BSI IT-Grundschutz – podstawowa ochrona IT

Zdobądź certyfikat i zapewnij ciągłość działania

– firma evoila pomaga niemieckim organizacjom w procesie wdrażania systemu BSI IT-Grundschutz, od analizy luk po uzyskanie certyfikatu, dysponując specjalistyczną wiedzą inżynierską niezbędną do skutecznego wdrożenia środków kontroli.

Rozpocznij swoją przygodę z IT-Grundschutz


Standard, który docenia doświadczenie

Dla organizacji sektora publicznego, operatorów KRITIS oraz wielu niemieckich przedsiębiorstw standard BSI IT-Grundschutz stanowi wytyczną w zakresie bezpieczeństwa informacji. Jest to kompleksowe i metodyczne podejście, co właśnie sprawia, że zespołom próbującym poradzić sobie z nim samodzielnie staje się to trudne.

Firma evoila zrealizowała projekty w ramach programu IT-Grundschutz w wymagających środowiskach i dysponuje zarówno metodologią BSI, jak i możliwościami technicznymi niezbędnymi do prawidłowego wdrożenia wymaganych środków. Pomagamy Państwu w określeniu odpowiedniego zakresu sieci informatycznej, prawidłowym modelowaniu środowiska oraz wyeliminowaniu luk w sposób, który spełni wymagania certyfikacyjne.

Możemy również zapewnić wsparcie w zakresie certyfikacji zgodnie z normą ISO 27001 w oparciu o system IT-Grundschutz.

Korzyści dla firmy:

  • Ustrukturyzowana ścieżka realizacji programu IT-Grundschutz, od określenia zakresu po certyfikację
  • Elementy sterujące, które zostały faktycznie wdrożone, a nie tylko opisane w dokumentacji
  • Doskonałe dopasowanie do potrzeb sektora publicznego, obiektów KRITIS oraz niemieckich przedsiębiorstw

Projekty w ramach programu IT-Grundschutz, które utknęły w martwym punkcie, zazwyczaj kończą się niepowodzeniem w tych samych dwóch obszarach

Zakres prac, który od początku był nieodpowiedni, oraz dokumentacja, która wydaje się kompletna, dopóki nie przejrzy jej audytor. Obu tych problemów można uniknąć, jeśli od samego początku projekt będzie realizowany przez osoby z odpowiednim doświadczeniem.

Wyzwanie

Co musi być na swoim miejscu od samego początku

IT-Grundschutz ma z założenia kompleksowy charakter. Kompendium Grundschutz obejmuje szeroki zestaw modułów, a prawidłowe modelowanie sieci informatycznej, dobór odpowiednich elementów składowych oraz sporządzenie dokumentacji gotowej do audytu wymagają odpowiedniej metodyki, doświadczenia i czasu.
Organizacje sektora publicznego oraz podmioty z sektora KRITIS często muszą dostosować się do tych wymogów, ale rzadko dysponują wolnymi zasobami ludzkimi posiadającymi dogłębne doświadczenie w zakresie Grundschutz. Typowe konsekwencje tego stanu rzeczy są łatwe do zauważenia.

Określenie zakresu i modelowanie wymagają czasue

Jeśli granice sieci informatycznej zostaną od początku źle określone, często skutkuje to wielomiesięcznymi pracami poprawkowymi. Prawidłowe określenie zakresu projektu stanowi najważniejszy punkt wyjścia w każdym projekcie IT-Grundschutz.

Dokumentacja może przejść pierwszy przegląd, a następnie nie przejść audytu

Dokumentacja, która z wewnętrznego punktu widzenia wydaje się kompletna, często nie przechodzi zewnętrznej weryfikacji certyfikacyjnej. Gotowość do audytu to coś więcej niż tylko dokładność. Oznacza to uporządkowanie, identyfikowalność i możliwość uzasadnienia.

Środki kontroli technicznej to coś więcej niż tylko koncepcja

W wielu projektach określa się środki zabezpieczające, które w rzeczywistym środowisku nigdy nie są właściwie wdrażane. Koncepcja bez wdrożenia oznacza, że rzeczywiste ryzyko pozostaje niezmienione.

Obowiązki w zakresie zgodności z przepisami nie podlegają negocjacjom

Dla operatorów KRITIS oraz wielu organizacji sektora publicznego system IT-Grundschutz (podstawowej ochrony w IT) nie jest opcjonalny. Opóźnienia lub luki w tym zakresie narażają je na bezpośrednie ryzyko związane z naruszeniem przepisów.

Dobra wiadomość:
Program podstawowej ochrony w IT docenia doświadczenie.

Organizacje, które od samego początku stosują odpowiednią metodologię i dysponują odpowiednim zapleczem inżynieryjnym, zazwyczaj skuteczniej uzyskują certyfikację i unikają niepotrzebnych komplikacji.

Nasze rozwiązanie

Pełne wsparcie od etapu koncepcji aż po uzyskanie certyfikatu


evoila wspiera cały cykl życia podstawowej ochrony w IT dostosowuje zakres działań do Twojego celu – niezależnie od tego, czy chodzi o ustrukturyzowaną koncepcję bezpieczeństwa, czy o pełną certyfikację.
Dysponujemy zarówno metodologią BSI, jak i kompetencjami inżynieryjnymi niezbędnymi do wdrożenia tych środków. Na tym etapie wiele firm konsultingowych kończy swoją działalność. Ponieważ evoila zajmuje się również tworzeniem i obsługą platform, na których opierają się te rozwiązania, nasze koncepcje bezpieczeństwa odzwierciedlają rzeczywiste systemy, a określone przez nas zabezpieczenia możemy pomóc Państwu wdrożyć. Nasze usługi obejmują:

Analiza struktury i określenie zakresu

Określenie sieci informacyjnej i właściwe wyznaczenie jej granic już na samym początku.

Modelowanie z wykorzystaniem „Grundschutz-Kompendium”

Wybór i zastosowanie odpowiednich elementów składowych dostosowanych do danego środowiska.

Analiza luk i zarządzanie ryzykiem

Porównanie stanu docelowego ze stanem rzeczywistym, a następnie określenie działań mających na celu wyeliminowanie rozbieżności.

Wsparcie wdrożeniowe

Wdrażanie zabezpieczeń technicznych i organizacyjnych we współpracy z naszymi zespołami inżynierów ds. bezpieczeństwa.

Ścieżka certyfikacji

Przygotowanie do certyfikacji zgodnie z normą ISO 27001 oraz wsparcie w tym zakresie w oparciu o system podstawowej ochrony w IT.

Platformy zgodne z wymogami Grundschutz

Projektowanie i zabezpieczanie środowisk chmury prywatnej oraz infrastruktury zgodnie z wymogami podstawowej ochrony w IT .

Dogłębna analiza technologii

Proces podstawowej ochrony w praktyce

evoila stosuje metodologię BSI i dostosowuje ją do rzeczywistych warunków.

Normy i metoda

Działamy zgodnie z normami BSI 200-x: 200-1 dotyczącą systemu zarządzania, 200-2 dotyczącą metodologii podstawowej ochrony w IT oraz 200-3 dotyczącą analizy ryzyka. W zależności od Państwa potrzeb w zakresie ochrony stosujemy podejście podstawowe, standardowe lub rozszerzone, tak aby nakład pracy był dostosowany do wymagań.

Modelowanie

Korzystając z „Grundschutz-Kompendium”, tworzymy model Państwa sieci informatycznej przy użyciu odpowiednich elementów składowych, obejmujących infrastrukturę, sieci, aplikacje i operacje. Prawidłowe modelowanie na tym etapie jest kluczem do zapewnienia efektywności całego projektu.

Postępowanie z ryzykiem

W przypadkach, gdy wymagania dotyczące ochrony są wysokie lub nie ma odpowiedniego modułu, przeprowadzamy analizę ryzyka zgodnie z normą BSI 200-3 i określamy dodatkowe środki zabezpieczające.

Wdrożenie i platformy

To kluczowy czynnik wyróżniający nas na tle konkurencji. Nie poprzestajemy na samym pomyśle. Nasze zespoły inżynierów wdrażają zabezpieczenia techniczne i są w stanie stworzyć środowiska chmury prywatnej oraz platformy, które już w fazie projektowania są dostosowane do wymagań podstawowej ochrony.

Bezpieczeństwo kontenerów i Kubernetes

Certyfikacja

W przypadku gdy wymagana jest certyfikacja, przygotowujemy dokumentację referencyjną i zapewniamy wsparcie w procesie uzyskania certyfikatu ISO 27001 w oparciu o standard IT-Grundschutz.

Zalety techniczne

Sześć powodów, dla których IT-Grundschutz współpracuje z evoila

1. Wysiłek dostosowany do potrzeb

Podstawowe, standardowe lub kluczowe rozwiązania w zakresie zabezpieczeń, dostosowane do rzeczywistych potrzeb w zakresie ochrony.

2. Efektywne modelowanie

Właściwy dobór elementów składowych już na samym początku pozwala uniknąć wielomiesięcznych prac poprawkowych w przyszłości.

3. Wdrożone, a nie zakładane

Środki zabezpieczające są wdrażane przez inżynierów, a nie pozostają jedynie na papierze w postaci specyfikacji.

4. Platformy zgodne z wymogami Grundschutz

Chmura prywatna i infrastruktura zaprojektowane od podstaw tak, aby spełniały wymagania Grundschutz.

5. Dokumentacja gotowa do audytu

Każda koncepcja jest przygotowana tak, aby spełnić wymagania przeglądu certyfikacyjnego, a nie tylko uzyskać wewnętrzne zatwierdzenie.

6. Dostosowanie NIS2 i KRITIS

Prawidłowo opracowana koncepcja IT-Grundschutz obejmuje jednocześnie znaczną część dokumentacji wymaganej do spełnienia obowiązków wynikających z dyrektywy NIS2 i ustawy KRITIS.

Twój idealny partner

Doświadczenie w zakresie Grundschutz poparte wiedzą inżynierską

Firma evoila zrealizowała projekty w zakresie IT-Grundschutz w wymagających niemieckich środowiskach, więc stosowana przez nas metoda została sprawdzona w praktyce podczas rzeczywistych audytów, a nie tylko opisana w teorii.
Różnica polega na inżynieryjnej głębi koncepcji. Ponieważ budujemy i obsługujemy infrastrukturę chmury prywatnej oraz platformy, możemy dostarczać środowiska gotowe do wdrożenia Grundschutz oraz wdrażać zabezpieczenia wymagane przez tę koncepcję.
Działamy zgodnie z normami BSI 200-x oraz kompendium Grundschutz, a sama firma evoila posiada certyfikat ISO 27001. W przypadku organizacji, które muszą również spełniać wymagania NIS2, te same działania wspierają również wypełnienie tych zobowiązań.

Organizacja posiadająca certyfikat ISO 27001

Sami posiadamy ten certyfikat. Nasze koncepcje bezpieczeństwa są opracowywane przez zespół, który działa zgodnie z tymi samymi standardami, do których osiągnięcia pomagamy Państwu dążyć.

Metodologia BSI 200-x stosowana w produkcji

W rzeczywistych projektach stosujemy normy BSI 200-1, 200-2 i 200-3 – nie jako teoretyczne punkty odniesienia, lecz jako metodę leżącą u podstaw naszych działań.

Zespoły inżynierów, które nie tylko doradzają, ale także wdrażają rozwiązania

Nasi inżynierowie ds. bezpieczeństwa wdrażają odpowiednie zabezpieczenia. Nie ma konieczności przekazywania projektu odrębnemu zespołowi wdrożeniowemu, a także nie występuje luka w odpowiedzialności między koncepcją a rzeczywistością.

KRITIS i dotychczasowe osiągnięcia w zakresie projektów dla sektora publicznego

Realizowaliśmy projekty w ramach programu IT-Grundschutz w środowiskach, w których zgodność z przepisami jest obowiązkowa, a audyty są faktycznie przeprowadzane. Stosowana przez nas metoda została już sprawdzona w takich warunkach.

Technologie i partnerzy

Jak działamy i z kim współpracujemy

Pracujemy niezależnie od konkretnych narzędzi i dostosowujemy wymagania do uznanych standardów, takich jak ISO 27001 i BSI IT-Grundschutz. Środki techniczne wdrażamy we współpracy z zespołami evoila zajmującymi się inżynierią bezpieczeństwa oraz usługami zarządzanymi. Ponieważ firma evoila posiada certyfikat ISO 27001, nasze działania opierają się na poddanym audytowi modelu operacyjnym.


Usługi i oferty dla początkujących

Zacznij w sposób, który najbardziej Ci odpowiada

1 | Ocena gotowości w zakresie IT-Grundschutz

Ocena o ustalonym zakresie, która precyzuje zakres projektu, wskazuje kluczowe braki oraz przedstawia plan działań z ustalonymi priorytetami prowadzący do uzyskania certyfikatu.

2 | Projekt IT-Grundschutz

Kompleksowe wsparcie – od analizy konstrukcyjnej i modelowania, poprzez wdrożenie, aż po pomoc w uzyskaniu certyfikacji – dostosowane do potrzeb Państwa organizacji, systemów i wymogów zgodności.

Czekanie nie sprawi, że IT-Grundschutz stanie się łatwiejszy

Określ właściwy zakres, wyeliminuj niedociągnięcia i uzyskaj certyfikat dzięki zespołowi, który ma w tym doświadczenie.

Rozpocznij swoją przygodę z IT-Grundschutz

Zmieńmy IT-Grundschutz w prawdziwe zabezpieczenie

Powiedz nam, na jakim etapie się obecnie znajdujesz, a pomożemy Ci wytyczyć drogę do osiągnięcia zgodności z przepisami i uzyskania certyfikatu.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Najczęściej zadawane pytania

Najczęściej zadawane pytania dotyczące BSI IT-Grundschutz

ISO 27001 to międzynarodowa norma określająca ogólne wymagania dotyczące systemu zarządzania bezpieczeństwem informacji. BSI IT-Grundschutz to metodologia opracowana przez BSI, która poprzez ustrukturyzowane moduły i środki zabezpieczające konkretyzuje te wymagania na rynku niemieckim. Organizacje mogą uzyskać certyfikat ISO 27001 w oparciu o IT-Grundschutz.

To zależy od konkretnego środowiska i uwarunkowań prawnych. Dla wielu niemieckich organizacji sektora publicznego oraz operatorów KRITIS bardziej odpowiednim systemem jest IT-Grundschutz. Dla innych organizacji wystarczająca może być norma ISO 27001. W praktyce te dwa systemy często się uzupełniają, a nie wykluczają.

To zależy od wielkości, złożoności i stopnia dojrzałości Twojego środowiska. Najważniejszym czynnikiem jest zazwyczaj prawidłowe określenie zakresu i modelowanie na samym początku. Ocena gotowości pozwala ustalić realistyczny harmonogram i uniknąć konieczności ponownej pracy na późniejszych etapach projektu.

Tak. evoila nie poprzestaje na samej koncepcji. Nasze zespoły inżynierów są w stanie wdrożyć zabezpieczenia techniczne oraz pomóc w tworzeniu platform i infrastruktury, które w praktyce spełniają wymagania Grundschutz.

Tak. Prawidłowo opracowana koncepcja IT-Grundschutz bezpośrednio wspiera wypełnianie obowiązków wynikających z przepisów dotyczących obiektów o znaczeniu krytycznym (KRITIS) oraz stanowi solidną podstawę do przedstawienia dowodów zgodności z dyrektywą NIS2. Te same działania często pozwalają jednocześnie spełnić wiele wymagań.