Anforderungen für WLANs
Netze, die es IT-Systemen ermöglichen drahtlos an andere Netzte angebunden zu werden.
Auch genannt: WiFi, Wireless LAN.
Teil von Interne Netzsegmente.
41 Anforderungen gelten für ein Asset dieser Kategorie: 4 direkt zugeordnet, 37 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 405. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (4)
Abschnitt betitelt „Direkt zugeordnet (4)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.3.1 Netzabdeckung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.3.3 SSIDs | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.3.4 Verschlüsselte Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.3.2 Einschränkung in Sicherheitsbereichen | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Interne Netzsegmente (3)
Abschnitt betitelt „Geerbt von Interne Netzsegmente (3)“Gilt für ein Asset dieser Kategorie, weil WLANs unter Interne Netzsegmente steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.4.1 Netzzugangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.1.1 Dynamische Netzzugangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.1.2 Quarantäne | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Netze (34)
Abschnitt betitelt „Geerbt von Netze (34)“Gilt für ein Asset dieser Kategorie, weil WLANs unter Netze steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.2.1 Netzsegmente | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.1 Externe Netzanschlüsse | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.2 Gastnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.3 Segmentierung von Servern und Clients | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.5 OT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.6 Demilitarisierte Zone | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.7 Management-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.8 Segmentierung von Test und Betrieb | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.9 Segmentierung von IPv4 und IPv6 | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.10 Drucker-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.5 Netzplan | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.6 Topologieüberwachung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.2 Autorisiertes Routing | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.3 Authentifizierung von Routingprotokollen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1 Einschränkung und Inspektion von Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.1 Blockieren anfälliger Netzprotokolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.2 Netzbasierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.3 TCP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.4 UDP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.1 Redundanz im Kernnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.9.1 Dimensionierung der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.2.1 Aufdecken unautorisierter IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.11 Anomalien in Netzen und am Perimeter | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12 Monitoring der Netzverfügbarkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12.1 Auslastung des Netzes | SOLLTE | Erhöhte SicherheitsstufeErhöht |
| GEB.6.3 Netzkomponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.10.4 Systemadministration - Strukturierte Verkabelung (auch für Administrierende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.4 VoIP-Netz | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.2.2.11 Physische Segmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.5.1.12 Software-definierte Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.2 Netzwerk-Honeypots | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.3 Netzverkehrsfluss | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (8)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (8)“Diese Anforderungen nennen 8 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Netzplan | 17 | 0 |
| Konfigurationshistorie | 9 | 0 |
| Firewallregeln | 5 | 0 |
| Detektions-Konzept | 4 | 0 |
| IT-Betriebskonzept | 3 | 0 |
| Audit Log | 1 | 0 |
| Gebäudedokumentation | 1 | 0 |
| Schulungsplan | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).