Einstellungen

Die BIA/SBF-App kann über die Einstellungen konfiguriert werden. Hierfür sind Administratorenrechte notwendig.

E-Mail-Einstellungen

Unter E-Mail-Einstellungen kann der Versand von E-Mails in der BIA/SBF-App zentral aktiviert bzw. deaktiviert werden.

Es können zudem weitere E-Mail-Adressen eingetragen werden. Wozu diese dienen, ist unter den entsprechenden Feldern erklärt.

E-Mail-Vorlagen

Hier werden alle E-Mail-Vorlagen aufgelistet, die in der BIA/SBF-App zu verschiedenen Zeitpunkten verschickt werden.

Jede Vorlage kann in den Texten

• Betreff

• Allgemeine Anrede (z.B. bei mehreren Empfängern)

• Persönliche Anrede

• Inhalt

angepasst werden. Dafür stehen je nach Vorlage verschiedene Platzhalter zur Verfügung. Diese werden immer aufgelistet und erklärt.

Folgende E-Mail-Vorlagen stehen zur Verfügung:

• Neuer Prozess: Es wurde ein neuer Prozess erstellt bzw. es wurde für einen bestehenden Prozess eine signifikante Änderung erkannt. Für diesen Prozess muss eine Schutzbedarfsfeststellung durchgeführt werden. ISB und NFM werden hierüber informiert.

• Anfrage: Prozesseigentümer werden hierüber informiert, dass eine Schutzbedarfsfeststellung durchgeführt werden muss.

• Erinnerung: Prozesseigentümer werden daran erinnert, dass eine Schutzbedarfsfeststellung noch aussteht.

• Vorgelegt: ISB und NFM werden informiert, dass eine Erfassung zur Prüfung vorliegt.

• Rückfrage: Der Prozesseigentümer wird darüber informiert, dass im Rahmen der Überprüfung der gemachten Angaben eine Rückfrage besteht.

• Bestätigt: Der Prozesseigentümer wird informiert, dass die gemachten Angaben bestätigt wurden.

• BIA-Fehler: Der ISB bzw. NFM wird informiert, dass beim Starten der Erfassung ein Fehler aufgetreten ist.

• Neuer Besitzer: Die Besitzer eines Prozesses mit offenen Schutzbedarfsanfragen haben sich geändert. Die (neuen) Besitzer erhalten diese Mail mit neuen Einmal-Links.

• Signifikante Änderung (Besitzer): Für einen Prozess hat sich eine signifikante Änderung ergeben, die ggf. eine Anpassung der aktuell ausstehenden Bewertung notwendig macht. Die Prozessverantwortlichen werden hierüber mit dieser E-Mail informiert. Eine signifikante Änderung ist hierbei das Hinzufügen von Anwendungen an den Prozess durch den VIC.

• Signifikante Änderung (Reviewer): Für einen Prozess hat sich eine signifikante Änderung ergeben, die ggf. eine Anpassung der aktuell in Prüfung befindlichen Bewertung notwendig macht. Die Prüfenden werden hierüber mit dieser E-Mail informiert. Eine signifikante Änderung ist hierbei das Hinzufügen von Anwendungen an den Prozess durch den VIC.

• Direkte MTA geändert: An die in dem Feld direkte MTA Änderung E-Mail-Empfänger hinterlegten E-Mail-Adressen wird dies Mail verschickt. Diese Mail wird ausgelöst, sobald eine Erfassung in den Status vorgelegt wechselt und diese MTA sich von der MTA der letzten Freigabe unterscheidet.

App-Benutzer

Unter App-Benutzer werden die Benutzer angezeigt, denen die Rolle Admin oder Auditor zugeordnet sind. Die Rechte werden über die Benutzerverwaltung vergeben.

Sonstiges

Hier gibt es sehr umfangreiche Einstellungsmöglichkeiten, um die BIA/SBF-App zu konfigurieren.

(1) Schedule für Vererbungs-Update: Über die Cron Notation kann hier festgelegt werden, wann die Vererbung der SBF-Werte im Informationsverbund durchgeführt werden soll. Die in der Abbildung dargestellte Cron Notation sagt aus, dass zu jeder 35. Minute in jeder Stunde die Vererbungsinformationen in der CCDB aktualisiert werden sollen.

(2) Informations-E-Mail-Empfänger: Hier wird definiert, wer zusätzlich zum Start einer Schutzbedarfsanfrage per E-Mail informiert werden soll.

(3) Direkte MTA Änderung E-Mail-Empfänger: Hier wird festgelegt, wer die E-Mail Direkte MTA geändert erhält, wenn sich, beim Wechsel einer Erfassung in den Status vorgelegt, die MTA von der letzten freigegeben MTA unterscheidet.

(4) Direkte (M)TA-Erfassung: Falls gesetzt, wird der Benutzer im ersten Schritt der BIA/Schutzbedarfserfassung aufgefordert, pro Schadenskategorie direkt eine MTA bzw. TA einzugeben. Bei nicht gesetzter Option erfolgt die Ermittlung der (M)TA durch vom Benutzer gesetzte Schadenshöhen pro Schadenskategorie und Ausfallzeit.

(5) Verfügbarkeit bewerten: Falls nicht gesetzt, wird die Bewertung bezüglich Verfügbarkeit nur anhand der errechneten MTA vorgenommen.

(6) Vertraulichkeit bewerten: Falls nicht gesetzt, wird die Bewertung bezüglich Vertraulichkeit nur anhand des gesetzten Wertes an der Datenklasse bestimmt.

(7) Integrität/Authentizität bewerten: Falls nicht gesetzt, wird die Bewertung bezüglich Integrität und Authentizität nur anhand der gesetzten Werte an der Datenklasse bestimmt.

(8) Schutzbedarfsänderung in Datenklassen ist signifikanter Change: Eine Änderung der Schutzbedarfsbewertung an einer Datenklasse wird als signifikanter Change angesehen und alle Prozesse, die diese Datenklasse verwenden, werden zur Überprüfung markiert.

(9) Runterstufung von Schutzbedarfen unterstützen: Bestimmt, ob die Schutzbedarfe angepasst werden können. Falls dieses nicht unterstützt wird, werden die Schutzbedarfe aus den Datenklassen an alle zugeordneten Datenverarbeitungen vererbt.

(10) Schadenskategorien abfragen: Bestimmt, ob bei der Bewertung der Datenklasse abgefragt wird und welche Schadenskategorien für die Datenklasse relevant sind.

(11) Fixierte Datenverarbeitungen: Bestimmt, ob die Liste der für den Prozess relevanten Datenverarbeitungen über das Attribut Datenverarbeitungen (data_processors) festgelegt wird und während der Schutzbedarfsfeststellung nicht geändert werden kann.

Mit Datenverarbeitung hinzufügen trotz Fixierung wird festgelegt, ob es möglich ist, Assets vom Typ Dienst im Schritt 4 der BIA/SBF-App hinzuzufügen und wieder zu entfernen.

(12) Prozessabhängigkeiten editieren: Falls die Option gesetzt ist, ist es möglich, die Prozessketten in Schritt 2 der BIA/SBF-App zu bearbeiten.

(13) Erforderliche Bearbeitung der Prüfungen zu Daten-/Informationsklassen und Datenverarbeitungen: Falls die Option gesetzt ist, ist es nicht möglich, die Warnungen in Schritt 4 der BIA/SBF-App zu überspringen. Diese Warnungen müssen zwingend bearbeitet werden.

(14) Sofortige Anfrage bei neuem Prozess: Wenn diese Option gesetzt ist, dann wird für Assets vom Typ Prozess, die in der CCDB neu angelegt werden, sofort eine Erfassung in der BIA/SBF-App gestartet.

(15) Auto Scheduling: Hier wird festgelegt, ob automatisch Aufgaben erstellt werden und in welchem Intervall. Dazu wird die Funktion aktiviert.

(16) Intervall: Gibt an, nach wie vielen Tagen die Anfrage automatisch wiederholt werden soll.

(17) Frist: Definiert die Anzahl an Tagen, nach denen die Anfrage bearbeitet sein soll.

(18) Ausführungsdatum: Hier wird eine Liste von Daten angegeben, an denen die Workflows erstellt werden. Dazu wird immer der Monat und der Tag angegeben im Formats MM-DD (Monat zweistellig – Tag zweistellig).

(19) Erinnerungen: Abstand, in dem eine Erinnerungs-E-Mail verschickt wird, basierend auf der gesetzten Frist.

(20) Speichern: Alle Einstellungen müssen gespeichert werden. Dieses Speichern kann bei der langen Liste am Anfang oder am Ende erledigt werden.

Texte & Werte

Hier werden die in der BIA/SBF-App verwendeten Texte und Werte definiert. Der Bereich ist aufgeteilt in fünf Tabs.

• Erfassungsdialoge

• Schutzziele

• Schadenskategorien

• MTA-Werte

• RTO-Werte

Erfassungsdialoge

Es können alle Texte angepasst werden, die dem Benutzer während der Bearbeitung der BIA/SBF-App angezeigt werden.

Dabei werden die Felder wie folgt zugeordnet:

• Bezeichnung des Schrittes: Die Überschrift jedes einzelnen Dialoges.

• Einleitungstext: Steht unter der Überschrift und bietet die Möglichkeit zur (kurzen) Erklärung der zu erledigen Tätigkeiten

• Hilfetext: Wird auf jeder Seite als Hilfe angezeigt und bietet die Möglichkeit, weitergreifende Informationen zu der Erfassung anzuzeigen.

• Überspringen: Dieser Schritt kann übersprungen werden.

Schutzziele

Hier werden die Werte für die Schutzziele angegeben. In der Abbildung ist das Schutzziel Vertraulichkeit abgebildet, die Schutzziele Integrität, Verfügbarkeit und Authentizität werden darunter ebenfalls definiert.

Folgende Angaben sind notwendig:

• Anzeigename: Der Name, der in der BIA/SBF-App angezeigt wird

• Kurzname: Eine Kurzform für das Schutzziel

• Beschreibung: Eine Beschreibung des Schutzzieles

• Tabelle der Werte

  • Level: Eine Zahl, dient der Reihenfolge

  • Anzeigename: Der Name, der angezeigt wird

  • Kurzname: Eine Kurzform für die Anzeige

  • Farbe: Es kann ein Farbwert zugewiesen werden

• Beschreibung der einzelnen Werte: Für jeden definierten Wert wird hier noch eine Beschreibung angegeben

Schadenskategorien

Hier werden die Werte für die Schadenskategorien angegeben. Sie finden im Schritt BIA in der Bewertung ihre Anwendung. Durch den grünen Button + Button können beliebig viele Einträge erstellt werden.

Folgende Angaben sind notwendig:

• Tabelle der Kategorien

  • Level: Eine Zahl, sie dient der Reihenfolge.

  • Name: Der Name, der angezeigt wird.

  • Farbe: Es kann ein Farbwert zugewiesen werden, in dem die Kategorie angezeigt wird.

• Details je Kategorie

  • Anzeigename: Der Name, der in der BIA/SBF-App über der Spalte angezeigt wird.

  • Kurzbezeichnung: Eine Kurzform für die Kategorie, wird bei der Bewertung verwendet.

  • Hilfstext: Ein Text, der zur Hilfe in der BIA/SBF-App angezeigt werden kann.

Änderungen werden durch das Speichern sofort aktiv.

MTA-Werte

Hier werden die Ausfallstufen zur Bewertung der BIA definiert. Dabei wird ein Level zur Sortierung angegeben. Je geringer der Wert ist, desto kleiner ist die Ausfallzeit. Weiterhin wird eine Bezeichnung hinterlegt und falls relevant, ein Mapping auf das Schutzziel Verfügbarkeit angegeben.

Änderungen werden durch das Speichern sofort aktiv.

RTO-Werte

Im Reiter RTO-Werte werden die einzelnen Stufen der RTO definiert. Das Verfügbarkeitsmapping gibt an, welche RTO-Stufen bei welcher ermittelten Verfügbarkeit für eine Anwendung ausgewählt werden dürfen.

Änderungen werden durch das Speichern sofort aktiv.

Import & Export

Einstellungen, die hier vorgenommen wurden, können exportiert und wieder importiert werden, um diese z.B. von einem Testsystem auf ein Produktivsystem zu übertragen. Hier ist es möglich, eine Vorlage (Template) zu erzeugen, welche eine Excel-Datei ausgibt, die zur initialen Befüllung von Schutzbedarfen dienen kann.

Diese wird ausgefüllt und hier wieder importiert. Dabei kann angegeben werden, ob bestehende Schutzbedarfe an Prozessen ersetzt werden sollen oder ob diese Werte erhalten bleiben und die Werte aus der Datei ignoriert werden sollen.

erkann