referencial
BSI IT-Grundschutz
Segurança da informação segundo a metodologia do BSI, passo a passo: desde a escolha da abordagem, passando pela análise da estrutura e pela verificação IT-Grundschutz, até à certificação e à transição para o Grundschutz++.
O que é IT-Grundschutz?
O IT-Grundschutz é o método do Gabinete Federal para a Segurança da Informação (BSI) para a criação de um sistema de gestão da segurança da informação. As normas BSI 200-1 a 200-3 descrevem o procedimento; o Compêndio IT-Grundschutz (edição 2023) contém os requisitos. O sucessor do compêndio é o Grundschutz++, certificável a partir de 1 de janeiro de 2027.
Atualidade dos conteúdos:
Aplica-se ao meu caso?
Para as empresas, o IT-Grundschutz é facultativo. Adequa-se a organizações de qualquer dimensão que pretendam desenvolver a segurança da informação segundo um método comprovado, aspirem a uma certificação ISO 27001 com base no IT-Grundschutz ou queiram cumprir de forma estruturada as obrigações de gestão de riscos nos termos do § 30 BSIG.
Para as entidades da administração federal, o IT-Grundschutz e as normas mínimas do BSI são requisitos mínimos vinculativos. O Complass explica o método por palavras próprias e remete para capítulos e identificadores; o texto integral dos requisitos da edição 2023 encontra-se no compêndio gratuito do BSI.
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Base jurídica
- BSI-Standard 200-2Metodologia IT-Grundschutz
- BSI-Standard 200-3Análise de riscos baseada no IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir o original (gesetze-im-internet.de) ↗Medidas de gestão de riscos das entidades essenciais e importantes
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Abrir o original (gesetze-im-internet.de) ↗Requisitos mínimos da administração federal decorrentes do IT-Grundschutz e das normas mínimas
Datas-chave
- IT-Grundschutz Compendium Edition 2023 available (replaces Edition 2022) · BSI, IT-Grundschutz Compendium
- Publication of the Grundschutz++ methodology at it-sa 2026 · BSI, Grundschutz++ milestone plan
- Grundschutz++ can be certified (ISO 27001 on the basis of Grundschutz++) · BSI, Grundschutz++ milestone plan
- End of certifiability of classic IT-Grundschutz · BSI, Grundschutz++ milestone plan
Não existem prazos legais para as empresas introduzirem o IT-Grundschutz. As datas acima dizem respeito à transição para o Grundschutz++ segundo o plano de etapas do BSI; as datas de auditoria são inseridas no plano do projeto.
Como o Complass ajuda
Dez fases segundo a norma BSI 200-2
Iniciação com escolha da abordagem, organização, análise da estrutura, necessidades de proteção, modelação, verificação IT-Grundschutz, análise de riscos, implementação, melhoria, bem como certificação e transição; cada passo mostra o que se aplica à proteção de base e à proteção nuclear.
Edição 2023 e Grundschutz++
Os requisitos da edição 2023 com identificador, nível e descrição breve própria, bem como o catálogo de utilizador Grundschutz++ no texto original, cada um com estado e evidência.
Modelos segundo os documentos de referência
Entre outros: política, definição da abordagem, análise da estrutura, determinação das necessidades de proteção, modelação, análise de riscos com as ameaças elementares, plano de realização e vista geral dos documentos de referência A.0 a A.6.
Modelação e verificação por objeto-alvo
Objetos-alvo do inventário de ativos, individualmente ou em grupo, necessidades de proteção segundo o princípio do máximo, propostas de módulos, verificação IT-Grundschutz por objeto-alvo como fluxo guiado e plano de realização; os documentos de referência A.3, A.4 e A.6 são exportados em Excel e PDF.
Interligado com ativos e riscos
Análise da estrutura e necessidades de proteção no inventário de ativos, análise de riscos com o modelo segundo a norma BSI 200-3, medidas comuns com a ISO 27001 e a NIS2.
As fases no módulo
- Initiating the security process
- Organising the security process
- Structure analysis
- Protection requirement assessment
- Modelling
- IT-Grundschutz check
- Risk analysis according to BSI Standard 200-3
- Implementing the security concept
- Maintenance and continual improvement
- Certification and switch to Grundschutz++
Catálogo: IT-Grundschutz Compendium 2023 – ISMS Security Management, ORP Organisation and Personnel
Módulos adequados
Gestão da conformidade
Aplicar referenciais de forma guiada: fases, modelos, pirâmide documental, catálogos, análise de lacunas, objetivos e plano de ação até à auditoria no portal do auditor.
Saber maisGestão de ativos
Ativos de TI e de OT num só lugar, recolhidos sem agente, com SBOM, avisos dos fabricantes, fim de suporte, reconciliação de licenças, identidades, relações e zonas segundo a IEC 62443-3-2.
Saber maisGestão de riscos
Registo de riscos com avaliação qualitativa ou quantitativa, apetite pelo risco e plano de tratamento, ligado a ativos, vulnerabilidades e incidentes.
Saber maisPerguntas frequentes
O Complass certifica segundo o IT-Grundschutz?
Não. O organismo de certificação para a ISO 27001 com base no IT-Grundschutz é o BSI; a auditoria é realizada por um auditor certificado pelo BSI. O Complass prepara-o para isso com modelos, catálogos e evidências.
Os textos do Compêndio IT-Grundschutz estão incluídos?
Não. Para a edição 2023, o Complass contém identificadores, níveis e descrições breves próprias; o texto integral pode ser consultado no compêndio gratuito do BSI. Os requisitos do Grundschutz++ são publicados pelo BSI sob a licença CC BY-SA 4.0 e estão incluídos no texto original.
Devemos ainda começar com a edição 2023?
Quem pretender certificar-se a curto prazo pode fazê-lo até 30 de novembro de 2031 com base no IT-Grundschutz clássico. Quem só pretender certificar-se em 2027 ou mais tarde deve planear diretamente com o Grundschutz++; a análise da estrutura, as necessidades de proteção e a análise de riscos continuam a ser utilizáveis em ambos os casos.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.