Container-Sicherheit: Entwurf des BSI-Bausteins für das Grundschutz-Kompendium
Mit der Verbreitung von Containern gerät deren Sicherheit in den Fokus. Das BSI erweitert daher sein IT-Grundschutz-Kompendium um einen Container-Baustein.
- Christoph Puppe
Behörden und Firmen in Deutschland setzen Container inzwischen strategisch ein. Das BSI hat daher den Entwurf eines Bausteins für das Grundschutz-Kompendium veröffentlicht. Dieser gibt den Nutzern einen Leitfaden an die Hand, wie sie Container sicher und zuverlässig einsetzen. Nutzer des BSI-Kompendiums können den Entwurf kommentieren, bevor ihn die nächste Version aufnimmt und er für Zertifizierungen relevant wird.
Wie alle Bausteine seit der Novellierung des IT-Grundschutzes im August 2017 gliedert sich dieser Baustein in die Stufen Basis, Standard und Erhöht. Er enthält auf jeder Stufe Anforderungen, die das BSI für den Betrieb von Containern für notwendig erachtet. Zu jedem Baustein gehört außerdem eine Kreuzreferenz, die zeigt, welche Anforderung welches Risiko abdeckt. Zu Beginn einer Zertifizierung im Rahmen des IT-Grundschutzes etwa steht eine Risikoanalyse, aus der sich ergibt, welche Anforderungen zu erfüllen sind.
● Das IT-Grundschutz-Kompendium des BSI enthält Anforderungen an die Sicherheit von IT-Komponenten. Bundesbehörden müssen diese einhalten – und somit auch deren Auftragnehmer.
● Wegen des wachsenden Interesses hat das BSI einen Grundschutz-Baustein für den Umgang mit Software in Containern entworfen.
● Der Container-Baustein ist derzeit ein Entwurf, also nicht verpflichtend, soll aber in die nächste Version des Grundschutz-Kompendiums aufgenommen werden. Nutzer sind aufgerufen, ihn zu kommentieren.
Bei der Novellierung hat das BSI das Vorgehen zur Risikoanalyse stark vereinfacht. Der Gefährdungskatalog enthält 47 Gefährdungen, die für alle IT-Landschaften zu beachten sind. Dies reicht von physischen Risiken wie Hochwasser über Fehler der Anwender bis hin zum Angriff. Außerdem enthält jeder Baustein spezifische Gefährdungen. Bei Containern sind dies vor allem Schwachstellen in Images, ungesicherte administrative Zugänge, potenzielle Schwachstellen der Orchestrierung, fehlende Persistenz und die Verwaltung von Zugangsdaten. Ein weiteres wichtiges Thema ist die Separierung der Anwendungen und eventuell der Mandanten.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Wärmepumpe simpel und effektiv: Über die Rolle von Dämmung, Solar und Co.
UpdateLadetarife für Elektroautos im Vergleich
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Günstigerer Strom für die Wärmepumpe: Was Sie jetzt wissen müssen
3D-Drucker im Test: Creality Ender-3 V3
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Wärmepumpe simpel und effektiv: Über die Rolle von Dämmung, Solar und Co.
UpdateLadetarife für Elektroautos im Vergleich
Elektroauto Mercedes EQA 300 4Matic im Test: Fährt gut, lädt gemächlich
Günstigerer Strom für die Wärmepumpe: Was Sie jetzt wissen müssen