Informationssicherheit: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
Keine Bearbeitungszusammenfassung
 
(508 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
'''topic''' - Kurzbeschreibung
'''Informationssicherheit''' - Eigenschaft von Systemen [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen
== Beschreibung ==
== Installation ==
== Syntax ==
=== Optionen ===
=== Parameter ===
=== Umgebungsvariablen ===
=== Exit-Status ===
== Anwendung ==
=== Fehlerbehebung ===
== Konfiguration ==
=== Dateien ===
== Anhang ==
=== Siehe auch ===
==== Unterseiten ====
{{Special:PrefixIndex/{{BASEPAGENAME}}}}
==== Sicherheit ====
==== Dokumentation ====
===== RFC =====
===== Man-Pages =====
===== Info-Pages =====
==== Links ====
===== Einzelnachweise =====
<references />
===== Projekt =====
===== Weblinks =====
# https://de.wikipedia.org/wiki/Informationssicherheit
# [http://www.bsi.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)]
# [[BMWi]]: [http://www.it-sicherheit-in-der-wirtschaft.de/ Task Force „IT-Sicherheit in der Wirtschaft“]
# [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“]. Service des [[Eco – Verband der Internetwirtschaft|eco-Verbands der Internetwirtschaft e.V.]], gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi)
# [https://www.sicher-im-netz.de/ Deutschland sicher im Netz e.&nbsp;V.]
# [http://www.enisa.europa.eu/act/ar/deliverables/2006/ar-guide/de ''A Users’ Guide: How to raise information security awareness'' (DE).] [[Bundesamt für Sicherheit in der Informationstechnik]], Juni 2006, [[ENISA]] (mit PDF ''Leitfaden für die Praxis: Wege zu mehr Bewusstsein für Informationssicherheit''; 2&nbsp;MB)
# [https://www.din.de/de/mitwirken/normenausschuesse/nia/nationale-gremien/wdc-grem:din21:54770248 DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren]
# Christian Hawellek: [https://pentest24.de/strafrechtliche-relevanz-von-it-sicherheitsaudits/ ''Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts''. ]
# [[Ken Thompson]]: [http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf ''Reflections on Trusting Trust''] (PDF; 220&nbsp;kB; englisch). Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner.
<noinclude>


=== Testfragen ===
=== Beschreibung ===
<div class="toccolours mw-collapsible mw-collapsed">
; Systeme
''Testfrage 1''
{| class="wikitable options big"
<div class="mw-collapsible-content">'''Antwort1'''</div>
|-
</div>
! System !! Beschreibung
<div class="toccolours mw-collapsible mw-collapsed">
|-
''Testfrage 2''
| nicht-technisch || [[IT-Grundschutz/Kompendium/Prozess-Bausteine|Prozessorientiert]]
<div class="mw-collapsible-content">'''Antwort2'''</div>
|-
</div>
| technisch || [[IT-Grundschutz/IT-Grundschutz/Kompendium/System-Bausteine|Systemorientiert]]
<div class="toccolours mw-collapsible mw-collapsed">
|}
''Testfrage 3''
<div class="mw-collapsible-content">'''Antwort3'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 4''
<div class="mw-collapsible-content">'''Antwort4'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 5''
<div class="mw-collapsible-content">'''Antwort5'''</div>
</div>


[[Kategorie:IT-Sicherheit|!]]
=== Begriffe ===
[[Kategorie:Informationssicherheit]]
{| class="wikitable options big"
|-
! Begriff !! Beschreibung
|-
| Informationssicherheit || Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
|-
| [[Cybersicherheit]] || Sicherheit gegen Gefahren aus dem Internet
|-
| [[IT-Sicherheit]] || Technische Maßnahmen zur Realisierung von [[Grundwerte]]n
|-
| [[Datenschutz]] || Schutz personenbezogener Daten ([[privacy]])
|-
| [[Business Continuity Management]] || Sicherstellung des Fortbestands von Einrichtungen
|}


</noinclude>
=== Informationsverarbeitung ===
{| class="wikitable options big"
|-
! Tätigkeit !! Beschreibung
|-
| [[Datenerfassung|Erfassen]] ||
|-
| [[Datenspeicher|Speichern]] ||
|-
| [[Datenübermittlung|Übermitteln]] ||
|}


= TMP =
=== Informationssicherheit ===
Als '''Informationssicherheit''' oder '''Cybersicherheit''' bezeichnet man Eigenschaften von technischen oder nicht-technischen Systemen zur [[Datenverarbeitung|Informationsverarbeitung]], -[[Datenspeicher|speicherung]] und -lagerung, die die Schutzziele [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität (Informationssicherheit)|Integrität]] sicherstellen. Informationssicherheit dient dem Schutz vor [[Gefahr]]en bzw. [[Bedrohung]]en, der Vermeidung von wirtschaftlichen [[Schaden|Schäden]] und der Minimierung von [[Risiko|Risiken]].
; Informationssicherheit
* Schutz vor [[Gefahr]]en/[[Bedrohung]]en
* Vermeidung von wirtschaftlichen [[Schaden|Schäden]]
* Minimierung von [[Risiko|Risiken]]


In der Praxis orientiert sich die Informationssicherheit im Rahmen des [[IT-Sicherheitsmanagement]]s unter anderem an der internationalen [[ISO/IEC-27000-Reihe]]. Im deutschsprachigen Raum ist ein Vorgehen nach [[IT-Grundschutz]] verbreitet. Im Bereich der [[Evaluierung]] und [[Zertifizierung]] von IT-Produkten und -systemen findet die Norm [[ISO/IEC 15408]] ([[Common Criteria for Information Technology Security Evaluation|Common Criteria]]) häufig Anwendung.
; Begriff ''Informationssicherheit''
Der Begriff ''Informationssicherheit'' bezieht sich oft auf eine ''globale Informationssicherheit''
* Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist ''oder'' der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
* In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
* Daneben bezieht sich der Begriff auch auf die Sicherheit ''unter einem bestimmten Szenarium''
* In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
* Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann


Die Normenreihe [[IEC 62443]] befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.
=== Grundwerte===
; Grundwerte der Informationssicherheit
{| class="wikitable options"
|-
| [[Vertraulichkeit]] ||
|-
| [[Verfügbarkeit]] ||
|-
| [[Integrität (Informationssicherheit)|Integrität]] ||
|}


== Begriffsbeschreibungen ==
==== Abhängigkeit von IT-Systemen ====
Viele der nachfolgenden Begriffe werden je nach Autor und sprachlichem Umfeld unterschiedlich interpretiert.
* Private und öffentliche [[Unternehmen]] sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
* Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen


Für die Abkürzung IT wird die Bezeichnung [[Informationstechnik]] synonym zu ''Informationstechnologie'' benutzt. Die technische Verarbeitung und Übertragung von Informationen steht bei der IT im Vordergrund.
==== Gesetzte und Regelungen ====
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw.&nbsp;herleiten
* Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar
* International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle


Im Englischen hat der deutsche Begriff der ''IT-Sicherheit'' zwei verschiedene Ausprägungen. Die Eigenschaft der ''Funktionssicherheit'' (englisch: ''safety'') bezeichnet, dass sich ein System entsprechend der zur erwarteten Funktionalität verhält und kann dabei auch weitergehende risikomindernde Maßnahmen umfassen. Diese Maßnahmen werden dann als [[Funktionale Sicherheit]] bezeichnet. ''Informationssicherheit'' (englisch: ''security'') bezieht sich auf den Schutz der technischen Verarbeitung von Informationen und ist eine Eigenschaft eines funktionssicheren Systems. Sie soll verhindern, dass nicht-autorisierte [[Datenmanipulation]]en möglich sind oder die Preisgabe von Informationen stattfindet.<ref name="Eckert_7te" />{{rp|4 f.}}
==== Informationssicherheit und IT-Sicherheit ====


Der Begriff ''Informationssicherheit'' bezieht sich oft auf eine ''globale Informationssicherheit'', bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist ''oder'' der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht. In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss. Daneben bezieht sich der Begriff auch auf die Sicherheit ''unter einem bestimmten Szenarium''. In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist. Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.<ref>[http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#Sicherheit Einfache Darstellung der Informationssicherheit]</ref>
=== Motivation ===
; Risikoorientierte Herangehensweise
* Vermeidung von Schäden durch Maßnahmen
* Schutz vor Schäden jeglicher Art


Folgende Aspekte sind in dem umfassenden Begriff ''Informationssicherheit'' (Schutz der verarbeiteten Informationen) enthalten:
; Klassische Beispiele
* Image- und Vertrauensverlust
* Datenverlust
* Produktivitätsausfall
* Wirtschaftsspionage
* Verletzung von Marken- und Urheberrechten


=== IT-Sicherheit ===
==== IT-Sicherheit ====
''Der IT-Sicherheit'' kommt eine Schlüsselrolle für die [[Sicherheit]] von [[Soziotechnisches System|soziotechnischen Systemen]] zu. IT oder auch ITK-Systeme sind Teil der soziotechnischen Systeme. Zu den Aufgaben der IT-Sicherheit gehört der Schutz von ITK-Systemen von Organisationen (zum Beispiel Unternehmen) gegen Bedrohungen. Damit soll unter anderem wirtschaftlicher Schaden verhindert werden.<ref name="Eckert_7te">Claudia Eckert: ''IT-Sicherheit. Konzepte – Verfahren – Protokolle.'' 7., überarbeitete und erweiterte Auflage. Oldenbourg, 2012, ISBN 978-3-486-70687-1</ref>{{rp|3–7}}
; Motivationen
{| class="wikitable options big"
|-
! Motivation !! !! Beschreibung
|-
| Globalisierung || Kommunikationsbedürfnisse und -infrastruktur (Internet) || Verteilte Informatiksysteme sind kritische Ressourcen
* Grenzüberschreitenden Kooperation
** E-Mail
** Desktop-Konferenzen
** Soziale Netzwerke
** Fernzugriffe
|-
| Offene Systeme || Vielfältige Schnittstellen und Datenaustausch || Erhöhung des Angriffs- und Schadenpotentials
|-
| Physische Sicherheit || Zugang zu Räumen und IT-Systemen || Kann oft nicht gewährleistet werden
|-
| Vertrauen als Ressource || Wem vertraue ich, wem nicht? || Wer ist mein Gegenüber wirklich?
|}


''IT-Sicherheit'' ist ein Teil der ''Informationssicherheit''. In Abgrenzung zu ''IT-Sicherheit'' umfasst ''Informationssicherheit'' neben der Sicherheit der [[Informationstechnik|IT]]-Systeme und der darin gespeicherten Daten auch die Sicherheit von nicht elektronisch verarbeiteten Informationen; ein Beispiel: Die „Prinzipien der Informationssicherheit“ können auch auf per Hand auf Papier notierte [[Kochrezept|Rezepte]] eines Restaurants angewendet werden (da Vertraulichkeit, Integrität und Verfügbarkeit der Rezepte für das Restaurant extrem wichtig sein können, selbst wenn dieses Restaurant vollkommen ohne Einsatz irgendeines IT-Systems betrieben wird).
==== Arten und Wichtigkeit von Informationen ====
; Informationen sind Werte
[[ISO/IEC 27001]]
* Wertvoll für eine Organisation
* Wie die übrigen Geschäftswerte
* Müssen in geeigneter Weise geschützt werden


=== Computersicherheit ===
; Angemessener Schutz
''Computersicherheit'': die Sicherheit eines [[Computer]]systems vor Ausfall (man spricht von ungeplanter oder geplanter Ausfallzeit, engl. ''downtime'') und Manipulation (Datensicherheit) sowie vor unerlaubtem Zugriff.
Unabhängig von
* Erscheinungsform
* Art der Nutzung
* Speicherung


=== Datensicherheit ===
{| class="wikitable options big"
''Datensicherheit'' ist ein häufig mit dem [[Datenschutz]] verknüpfter Begriff, der von diesem zu unterscheiden ist: Datensicherheit hat das ''technische'' Ziel, Daten jeglicher Art in ausreichendem Maße gegen Verlust, Manipulationen und andere Bedrohungen zu sichern. Hinreichende Datensicherheit ist eine Voraussetzung für einen effektiven Datenschutz. Das frühere [[Bundesdatenschutzgesetz|BDSG]] nannte den Begriff der Datensicherheit lediglich im damaligen § 9a BDSG im Zusammenhang mit dem ebenfalls nicht näher definierten „[[Datenschutzaudit]]“.
|-
! Option !! Beschreibung
|-
| Schutzziele || [[IT-Sicherheit/Grundfunktionen]]
|-
| Maßnahmen || [[IT-Grundschutz/Maßnahmen]]
|-
| IT-Sicherheitsmanagement || [[Managementsystem_für_Informationssicherheit]]
|}


Es gibt einen Ansatz namens ''Datenzentrierte Sicherheit'' (englisch Data-centric security), bei dem die Sicherheit der [[Daten]] selbst im Vordergrund steht und nicht die Sicherheit von [[Netzwerken]], [[Server]]n oder Anwendungen.
; Aufrechterhaltung (CIA) von Informationen
* Vertraulichkeit
* Integrität
* Verfügbarkeit


=== Datensicherung ===
; Ziel
{{Hauptartikel|Datensicherung }}
Sicherstellen, dass [[Informationen]] in kritischen Situationen nicht beeinträchtigt werden
Datensicherung ist ein Synonym für das englischsprachige „Backup“ (dt. ''Sicherung''), es war der ursprüngliche gesetzliche Begriff für Datensicherheit.


=== Datenschutz ===
; Problemfelder
{{Hauptartikel|Datenschutz}}
* Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
Beim Datenschutz geht es nicht um den Schutz von allgemeinen Daten vor Schäden, sondern um den Schutz personenbezogener Daten vor Missbrauch („Datenschutz ist Personenschutz“). Der Schutz [[Personenbezogene Daten|personenbezogener Daten]] stützt sich auf das Prinzip der [[Informationelle Selbstbestimmung|informationellen Selbstbestimmung]]. Diese wurde im [[Volkszählungsurteil|BVerfG-Urteil zur Volkszählung]] festgeschrieben. Geschützt werden muss dabei die Privatsphäre, d.&nbsp;h. Persönlichkeitsdaten bzw. [[Anonymität]] müssen gewahrt bleiben. Datenschutz verlangt über die Datensicherheit hinaus den Ausschluss des Zugangs zu Daten mit unberechtigtem Lesen durch unbefugte Dritte. Das deutsche Bundesdatenschutzgesetz ([[Bundesdatenschutzgesetz|BDSG]]) beschreibt in {{§|1|BDSG|dejure}} ausschließlich Anforderungen für den Umgang mit personenbezogenen Daten. Die DSGVO und das BDSG definieren den Unterschied der Begriffe Datenschutz und Datensicherheit nicht. Nur wenn geeignete Schutzmaßnahmen getroffen werden, kann man davon ausgehen, dass vertrauliche bzw. personenbezogene Daten nicht in die Hände von Unbefugten gelangen. Hierbei spricht man in der Regel von technischen und organisatorischen Maßnahmen zum Datenschutz, die insbesondere in {{Art.|32|DSGVO|dejure}} DSGVO, dem [[Bundesdatenschutzgesetz|BDSG]] und in den Landesdatenschutzgesetzen beschrieben sind.
* Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
* Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
* Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist


== Motivation und Ziele der Informationssicherheit ==
; Was ist ein Comuter?
Informationen (oder Daten) sind schützenswerte Güter. Der Zugriff auf diese sollte beschränkt und kontrolliert sein. Nur autorisierte Benutzer oder Programme dürfen auf die Information zugreifen. ''[[Schutzziele (Informationssicherheit)|Schutzziele]]'' werden zum Erreichen bzw. Einhalten der Informationssicherheit und damit zum Schutz der Daten vor beabsichtigten Angriffen von IT-Systemen definiert:<ref name="Eckert_7te" />{{rp|6–11}}
Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher
* Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen


* Die Allgemeine Schutzziele sind nach ihrer englischen Abkürzung auch als CIA(-Triade)<ref>{{Literatur |Autor=Christoph Wegener |Titel=Informationssicherheits-Management Leitfaden für Praktiker und Begleitbuch zur CISM-Zertifizierung |Auflage=1. Aufl. 2016 |Verlag=[[Springer Science+Business Media|Springer]] |Ort=Berlin, Heidelberg |Datum=2016 |ISBN=978-3-662-49167-6 |Seiten=3 }}</ref> bekannt:
; IT-Sicherheitsspezialisten
** ''[[Vertraulichkeit]]'' (englisch: ''confidentiality''): Daten dürfen lediglich von autorisierten Benutzern gelesen werden, dies gilt sowohl beim Zugriff auf gespeicherte Daten wie auch während der [[Datenübertragung]].
* IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
** ''[[Integrität (Informationssicherheit)|Integrität]]'' (englisch: ''integrity''): Daten dürfen nicht unbemerkt verändert werden. Alle Änderungen müssen nachvollziehbar sein.
* Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
** ''[[Verfügbarkeit]]'' (englisch: ''availability''): Verhinderung von Systemausfällen; der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet sein.<ref name="Eckert_7te" />{{rp|7–13}}
* Weitere Schutzziele der Informationssicherheit:<ref name="Eckert_7te" />{{rp|7–13}}
** ''[[Authentizität]]'' (englisch: ''authenticity'') bezeichnet die Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Objekts.<ref>{{Internetquelle |autor=R. Shirey |url=https://tools.ietf.org/html/rfc4949 |titel=&#82;&#70;&#67; 4949, Internet Security Glossary, Version 2 |hrsg=[[Internet Engineering Task Force|IETF]] |seiten=29 |abruf=2011-11-10 |sprache=en |zitat=The property of being genuine and able to be verified and be trusted.}}</ref>
** ''Verbindlichkeit/Nichtabstreitbarkeit'' (englisch: ''non repudiation''): Sie erfordert, dass „kein unzulässiges Abstreiten durchgeführter Handlungen“ möglich ist.<ref name="unibr_itsec05-0a_F25" /> Sie ist unter anderem wichtig beim elektronischen Abschluss von Verträgen. Erreichbar ist sie beispielsweise durch [[elektronische Signatur]]en.<ref name="TUD_itsec1_2_F17">{{Internetquelle |autor=[[Claudia Eckert]] |url=http://www.sec.informatik.tu-darmstadt.de/pages/lehre/WS04-05/itsec1/folien/itsec1_gesamt.pdf |titel=Vorlesung IT-Sicherheit, WS 2002/2003, TU Darmstadt |titelerg=Vorlesungsfolien Kap. 2, Folie 17 |hrsg=TU Darmstadt FG Sicherheit in der Informationstechnik |datum=2004-10-20 |seiten=26 |abruf=2010-11-19 |format=PDF; 6,8&nbsp;MB |archiv-url=https://web.archive.org/web/20131203020859/http://www.sec.informatik.tu-darmstadt.de/pages/lehre/WS04-05/itsec1/folien/itsec1_gesamt.pdf |archiv-datum=2013-12-03 }}</ref>
** ''Zurechenbarkeit'' (englisch: ''accountability''): „Eine durchgeführte Handlung kann einem Kommunikationspartner eindeutig zugeordnet werden.“<ref name="unibr_itsec05-0a_F25">{{Internetquelle |autor=Carsten Bormann et al. |url=http://www-rn.informatik.uni-bremen.de/lehre/itsec/itsec05-0a.pdf |titel=Vorlesungsfolien 0 |werk=Vorlesung Informationssicherheit 1, SS 2005, Uni Bremen |datum=2005-04-16 |abruf=2008-08-30 |format=PDF; 718&nbsp;kB}} Folie 25.</ref>
** in bestimmtem Kontext (zum Beispiel im Internet) auch ''[[Anonymität]]''
* Besonderes Schutzziel im Zuge der [[Datenschutz-Grundverordnung|DSGVO]]:
** ''Resilienz'' (englisch: ''resilience''): Widerstandsfähigkeit/Belastbarkeit gegenüber Ausspähungen, irrtümlichen oder mutwilligen Störungen oder absichtlichen Schädigungen (Sabotagen)


Jedes noch so gut geplante und umgesetzte IT-System kann [[Sicherheitslücke|Schwachstellen]] besitzen. Sind bestimmte Angriffe zum Umgehen der vorhandenen Sicherheitsvorkehrungen möglich, ist das System ''[[Verwundbarkeit|verwundbar]]''. Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (englisch: ''threat''). Angriffe auf die Schutzziele bedeuten für Unternehmen Angriffe auf reale [[Unternehmenswert]]e, im Regelfall das Abgreifen oder Verändern von unternehmensinternen Informationen. Jede mögliche Bedrohung ist ein ''[[Risiko]]'' (englisch: ''risk'') für das Unternehmen. Unternehmungen versuchen durch die Verwendung eines [[Risikomanagement]]s (englisch: ''risk management'') die Wahrscheinlichkeit des Eintretens eines Schadens und die daraus resultierende Schadenshöhe zu bestimmen.<ref name="Eckert_7te" />{{rp|14–17}}
; Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
* Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]]
* Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
* Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen


Nach einer ''[[Risikoanalyse]]'' und ''Bewertung'' der unternehmensspezifischen IT-Systeme können entsprechende ''Schutzziele'' definiert werden. Anschließend folgt die Auswahl von IT-Sicherheitsmaßnahmen für die jeweiligen [[Geschäftsprozess]]e eines Unternehmens. Dieser Vorgang zählt zu den Tätigkeiten des IT-Sicherheitsmanagements. Eine genormte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht.
==== Schutz von Informationen ====
; [[Risikomanagement für Informationssysteme|Informationsrisikomanagement]]
* Schutz von [[Informationen]] durch die Minderung von Informationsrisiken


Im Rahmen des IT-Sicherheitsmanagements findet die Auswahl und Umsetzung entsprechender ''IT-Sicherheitsstandards'' statt. Zu diesem Zweck existieren im Bereich IT-Sicherheitsmanagement verschiedene Standards. Mit Hilfe des ''[[ISO/IEC 27001]]''- oder des ''[[IT-Grundschutz]]''-Standards wird mit anerkannten Regeln versucht, die Komplexität [[Soziotechnisches System|soziotechnischer Systeme]] für den Bereich des IT-Sicherheitsmanagements zu reduzieren und ein geeignetes Maß an Informationssicherheit zu finden.
; Risikominderung
* Eintrittwahrscheinlichkeit
* Schadensausmaß


== Bedeutung der Informationssicherheit ==
; Gefährdungen von Informationen
In den frühen Kindertagen<!-- Entweder präzisieren oder umformulieren. Aktuell klingt dies etwas umgangssprachlich und nicht enzyklopädisch. --> des ([[Personal Computer|Personal]]-)[[Computer]]s verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von zum Beispiel Bandlaufwerken oder anderen mechanischen Bauteilen) und Software (richtige Installation und Wartung von Programmen). Mit der Zeit änderten sich die Anforderungen an die Computer ([[Internet]], [[Datenspeicher|Speichermedien]]); die Aufgaben zur Computersicherheit mussten anders gestaltet werden. Somit bleibt der Begriff der Computersicherheit wandelbar.
[[IT-Grundschutz/Kompendium/Elementaren Gefährdungen]]


Private und öffentliche [[Unternehmen]] sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen. Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.
; Beispiele
{| class="wikitable big options"
|-
! Gefährdung !! Beschreibung
|-
| Unbefugter/unangemessener Zugriff ||
|-
| Unrechtmäßige Nutzung ||
|-
| Enthüllung ||
|-
| Unterbrechung ||
|-
| Löschung ||
|-
| [[Datenverfälschung|Korruption]] ||
|-
| Änderung ||
|-
| Einsichtnahme ||
|-
| Aufzeichnung ||
|-
| Entwertung ||
|}


Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten. Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar. International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle.
; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
* Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]])


== Bedrohungen ==
; CIA-Trias Ausgewogenen Schutz
[[Datei:Burned laptop secumem 16.jpg|mini|Verbrannter Laptop]]
{| class="wikitable big options"
Verschiedene Szenarien eines Angriffs lassen sich in der IT-Sicherheit vorstellen. Eine Manipulation der Daten einer Website über eine sogenannte [[SQL-Injection]] ist ein Beispiel. Nachfolgend werden einige Angriffe, Ziele sowie Ursachen beschrieben:
|-
! Grundwert !! English !! Abkürzung
|-
| [[Datenvertraulichkeit]] || ||
|-
| [[Datenintegrität]] || ||
|-
| [[Datenverfügbarkeit]] || ||
|}


=== Angriffe und Schutz ===
; Schwerpunkt
Unter einem Angriff auf den Datenschutz oder Datensicherheit (repräsentiert durch zum Beispiel ein Computersystem) versteht man jeden Vorgang, dessen Folge oder Ziel ein Verlust des Datenschutzes oder der Datensicherheit ist. Auch technisches Versagen wird in diesem Sinne als Angriff gewertet.
* Effiziente Umsetzung von [[Richtlinien]]
* ohne die [[Produktivität]] der Organisation zu beeinträchtigen


''Statistische Sicherheit'': Ein System wird dann als sicher bezeichnet, wenn für den Angreifer der Aufwand für das Eindringen in das System höher ist als der daraus resultierende Nutzen. Deshalb ist es wichtig, die Hürden für einen erfolgreichen Einbruch möglichst hoch zu setzen und damit das [[Risiko]] zu reduzieren.
; Risikomanagement-Prozess Strukturierter [[Risikomanagement]]-Prozess
* Identifizierung von Informationen und zugehörigen [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie potenziellen [[Bedrohung (Computer)|Bedrohungen]], [[Schwachstelle (Computer)|Schwachstellen]] und Auswirkungen;
* Bewertung der Risiken
* Entscheidung, wie mit den Risiken umzugehen ist, d.h
* sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
* wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
* Überwachung der Aktivitäten
* Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten


''Absolute Sicherheit'': Ein System ist dann absolut sicher, wenn es jedem denkbaren Angriff widerstehen kann. Die absolute Sicherheit kann nur unter besonderen Bedingungen erreicht werden, die die Arbeitsfähigkeit des Systems oft erheblich einschränken (isolierte Systeme, wenige und hochqualifizierte Zugriffsberechtigte).
; Standardisierte Vorgehensweise
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung usw.&nbsp;anzubieten


Der Mangel an Computersicherheit ist eine vielschichtige Bedrohung, die nur durch eine anspruchsvolle Abwehr beantwortet werden kann. Der Kauf und die Installation einer [[Software]] ist kein Ersatz für eine umsichtige [[Analyse]] der Risiken, möglicher Verluste, der Abwehr und von Sicherheitsbestimmungen.
Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden
* Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|Kontinuierliche Verbesserung]] eingeführt wird


Ist einmal die Sicherheit eines Systems verletzt worden, muss es als [[Technische Kompromittierung|kompromittiert]] betrachtet werden, was Maßnahmen zur Verhinderung weiterer Schäden und ggf. zur Datenrettung erfordert.
=== Definition ===
==== Attribute ====
[[File:CIAJMK1209-en.svg|alt=vectorial version|mini]]
; Attribute der Informationssicherheit (CIA)
* [[Vertraulichkeit]]
* [[Datenintegrität|Integrität]]
* [[Verfügbarkeit]]


=== Effekte oder Ziele ===
==== Informationssysteme ====
* Technischer Systemausfall
; Hauptteile von [[Informationssysteme]]n
* Systemmissbrauch z.&nbsp;B. durch illegitime Ressourcennutzung, Veränderung von publizierten Inhalten wie [[Vandalismus#Virtueller Vandalismus|Vandalismus]] etc.
* Hardware
* [[Sabotage]]
* Software
* [[Spionage]]
* Kommunikation
* Betrug und Diebstahl


=== Ursachen oder Mittel ===
; Ziel
Das [[Bundesamt für Sicherheit in der Informationstechnik]] (BSI) klassifiziert die unterschiedlichen Angriffsmethoden und -mittel in:<ref>{{Literatur |Hrsg=Bundesamt für Sicherheit in der Informationstechnik |Titel=Die Lage der IT-Sicherheit in Deutschland 2016 |Datum=2016-10 }}</ref>
Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:
* [[Schadprogramm|Schadsoftware bzw. Malware]], zu denen unter anderem [[Computervirus|Computerviren]], [[Trojanisches Pferd (Computerprogramm)|Trojaner]] und [[Computerwurm|Würmer]] gehören,
* [[Physikalische Informationssicherheit|physikalisch]]
* [[Ransomware]], eine besondere Form von Schadsoftware, die den Zugriff auf Daten und Systeme einschränkt und dessen Ressourcen erst gegen Zahlung eines Lösegelds wieder freigibt,
* persönlich
* [[Social Engineering (Sicherheit)|Social Engineering]],
* organisatorisch
* Advanced Persistent Threats (APT), bei denen der Angreifer sein Ziel sorgfältig aussucht,
* Unerwünscht zugesandte E-Mails ([[Spam]]), der wiederum in klassischen Spam, Schadprogramm-Spam und [[Phishing]] unterteilt werden,
* [[Botnet]]ze,
* [[Denial of Service|Distributed-Denial-of-Service-(DDoS)]]-Angriffe,
* Drive-by-Exploits und Exploit-Kits, die Schwachstellen in Browser, Browser-Plug-ins oder Betriebssystemen ausnutzen,
* Identitätsdiebstahl, wie zum Beispiel [[Spoofing]], [[Phishing]], [[Pharming (Internet)|Pharming]] oder [[Vishing]],
* Seitenkanalangriffe – also solche Angriffe, die Nebeneffekte (Laufzeitverhalten, Energieverbrauch) beobachten und so Rückschlüsse auf die Daten ziehen; dies findet insbesondere bei Schlüsselmaterial Anwendung.
Daneben können die oben genannten Effekte auch durch
* physischen [[Einbruch]] zum Stehlen sensibler Daten wie [[Schlüssel (Kryptologie)|Schlüssel]] oder zum Platzieren von [[Schadprogramm|Malware]],
* [[höhere Gewalt]], zum Beispiel in Form von [[Blitz]]schlag, [[Feuer]], [[Vulkan]]ausbruch oder [[Überschwemmung]] oder
* Fehlbedienung durch Personal oder zugangsberechtigte Personen verursacht werden.


=== Viren, Würmer, trojanische Pferde ===
==== Richtlinien ====
Während im Firmenumfeld die ganze Themenbreite der Computersicherheit Beachtung findet, verbinden viele Privatanwender mit diesem Begriff primär den Schutz vor [[Computervirus|Viren]], [[Computerwurm|Würmern]], [[Spyware]] und [[Trojanisches Pferd (Computerprogramm)|Trojanern (trojanische Pferde)]].
Verfahren und Richtlinien implementieren
* Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
* Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten


Die ersten Computerviren waren noch recht harmlos und dienten lediglich dem Aufzeigen diverser Schwachstellen von Computersystemen. Doch recht bald erkannte man, dass Viren zu weitaus mehr in der Lage sind. Es begann eine rasante Weiterentwicklung der Schädlinge und der Ausbau ihrer Fähigkeiten – vom simplen Löschen von Dateien über das Ausspionieren von Daten (zum Beispiel von Passwörtern) bis hin zum Öffnen des Rechners für entfernte Benutzer ([[Backdoor]]).
==== Definitionen von Informationssicherheit ====
{| class="wikitable big"
|-
! Definition !! Beschreibung !! Quelle
|-
| Vertraulichkeit, Integrität und Verfügbarkeit<br>von Informationen || Weitere Eigenschaften
* [[Authentizität]]
* [[Verantwortlichkeit]]
* [[Nichtabstreitbarkeit]]
* [[Zuverlässigkeit]]
| ISO/IEC 27000
|-
| Schutz von</br>Informationen/Informationssystemen || vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten || CNSS, 2010
|-
| Nur autorisierte Benutzer || (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) || [[ISACA]], 2008
|-
| Ist ein Prozess || des Schutzes des geistigen Eigentums einer Organisation || Pipkin, 2000
|-
| Disziplin des Risikomanagements || deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten || McDermott und Geer, 2001
|-
| Gut informiertes Gefühl<br>der Sicherheit || dass Informationsrisiken und -kontrollen im Gleichgewicht sind || Anderson, J., 2003
|-
| Schutz von Informationen || minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden || Venter und Eloff, 2003
|}


Mittlerweile existieren diverse Baukästen im Internet, die neben einer Anleitung auch alle notwendigen Bestandteile für das einfache Programmieren von Viren liefern. Nicht zuletzt schleusen kriminelle Organisationen Viren auf PCs ein, um diese für ihre Zwecke ([[Spam|UBE]]/[[Spam|UCE]], [[Denial of Service|DoS]]-Angriffe etc.) zu nutzen. So entstanden bereits riesige [[Botnet|Bot-Netze]], die auch illegal vermietet werden.
; Multidisziplinäres Studien- und Berufsfeld
Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen


== Maßnahmen ==
; Bedrohungskategorien
Die Maßnahmen müssen im Rahmen der Erstellung eines [[Sicherheitskonzept]]es an den Wert der zu schützenden Unternehmenswerte angepasst werden. Zu viele Maßnahmen bedeuten zu hohe finanzielle, organisatorische oder personelle Aufwände. Akzeptanzprobleme treten auf, wenn die Mitarbeiter nicht genügend in den Prozess der IT-Sicherheit eingebunden werden. Implementiert man zu wenig Maßnahmen, bleiben für Angreifer lohnende Sicherheitslücken offen.
Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
* Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen


=== Management ===
; Relevanter Satz von Sicherheitszielen
Informationssicherheit ist grundsätzlich eine Aufgabe der Leitung einer Organisation oder eines Unternehmens und sollte nach einem Top-Down-Ansatz organisiert sein. Insbesondere die Verabschiedung von Informationsschutz- und Sicherheitsrichtlinien (englisch: ''Security Policy'') ist Aufgabe des obersten Managements. Weitere Aufgabe des Managements kann die Einführung und der Betrieb eines [[Information Security Management System|Informationssicherheitsmanagement-Systems (ISMS)]] sein. Dieses ist für die operative Umsetzung und Kontrolle der Security Policy zuständig. Durch diese Maßnahmen sollen geeignete Organisations- und Managementstrukturen für den Schutz der Unternehmenswerte geschaffen werden. Weitere Informationen sind im Artikel [[IT-Sicherheitsmanagement]] zu finden.
* Vertraulichkeit
* Integrität
* Verfügbarkeit
* Datenschutz
* Authentizität
* Vertrauenswürdigkeit
* Nichtabstreitbarkeit
* Rechenschaftspflicht
* Überprüfbarkeit


=== Operative Maßnahmen ===
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung
Maßnahmen sind unter anderem physische beziehungsweise räumliche Sicherung von Daten und weitere Vorkehrungen der [[Datensicherung]], [[Verschlüsselung]], [[Zugriffskontrolle]]n sowie der Einsatz [[Fehlertoleranz|fehlertoleranter Systeme]]. Wichtige Voraussetzung ist die Sicherheit der verarbeitenden Systeme. Ein effektives [[Sicherheitskonzept]] berücksichtigt neben technischen Maßnahmen auch organisatorische und personelle Maßnahmen.


Zu den Sicherheitsmaßnahmen, die von jedem Verantwortlichen für die Informationssicherheit in [[Unternehmen]], aber vor allem auch von [[Privathaushalt|privaten Nutzern]] von Computern und Netzwerken für die Informationssicherheit getroffen werden können, gehören unter anderem die folgenden Punkte.<ref>Vergleiche auch [http://www.enisa.europa.eu/publications/eqr/issues/eqr-q3-2006-vol.-2-no.-3 ENISA Quarterly Vol. 2, No. 3, Oct 2006], [[Europäische Agentur für Netz- und Informationssicherheit|ENISA]], abgerufen am 29.&nbsp;Mai 2012</ref>
== Verfahren ==
{{:Informationssicherheit/Verfahren}}


==== Zugangskontrolle ====
<noinclude>
Der berechtigte [[Authentifizierung|Zugang]] zu Computersystemen und [[Anwendungssoftware]] muss durch eine zuverlässige und sichere [[Zugangskontrolle (Informatik)|Zugangskontrolle]] gewährleistet werden. Dies kann mit individuellen [[Benutzername]]n und hinreichend komplexen [[Kennwort|Kennwörtern]] und insbesondere mit weiteren Faktoren realisiert werden (siehe auch [[Zwei-Faktor-Authentifikation]]), wie zum Beispiel mit [[Transaktionsnummer]]n oder mit [[Security-Token]].
== Anhang ==
 
{| class="wikitable options"
==== Eingeschränkte Benutzerkonten verwenden ====
|-
Der [[Systemadministrator]] darf tiefgehende Änderungen an einem Computer durchführen. Dies erfordert entsprechende Kenntnis der Gefahren, und es ist für normale Benutzer alles andere als ratsam, mit den Rechten eines Administrators im [[Internet]] zu surfen, [[Datei]]en oder [[E-Mail]]s herunterzuladen. Moderne Betriebssysteme verfügen daher über die Möglichkeit, die [[Zugriffsrecht|Benutzerrechte]] einzuschränken, so dass zum Beispiel Systemdateien nicht verändert werden können.
! Gebiet !! Beschreibung
 
|-
==== Restriktive Konfiguration ====
| [[Informationssicherheit/Grundlagen|Grundlagen]] ||
Die Verwendung eingeschränkter Benutzerkonten für die tägliche Arbeit verhindert die [[Technische Kompromittierung|Kompromittierung]] des [[Betriebssystem]]s selbst, der Systemkonfiguration und der (schreibgeschützt) installierten Anwendungs- und System-Programme, bietet aber keinen Schutz gegen Kompromittierung der Benutzerdaten und der Benutzerkonfiguration: unter eingeschränkten Benutzerkonten sind beliebige Programme (dazu zählen auch [[Shellskript]]s und [[Stapelverarbeitungsdatei]]en) ausführbar, obwohl die wenigsten Benutzer diese Möglichkeit überhaupt nutzen.
|-
 
| [[ISMS/Glossar|Begriffe]] ||
Da Benutzer typischerweise (nur) die mit dem Betriebssystem gelieferten sowie die von ihrem Administrator installierten Programme verwenden, ist es möglich, Benutzern die Rechte zum Ausführen von Dateien nur dort zu gewähren, wo das Betriebssystem und die installierten Programme abgelegt sind (und sie nicht schreiben können), und überall dort zu entziehen, wo sie selbst schreiben können. Schädliche Programme, die beispielsweise von einer infizierten Webseite heruntergeladen und vom Benutzer unbemerkt als sog. „[[Drive-by-Download]]“ im Cache des [[Webbrowser|Browsers]] abgelegt werden, werden damit unschädlich gemacht.
|-
 
| [[IT-Sicherheit/Grundfunktionen|Schutzziele]] ||
Aktuelle Versionen von [[Microsoft]] [[Windows]] erlauben die Umsetzung dieser Restriktion mit den sog. „Softwarebeschränkungsrichtlinien“<ref>[http://support.microsoft.com/kb/310791/de-de Beschreibung der Softwarebeschränkungsrichtlinien in Windows XP], abgerufen am 9. August 2013.</ref><ref>[http://support.microsoft.com/kb/324036/de-de So wird’s gemacht: Verwendung von Richtlinien für Softwareeinschränkung in Windows Server 2003], abgerufen am 9. August 2013.</ref><ref>[http://technet.microsoft.com/de-de/bb457006.aspx Using Software Restriction Policies to Protect Against Unauthorized Software], abgerufen am 9. August 2013.</ref><ref>[http://technet.microsoft.com/de-de/cc507878.aspx Using Software Restriction Policies to Protect Against Unauthorized Software], abgerufen am 9. August 2013.</ref><ref>[http://technet.microsoft.com/de-de/cc786941.aspx How Software Restriction Policies Work], abgerufen am 9. August 2013.</ref> alias „SAFER“.
|-
 
| [[Managementsystem_für_Informationssicherheit|Managementsystem]] ||
Die [[Datenausführungsverhinderung]]<ref>[http://support.microsoft.com/kb/875352/de-de Detaillierte Beschreibung der Funktion „Datenausführungsverhinderung“ in Windows XP Service Pack 2, Windows XP Tablet PC Edition 2005 und Windows Server 2003], abgerufen am 9. August 2013.</ref> aktueller Betriebssysteme wendet dieselbe Restriktion im [[Virtueller Speicher|virtuellen Speicher]] an.
|-
 
| [[IT-Grundschutz/Maßnahmen|Maßnahmen]] ||
==== Software aktuell halten ====
|-
Für viele Programme werden (regelmäßig) [[Softwareaktualisierung|Aktualisierungen]] angeboten. Diese bieten nicht immer nur eine veränderte oder verbesserte Funktionalität, sondern beheben häufig auch Sicherheitslücken und [[Programmfehler]]. Besonders betroffen sind vor allem Programme, die über [[Netzwerk]]e mit dem Internet kommunizieren, wie zum Beispiel [[Betriebssystem]]e, [[Webbrowser|Browser]], [[Sicherheitssoftware|Schutzprogramme]] oder [[E-Mail]]-Programme.
| [[Common Criteria]] ||
 
|-
Sicherheitsrelevante Software-Aktualisierungen sollten so schnell wie möglich aus [[Digitales Zertifikat|überprüfbaren]] und [[Verifikation|zuverlässigen]] Quellen auf den entsprechenden Rechnersystemen installiert werden. Viele Geräte im [[Internet der Dinge]] und Programme bieten eine automatische Funktion an, die die Aktualisierung im Hintergrund ohne das Eingreifen des Benutzers bewerkstelligt, indem die aktualisierte Software direkt aus dem Internet geladen wird.
| [[Security Engineering]] ||
 
|-
Ein aktives, regelmäßiges Patch-Management verhindert das Ausnutzen von Schwachstellen in installierter Software, was laut BSI vor allem für Angriffsziele innerhalb Staat, Verwaltung und Wirtschaft zu den Top-Bedrohungen der IT-Sicherheit zählt.<ref>{{Internetquelle |url=https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html |titel=Die Lage der IT-Sicherheit in Deutschland |sprache=de |abruf=2023-02-14}}</ref> Dem entgegen steht, dass lediglich 35,8 % der Unternehmen in Deutschland im Jahr 2021 ein aktives Patch-Management implementiert hatten.
| [[:Kategorie:ISMS/Qualifizierung|Qualifizierung]] ||
==== Veraltete, unsichere und unbenutzte Software deinstallieren ====
|-
Software, deren Hersteller die Wartung eingestellt hat, sogenannte End of Life (EOL), die unsicher ist oder die nicht mehr benutzt wird, muss deinstalliert werden, um den Schutz zu gewährleisten.
| [[Informationssicherheit/Audit und Zertifizierungen|Audit und Zertifizierungen]] ||
 
|-
==== Sicherungskopien erstellen ====
| [[Informationssicherheit/Rahmenbedingungen|Rahmenbedingungen]] ||
Von jeder [[Datei]], die wichtig ist, muss mindestens eine [[Datensicherung|Sicherungskopie]] auf einem separaten [[Datenspeicher|Speichermedium]] angefertigt werden. Hierzu gibt es zum Beispiel [[Datensicherung|Backup]]-Software, die diese Aufgaben regelmäßig und automatisch erledigt. Im Rahmen von wiederkehrenden Wartungsarbeiten müssen angefertigte Sicherungskopien auf Integrität, Vertraulichkeit und Verfügbarkeit geprüft werden.
|-
 
| [[Informationssicherheit/Umsetzungsbereiche|Umsetzungsbereiche]] ||
Im Unternehmensbereich kommen [[Backup]]-Lösungen mit örtlicher Distanz wie beispielsweise durch ein zweites Rechenzentrum mit redundanter Spiegelung sowie Cloud-Lösungen infrage. Diese Lösungen sind oftmals kostspielig. Die Verbesserung der Datensicherheit durch Sicherungskopien ist im Privatbereich weniger kostenintensiv. So können je nach Datenmenge auch kleinere Wechseldatenträger wie [[DVD]] oder [[Blu-ray Disc|Blu-ray]] sowie externe (USB-)Festplatten oder [[Network Attached Storage|NAS]]-Systeme zur Sicherung genutzt werden.
|-
 
| [[Mobile Endgeräte]] ||
Grundsätzlich gilt, dass die Relevanz der Daten für unternehmerische oder private Zwecke über Art und Häufigkeit der Sicherung sowie über die Anzahl der Sicherungskopien entscheiden sollte.
|-
 
| [[Bedrohung]]en ||
==== Antiviren-Software verwenden ====
|}
Wenn Daten aus dem [[Internet]], von [[Mailserver]]n heruntergeladen oder von [[Datenspeicher|Datenträgern]] kopiert werden, besteht immer die Möglichkeit, dass sich darunter auch schädliche Dateien befinden. Solche [[Schadprogramm]]e sind oft auf [[Computervirus#Gefährdungsgrad unterschiedlicher Betriebssysteme|weitverbreitete Betriebssysteme]] oder [[Webbrowser#Marktanteile und deren Messung|häufig genutzte Browser]] ausgerichtet.
 
Zur Vermeidung einer Kompromittierung sollten nur Dateien oder Anhänge geöffnet werden, denen man vertraut oder die von einem sogenannten [[Antivirenprogramm]] als unschädlich erkannt werden.
 
Allerdings können weder Vertrauen noch Antivirenprogramme vor allen schädlichen Dateien schützen. Eine vertrauenswürdige Quelle kann selbst infiziert sein, und Antivirenprogramme können unter Umständen neue sowie unbekannte Schädlinge nicht entdecken. Deshalb sollten sie regelmäßig, eventuell sogar mehrmals täglich aktualisiert werden.
 
Antivirenprogramme können sogar schädliche Nebenwirkungen haben, indem sie unschädliche Systemdateien irrtümlich als „infiziert“ erkennen und diese beseitigen, worauf das Betriebssystem nicht mehr korrekt funktioniert oder gar nicht mehr startet. Wie alle Computerprogramme können sie selbst Fehler und Sicherheitslücken haben, sodass unter Umständen das Computersystem nach der Installation nicht sicherer ist oder sogar unsicherer werden kann. Zudem können sie durch Werbeaussagen wie „bietet umfassenden Schutz gegen alle Bedrohungen“ zu riskanterem Verhalten verleiten.
 
==== Diversifikation ====
Eine weitere Maßnahme zur Reduktion der Gefahren besteht in der Diversifizierung von Software, also darin, Software von verschiedenen, auch nicht marktführenden Anbietern zu verwenden. Die Angriffe von [[Cracker (Computersicherheit)|Crackern]] zielen oftmals auf Produkte von großen Anbietern, weil sie bei kriminellen Angriffen damit den größten Gewinn erzielen und ansonsten gegebenenfalls den größten „Ruhm“ erlangen. Insofern kann es ratsam sein, auf Produkte von kleineren und weniger bekannten Unternehmen oder auf [[Open Source|Open-Source]]-Software zurückzugreifen.
 
==== Firewalls verwenden ====
Gegen Angriffe, die ohne das aktive Zutun des Nutzers drohen, ist eine [[Firewall|Netzwerk-Firewall]] oder eine [[Personal Firewall]] unerlässlich. Sie verhindert unerwünschte Zugriffe auf den Computer und unbeabsichtigte Aktivitäten des eigenen Computers, die vom Benutzer meist gar nicht bemerkt werden. Die Konfiguration einer Firewall ist nicht [[Trivialität|trivial]] und erfordert eine gewisse Kenntnis der Vorgänge und Gefahren. Sollte man diese Grundkenntnisse nicht besitzen ist es ratsam, einen Experten zu konsultieren, sollte man sich trotzdem eine Firewall einrichten wollen.
 
Eine falsch eingestellte Firewall kann mehr Schaden anrichten, als verhindern.
 
==== Sandbox ====
Eine [[Sandbox]] (übertragene Bezeichnung: „Sandkasten“) sperrt ein potenziell schädliches Programm ein. Im schlimmsten Falle kann das Programm im Innern der Sandbox Schaden anrichten. Beispielsweise gibt es keinen Grund, weshalb ein PDF-Reader auf OpenOffice-Dokumente zugreifen muss. Die Sandbox wäre in diesem Fall „alle PDF-Dokumente und sonst nichts“. Techniken wie [[AppArmor]] und [[SELinux]] ermöglichen den Bau einer Sandbox.
 
==== Aktive Inhalte deaktivieren ====
Bei [[Aktive Inhalte|aktiven Inhalten]] handelt es sich um Funktionalitäten, die die Bedienung eines Computers vereinfachen sollen. Das automatische Öffnen beziehungsweise Ausführen von heruntergeladenen Dateien birgt jedoch die Gefahr, dass diese schädlichen [[Computerprogramm|Code]] ausführen und den Rechner [[Infektion|infizieren]]. Um dies zu vermeiden, sollten aktive Inhalte, wie zum Beispiel [[ActiveX]], [[Java-Technologie|Java]] oder [[JavaScript]], so weit wie möglich deaktiviert werden.
 
==== Sensible Daten verschlüsseln ====
Daten, die nicht in die Hände Dritter geraten sollen, können durch geeignete Maßnahmen, wie zum Beispiel mit der Software [[GNU Privacy Guard|GPG]] oder mit [[Festplattenverschlüsselung]], geschützt werden (siehe auch [[Kryptographie]]). Dies betrifft nicht nur Daten, die sich zwischen zwei Rechnern im Transit befinden, sondern auch Daten, die sich stationär auf [[Massenspeicher]]n befinden. Ein typisches Beispiel ist die Übertragung von Kreditkartennummern während des Online-Einkaufs, welche oft<ref>W3Techs [https://w3techs.com/technologies/details/ce-httpsdefault/all/all ''Usage of Default protocol https for websites'']. Abgerufen am 30. Mai 2019.</ref> via [[Hypertext Transfer Protocol Secure|HTTPS]] geschützt werden. Der Zugriff auf den Inhalt ist nur dann möglich, wenn eine Partei über den richtigen [[Nummerung|Schlüssel]] verfügt. Besonders gefährdet sind unverschlüsselte, kabellose Netze, wie zum Beispiel offene [[Wireless Local Area Network|WLANs]]. Sollten keine weiteren Schutzmaßnahmen ergriffen worden sein, wie z.&nbsp;B. der Einsatz von einem [[Virtual Private Network|VPN]], erhalten Unbefugte potenziell unbemerkten Zugriff auf die übertragenen Daten.
 
Auch für Behörden und Unternehmen ist die Datensicherheit, vor allem in Bezug auf den Datentransport, ein äußerst sensibles Thema. Immer wieder erfordern Geschäftsprozesse die mobile Verfügbarkeit von Forschungs-, Finanz-, Kunden- oder Kontodaten. Bei der Datenaufbewahrung und dem Datentransport müssen sich Behörden und Unternehmen auf höchste Sicherheit verlassen können. Gelangen sensible Daten in unbefugte Hände, entsteht meist ein irreparabler Schaden, insbesondere wenn die Daten verbreitet oder missbraucht werden. Um dies zu verhindern und höchste Datensicherheit für den mobilen Datentransport zu gewährleisten, müssen neben dem Kriterium der Datenverschlüsselung auch die Kriterien wie Datenintegrität (siehe [[Authentifizierung]]) und Lebenszyklus der Schlüssel beachtet werden.
 
Das angestrebte Niveau an Datensicherheit bestimmt die empfohlenen Verschlüsselungsmethoden und Verschlüsselungsstärken. Für Anwendungen mit symmetrischer Verschlüsselung empfiehlt das [[Bundesamt für Sicherheit in der Informationstechnik|BSI (Deutschland)]] die Verschlüsselungsmethode [[Advanced Encryption Standard|AES]] mit einer Schlüssellänge ab 128 Bit<ref>BSI [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.pdf ''TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen''], Seite 22–23, ''[[Bundesamt für Sicherheit in der Informationstechnik]]'', Bonn, 22. Februar 2019. Abgerufen am 30. Mai 2019.</ref>. Als Betriebsart werden [[CCM Mode|CCM]], [[Galois/Counter Mode|GCM]], [[Cipher Block Chaining Mode|CBC]] und [[Counter Mode|CTR]] empfohlen.
 
[[Passwort|Passwörter]], [[persönliche Identifikationsnummer]]n (PIN) und [[Transaktionsnummer]]n (TAN) sollten nicht unverschlüsselt gespeichert oder übertragen werden.
 
==== Protokollierung ====
Automatisch erstellte [[Logging|Protokolle]] oder [[Logdatei]]en können dabei helfen, zu einem späteren Zeitpunkt zu ermitteln, wie es zu Schäden an einem Rechnersystem gekommen ist.
 
==== Sichere Entwicklungssysteme und Laufzeitumgebungen verwenden ====
Für die Generierung und [[Softwarewartung|Wartung]] sicherer Software ist es sehr nützlich, schon bei der [[Softwaretechnik|Softwareentwicklung]] [[Strukturierte Programmierung|strukturiert zu programmieren]] und leicht überschaubare und erlernbare Werkzeuge zu verwenden, die möglichst enggefasste [[Variable (Programmierung)|Sichtbarkeitsregeln]] und [[Datenkapselung (Programmierung)|gekapselte]] [[Modul (Software)|Programmmodule]] mit eindeutig definierten [[Schnittstelle#Softwareschnittstellen|Schnittstellen]] erlauben.<ref>[http://www.enisa.europa.eu/publications/eqr/issues/eqr-q4-2007-vol.-3-no.-4 ENISA Quarterly, Q4 2007, vol. 3, no. 4], [[Europäische Agentur für Netz- und Informationssicherheit|ENISA]], abgerufen am 29. Mai 2012</ref> Durch eingeschränkte Freiheiten bei der Programmierung, wie zum Beispiel die Beschränkung auf [[Vererbung (Programmierung)#Mehrfachvererbung|einfache Vererbung]] oder das Verbot von [[Zirkelbezug|Zirkelbezügen]] oder kritischen [[Typumwandlung]]en, wird in der Regel zugleich das Potenzial von [[Programmfehler]]n eingeschränkt. Dabei ist es auch sinnvoll und hilfreich, bereits [[Softwaretest|getestete Software]] durch geeignete Maßnahmen wiederzuverwenden, wie zum Beispiel durch die Verwendung von [[Prozedur (Programmierung)|Prozeduren]] oder [[Objektorientierung|objektorientierten]] [[Datenstruktur]]en.
 
Entwickler von Software, die zum sicheren [[Datenaustausch]] zwischen Rechnern eingesetzt wird, müssen moderne [[Integrierte Entwicklungsumgebung|Entwicklungssysteme]] und [[Programmiersprache]]n einsetzen, da ältere Systeme häufig [[Sicherheitslücke]]n aufweisen und nicht über die entsprechende Sicherheitsfunktionalität verfügen. Sichere Software ist nur in entsprechenden, modernen und sicheren [[Laufzeitumgebung]]en lauffähig und sollte mit Entwicklungswerkzeugen (wie zum Beispiel [[Compiler]]n) erstellt werden, die ein möglichst hohes Maß an [[Inhärenz|inhärenter]] Sicherheit bieten, wie zum Beispiel Modulsicherheit, [[Typsicherheit]] oder die Vermeidung von [[Pufferüberlauf|Pufferüberläufen]].
 
Auch bei Geräten, die nicht in einem [[Rechnernetz]] beziehungsweise im [[Internet der Dinge]] betrieben werden, kann die Informationssicherheit durch geeignete Entwicklungssysteme und Laufzeitumgebungen erhöht werden. Datenverlust durch unzuverlässigen Programmcode ([[Absturz (Computer)|Computerabsturz]]) kann vorbeugend zum Beispiel durch [[compiler]]generierte Überprüfung von [[Indexmenge (Mathematik)|Indizes]] von [[Datenfeld]]ern, unzulässigen [[Zeiger (Informatik)|Zeigern]] oder nach dem Auftreten von [[Programmfehler]]n durch [[Ausnahmebehandlung]] in der Laufzeitumgebung vermieden werden. Ferner ist es in objektorientierten Laufzeitumgebungen unerlässlich und auch in anderen Systemen sicherer, eine [[Garbage Collection|automatische Speicherbereinigung]] durchzuführen, damit nicht versehentlich Speicherplatz freigegeben wird.
 
Manche Entwickler vertrauen auf die [[Verifizierung#Informatik (Verifizieren von Software)|Verifikation von Programmcode]], um die [[Korrektheit (Informatik)|Korrektheit von Software]] zu verbessern. Ferner ist es möglich, bereits implementierte Software durch bestimmte Verfahren, wie zum Beispiel die Verwendung von [[Proof-Carrying Code]], erst während der Laufzeit zu überprüfen und deren Ausführung bei der Nichteinhaltung von [[Sicherheitsrichtlinie]]n zu verhindern.
 
==== Sensibilisierung und Befähigung der Mitarbeiter ====
Ein wichtiger Aspekt in der Umsetzung von [[Sicherheitsrichtlinie]]n ist die Ansprache der eigenen Mitarbeiter, die Bildung von sogenannter IT-Security-[[Public Awareness|Awareness]]. Hier fordern die ersten [[Arbeitsgericht|Arbeitsrichter]] den Nachweis der erfolgten Mitarbeitersensibilisierung für den Fall eines etwaigen Verstoßes gegen die Firmenrichtlinien.
 
Da [[Wirtschaftsspionage|Industriespionage]] oder gezielte, wirtschaftlich motivierte [[Sabotage]] gegen Unternehmen nicht allein mit technischen Mitteln, sondern beispielsweise durch [[Social Engineering (Sicherheit)|Social Engineering]] ausgeführt werden, erhält diese menschliche Seite der Informationssicherheit zusätzliche Bedeutung. Mitarbeiter sollten über mögliche Tricks der Angreifer orientiert sein und gelernt haben, mit potenziellen Angriffen umzugehen. Die Sensibilisierung variiert typischerweise von Unternehmen zu Unternehmen von Präsenzveranstaltungen über [[Webanwendung|webbasierte]] [[Seminar]]e bis hin zu Sensibilisierungskampagnen.
 
Der Fokus verschiebt sich dabei inzwischen von der reinen Sensibilisierung ''(Awareness)'' hin zur Befähigung ''([[Empowerment]])'' der Anwender, eigenverantwortlich für mehr Sicherheit im Umgang mit IT-gestützten Informationen zu sorgen.<ref>Urs E. Gattiker: [http://www.cytrap.eu/files/info/2007/pdf/2007-10-18-CertGovNL-Presentation-fin-online.pdf ''Why information security awareness initiatives have failed and will continue to do so''.] (PDF; 273&nbsp;kB) Präsentation auf der govcert.nl 2007 conference.</ref> In Unternehmen kommt dabei dem „Information Security Empowerment“ der Führungskräfte besondere Bedeutung zu, da sie Vorbildfunktion für ihre Abteilungsmitarbeiter haben und dafür verantwortlich sind, dass die Sicherheitsrichtlinien ihres Verantwortungsbereiches zu den Arbeitsabläufen passen – eine wichtige Voraussetzung für die Akzeptanz.<ref>Axel Tietz, Johannes Wiele: ''Awareness ist nur ein Anfang''. In: ''Informationsdienst IT-Grundschutz'', Nr. 5/6, Mai 2009, S.&nbsp;28–30, ({{ISSN|1862-4375}})</ref>
 
== Standards, „Best Practices“ und Ausbildung im Überblick ==
Zur Bewertung und [[Zertifizierung]] der ''Sicherheit von Computersystemen'' existieren internationale [[Qualitätsmanagementnorm|Normen]]. Wichtige Normen in diesem Zusammenhang waren die amerikanischen [[Trusted Computer System Evaluation Criteria|TCSEC]] und die europäischen [[Information Technology Security Evaluation Criteria|ITSEC]]-Standards. Beide wurden 1996 von dem neueren [[Common Criteria for Information Technology Security Evaluation|Common-Criteria]]-Standard abgelöst. Die Evaluierung und Zertifizierung von IT-Produkten und -systemen erfolgt in Deutschland in der Regel durch das [[Bundesamt für Sicherheit in der Informationstechnik]] (BSI).
 
=== IT-Sicherheitsmanagement ===
Die Aufgabe des ''[[IT-Sicherheitsmanagement]]s'' ist die systematische Absicherung eines informationsverarbeitenden IT-Verbundes. Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden. Die Auswahl und Umsetzung von ''IT-Sicherheitsstandards'' zählt zu den Aufgaben des IT-Sicherheitsmanagements. Standards des IT-Sicherheitsmanagements sind beispielsweise:
* [[IT-Grundschutz]] des BSI
** Die [[IT-Grundschutz-Kataloge]] definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen [[Waschzettel#Werbung und Public Relations|(Waschzettel)]]. Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren. Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor.
* [[ISO/IEC 27001]]: Norm für Informationssicherheitsmanagementsysteme (ISMS)
* [[ISO/IEC 27002]]: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
 
Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm.
 
Weitere Standards sind zu finden im {{Hauptartikel|IT-Sicherheitsmanagement}}
 
=== Security Engineering ===
Das Fachgebiet [[Security Engineering]] stellt Instrumente zur Abwehr und Analyse von Angriffen und Bedrohungen von IT-Systemen bereit.<ref>Claudia Eckert: ''IT-Sicherheit.'' 9. Auflage. De Gruyter, München, 2014, S. 183–222</ref><ref>[http://www.inf.fu-berlin.de/inst/ag-se/teaching/S-BSE/100_gruhn_security-engineering.pdf Security Engineering: Einführung und Überblick] – abgerufen am 26. Mai 2022</ref>
 
=== Ausbildung ===
Neben den Standards zur Informationssicherheit gibt es auch Standards für die Ausbildung von Sicherheitsfachkräften. Als wichtigste sind zu nennen die Zertifizierungen zum [[Certified Information Security Manager]] (CISM) und [[Certified Information Systems Auditor]] (CISA) der [[ISACA]], die Zertifizierung zum [[Certified Information Systems Security Professional]] (CISSP) des International Information Systems Security Certification Consortium (ISC)², die Security+ Zertifizierung von [[CompTIA]], die Zertifizierung zum [[TeleTrusT Information Security Professional]] (TISP)<ref>Frank van der Beek: ''[https://silo.tips/download/wie-lehrt-man-it-sicherheit-am-besten-eine-empirische-studie Wie lehrt man IT-Sicherheit am Besten? Eine empirische Studie]'' (PDF; 2,4&nbsp;MB). S. 17.</ref> des TeleTrusT – Bundesverband IT-Sicherheit e.&nbsp;V. sowie die GIAC-Zertifizierungen des SANS Institute. Eine erweiterte Übersicht bietet die [[Liste der IT-Zertifikate]].
 
=== Audits und Zertifizierungen ===
Um ein gewisses Standardmaß an Informationssicherheit zu gewährleisten, ist die regelmäßige Überprüfung von Maßnahmen zur Risikominimierung und -dezimierung Pflicht. Auch hier rücken wieder organisatorische und technische Aspekte in den Vordergrund.
 
Technische Sicherheit kann zum Beispiel durch Maßnahmen wie regelmäßige [[Penetrationstest (Informatik)|Penetrationstests]] oder vollständige [[IT-Sicherheitsaudit|Sicherheitsaudits]] erreicht werden, um eventuell bestehende Sicherheitsrisiken im Bereich von informationstechnischen Systemen, Applikationen und/oder in der informationstechnischen [[Infrastruktur]] zu erkennen und zu beseitigen.
 
Organisatorische Sicherheit kann durch [[Audit]]s der entsprechenden Fachabteilungen einer Organisation erreicht und überprüft werden. Beispielsweise können vordefinierte Testschritte beziehungsweise Kontrollpunkte eines Prozesses während eines Audits getestet werden.
 
Aus Feststellungen der weitreichenden Überprüfungsmethoden lassen sich Maßnahmen zur weiteren Risikominimierung beziehungsweise -dezimierung ableiten. Eine Methodik, wie in diesem Absatz beschrieben, ist unmittelbar konform zu [[Normung|Normen]] wie [[ISO/IEC 27001]], [[BS 7799]] oder [[gesetz]]lichen Vorschriften. Hier wird meist eine Nachvollziehbarkeit über Vorgänge der Informationssicherheit unmittelbar eingefordert, indem Unternehmen ein [[Risikomanagement]] abverlangt wird.
 
Bei der Arbeit an Maschinen und Anlagen haben Komponenten der funktionalen Sicherheit für den Menschen eine wichtige Schutzfunktion. Damit Sicherheitsfunktionen von Steuerungen zuverlässig funktionieren, muss auch die Steuerung selbst vor Ausfall und Manipulation geschützt werden. Daher werden auch Security-Aspekte der funktionalen Sicherheit von industriellen Automatisierungssystemen geprüft und zertifiziert. Diese Prüfung/Zertifizierung kann nur in Kombination mit einer Zertifizierung der funktionalen Sicherheit durchgeführt werden oder auf einer solchen Zertifizierung aufbauen. Ein Prüfgrundsatz formuliert Anforderungen für das Erreichen eines Security-Levels 1 (SL 1: Schutz gegen gelegentlichen oder zufälligen Verstoß) nach [[IEC 62443|DIN EN 62443-3-3]]. Weitere Grundlagen dieses Prüfgrundsatzes sind die Normen IEC/TS 62443-1-1, DIN EN IEC 62443-4-1, DIN EN IEC 62443-4-2.<ref>{{Internetquelle |autor=Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA) |url=https://www.dguv.de/medien/dguv-test-medien/_pdf_zip_doc_ppt/pruefgrundsaetze/ifa/gs_ifa_m24_2020_01_200511.pdf |titel=Grundsätze für die Prüfung und Zertifizierung von Security-Aspekten in der funktionalen Sicherheit von industriellen Automatisierungssystemen PDF |abruf=2021-11-10}}</ref> Den organisatorischen Ablauf einer Prüfung/Zertifizierung regelt die DGUV Test Prüf- und Zertifizierungsordnung, Teil 1: Zertifizierung von Produkten, Prozessen und Qualitätsmanagementsystemen (DGUV Grundsatz 300-003).<ref>{{Internetquelle |autor=Deutsche Gesetzliche Unfallversicherung e. V. (DGUV) |url=https://www.dguv.de/medien/dguv-test-medien/_pdf_zip_doc_ppt/agb-und-pzo/7_pzo_teil1_de_2018_07.pdf |titel=DGUV Grundsatz 300-003 |abruf=2021-11-10}}</ref>
 
== Umsetzungsbereiche ==
Zur Sensibilisierung für die Gefahren im Bereich der IT-Sicherheit und um mögliche Gegenmaßnahmen aufzuzeigen, existieren in Deutschland einige Initiativen. Dazu zählen der Cyber-Sicherheitsrat Deutschland e.&nbsp;V., der Verein [[Deutschland sicher im Netz]], die Allianz für Cyber-Sicherheit und die [[Sicherheitskooperation Cybercrime]].
 
=== Privathaushalte ===
Programmierfehler in fast jeder [[Software]] machen es quasi unmöglich, Sicherheit vor jeder Art von Angriffen zu erreichen. Durch den Anschluss von Computern mit sensiblen Daten (zum Beispiel [[Electronic Banking|Homebanking]], Bearbeitung der [[Dissertation]]) an das [[Internet]] sind diese Schwachstellen auch von außen nutzbar. Der Standard an IT-Sicherheit in Privathaushalten ist geringer, da kaum ausreichende Maßnahmen zur Absicherung der [[Infrastruktur]] (zum Beispiel [[unterbrechungsfreie Stromversorgung]], Einbruchsschutz) ergriffen werden.
 
Aber auch in anderen Bereichen besteht in privaten Haushalten weiterhin ein Defizit.
 
Viele private Benutzer haben noch nicht verstanden, dass es wichtig ist, die Konfiguration der genutzten Software an die jeweiligen Bedürfnisse anzupassen. So ist es bei vielen an das Internet angeschlossenen Rechnern nicht nötig, dass auf ihnen [[Server]]-Programme laufen. Server-Dienste werden von vielen Betriebssystemen in der Standardinstallation geladen; mit deren Deaktivierung schließt man eine Reihe wichtiger Angriffspunkte.
 
Sicherheitsaspekte wie zum Beispiel die Einrichtung von Zugriffsbeschränkungen sind vielen Benutzern ebenfalls fremd. Außerdem ist es von Bedeutung, sich über Schwachstellen in der eingesetzten Software zu informieren und regelmäßig Aktualisierungen einzuspielen.
 
Zur Computersicherheit gehört nicht nur der präventive Einsatz technischer Werkzeuge wie beispielsweise [[Firewall]]s, [[Intrusion Detection System|Intrusion-Detection-Systeme]] etc., sondern auch ein organisatorischer Rahmen in Form durchdachter Grundsätze (Policy, Strategie), die den Menschen als Anwender der Werkzeuge in das System einbezieht. Allzu oft gelingt es [[Hacker]]n, durch Ausnutzung eines zu schwachen [[Passwort|Kennworts]] oder durch sogenanntes [[Social Engineering (Sicherheit)|Social Engineering]] Zugang zu sensiblen Daten zu erlangen.
 
=== IT-Sicherheit bei Sparkassen und Banken ===
Zur Beschleunigung des Prozesses und Hervorhebung der Wichtigkeit haben unter anderem die Ergebnisse von [[Basel II]], die Vorschriften von [[Bundesanstalt für Finanzdienstleistungsaufsicht|BaFin]] und des [[Kreditwesengesetz|KWG]] sowie der einzelnen Verbandsrevisionen der [[Sparkasse]]n und [[Bank]]en beigetragen. Verstärkt werden sowohl externe als auch interne Prüfungen auf dieses Thema ausgelegt. Gleichzeitig entstand ein umfangreiches Dienstleistungsangebot zur Durchführung verschiedener Projekte, die einen IT-Sicherheitsprozesses in Unternehmen etablieren sollen. Anbieter sind sowohl innerhalb der jeweiligen Unternehmensgruppe als auch auf dem externen Markt zu finden. Bei anderen Finanzdienstleistungsinstituten, Versicherungsunternehmen und den Unternehmen des Wertpapierhandels wird das Konzept im Allgemeinen identisch sein, wobei hier zum Beispiel auch andere Gesetze eine Rolle spielen können.
{{Siehe auch|Krisenreaktionszentrum für IT-Sicherheit der Deutschen Versicherungswirtschaft}}
 
=== IT-Sicherheit bei anderen Unternehmen ===
Auch wenn die Gesetzgebungen und Prüfungen in anderen Sektoren der Wirtschaft weniger Vorgaben macht, behält die IT-Sicherheit ihren hohen Stellenwert. Hilfestellungen gewähren die kostenfreien [[IT-Grundschutz-Kataloge]] des [[Bundesamt für Sicherheit in der Informationstechnik|BSI]].
 
Durch die zunehmende Vernetzung verschiedener Niederlassungen z.&nbsp;B. bei Firmenzukäufen gewinnt eine Absicherung der IT-Systeme größere Bedeutung. Durch die Datenübertragung aus einem internen, geschlossenen Netzwerk über eine externe, öffentliche Verbindung zum anderen Standort entstehen risikobehaftete Situationen.
 
Die Auswirkungen für Unternehmen sind u.&nbsp;a.:
 
* Verlust von Daten,
* Manipulation von Daten,
* unzuverlässiger Empfang von Daten,
* verspätete Verfügbarkeit von Daten,
* Abkopplung von Systemen für das operative Geschäft,
* unzulässige Verwertung von Daten,
* fehlende Entwicklungsfähigkeit der eingesetzten Systeme.
 
Die Gefahr liegt nicht nur im firmeninternen Datenaustausch. Zunehmend werden Anwendungen direkt zu den Nutzern übertragen, oder externe Mitarbeiter und outgesourcte Dienstleister können auf interne Daten zugreifen und diese bearbeiten und verwalten. Dies erfordert entsprechende Zugriffsberechtigungen ([[Authentifizierung]]) sowie eine Dokumentation der getätigten Aktionen wie Datenabruf oder Datenänderungen.
 
Dieser Thematik folgend entstehen neue Anforderungen an die bestehenden Sicherheitskonzepte. Hinzu kommen die gesetzlichen Vorgaben, die ebenfalls in das IT-Sicherheitskonzept mit integriert werden müssen. Die entsprechenden Gesetze werden von externen und internen Prüfern kontrolliert. Da keine Methoden definiert worden sind, um diese Ergebnisse zu erreichen, wurden hier für die jeweiligen Bereiche verschiedenen „Best Practice“-Methoden entwickelt, wie zum Beispiel [[ITIL]], [[COBIT]], ISO oder [[Basel II]].
 
Hier gilt der Ansatz, ein Unternehmen so zu führen und zu kontrollieren, dass die relevanten und möglichen Risiken abgedeckt sind ([[IT-Governance]]). Grundlagen dafür sind sowohl die ''zwingenden Standards'', also Gesetze ([[Handelsgesetzbuch|HGB]], [[Abgabenordnung|AO]], GOB) und Fachgutachten ([[Sarbanes-Oxley Act]], 8. EU-Audit-Richtlinie), als auch die ''unterstützenden Standards'' ([[Best Practice]]).
 
Die Risiken müssen identifiziert, analysiert und bewertet werden, um ein ganzheitliches Sicherheitskonzept aufbauen zu können. Dies beinhaltet nicht nur die eingesetzten Technologien, sondern auch konzeptionelle Aspekte wie Zuständigkeiten, Berechtigungen, Kontrollinstanzen oder Mindestanforderungen für bestimmte Sicherheitsmerkmale.
 
So werden nun an die EDV besondere Anforderungen gestellt:
 
# Verhinderung von Manipulationen
# Nachweis von Eingriffen
# Installation von Frühwarnsystemen
# Interne Kontrollsysteme
 
Dabei ist zu beachten, dass die Daten der Automation derart gespeichert werden, dass sie jederzeit lesbar, nachvollziehbar und konsistent sind. Dazu müssen diese Daten vor Manipulation und Löschung geschützt werden. Jegliche Änderung soll ein Versionsmanagement auslösen und die Reporte und Statistiken über die Prozesse und deren Änderungen müssen direkt zentral abrufbar sein.
 
Eine Abhilfe können hier hochentwickelte Automatisierungslösungen sein. Dadurch, dass weniger manuelle Eingriffe notwendig sind, werden potenzielle Gefahrenquellen ausgeschlossen. Die RZ-Automation umfasst somit folgende Gebiete:
 
* Risikofaktor Prozessablauf
* Risikofaktor Ressourcen
* Risikofaktor Technologie
* Risikofaktor Zeit
 
=== IT-Sicherheit in öffentlichen Einrichtungen und Behörden ===
Im Bereich öffentliche Einrichtungen und Behörden sind die [[IT-Grundschutz-Kataloge]] des [[Bundesamt für Sicherheit in der Informationstechnik|Bundesamtes für Sicherheit in der Informationstechnik (BSI)]] Standardwerke. In großem Maße erhalten diese Stellen das zugehörige [[GSTOOL]], welches die Durchführung deutlich vereinfacht, kostenlos.
 
== Gesetzliche Rahmenbedingungen ==
[[Corporate Governance]] kann als Rahmen der IT-Sicherheit gesehen werden. Der Begriff stammt aus dem strategischen Management und bezeichnet einen Prozess zur Steuerung eines privatwirtschaftlichen Unternehmens. Durch Regeln und Kontrollmechanismen wird ein Ausgleich zwischen den verschiedenen Interessengruppen ([[Stakeholder]]n) angestrebt. Der Prozess dient dem Erhalt des Unternehmens und unterliegt einer regelmäßigen externen Überprüfung.<ref name="Falk-2012">Michael Falk: ''IT-Compliance in der Corporate Governance: Anforderungen und Umsetzung.'' Wiesbaden, Gabler Verlag, 2012, ISBN 3-8349-3988-9</ref>{{rp|32 f.}}
 
=== Gesetze zur Corporate Governance ===
{{Veraltet|über die Zukunft|„Die Nachfolgeregelung Basel III wird seit 2013 eingeführt und soll bis 2019 komplett implementiert sein“|seit=2019}}
Mit dem Ziel einer besseren Überwachung der Unternehmensführung (Corporate Governance) und um ausländischen Investoren den Zugang zu Informationen über die Unternehmen zu erleichtern (Transparenz), trat im Mai 1998 das ''[[Gesetz zur Kontrolle und Transparenz im Unternehmensbereich]] (KonTraG)'' in Kraft. Kernthema der weitreichenden Änderungen im [[Handelsgesetzbuch]] (HGB) und im [[Aktiengesetz (Deutschland)|Aktiengesetz (AktG)]] war die Einführung eines [[Risikofrüherkennungssystem]]s zur Erkennung von bestandsgefährdenden Risiken. Jedes am Kapitalmarkt orientierte Unternehmen musste ein solches System einrichten und Risiken des Unternehmens im [[Lagebericht]] des [[Jahresabschluss]]es veröffentlichen.<ref>Thomas A. Martin: ''Grundzüge des Risikomanagements nach KonTraG: Das Risikomanagementsystem zur Krisenfrüherkennung nach §&nbsp;91 Abs.&nbsp;2 AktG.'' München, Oldenbourg, 2002. ISBN 978-3-486-25876-9</ref>{{rp|37 f.}}
 
Der im Juli 2002 in Kraft getretene [[Sarbanes-Oxley Act]] (SOX) hatte das Ziel, verlorengegangenes Vertrauen der Anleger in die veröffentlichten Bilanzdaten von amerikanischen Unternehmen wiederherzustellen. Tochterunternehmen amerikanischer Gesellschaften im Ausland und nichtamerikanische Firmen, die an amerikanischen Börsen gehandelt werden, unterliegen ebenfalls dieser Regelung.<ref name="HofmannSchmidt10">J. Hofmann, W. Schmidt: ''Masterkurs IT-Management: Grundlagen, Umsetzung und erfolgreiche Praxis für Studenten und Praktiker.'' 2., akt. und erw. Auflage. Vieweg+Teubner, 2010, ISBN 978-3-8348-0842-4.</ref>{{rp|295 f.}} Das Gesetz schreibt Vorkehrungen im Bereich der IT-Sicherheit wie die Einführung eines ISMS nicht explizit vor. Eine einwandfreie Berichterstattung über die internen Unternehmensdaten ist nur durch zuverlässige IT-Prozesse und einen angemessenen Schutz der verwendeten Daten möglich. Eine [[Konformität]] mit dem SOX ist daher nur mit Hilfe von Maßnahmen zur IT-Sicherheit möglich.<ref name="HofmannSchmidt10" />{{rp|295 f.}} <ref name="Kersten">Heinrich Kersten, Jürgen Reuter, Klaus-Werner Schröder, Klaus-Dieter Wolfenstetter: ''IT-Sicherheitsmanagement nach ISO 27001 und Grundschutz: Der Weg zur Zertifizierung.'' 4., akt. u. erw. Auflage. Springer, Wiesbaden 2013, ISBN 978-3-658-01723-1.</ref>{{rp|3 f.}}
 
Die europäische Achte [[Richtlinie 2006/43/EG]] (auch „EuroSOX“ genannt) entstand in Anlehnung an das amerikanische SOX-Gesetz und trat im Juni 2006 in Kraft. Sie beschreibt die Mindestanforderungen an Unternehmen für ein Risikomanagement und legt die Pflichten der [[Abschlussprüfer]] fest.<ref name="HofmannSchmidt10" />{{rp|296}}
 
Die deutsche Umsetzung der europäischen EuroSOX erfolgte im [[Bilanzrechtsmodernisierungsgesetz]] (BilMoG). Es trat im Mai 2009 in Kraft. Das Gesetz änderte zum Zwecke der Harmonisierung mit [[Europarecht]] einige Gesetze wie das [[Handelsgesetzbuch|HGB]] und das [[Aktiengesetz]]. Unter anderem sind Kapitalgesellschaften wie eine [[Aktiengesellschaft (Deutschland)|AG]] oder eine [[Gesellschaft mit beschränkter Haftung (Deutschland)|GmbH]] laut §&nbsp;289 HGB Abs. 5 aufgefordert, wesentliche Eigenschaften ihres [[Internes Kontrollsystem|Internen Kontrollsystems]] (IKS) im Lagebericht des Jahresabschlusses darzulegen.<ref name="HofmannSchmidt10" />{{rp|296}}
 
In den europäischen Regelungen ''Richtlinie über Eigenkapitalanforderungen (Basel I)'' aus dem Jahr 1988 und ''Richtlinie für [[Basissolvenzkapitalanforderung]]en'' aus dem Jahr 1973 (2002 aktualisiert; nachträglich als Solvabilität I bezeichnet) wurden viele einzelne Gesetze unter einem Oberbegriff zusammengefasst.<ref>{{EU-Richtlinie|1973|239|text=Erste Richtlinie 73/239/EWG des Rates vom 24. Juli 1973 zur Koordinierung der Rechts- und Verwaltungsvorschriften betreffend die Aufnahme und Ausübung der Tätigkeit der Direktversicherung (mit Ausnahme der Lebensversicherung) |abruf=2014-01-09}}</ref> Diese für [[Kreditinstitut]]e und [[Versicherungsunternehmen]] bedeutsamen Regelungen enthielten viele Schwächen. Die neuen Regelungen [[Basel II]] für Banken (EU-weit in Kraft seit Januar 2007) und [[Solvabilität II]] für Versicherer (in Kraft seit Januar 2016) enthalten modernere Regelungen für ein Risikomanagement.<ref name="HofmannSchmidt10" />{{rp|296 f.}} Die Nachfolgeregelung [[Basel III]] wird seit 2013 eingeführt und soll bis 2019 komplett implementiert sein.
 
=== Datenschutzgesetze ===
Die erste Fassung des [[Bundesdatenschutzgesetz]]es (BDSG) mit dem Namen ''Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung'' wurde am 27. Januar 1977 erlassen ({{BGBl|1977n I S. 201}}). Unter dem Eindruck des sogenannten Volkszählungsurteils von 1983 trat durch das ''Gesetz zur Fortentwicklung der Datenverarbeitung und des Datenschutzes'' vom 20. Dezember 1990 am 1. Juni 1991 eine Neufassung des BDSG in Kraft ({{BGBl|1990 I S. 2954, 2955}}).
Eine der zahlreichen Änderungen des Gesetzes trat im August 2002 in Kraft. Sie diente der Anpassung des Gesetzes an die [[Richtlinie 95/46/EG (Datenschutzrichtlinie)]].<ref>Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze vom 22. Mai 2001 ({{BGBl|2001n I S. 904}})</ref>
 
Neben dem BDSG existieren in Deutschland weitere gesetzliche Vorschriften, die die Einführung und das Betreiben eines ISMS erfordern. Dazu zählen das [[Telemediengesetz]] (TMG) und das [[Telekommunikationsgesetz (Deutschland)|Telekommunikationsgesetz]] (TKG).
 
Der Schutz der Privatsphäre wird in Großbritannien seit 1984 durch den [[Data Protection Act 1998|Data Protection Act]] (DPA) geregelt. Dieser bot in seiner ursprünglichen Version einen minimalen Datenschutz. Die Verarbeitung personenbezogener Daten wurde 1998 durch eine neue Fassung des DPA ersetzt. Diese trat 2000 in Kraft und glich britisches Recht an die EG-Richtlinie 95/46/EG an. In Großbritannien verpflichtete die britische Regierung 2001 alle Ministerien mit dem [[BS 7799]] konform zu werden. Die Implementierung eines ISMS erleichtert es britischen Unternehmen, eine Konformität zum DPA nachzuweisen.<ref>M.J. Kenning: ''Security Management Standard: ISO 17799/BS 7799.'' In: ''BT Technology Journal'', 19, 2001, Nr. 3, S. 132–136.</ref>{{rp|135 f.}}
 
Die [[Datenschutz-Grundverordnung]] setzt die Richtlinie 95/46/EG außer Kraft. Sie trat am 24. Mai 2016 in Kraft und gilt ab 25. Mai 2018 unmittelbar in allen Staaten der Europäischen Union. Die bisherigen nationalen Regelungen wie das deutsche BDSG wurden abgelöst bzw. neu gefasst, um die Regelungsaufträge der Verordnung an den nationalen Gesetzgeber zu erfüllen.
 
=== IT-Sicherheitsgesetz ===
Unter dem Eindruck von Terroranschlägen und aus militärischen Erwägungen tritt in Deutschland und anderen Ländern zunehmend der Schutz kritischer Infrastrukturen vor Cyber-Attacken in den Vordergrund. Hierzu trat am 25. Juli 2015 ein [[Artikelgesetz]] zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz, ITSiG) in Kraft.<ref>Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme vom 17. Juli 2015 ({{BGBl|2015n I S. 1324}})</ref> Das Gesetz weist dem [[Bundesamt für Sicherheit in der Informationstechnik]] die zentrale Rolle beim Schutz kritischer Infrastrukturen in Deutschland zu.
 
Hierzu wurde das BSI-Gesetz um Sicherheitsanforderungen an sogenannte „[[Kritische Infrastrukturen]]“ ergänzt. Dies sind Einrichtungen, Anlagen oder Teile davon, die
* den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen angehören und
* von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden.
 
In einer zugehörigen Verordnung KRITIS-Verordnung (BSI-KritisV<ref>{{Internetquelle |autor=Bundesministerium der Justiz und Verbraucherschutz |url=https://www.gesetze-im-internet.de/bsi-kritisv/index.html |titel=KritisV |datum=2016-04-22 |abruf=2016-07-22}}</ref>) wird geklärt, welche Einrichtungen, Anlagen oder Teile davon konkret unter die Vorgaben des IT-Sicherheitsgesetzes fallen. Unter anderem zählen Stromnetze, Atomkraftwerke und Krankenhäuser dazu.<ref>{{Internetquelle |autor=Lisa Hegemann |url=https://www.zeit.de/digital/internet/2020-12/it-sicherheitsgesetz-2-0-huawei-5g-bsi-innenministerium |titel=IT-Sicherheitsgesetz 2.0: Wenn sich die Telekom in Ihren Rechner hacken soll |werk=Zeit online |datum=2020-12-15 |abruf=2020-12-18 }}</ref>
 
Kritische Infrastrukturen müssen branchenspezifische Mindeststandards erfüllen, wozu insbesondere die Einführung eines ISMS zählt. Weiterhin müssen sie relevante Vorfälle, die die IT-Sicherheit betreffen, an das BSI melden.
 
Durch das IT-Sicherheitsgesetz wurden außerdem weitere Gesetze wie z.&nbsp;B. das [[Energiewirtschaftsgesetz]] geändert. Durch die Änderung des Energiewirtschaftsgesetzes werden sämtliche Strom- und Gasnetzbetreiber verpflichtet, den IT-Sicherheitskatalog der [[Bundesnetzagentur]] umzusetzen und ein ISMS einzuführen.<ref>{{Internetquelle |autor=Bundesnetzagentur |url=http://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Energie/Unternehmen_Institutionen/Versorgungssicherheit/IT_Sicherheit/IT_Sicherheitskatalog_08-2015.pdf?__blob=publicationFile&v=1 |titel=IT-Sicherheitskatalog |abruf=2016-07-22 |format=PDF}}</ref>
 
Am 27. März 2019 veröffentlichte das Bundesinnenministerium ferner den Entwurf für ein IT-Sicherheitsgesetz 2.0, der einen ganzheitlichen Ansatz zur IT-Sicherheit enthält. Aufgenommen werden soll unter anderem ein verbraucherfreundliches IT-Sicherheitskennzeichen für Handelsprodukte, zudem werden die Kompetenzen des BSI gestärkt und Straftatbestände in der Cybersicherheit und die damit verbundene Ermittlungstätigkeit ausgedehnt. Der Gesetzentwurf erweitert zudem die Adressaten von Meldepflichten und Umsetzungsmaßnahmen. Insgesamt ist durch das Gesetz mit einer erheblichen wirtschaftlichen Mehrbelastung für Unternehmen und Behörden zu rechnen.<ref>{{Internetquelle |url=https://community.beck.de/2019/04/03/it-sicherheitsgesetz-it-sig-20-die-wichtigsten-aenderungen-des-referentenentwurfs-im-schnellueberblick |titel=IT-Sicherheitsgesetz (IT-SiG) 2.0 – die wichtigsten Änderungen des Referentenentwurfs im Schnellüberblick {{!}} beck-community |abruf=2019-04-03}}</ref>
 
Im Dezember 2020 legte die Bundesregierung weitere Entwürfe für das IT-Sicherheitsgesetz 2.0 vor.<ref>{{Internetquelle |autor=Patrick Beuth |url=https://www.spiegel.de/netzwelt/netzpolitik/it-sicherheitsgesetz-2-0-das-soll-im-huawei-gesetz-stehen-a-169932f8-94ab-42c2-903f-0fc84fb5fb93 |titel=Das soll im Huawei-Gesetz stehen |werk=Spiegel Online |datum=2020-12-12 |abruf=2020-12-29 }}</ref> Verbände und andere Interessensvertreter kritisierten die kurze Kommentarfrist von wenigen Tagen, teils nur 24 Stunden, die laut Kritikern einem „faktischen Ausschluss von Beteiligung“ gleichkämen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) werde zu einer „Cyber-Behörde mit Hackerbefugnissen“ aufgerüstet.<ref>{{Internetquelle |autor=Stefan Krempl |url=https://www.heise.de/news/Bundesregierung-BSI-soll-mit-IT-Sicherheitsgesetz-2-0-hacken-duerfen-4991753.html |titel= Bundesregierung: BSI soll mit IT-Sicherheitsgesetz 2.0 hacken dürfen |werk=heise.de |datum=2020-12-16 |abruf=2020-12-18}}</ref> Der Bundesverband der Verbraucherzentralen begrüßte, dass das BSI auch den Schutz von Konsumenten erhalten soll, wies aber zugleich auf mögliche Interessenskonflikte mit anderen Aufgabenbereichen dieser Behörde wie der Unterstützung bei der Strafverfolgung hin.<ref>{{Internetquelle |url=https://www.heise.de/news/IT-Sicherheitsgesetz-2-0-Mittelfinger-ins-Gesicht-der-Zivilgesellschaft-4986032.html |titel=IT-Sicherheitsgesetz 2.0: „Mittelfinger ins Gesicht der Zivilgesellschaft“ |werk=heise.de |datum=2020-12-10 |abruf=2020-12-18}}</ref> Am 16. Dezember 2020 wurde das IT-Sicherheitsgesetz 2.0 im Kabinett beschlossen und zur Notifizierung bei der Europäischen Kommission eingereicht. Nachdem das Gesetzesvorhaben im Frühjahr 2021 den Bundestag und Bundesrat passiert hatte, trat das IT-Sicherheitsgesetz 2.0 Ende Mai offiziell in Kraft.<ref>{{Internetquelle |url=https://www.sueddeutsche.de/politik/bundestag-bundestag-verabschiedet-verschaerftes-it-sicherheitsgesetz-dpa.urn-newsml-dpa-com-20090101-210423-99-325158 |titel=Bundestag verabschiedet verschärftes IT-Sicherheitsgesetz |hrsg=Süddeutsche Zeitung |abruf=2021-06-01}}</ref>
 
=== Strafrechtliche Aspekte ===
{{Staatslastig|DE}}
 
Jegliches rechtswidrige Verändern, Löschen, Unterdrücken oder Unbrauchbar-Machen fremder Daten erfüllt den Tatbestand nach §&nbsp;303a StGB ([[Datenveränderung]]). In besonders schweren Fällen ist dies auch nach §&nbsp;303b I Nr. 1 StGB („[[Computersabotage]]“) strafbar und wird mit Haftstrafe von bis zu fünf Jahren oder Geldstrafe bestraft. Die Durchführung von DDOS-Attacken stellt seit 2007 ebenfalls eine Computersabotage dar, Gleiches gilt für jegliche Handlungen, die zur Beschädigung eines Informationssystems führen, das für einen anderen von wesentlicher Bedeutung ist.
 
Das [[Ausspähen von Daten]] (§&nbsp;202a StGB), also die Erlangung des Zugangs zu fremden Daten, die hiergegen besonders geschützt sind, wird mit Haftstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Das Abfangen fremder Daten in Netzen oder aus elektromagnetischen Abstrahlungen ist seit 2007 ebenfalls strafbar, anders als bei §&nbsp;202a StGB kommt es hier nicht auf eine besondere Zugangssicherung an. Das sich Verschaffen, Erstellen, Verbreiten, Öffentlich-Zugänglichmachen etc. von sog. „Hackertools“ steht ebenfalls seit 2007 unter Strafe, wenn damit eine Straftat vorbereitet wird (§&nbsp;202c StGB).
 
Daten sind nach §&nbsp;202a Abs.&nbsp;2 in Verbindung mit Abs. 1 aber nur vor dem Ausspähen geschützt, wenn sie „besonders gesichert“ sind, um ein Ausufern des Tatbestandes zu vermeiden. Das heißt, erst wenn der Nutzer seine Daten technisch schützt, genießt er auch den strafrechtlichen Schutz. Die frühere Debatte, ob das „Hacken“ ohne Abruf von Daten strafbar sei, ist hinfällig, seit der Wortlaut der Norm 2007 derart geändert wurde, dass Strafbarkeit bereits mit Erlangung des Zugangs zu Daten einsetzt. Weiter ist umstritten, ob die Verschlüsselung zur besonderen Sicherung zählt. Sie ist zwar sehr effektiv, aber es wird argumentiert, die Daten seien ja nicht gesichert, sondern lägen nur in „unverständlicher“ bzw. schlicht „anderer“ Form vor.
 
Als [[Computerbetrug]] wird nach §&nbsp;263 a StGB mit Geldstrafe oder Freiheitsstrafe bis zu fünf Jahren bestraft, wenn Datenverarbeitungsvorgänge zur Erlangung von Vermögensvorteilen manipuliert werden. Schon das Erstellen, Verschaffen, Anbieten, Verwahren oder Überlassen dafür geeigneter Computerprogramme ist strafbar.
 
== Zitate ==
{{Zitat|Ich glaube, dass es zunehmend wahrscheinlicher wird, dass wir bis 2017 einige katastrophale Systemfehler erleben. Noch wahrscheinlicher, wir werden von einem fürchterlichen Systemausfall betroffen sein, weil irgendein kritisches System mit einem nicht-kritischen verbunden war, das mit dem Internet verbunden wurde, damit irgendjemand an [[Myspace|MySpace]] herankommt – und dieses Hilfssystem wird von [[Schadprogramm|Malware]] infiziert.|Autor=Marcus J. Ranum, IT-Sicherheitsexperte<ref>[http://www.ranum.com/index.html Marcus J. Ranum] (Website)</ref>|Quelle=zitiert nach Niels Boeing<ref>Niels Boeing: [https://www.heise.de/tr/blog/artikel/Blitz-und-Donner-in-der-Matrix-271618.html Blitz und Donner in der Matrix] („[[Technology Review]]“, deutsche Ausgabe, 25. Januar 2008)</ref>}}


== Siehe auch ==
==== Siehe auch ====
* [[Cyberabwehr]]
{{Special:PrefixIndex/Informationssicherheit}}
* [[Cyberkrieg]]
----
* [[Europäische Agentur für Netz- und Informationssicherheit]]
* [[Need-to-know]]
* [[Internetkriminalität]], [[IT-Sicherheitsverfahren]]
* [[Backup]]
* [[Bedrohungen]]
* [[Risikomanagement]]
* [[Business Continuity Management]]
* [[Need-to-know-Prinzip]]
* [[Need-to-know-Prinzip]]
* [[TeleTrusT]]
* [[TeleTrusT]]
* [[:Datei:Mind map of information security.svg|Mind Map der Informationssicherheit]]
* [[:Datei:Mind map of information security.svg|Mind Map der Informationssicherheit]]


== Literatur ==
===== Links =====
{{Überarbeiten}}
====== Weblinks ======
* [http://www-935.ibm.com/services/us/iss/xforce/trendreports/ IBM X-Force Threat Reports] (''zweimal jährlich erscheinende Berichte zur IT- und Internetsicherheit, PDF-Downloads möglich – vgl.'' Anja Schütz, Florian Kalenda: [http://www.zdnet.de/news/digitale_wirtschaft_internet_ebusiness_ibms_x_report__im_internet_kann_man_niemandem_mehr_trauen_story-39002364-41501909-1.htm IBMs X-Report: „Im Internet kann man niemandem mehr trauen“.] ZDNet.de, 27. August 2009)
# https://de.wikipedia.org/wiki/Informationssicherheit
* [https://www.heise.de/tr/artikel/Fokus-IT-Sicherheit-276595.html ''Fokus: IT-Sicherheit''.] In: ''[[Technology Review]]'', Nr. 7/2009 (12 S. Sonderteil)
# https://en.wikipedia.org/wiki/Information_security
* Clay Wilson: [http://www.fas.org/sgp/crs/terror/RL32114.pdf ''Botnets, Cybercrime, and Cyberterrorism: Vulnerabilities and Policy Issues for Congress''.] (PDF; 260&nbsp;kB; 43 S.) Congressional Research Service, Update vom 29. Januar 2008
 
* ''IT-Sicherheitsmanagement und IT-Grundschutz BSI-Standards zur IT-Sicherheit''. [[Bundesamt für Sicherheit in der Informationstechnik]]. In: ''Bundesanzeiger'', 2005, ISBN 3-89817-547-2
[[Kategorie:ISMS]]
* [[Steffen Wendzel]], [[Johannes Plötner]]: ''Praxisbuch Netzwerksicherheit''. Galileo Computing, 2007, ISBN 978-3-89842-828-6
[[Kategorie:ISMS/Glossar]]
* Ralf Röhrig, Gerald Spyra: ''Information Security Management – Praxishandbuch für Aufbau, Zertifizierung und Betrieb''. Vierteljährliche Aktualisierung, TÜV Media GmbH, ISBN 978-3-8249-0711-3
</noinclude>
* [[Claudia Eckert]]: ''IT-Sicherheit. Konzepte – Verfahren – Protokolle''. 7., überarbeitete und erweiterte Auflage, Oldenbourg, München, 2012, ISBN 978-3-486-70687-1
* Gabriela Hoppe, Andreas Prieß: ''Sicherheit von Informationssystemen. Gefahren, Maßnahmen und Management im IT-Bereich''. Verlag Neue Wirtschafts-Briefe 2003, ISBN 3-482-52571-4
* Heinrich Kersten, Klaus-Dieter Wolfenstetter: ''Handbuch der Informations- und Kommunikationssicherheit'' Fachverlag Deutscher Wirtschaftsdienst GmbH & Co. KG, Köln, 2000, ISBN 3-87156-403-6
* Stefan Kleinermann: ''Schlüsselelemente der IT-Sicherheit aus Sicht des IT-Sachverständigen'' proliteratur 2005, ISBN 3-86611-138-X
* Hans-Peter Königs: ''IT-Risiko-Management mit System''. Vieweg 2005, ISBN 3-528-05875-7 [http://www.ephorie.de/it-risiko-management.htm (Ausführliche Rezension)]
* Michael Mörike: ''IT-Sicherheit''. dpunkt 2004, ISBN 3-89864-290-9
* Michael Mörike, Stephanie Teufel: ''Kosten und Nutzen IT-Sicherheit''. dpunkt 2006, ISBN 3-89864-380-8
* Ulrich Moser: ''Information Security. Sicherheitskonzepte für Unternehmen.'' BPX.ch ICT-Fachverlag, Rheinfelden 2005, ISBN 3-905413-38-8
* Klaus-Rainer Müller: ''IT-Sicherheit mit System''. 3. Auflage. Vieweg, 2008, ISBN 3-8348-0368-5
* [[Hartmut Pohl]], Gerhard Weck: ''Einführung in die Informationssicherheit''. Oldenbourg 1993, ISBN 3-486-22036-5
* [[Christoph Ruland]]: ''Informationssicherheit in Datennetzen'' VMI Buch AG, Bonn 1993, ISBN 3-89238-081-3
* Jürg Schneider: ''Informationssicherheit in der IT und persönliche Haftung der Verwaltungsräte''. Bibliothek zur Zeitschrift für Schweizerisches Recht, Beiheft 48, Helbing Lichtenhahn Verlag, Basel 2008, ISBN 978-3-7190-2802-2
* [[Bruce Schneier]]: ''Angewandte Kryptographie''. Pearson Studium, ISBN 978-3-8273-7228-4
* Bruce Schneier: ''Beyond Fear''. Springer, ISBN 0-387-02620-7
* Bruce Schneier: ''Secrets & Lies: IT-Sicherheit in einer vernetzten Welt''. dpunkt Verlag, 2004, ISBN 3-89864-302-6
* Markus Schumacher: ''Hacker Contest''. Xpert.press, ISBN 3-540-41164-X
* [[Clifford Stoll]]: ''Kuckucksei: Die Jagd auf die deutschen Hacker, die das Pentagon knackten''. Fischer Taschenbücher, ISBN 3-596-13984-8
* Görtz, Stolp: ''Informationssicherheit im Unternehmen. Sicherheitskonzepte und -lösungen in der Praxis'' Addison-Wesley 1999, ISBN 3-8273-1426-7
* Johannes Wiele: [http://www.lanline.de/fachartikel/die-mitarbeiter-als-firewall.html ''Die Mitarbeiter als Firewall: Wie Sicherheitsbewusstsein entsteht. Über interne Awareness-Kampagnen bei SAP und Cisco''.] In: ''LANline'', 7/2005, S. 56, {{ISSN|0942-4172}}
* Gerd Wolfram: ''Bürokommunikation und Informationssicherheit.'' Vieweg, Wiesbaden 1986, ISBN 3-528-03604-4
* [http://www.sicher-im-internet.at/pdf/broschuere_allgemein.pdf Allgemeine IT-Sicherheits Broschüre für Konsumenten] (PDF; 1,7&nbsp;MB)
* ''Hacker’s Guide''. Markt und Technik, ISBN 3-8272-6522-3
* ''Hacking Intern''. Data Becker, ISBN 3-8158-2284-X
* [https://im.baden-wuerttemberg.de/fileadmin/redaktion/m-im/intern/dateien/publikationen/2019_SiFo-Studie_2018_19_IT-Sicherheitskonzept_Handlungsempfehlungen.pdf ''Sicherheitskultur im Unternehmen''] (PDF; 3,4&nbsp;MB) IT-Sicherheitskonzept Handlungsempfehlungen für kleine und mittlere Unternehmen des Innenministeriums Baden-Württemberg
* [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/WebSec/WebSec.pdf?__blob=publicationFile&v=1 ''Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen''.] (PDF) BSI, August 2006
* [[Andreas Pfitzmann]]: [http://dud.inf.tu-dresden.de/~pfitza/DSuKrypt.pdf Scriptum ''Sicherheit in Rechnernetzen: Mehrseitige Sicherheit in verteilten und durch verteilte Systeme''] (PDF; 1,7&nbsp;MB)
* ''[http://hakin9.org/ Hakin9 – Hard Core IT Security Magazin]'' ist ein Magazin, das zweimonatlich erscheint; es dokumentiert jeweils immer die neuesten Sicherheitsprobleme bzw. Lösungen.
* Michael Helisch, Dietmar Pokoyski, Kathrin Prantner: ''Security Awareness: Neue Wege zur erfolgreichen Mitarbeiter-Sensibilisierung.'' Vieweg+Teubner Verlag, 2009, ISBN 3-8348-0668-4
* Jan Bindig: ''Das IT-Security Mindset: Der Mittelstand auf dem digitalen Prüfstand.'' FinanzBuch Verlag, 2008, ISBN 978-3-95972-174-5 [http://www.it-security-mindset.de (Buchseite mit kostenfreiem IT-Security Score)]

Aktuelle Version vom 18. November 2024, 13:17 Uhr

Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Systeme
System Beschreibung
nicht-technisch Prozessorientiert
technisch Systemorientiert

Begriffe

Begriff Beschreibung
Informationssicherheit Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Cybersicherheit Sicherheit gegen Gefahren aus dem Internet
IT-Sicherheit Technische Maßnahmen zur Realisierung von Grundwerten
Datenschutz Schutz personenbezogener Daten (privacy)
Business Continuity Management Sicherstellung des Fortbestands von Einrichtungen

Informationsverarbeitung

Tätigkeit Beschreibung
Erfassen
Speichern
Übermitteln

Informationssicherheit

Informationssicherheit
Begriff Informationssicherheit

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit

  • Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
  • In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
  • Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium
  • In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
  • Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann

Grundwerte

Grundwerte der Informationssicherheit
Vertraulichkeit
Verfügbarkeit
Integrität

Abhängigkeit von IT-Systemen

  • Private und öffentliche Unternehmen sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
  • Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen

Gesetzte und Regelungen

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten

Informationssicherheit und IT-Sicherheit

Motivation

Risikoorientierte Herangehensweise
  • Vermeidung von Schäden durch Maßnahmen
  • Schutz vor Schäden jeglicher Art
Klassische Beispiele
  • Image- und Vertrauensverlust
  • Datenverlust
  • Produktivitätsausfall
  • Wirtschaftsspionage
  • Verletzung von Marken- und Urheberrechten

IT-Sicherheit

Motivationen
Motivation Beschreibung
Globalisierung Kommunikationsbedürfnisse und -infrastruktur (Internet) Verteilte Informatiksysteme sind kritische Ressourcen
  • Grenzüberschreitenden Kooperation
    • E-Mail
    • Desktop-Konferenzen
    • Soziale Netzwerke
    • Fernzugriffe
Offene Systeme Vielfältige Schnittstellen und Datenaustausch Erhöhung des Angriffs- und Schadenpotentials
Physische Sicherheit Zugang zu Räumen und IT-Systemen Kann oft nicht gewährleistet werden
Vertrauen als Ressource Wem vertraue ich, wem nicht? Wer ist mein Gegenüber wirklich?

Arten und Wichtigkeit von Informationen

Informationen sind Werte

ISO/IEC 27001

  • Wertvoll für eine Organisation
  • Wie die übrigen Geschäftswerte
  • Müssen in geeigneter Weise geschützt werden
Angemessener Schutz

Unabhängig von

  • Erscheinungsform
  • Art der Nutzung
  • Speicherung
Option Beschreibung
Schutzziele IT-Sicherheit/Grundfunktionen
Maßnahmen IT-Grundschutz/Maßnahmen
IT-Sicherheitsmanagement Managementsystem_für_Informationssicherheit
Aufrechterhaltung (CIA) von Informationen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder
  • Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
  • Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
  • Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
  • Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
Was ist ein Comuter?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

  • Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
IT-Sicherheitsspezialisten
  • IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
  • Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
  • Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
  • Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
  • Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen

Schutz von Informationen

Informationsrisikomanagement
  • Schutz von Informationen durch die Minderung von Informationsrisiken
Risikominderung
  • Eintrittwahrscheinlichkeit
  • Schadensausmaß
Gefährdungen von Informationen

IT-Grundschutz/Kompendium/Elementaren Gefährdungen

Beispiele
Gefährdung Beschreibung
Unbefugter/unangemessener Zugriff
Unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung
Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
  • Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
CIA-Trias Ausgewogenen Schutz
Grundwert English Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit
Schwerpunkt
Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess
  • Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
  • Bewertung der Risiken
  • Entscheidung, wie mit den Risiken umzugehen ist, d.h
  • sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
  • wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
  • Überwachung der Aktivitäten
  • Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
Standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden

  • Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird

Definition

Attribute

vectorial version
Attribute der Informationssicherheit (CIA)

Informationssysteme

Hauptteile von Informationssystemen
  • Hardware
  • Software
  • Kommunikation
Ziel

Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

Richtlinien

Verfahren und Richtlinien implementieren

  • Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
  • Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Definition Beschreibung Quelle
Vertraulichkeit, Integrität und Verfügbarkeit
von Informationen		 Weitere Eigenschaften ISO/IEC 27000
Schutz von
Informationen/Informationssystemen		 vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten CNSS, 2010
Nur autorisierte Benutzer (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) ISACA, 2008
Ist ein Prozess des Schutzes des geistigen Eigentums einer Organisation Pipkin, 2000
Disziplin des Risikomanagements deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten McDermott und Geer, 2001
Gut informiertes Gefühl
der Sicherheit		 dass Informationsrisiken und -kontrollen im Gleichgewicht sind Anderson, J., 2003
Schutz von Informationen minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden Venter und Eloff, 2003
Multidisziplinäres Studien- und Berufsfeld

Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen

Bedrohungskategorien

Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden

  • Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
Relevanter Satz von Sicherheitszielen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
  • Datenschutz
  • Authentizität
  • Vertrauenswürdigkeit
  • Nichtabstreitbarkeit
  • Rechenschaftspflicht
  • Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung

Verfahren

Informationssicherheit/Verfahren

Beschreibung

Verfahren Beschreibung
Sicherheits-Governance
Vorfallsreaktionspläne
Änderungsmanagement

Sorgfaltspflicht

„Vernünftige und umsichtige Person“, „Sorgfaltspflicht“

  • Lange in Bereichen Finanzen, Wertpapiere und Recht verwendet
  • In den vergangenen Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten

Einhaltung von Gesetzen und Vorschriften

Aktionäre, Kunden, Geschäftspartner und Regierungen erwarten

  • dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt
  • Dies wird oft als die Regel der „vernünftigen und umsichtigen Person“ beschrieben
  • Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen
  • Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen

"due care" und "due diligence"

Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:

"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees."

Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'

Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden
  • Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen
  • Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind

Verantwortung

Organisationen haben eine Verantwortung

Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren
  • Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken
  • Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten
  • DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen
  • Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen



Anhang

Gebiet Beschreibung
Grundlagen
Begriffe
Schutzziele
Managementsystem
Maßnahmen
Common Criteria
Security Engineering
Qualifizierung
Audit und Zertifizierungen
Rahmenbedingungen
Umsetzungsbereiche
Mobile Endgeräte
Bedrohungen

Siehe auch

Links
Weblinks
  1. https://de.wikipedia.org/wiki/Informationssicherheit
  2. https://en.wikipedia.org/wiki/Information_security
Abgerufen von „https://wiki.foxtom.de/index.php?title=Informationssicherheit&oldid=115965“