IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Schutzbedarfsanalyse
Wird der Schutzbedarf in die Schutzklasse „normal“ eingestuft, reichen im Allgemeinen die
Maßnahmen des IT-Grundschutzes aus. In allen anderen Fällen, also wenn das IT-Verfahren
in die Schutzklasse „hoch“ oder „sehr hoch“ eingestuft wird, muss eine verfahrensspezifische
Risikoanalyse durchgeführt werden. (Die Vorgehensweise bei einer Risikoanalyse wird
in dem folgenden Kapitel 4 beschrieben.)
Der folgende Ausschnitt aus Abbildung 1 „Modell des IT-Sicherheitsprozesses“ stellt diese
unterschiedliche Vorgehensweise in Abhängigkeit des Ergebnisses der Schutzbedarfsanalyse
grafisch dar.
Abbildung 4:
Vereinfachte Darstellung der Schutzbedarfsanalyse und der sich daraus ergebenden Konsequenzen.
Die Dokumentation der Schutzbedarfsanalyse besteht aus dem Ergebnis der Bewertungstabelle
und weiteren Angaben über den analysierten IT-Arbeitsprozess bzw. das analysierte
IT-Verfahren. Zu Beginn ist die Fachaufgabe soweit zu skizzieren, wie es für das Verständnis
der Beurteilung des Schutzbedarfs erforderlich ist. Daran anschließend sollten
mögliche Schäden in den IT-Verfahren bzw. IT-Arbeitsprozessen dargestellt werden, die
bezüglich der drei Grundbedrohungen gegliedert sind. Die Folgen dieser Schäden können
dann auf Basis der obigen Bewertungstabelle bewertet werden. Daran kann sich eine kurze
Beschreibung des Ist-Zustands der IT-Sicherheitsmaßnahmen anschließen. Gegebenenfalls
wird auf wichtige Schwachstellen in den Sicherheitsmaßnahmen kurz hingewiesen. Diese
beiden Aspekte sind nicht unmittelbar Gegenstand der Schutzbedarfsanalyse, sie sollten
aber in unmittelbarem Zusammenhang mit der Abhandlung der Verfahren erfolgen, um
den inhaltlichen Bezug nicht zu verlieren.
58 von 75