Sicherheitsverfahren
Das Sicherheitsverfahren stellt die Informationssicherheit für Schutzobjekte des Bundes risikobasiert sicher. Es ist im Informationssicherheitsgesetz (ISG, Art. 16) und in der Informationssicherheitsverordnung (ISV, Art. 27–29) geregelt und umfasst sechs aufeinander abgestimmte Prozessschritte: von der Identifikation eines Schutzobjekts über die Ermittlung des Schutzbedarfs und die Festlegung der Sicherheitsanforderungen bis zur Umsetzung geeigneter Schutzmassnahmen, der Beurteilung verbleibender Restrisiken sowie der formellen Freigabe vor der produktiven Nutzung.
Bei wesentlichen Änderungen des Schutzobjekts muss das Verfahren wiederholt und mindestens einmal jährlich auf Aktualität und Wirksamkeit überprüfen werden. Auf dieser Seite finden Sie die geltenden Vorgaben,Weisungen und Hilfsmittel zu den einzelnen Elementen des Sicherheitsverfahrens.
Schutzbedarfsanalyse (Schuban)
Bei jedem Informatikvorhaben ist vorab eine Schutzbedarfsanalyse (Schuban) durchzuführen. Das Resultat der Schuban ist eine Einstufungsbeurteilung der Anwendung oder des Projektes.
Für die Durchführung einer Schutzbedarfsanalyse steht eine an die Anforderungen der Informationssicherheitsverordnung (ISV) angepasste Excel-Vorlage als Version 5.1.1 zur Verfügung.
IT-Grundschutz in der Bundesverwaltung
Der «IT-Grundschutz» legt die minimalen organisatorischen, personellen und technischen Sicherheitsvorgaben im Bereich Informatiksicherheit verbindlich fest. Für jedes Informatikschutzobjekt ist als Minimum der IT-Grundschutz umzusetzen.
Im Dokument «Massnahmenumsetzung zum IT-Grundschutz in der Bundesverwaltung» sind die minimalen Informatiksicherheitsanforderungen in tabellarischer Form aufgeführt. Damit steht ein Hilfsmittel zur Rapportierung der Umsetzung der Sicherheitsmassnahmen zur Verfügung. Anforderungen die als «gelöscht» oder «verschoben» im IT-Grundschutz markiert sind, werden im Umsetzungsdokument nicht mehr aufgeführt.
Informationssicherheits- und Datenschutzkonzept (ISDS)
Ergibt die Schutzbedarfsanalyse einen erhöhten Schutzbedarf, so ist zusätzlich zur Dokumentation der Umsetzung des IKT-Grundschutzes ein ISDS-Konzept mit Risikoanalyse zu erstellen. Das ISDS-Konzept gilt als Hauptdokument der Informationssicherheit und des Datenschutzes im Projekt und während des Betriebes. Es legt die nötigen Angaben zur Erhaltung und Verbesserung der Informationssicherheit und des Datenschutzes fest und fasst die Aspekte der Informationssicherheit und des Datenschutzes im Projekt zusammen.
Als Vorlage für die Erstellung eines ISDS-Konzeptes steht das Dokument ISDS-Konzept zur Verfügung.
Risikoanalyse
Die Risikoanalyse ist eine Beschreibung der relevanten Risikofaktoren (Verfügbarkeit, Vertraulichkeit, Integrität und Nachvollziehbarkeit) und eine Auflistung und Bewertung der Risiken. Sie zeigt ein Bild über das vorhandene Risikopotential des untersuchten Systems auf.