Seminar BSI IT-Grundschutz – Sicherheitskonzept und Risikoanalyse

Der IT-Grundschutz bietet ein strukturiertes Vorgehen, um organisatorische und technische Sicherheitsanforderungen in einem Informationsverbund zusammenzuführen. Das Seminar behandelt die praktische Anwendung der Methodik anhand einer überschaubaren Beispielorganisation. Geschäftsprozesse, Anwendungen, Systeme, Kommunikationsverbindungen und Räume werden nachvollziehbar erfasst und zu einem konsistenten Sicherheitskonzept verbunden.

Besondere Aufmerksamkeit gilt den Entscheidungen, die in realen Projekten häufig unklar bleiben: der sinnvollen Abgrenzung des Verbunds, der Vererbung von Schutzbedarf, der Auswahl geeigneter Bausteine und dem Umgang mit erhöhten Risiken. Die Bearbeitung erfolgt mit nachvollziehbaren Arbeitsblättern. Das Konzept wird so aufgebaut, dass Änderungen an Systemen und Geschäftsprozessen später gezielt nachgeführt werden können.

Die Fallorganisation betreibt zentrale Verwaltungsanwendungen, mehrere Serverdienste und ausgelagerte Kommunikationsleistungen. An diesem Beispiel wird sichtbar, wie eine ungenaue Bestandsaufnahme später zu Lücken in der Modellierung führt. Die einzelnen Arbeitsschritte werden daher aufeinander abgestimmt und nach jeder größeren Entscheidung überprüft. Ein erhöht schutzbedürftiger Geschäftsprozess dient zur Vertiefung der Risikoanalyse. Unterschiedliche Einschätzungen aus IT und Fachbereich werden anhand begründeter Schadensszenarien zusammengeführt. Außerdem wird eine geplante Systemänderung betrachtet, damit die Pflege des Konzepts nicht bei der erstmaligen Erstellung endet. Die Fallarbeit umfasst die Rückverfolgbarkeit von Anforderungen über Zielobjekte bis zu Maßnahmen, Verantwortlichen und passenden Prüfnachweisen sowie den Umgang mit noch nicht abschließend geklärten Risiken.

Lernziele

• Einen Informationsverbund strukturiert beschreiben und sinnvoll abgrenzen.
• Schutzbedarf begründen und Abhängigkeiten nachvollziehbar berücksichtigen.
• Modellierung und IT-Grundschutz-Check methodisch durchführen.
• Ergänzende Risiken bewerten und Maßnahmen priorisiert planen.

Seminarinhalte

Methodik und Sicherheitsorganisation

• Die Aufgaben der BSI-Standards 200-1, 200-2 und 200-3 einordnen.
• Basis-, Kern- und Standard-Absicherung nach Ausgangslage und Ziel unterscheiden.
• Rollen, Leitlinie und Abstimmung mit einem bestehenden ISMS festlegen.

Strukturanalyse

• Geschäftsprozesse, Informationen, Anwendungen, IT-Systeme und Räume erfassen.
• Gruppierung, Schnittstellen und Abhängigkeiten nachvollziehbar dokumentieren.
• Externe Leistungen und ausgelagerte Prozesse im Verbund berücksichtigen.

Schutzbedarf feststellen

• Vertraulichkeit, Integrität und Verfügbarkeit getrennt bewerten.
• Schadensszenarien sowie Vererbungs-, Kumulations- und Verteilungseffekte bearbeiten.
• Begründungen mit Fachbereichen abstimmen und Widersprüche auflösen.

Modellierung und Grundschutz-Check

• Passende Bausteine auswählen und auf konkrete Zielobjekte anwenden.
• Anforderungen mit vorhandenen Maßnahmen und Nachweisen abgleichen.
• Nichtanwendbarkeit, offene Punkte und Zuständigkeiten dokumentieren.

Ergänzende Risikoanalyse

• Auslöser und Umfang zusätzlicher Risikoanalysen festlegen.
• Gefährdungen, Eintrittsmöglichkeiten und mögliche Auswirkungen bewerten.
• Risikobehandlung und verbleibende Restrisiken begründet entscheiden.

Sicherheitskonzept pflegen

• Maßnahmen nach Risiko, Aufwand und betrieblichen Abhängigkeiten priorisieren.
• Freigaben und Änderungsanlässe in den laufenden Betrieb integrieren.
• Ein Konzeptreview mit Nachweisprüfung und offenen Entscheidungen durchführen.

Praxisübungen

Die Praxisaufgaben werden anhand einer zusammenhängenden Fallstudie schrittweise bearbeitet. Fachliche Entscheidungen und Kontrollnachweise werden gemeinsam überprüft.

1. Den Informationsverbund einer Schulungs- und Verwaltungsumgebung abgrenzen.
2. Anwendungen und Systeme in einem Strukturmodell zuordnen.
3. Den Schutzbedarf anhand dreier Geschäftsvorfälle begründen.
4. Geeignete Bausteine auswählen und exemplarische Anforderungen prüfen.
5. Für ein besonders schutzbedürftiges Zielobjekt eine zusätzliche Risikoanalyse durchführen.
6. Die priorisierten Maßnahmen in einem freigabefähigen Konzeptauszug zusammenführen.

Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner

Seminardetails

Dauer:	3 Tage, ca. 6 h Unterricht pro Tag, Beginn 1. Tag: 10:00 Uhr, weitere Tage: 09:00 Uhr
Preis:	Öffentlich oder Live Stream: € 1.797 zzgl. MwSt. Inhaus: € 5.100 zzgl. MwSt.
Teilnehmeranzahl:	min. 2 - max. 8
Teilnehmer:	Informationssicherheitsbeauftragte, IT-Verantwortliche, Administratoren und Mitarbeitende in Sicherheitsprojekten
Voraussetzungen:	Grundkenntnisse von IT-Infrastruktur und Informationssicherheit; eine abgeschlossene Zertifizierung wird nicht vorausgesetzt.
Schulungsumgebung:	Tabellenkalkulation, Textverarbeitung und Modellunterlagen zu einer fiktiven Organisation.
Standorte:	Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg
Methoden:	Fachliche Einordnung, Demonstrationen, angeleitete Praxisübungen und strukturierte Fallarbeit
Seminararten:	Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht
Durchführungsgarantie:	ja, ab 2 Teilnehmern
Sprache:	Deutsch - bei Firmenseminaren ist auch Englisch möglich
Seminarunterlage:	Dokumentation auf Datenträger oder als Download
Teilnahmezertifikat:	ja, selbstverständlich
Verpflegung:	Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch)
Support:	3 Anrufe im Seminarpreis enthalten
Barrierefreier Zugang:	an den meisten Standorten verfügbar
	Weitere Informationen unter + 49 (221) 74740055

Seminartermine

Nach oben