Praxisnah und flexibel. Schon 1994 war dies der Grundgedanke für die IT-Sicherheitsempfehlungen, als die erste Ausgabe des IT-Grundschutzhandbuches herauskam. Drei Jahrzehnte später hat sich nicht nur die Welt um den IT-Grundschutz geändert, sondern auch der IT-Grundschutz selbst. Er wurde mehrfach vollständig überarbeitet, so dass er jederzeit als Werkzeug genutzt werden kann, um Informationssicherheit in Institutionen zu schaffen und aufrechtzuhalten.

Auch zum derzeitigen Zeitpunkt wird der IT-Grundschutz agil unter dem Stichwort "IT-Grundschutz++" mit den Zielen weiterentwickelt, den Umfang und die bei der Umsetzung entstehenden Dokumentationsaufwände auf das notwendige Mindestmaß zu reduzieren, eine Priorisierung der Anforderungen vorzunehmen, Leistungskennzahlen aus den erfüllten Anforderungen zu errechnen sowie die Anwendung von Automatisierungstools weitestgehend zu ermöglichen.

Die Keynote wird die Vision von IT-Grundschutz++ zeigen sowie über den aktuellen Stand der agilen Weiterentwicklung informieren und einen Ausblick geben, was den zukünftigen IT-Grundschutz auszeichnen wird.

Maschinenlesbar, automatisierbar und agil soll der neue IT-Grundschutz++ werden. Das verinice.Team stellt einen ersten Prototypen in der neuen Produktgeneration verinice.veo vor und erläutert die grundlegenden Konzepte der Neuerungen.

Ein entscheidender Vorteil von verinice.veo liegt in der offenen API, die eine nahtlose Integration mit verschiedenen Third-Party-Tools und Plattformen ermöglicht. Dieser Vortrag demonstriert die Integration mit der leistungsstarken Open Source Workflow-Engine "Windmill" und hebt deren Mehrwert für Informationssicherheitsbeauftragte und Datenschützer hervor.

Wir demonstrieren, wie Workflows gezielt eingesetzt werden, um zentrale Aufgaben zu automatisieren, wie etwa die Umsetzung und Prüfung von Controls, das Erfassen und Verwalten von Assets sowie die effiziente Bearbeitung von Sicherheitsvorfällen. Die Teilnehmer erhalten praxisnahe Einblicke wie wiederkehrende Tätigkeiten durch Automatisierung optimiert werden können, um die Effektivität und Effizienz ihres ISMS/DSMS zu steigern.

Krankenhäuser sind nach SGB V § 391 verpflichtet, nach dem Stand der Technik angemessene Vorsorge zu treffen, um Ausfälle oder eine Beeinträchtigung des Krankenhausbetriebs zu vermeiden. Diese Verpflichtung kann durch Anwendung des Branchenspezifischen Sicherheitsstandards (B3S) erfüllt werden. Außerdem verpflichtet das Sächsische Informationssicherheitsgesetz das Sächsische Krankenhaus Rodewisch als staatliche Einrichtung zur Anwendung des BSI Grundschutzes.
Unter diesen Gesichtspunkten wurde im Rahmen des Krankenhauszukunftsgesetzes ein Projekt gestartet, um ein B3S- und BSI-Grundschutz konformes ISMS aufzubauen und zu etablieren.
Dabei konnte auf die seit Jahren im Einsatz befindliche Open-Source-Lösung KIX als CMDB aufgesetzt werden. Für die ISMS-Dokumentation sollte mit verinice ebenfalls eine Open-Source-Lösung zum Einsatz kommen. Durch die Kopplung von CMDB und ISMS über eine Schnittstelle werden Synergien genutzt.
Der Vortrag behandelt dabei die Herangehensweise, die Projektumsetzung und die Gestaltung der Schnittstelle zwischen ISMS und CMDB. Dabei werden insbesondere die Zuordnung von Grundschutz-Zielobjekten in verinice zu Configuration Items in der KIX-CMDB, die Einbindung von Medizin- und Versorgungstechnik sowie die Workflows zur Bearbeitung von Grundschutz-Anforderungen als Ticket und die Einbindung des externen ISB vorgestellt.

Die NIS-2-Richtline soll in Deutschland durch das NIS2UmsuCG umgesetzt werden. Dieses neue Gesetz stellt mannigfaltige Anforderungen an die Unternehmen, die davon betroffen sind. Welche Anforderungen dies konkret sind und wie diese in der Praxis mit Hilfe von verinice im Unternehmen umzusetzen können, soll der Vortrag veranschaulichen.

ISO 27032 ist eine vergleichsweise neue Norm, die speziell auf die Herausforderungen der Cybersicherheit abzielt und sich durch einen praxisorientierten Ansatz auszeichnet. Der Standard versteht sich als Ergänzung zu bestehenden Frameworks wie der ISO 27001 und adressiert insbesondere die Zusammenarbeit zwischen verschiedenen Stakeholdern, um Bedrohungen effektiv zu begegnen. Dieser Vortrag ordnet die ISO 27032 im Kontext bestehender Sicherheitsstandards ein, beleuchtet die zentralen Inhalte der Norm und zeigt deren Potenzial zur Verbesserung der Cybersicherheitslandschaft auf.

Gleichzeitig wird kritisch hinterfragt, ob die ISO 27032 tatsächlich einen notwendigen Mehrwert bietet oder lediglich ein weiteres Element in der ohnehin komplexen Landschaft der Managementsysteme und Standards darstellt. Anhand praxisnaher Beispiele werden mögliche Redundanzen mit anderen Standards analysiert und die sinnvolle Integration in Unternehmen zur Optimierung der Sicherheitsstrategien entworfen.

Die offene API von verinice.veo ermöglicht eine umfassende grafische Visualisierung aller Verknüpfungen in Ihrem Informationssicherheitsmanagement. Risiken können beispielsweise mit Szenarien, Assets, Prozessen oder Informationsverbünden verknüpft und dargestellt werden. Ebenso lassen sich ein- und ausgehende Links zwischen Informationsverbünden übersichtlich abbilden. Der Vortrag behandelt diese flexible Visualisierung, die für alle Arten von Verknüpfungen gelten und einen klaren Überblick über Zusammenhänge und Abhängigkeiten bieten – eine wertvolle Unterstützung für effektives Risikomanagement und Entscheidungsprozesse.