In dieser Studienarbeit sollen die beiden Standards für die Informationssicherheit (ISO/IEC 27000 und BSI IT-Grundschutz) kurz dargestellt werden, um Gemeinsamkeiten und Unterschiede zu eruieren. Im ersten Kapitel wird die ISO/IEC 27000 Familie kurz dargestellt. Das zweite Kapitel stellt den Standard des BSI IT-Grundschutzes dar. Im dritten Kapitel werden die beiden Standards miteinander verglichen, um deren Gemeinsamkeiten und die Unterschiede zu erläutern. Abschließend folgt ein kurzes Fazit.
Die internationale Normenreihe umfasst mehrere Einzelwerke, die sukzessive veröffentlicht wurden oder noch werden. Wenn von der ISO/IEC 27000 gesprochen wird, umfasst dies immer die gesamte Normenreihe mit allen darin befindlichen Standards. Die wahrscheinlich am meisten genutzten Dokumente dieser Normenreihe ist die Norm ISO/IEC 27001, welche die Mindestanforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt und die ISO/IEC 27002, welche den Annex A der ISO/IEC 27001 spezifiziert und weiterführende Hinweise zu den einzelnen Controls definiert (Code of Practice).
Inhaltsverzeichnis
Vorwort
1. Kurzdarstellung ISO/IEC 27000 – Familie
2. Kurzdarstellung BSI – IT-Grundschutz
3. Vergleich beider Standards
3.1 Gemeinsamkeiten
3.2 Unterschiede
3.3 Grafische Darstellung des Vergleichs
4. Fazit
Zielsetzung & Themen
Die vorliegende Studienarbeit verfolgt das Ziel, die beiden führenden Standards zur Informationssicherheit, ISO/IEC 27000 und BSI IT-Grundschutz, vergleichend darzustellen, um ihre jeweiligen Gemeinsamkeiten und Unterschiede für die Anwendung in der Praxis zu eruieren.
- Grundlegende Vorstellung der ISO/IEC 27000-Normenfamilie und des BSI IT-Grundschutzes.
- Gegenüberstellung der methodischen Ansätze (Top-Down vs. Bottom-Up).
- Analyse der Zertifizierungsfähigkeit und der formalen Anforderungen beider Standards.
- Bewertung von Komplexität, Kosten und praktischer Implementierung für Unternehmen.
- Erörterung der Eignung in Abhängigkeit von Organisationsstruktur und Schutzbedarf.
Auszug aus dem Buch
3.2 Unterschiede
Umsetzungshinweise und Bekanntheit: Die ISO 27001 und die ISO 27002 (nachfolgend ISO 27001/27002 geschrieben) ist ein internationaler anerkannter Standard, der Maßnahmen jedoch lediglich abstrakt, d.h. generisch, empfiehlt. Sie gibt also Vorgaben zum Ziel bzw. Rahmen, also was erreicht werden soll, jedoch keine Vorgaben, wie dies zu erreichen ist (vgl. ISO, 2022). Der IT-Grundschutz des BSI definiert ein spezifisches Vorgehensmodell, indem vorgefertigte Risikoanalysen für bestimmte Werte und Einsatzszenarien in der öffentlichen Verwaltung bereitstehen (vgl. BSI, 2022). Die Empfehlungen sind sehr konkret, d.h. maßnahmenorientiert, um Anforderungen an die Informationssicherheit zu erfüllen (vgl. BSI, 2022). Die Verbreitung des IT-Grundschutzes ist zudem nur national auf Deutschland beschränkt.
Risikomanagement: Die ISO 27001/27002 fordert eine vollständige Risikoanalyse (bevorzugt ein eigenes Risikomanagement) (vgl. ISO 27005 – Risikomanagement). Beim IT-Grundschutz sind die Risiken bereits für Objekte der Schutzbedarfskategorie „normal“ in den jeweiligen Bausteinen eingepreist (vgl. BSI Standard 200-2, 2017). Dies bedeutet, dass bei der Erfüllung von Standard-Anforderungen eines Bausteins im Normalfall ein angemessener und ausreichender Schutz besteht (vgl. BSI-Standard, 200-2, 2017, S. 74). Bei hohen oder sehr hohen Schutzbedarf ist zu entscheiden, ob eine zusätzliche Risikoanalyse erfolgen muss (vgl. ebd.; BSI Standard 200-3 Risikoanalyse).
Zusammenfassung der Kapitel
Vorwort: Einleitung in die Thematik der Studienarbeit, die den geplanten Aufbau zur Gegenüberstellung der zwei Sicherheitsstandards beschreibt.
1. Kurzdarstellung ISO/IEC 27000 – Familie: Erläutert die Struktur der internationalen Normenreihe, insbesondere die Bedeutung von ISO 27001 als Anforderungsnorm und ISO 27002 für die technische Implementierung.
2. Kurzdarstellung BSI – IT-Grundschutz: Beschreibt das Vorgehensmodell des BSI, basierend auf dem IT-Grundschutz-Kompendium und dem Schichtenmodell zur system- und prozessorientierten Implementierung.
3. Vergleich beider Standards: Analysiert detailliert die Schnittmengen sowie die signifikanten Unterschiede bezüglich Methodik, Risikomanagement und Anwendbarkeit.
4. Fazit: Fasst zusammen, dass die Wahl des Standards stark von der Organisationsstruktur abhängt und beide Ansätze zum Stand der Technik beitragen können.
Schlüsselwörter
Informationssicherheit, ISO/IEC 27001, BSI IT-Grundschutz, ISMS, Risikomanagement, Informationssicherheits-Managementsystem, Top-Down-Methode, Bottom-Up-Methode, IT-Grundschutz-Kompendium, Zertifizierung, Schutzbedarf, Sicherheitskontrollen, Sicherheitsstandard, Standard-Absicherung, Kontinuierlicher Verbesserungsprozess.
Häufig gestellte Fragen
Worum geht es in dieser Arbeit grundsätzlich?
Die Arbeit vergleicht die zwei führenden Standards zur Informationssicherheit: die internationale ISO/IEC 27000-Reihe und den deutschen BSI IT-Grundschutz.
Welche zentralen Themenfelder werden behandelt?
Im Fokus stehen die methodischen Unterschiede, die Anwendbarkeit in verschiedenen Organisationsformen, die Zertifizierungsfähigkeit und der Umgang mit Risiken.
Was ist das primäre Ziel der Untersuchung?
Ziel ist es, Gemeinsamkeiten und Unterschiede klar herauszuarbeiten, um Verantwortlichen eine fundierte Entscheidungsgrundlage für die Einführung eines ISMS zu bieten.
Welche wissenschaftliche Methode kommt zum Einsatz?
Die Arbeit nutzt eine komparative Analyse, bei der definierte Kategorien wie Komplexität, Vorgabentiefe und methodisches Vorgehen für beide Standards gegenübergestellt werden.
Was wird im Hauptteil der Arbeit erläutert?
Der Hauptteil gliedert sich in eine präzise Kurzdarstellung beider Standards und einen umfassenden Vergleich anhand von Rubriken wie Anwendbarkeit, Pflichtdokumenten und Umsetzungsmethodik.
Welche charakteristischen Schlüsselwörter prägen die Arbeit?
Kernbegriffe sind ISMS, Risikomanagement, Top-Down- gegenüber Bottom-Up-Methode sowie die spezifische Unterscheidung zwischen generischen und maßnahmenorientierten Standards.
Warum ist die Unterscheidung zwischen Top-Down und Bottom-Up wichtig?
Diese Methode bestimmt, wie die Sicherheit in der Organisation implementiert wird – entweder durch abstrakte Managementvorgaben (ISO) oder durch konkrete, vorgefertigte Maßnahmenbausteine (BSI).
Was ist die spezifische Besonderheit des IT-Grundschutzes?
Die Besonderheit liegt in der bereitgestellten, sehr detaillierten Maßnahmen-Sammlung und den für bestimmte Schutzbedarfskategorien ("normal") bereits vorgefertigten Risikoanalysen.
- Quote paper
- Anonym (Author), 2022, Vergleich Informationssicherheits-Standards ISO/IEC 27000 und BSI IT-Grundschutz. Gemeinsamkeiten und Unterschiede beider Standards, Munich, GRIN Verlag, https://www.grin.com/document/1315837
