungen bleiben als bearbeitbare Aufgaben sichtbar.
Die Einordnung stützt sich auf die BSI-Methodik. Die Quellen beschreiben keine Tätigkeiten oder Ergebnisse bei meinem Arbeitgeber.
Persönlicher Einblick in meine berufliche Tätigkeit. Interne Maßnahmen und Sicherheitsinformationen werden hier nicht veröffentlicht.