ISMS/Schutzziele: Unterschied zwischen den Versionen

Aus Foxwiki
Keine Bearbeitungszusammenfassung
K Dirkwagner verschob die Seite Informationssicherheit/Schutzziele nach ISMS/Schutzziele: Textersetzung - „Informationssicherheit“ durch „ISMS“
 
(59 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
Klassische Grundwerte der Informationssicherheit
#WEITERLEITUNG [[IT-Sicherheit/Grundfunktionen]]
 
=== Vertraulichkeit ===
; Eigenschaft einer Nachricht
* nur für beschränkten Empfängerkreis vorgesehen
* Weitergabe und Veröffentlichung nicht erwünscht
 
; Schutz der Vertraulichkeit
* Rechtsnormen
* technische Mittel
Gefördert oder erzwungen
; Eines der drei wichtigsten Sachziele in der Informationssicherheit
; „der Schutz vor unbefugter Preisgabe von Informationen“
 
===== Verschlüsselung  =====
; unterstützt dieses Ziel
* Komplexere Ansätze sind unter der Bezeichnung Digitale Rechteverwaltung bekannt
 
; Verdeckte Kanäle
* Auch wenn Maßnahmen zum Einsatz kommen, die die Vertraulichkeit gewährleisten oder zu ihr beitragen sollen (wie etwa Verschlüsselung), ist es möglich, dass ein sog. verdeckter Kanal entsteht.
* Verdeckter Kanal
* nicht Policy-konformer Kommunikationskanal
* der vertrauliche Daten an einen unberechtigten Empfänger übertragen kann
* Seitenkanäle sind ein Teilgebiet der verdeckten Kanäle
 
; Schutz der Objekte
; vor unautorisiertem Zugriff
* von nicht berechtigten Subjekten
* Jeder Zugriff, der nicht durch eine klare Regelvorschrift ausdrücklich zugelassen ist, muss verweigert werden!
 
=== Verfügbarkeit ===
; Schutz vor Zerstörung oder Diebstahl
; Beeinträchtigungen der ordnungsgemäßen Aktionssteuerung und –ausführung
* Umfeld-,
* Software-,
* Hardware- oder
* Anwender-Versagen
; Ein System, das 24 Stunden am Tag, an 365 Jahrestagen (24 × 365) zur Verfügung steht (8760 Stunden)
* Systeme, die mit einer hohen Verfügbarkeit (99,99 % oder besser) laufen müssen, bezeichnet man als hochverfügbare Systeme.
 
; GrundwerteKennzahlen der Verfügbarkeit
 
; Netto-Verfügbarkeit
* Multiplikation der Verfügbarkeit der Teilsysteme
 
; maximale Dauer eines einzelnen Ausfalls
 
; Ausfallzeit im Jahresdurchschnitt
* auch Verfügbarkeitsklasse
 
; Zuverlässigkeit
* über einen gegebenen Zeitraum unter bestimmten Bedingungen korrekt zu arbeiten
 
; Fehler-Sicherer Betrieb
* Robustheit gegen
** Fehlbedienung
** Sabotage
** höhere Gewalt
 
=== Integrität ===
* lat. integritas „Unversehrtheit“, „Reinheit“, „Unbescholtenheit“
* eines der drei klassischen Ziele der Informationssicherheit
 
; Keine einheitliche Definition des Begriffs
* „Verhinderung unautorisierter Modifikation von Information“
* Evaluationskriterien für Informationssicherheit der frühen 1990er Jahre (ITSEC)
* „Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen“
* Glossar des Bundesamtes für Sicherheit in der Informationstechnik
 
; Schutz vor Beeinträchtigung von Funktionen technischer Komponenten
* der formalen oder materiellen Struktur von Daten durch
* Manipulationen mittels unzulässiger Aktionen
 
; Authentizität und Integrität von
* Information
* Benutzer
* Hardware
* Software
 
===== Arten von Integrität =====
; Korrekter Inhalt
* Sachverhalte der realen Welt werden korrekt abgebildet werden
 
; Unmodifizierter Zustand
* Nachrichten werden unverändert zugestellt werden
* Programme und Prozesse laufen wie beabsichtigt ab
 
; Erkennung von Modifikation
* unerwünschte Modifikationen (die nicht verhindert werden können) werden erkannt
 
; Temporale Korrektheit
* zeitliche Bedingungen werden eingehalten
* Reihenfolgen
* maximale Verzögerungszeiten
* Synchronität
 
; Integrität (Daten) und Authentizität (Datenursprung)
* können nicht unabhängig betrachtet werden
* ein modifiziertem Inhalt mit bekanntem Absender ist ebenso nutzlos wie
* ein unmodifizierter Inhalt mit gefälschtem Absender
 
; Veränderung von Daten
* kann bei einer Datenübertragung nicht verhindert werden
 
; Technische Maßnahmen zur Sicherstellung der Integrität
* fehlerhafte Daten erkennen
* ggf. eine erneute Datenübertragung durchführen
 
; Möglichkeit der technischen Umsetzung
* Prüfsummen
* Schützen nicht vor absichtlicher Veränderung
 
; Message Authentication Code
* können Übertragungsfehler und Manipulationen erkennen
 
; Keine Schutz vor
* Totalverlust einer Nachricht
* ungewollter Duplikation
* veränderter Reihenfolge mehrerer Nachrichten
* Diese können durch Maßnahmen wie Quittierungsmeldungen oder Sequenznummern sichergestellt werden.
 
==== Verbindlichkeit ====
; Verbindlichkeit
* Non-Repudiability
* Beweisbarkeit von Vorgängen gegenüber Dritten
* Nichtabstreitbarkeit der Datenherkunft
* wichtig z.B. bei Verträgen
 
; Schutz vor der Verfälschung der Identität von
* Absendern und
* Empfängern
 
; Schutz von
* Transportsystemen und
* logischen Kommunikationsverbindungen
 
; gegen Manipulation der Transaktionen
 
=== Weitere Forderungen ===
==== Authentizität (Authenticity)‏ ====
* Gesicherte Datenherkunft
 
==== Überwachung ====
* des Zugriffs zu Ressourcen
 
==== Ordnungsgemäßes Funktionieren ====
* eines IT-Systems
 
==== Revisions-Fähigkeit ====
* Organisation des Verfahrens
* Nachvollziehbarkeit, wie und wann welche Daten in das IT-System gelangt sind
 
==== Transparenz ====
; IT-Verfahren ist nachvollziehbar
* für Sachkundige
* in zumutbarer Zeit
* mit zumutbarem Aufwand
 
; Setzt eine aktuelle und angemessene Dokumentation voraus
[[Kategorie:Grundwerte]]

Aktuelle Version vom 17. September 2024, 10:04 Uhr