BSI
Das Bundesamt für Sicherheit in der Informationstechnik bildet den zentralen nationalen Industriestandard für Informationssicherheit. Blaufeld überführt diesen Maßstab und klassifiziert Risiken in konkrete Kontrollen, Tests und Nachweise.
Informationssicherheit beginnt mit dem Geschäftsbetrieb
IT-Grundschutz betrachtet nicht nur einzelne Geräte. Entscheidend ist der vollständige Informationsverbund aus Aufgaben, Informationen, Anwendungen, Systemen, Räumen, Verbindungen und beteiligten Dienstleistern.
Geschäftsprozess
Der Sicherheitsrahmen beginnt bei der Leistung, die das Unternehmen zuverlässig erbringen muss. Kritische Abläufe und Abhängigkeiten werden zuerst sichtbar gemacht.
Vertraulichkeit, Integrität, Verfügbarkeit
Für Informationen und Systeme wird begründet, welche Auswirkungen Offenlegung, Veränderung oder Ausfall auf den Betrieb hätten.
Leitung und Sicherheitsorganisation
Ziele, Rollen, Ressourcen und Freigaben werden organisatorisch verankert. Informationssicherheit bleibt eine Leitungsaufgabe mit benannten operativen Zuständigkeiten.
Vier Standards bilden das Managementsystem
Die Reihe 200 trennt Führung, Vorgehensweise, Risikobehandlung und Wiederanlauf. Erst zusammen entsteht ein belastbarer Sicherheitsbetrieb.
Managementsystem für Informationssicherheit
Definiert Aufgaben, Verantwortung und wesentliche Bestandteile eines ISMS. Die Leitung setzt Ziele, Rahmen und Ressourcen.
IT-Grundschutz-Methodik
Beschreibt den Aufbau des Sicherheitsprozesses mit Struktur-, Schutzbedarfs-, Modellierungs- und Prüfmethodik.
Risikoanalyse
Erweitert den Grundschutz für erhöhten Schutzbedarf, neuartige Systeme und Gefährdungen, die durch vorhandene Bausteine nicht ausreichend behandelt werden.
Business Continuity Management
Verbindet Vorsorge, Reaktion und Wiederanlauf mit priorisierten Geschäftsprozessen und getesteten Notbetriebswegen.
Primärquellen
Blaufeld übersetzt BSI-Standards und BSI-Veröffentlichungen in die technische Umsetzung.
Unternehmens-KI benötigt eine eigene Risikoschicht
Generative Modelle verarbeiten unstrukturierte Eingaben, erzeugen neue Inhalte und können Werkzeuge auslösen. Deshalb werden Modellrisiken mit Identität, Datenpfad, Ausführungsrechten und menschlicher Entscheidung verbunden.
Input Boundary
- INJ.01
- Indirect Prompt InjectionExterne Dokumente und Webseiten bleiben untrusted data. Enthaltene Anweisungen erhalten keine Autorität über Systemregeln oder Berechtigungen.
- DATA.02
- Minimierter KontextNur zulässige Datenklassen, Quellen und Ausschnitte gelangen in den Modellkontext. Geheimnisse und unnötige personenbezogene Daten bleiben getrennt.
Retrieval Authorization
- RAG.01
- Quellrechte vor RetrievalNutzer-, Rollen-, Mandanten- und Dokumentrechte wirken bereits bei der Auswahl der Quelle, nicht erst nach der Modellantwort.
- PROV.02
- ProvenanceQuelle, Version und Transformationsweg bleiben dem Ergebnis zugeordnet und machen die fachliche Prüfung reproduzierbar.
Execution Control
- TOOL.01
- Separate DienstidentitätJede Integration arbeitet mit eigenen Scopes, festgelegten Zielsystemen und serverseitiger Autorisierung.
- AUTH.02
- Wirkungsabhängige FreigabeSchreibende, externe, finanzielle oder personenbezogene Aktionen erhalten eine explizite Freigabeschwelle.
Verification and Recovery
- TEST.01
- Modell- und WirkungstestFehlerhafte Ausgaben, Manipulationsversuche und unerwartete Aktionen werden vor Produktivbetrieb mit definierten Testfällen geprüft.
- BCM.02
- Unabhängiger RückfallwegStopp, Zugriffsentzug, Rollback, Wiederherstellung und manueller Betrieb funktionieren außerhalb des Modells.
Blaufeld macht BSI-Standards ausführbar
Aus dem BSI-Maßstab entsteht eine zusammenhängende Umsetzungskette aus Systemgrenze, Schutzbedarf, Kontrolle, Test und belastbarem Betrieb.
Informationsverbund erfassen. Geschäftsprozesse, Informationen, Anwendungen, Identitäten, Endpunkte, Netze, Räume und externe Abhängigkeiten werden einer prüfbaren Architektur zugeordnet.
Schadenswirkung begründen. Offenlegung, Veränderung und Ausfall werden nach ihrer Wirkung auf Kunden, Finanzen, Recht, Reputation und Handlungsfähigkeit bewertet.
Anforderungen ausführbar machen. Jede relevante Anforderung erhält eine konkrete Maßnahme, Konfiguration, zuständige Person, Freigabeschwelle und Eskalationsregel.
Wirksamkeit nachweisen. Testfall, erwartetes Ergebnis, tatsächlicher Systemzustand, Abweichung, Restrisiko und Freigabe werden datiert dokumentiert.
Reaktion und Wiederanlauf vorbereiten. Erkennung, Isolation, Kommunikation, Wiederherstellung und manueller Ersatzbetrieb werden mit Verantwortlichkeit und Prüftermin als funktionsfähiger Prozess geführt.
Schutzbedarf vor dem Einsatz einordnen
Der erste Schritt erfasst Geschäftsprozesse, Informationen, Systeme, mögliche Auswirkungen und bereits vorhandene Kontrollen.
SCHUTZBEDARF EINORDNEN