Informationssicherheit: Unterschied zwischen den Versionen

Aus Foxwiki
Wechseln zu:Navigation, Suche
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
158.012 Bearbeitungen
VisuellWikitext
K Textersetzung - „ options"“ durch „ col1bold col1nowrap"“
 
(578 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
'''Informationssicherheit''' - Eigenschaften Systemen, die Schutzziele [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen
'''Informationssicherheit''' - Eigenschaft von [[System]]en, [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen


== Beschreibung ==
== Beschreibung ==
Als '''Informationssicherheit''' oder '''Cybersicherheit''' bezeichnet man Eigenschaften von technischen oder nicht-technischen Systemen zur [[Datenverarbeitung|Informationsverarbeitung]], -[[Datenspeicher|speicherung]] und -lagerung, die die Schutzziele [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität (Informationssicherheit)|Integrität]] sicherstellen.
Eigenschaft von [[System]]en, [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen
* Informationssicherheit dient dem Schutz vor [[Gefahr]]en bzw. [[Bedrohung]]en, der Vermeidung von wirtschaftlichen [[Schaden|Schäden]] und der Minimierung von [[Risiko|Risiken]].


In der Praxis orientiert sich die Informationssicherheit im Rahmen des [[IT-Sicherheitsmanagement]]s unter anderem an der internationalen [[ISO/IEC-27000-Reihe]].
; Abhängigkeit von IT-Systemen
* Im deutschsprachigen Raum ist ein Vorgehen nach [[IT-Grundschutz]] verbreitet.
* [[Unternehmen]] und [[Einrichrungen]]
* Im Bereich der [[Evaluierung]] und [[Zertifizierung]] von IT-Produkten und -systemen findet die Norm [[ISO/IEC 15408]] ([[Common Criteria for Information Technology Security Evaluation|Common Criteria]]) häufig Anwendung.
** sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
* Da neben der Abhängigkeit
** auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen


Die Normenreihe [[IEC 62443]] befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.
; Motivationen
{| class="table table-striped table-hover"
|-
! Motivation !! !! Beschreibung
|-
| Globalisierung || Kommunikationsbedürfnisse und -infrastruktur (Internet) || Verteilte Informatiksysteme sind kritische Ressourcen
* Grenzüberschreitenden Kooperation
** E-Mail
** Desktop-Konferenzen
** Soziale Netzwerke
** Fernzugriffe
|-
| Offene Systeme || Vielfältige Schnittstellen und Datenaustausch || Erhöhung des Angriffs- und Schadenpotentials
|-
| Physische Sicherheit || Zugang zu Räumen und IT-Systemen || Kann oft nicht gewährleistet werden
|-
| Vertrauen als Ressource || Wem vertraue ich, wem nicht? || Wer ist mein Gegenüber wirklich?
|}


== Begriffsbeschreibungen ==
=== Definition ===
Viele der nachfolgenden Begriffe werden je nach Autor und sprachlichem Umfeld unterschiedlich interpretiert.
==== Attribute ====
* Für die Abkürzung IT wird die Bezeichnung [[Informationstechnik]] synonym zu ''Informationstechnologie'' benutzt.
[[File:CIAJMK1209-en.svg|mini|300x300px]]
* Die technische Verarbeitung und Übertragung von Informationen steht bei der IT im Vordergrund.
; Attribute der Informationssicherheit (CIA)
* [[Vertraulichkeit]]
* [[Integrität]]
* [[Verfügbarkeit]]


Im Englischen hat der deutsche Begriff der ''IT-Sicherheit'' zwei verschiedene Ausprägungen.
==== Informationssysteme ====
* Die Eigenschaft der ''Funktionssicherheit'' (englisch: ''safety'') bezeichnet, dass sich ein System entsprechend der zur erwarteten Funktionalität verhält und kann dabei auch weitergehende risikomindernde Maßnahmen umfassen.
; Hauptteile von [[Informationssysteme]]n
* Diese Maßnahmen werden dann als [[Funktionale Sicherheit]] bezeichnet. ''Informationssicherheit'' (englisch: ''security'') bezieht sich auf den Schutz der technischen Verarbeitung von Informationen und ist eine Eigenschaft eines funktionssicheren Systems.
* [[Hardware]]
* Sie soll verhindern, dass nicht-autorisierte [[Datenmanipulation]]en möglich sind oder die Preisgabe von Informationen stattfindet.
* [[Software]]
* [[Kommunikation]]


Der Begriff ''Informationssicherheit'' bezieht sich oft auf eine ''globale Informationssicherheit'', bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist ''oder'' der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht.
; Ziel
* In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss.
Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:
* Daneben bezieht sich der Begriff auch auf die Sicherheit ''unter einem bestimmten Szenarium''.
* [[Physikalische Informationssicherheit|physikalisch]]
* In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist.
* persönlich
* Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.
* organisatorisch


; Aspekte der Informationssicherheit
==== Richtlinien ====
Folgende Aspekte sind in dem umfassenden Begriff ''Informationssicherheit'' (Schutz der verarbeiteten Informationen) enthalten:
Verfahren und Richtlinien implementieren
{| class="wikitable sortable options"
* Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
* Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten
 
==== Definitionen von Informationssicherheit ====
{| class="table table-striped table-hover col1bold"
|-
|-
! Aspekt !! Beschreibung
! Definition !! Beschreibung !! Quelle
|-
|-
| IT-Sicherheit ||  
| Vertraulichkeit, Integrität und Verfügbarkeit<br>von Informationen || Weitere Eigenschaften
* [[Authentizität]]
* [[Verantwortlichkeit]]
* [[Nichtabstreitbarkeit]]
* [[Zuverlässigkeit]]
| ISO/IEC 27000
|-
|-
| Computersicherheit ||  
| Schutz von</br>Informationen/Informationssystemen || vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten || CNSS, 2010
|-
|-
| Datensicherheit ||  
| Nur autorisierte Benutzer || (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) || [[ISACA]], 2008
|-
|-
| Datensicherung ||  
| Ist ein Prozess || des Schutzes des geistigen Eigentums einer Organisation || Pipkin, 2000
|-
|-
| Datenschutz ||  
| Disziplin des Risikomanagements || deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten || McDermott und Geer, 2001
|-
| Gut informiertes Gefühl<br>der Sicherheit || dass Informationsrisiken und -kontrollen im Gleichgewicht sind || Anderson, J., 2003
|-
| Schutz von Informationen || minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden || Venter und Eloff, 2003
|}
|}


=== IT-Sicherheit ===
; Multidisziplinäres Studien- und Berufsfeld
''Der IT-Sicherheit'' kommt eine Schlüsselrolle für die [[Sicherheit]] von [[Soziotechnisches System|soziotechnischen Systemen]] zu.
Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen
* IT oder auch ITK-Systeme sind Teil der soziotechnischen Systeme.
* Zu den Aufgaben der IT-Sicherheit gehört der Schutz von ITK-Systemen von Organisationen (zum Beispiel Unternehmen) gegen Bedrohungen.
* Damit soll unter anderem wirtschaftlicher Schaden verhindert werden.


; ''IT-Sicherheit'' ist ein Teil der ''Informationssicherheit''
; Bedrohungskategorien
* In Abgrenzung zu ''IT-Sicherheit'' umfasst ''Informationssicherheit'' neben der Sicherheit der [[Informationstechnik|IT]]-Systeme und der darin gespeicherten Daten auch die Sicherheit von nicht elektronisch verarbeiteten Informationen
Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
* Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen


; Beispiel
; Relevanter Satz von Sicherheitszielen
Die „Prinzipien der Informationssicherheit“ können auch auf per Hand auf Papier notierte [[Kochrezept|Rezepte]] eines Restaurants angewendet werden (da Vertraulichkeit, Integrität und Verfügbarkeit der Rezepte für das Restaurant extrem wichtig sein können, selbst wenn dieses Restaurant vollkommen ohne Einsatz irgendeines IT-Systems betrieben wird).
* Vertraulichkeit
* Integrität
* Verfügbarkeit
* Datenschutz
* Authentizität
* Vertrauenswürdigkeit
* Nichtabstreitbarkeit
* Rechenschaftspflicht
* Überprüfbarkeit


=== Computersicherheit ===
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung
''Computersicherheit'': die Sicherheit eines [[Computer]]systems vor Ausfall (man spricht von ungeplanter oder geplanter Ausfallzeit, engl. ''downtime'') und Manipulation (Datensicherheit) sowie vor unerlaubtem Zugriff.


=== Datensicherheit ===
=== Motivation ===
''Datensicherheit'' ist ein häufig mit dem [[Datenschutz]] verknüpfter Begriff, der von diesem zu unterscheiden ist: Datensicherheit hat das ''technische'' Ziel, Daten jeglicher Art in ausreichendem Maße gegen Verlust, Manipulationen und andere Bedrohungen zu sichern.
; Risikoorientierte Herangehensweise
* Hinreichende Datensicherheit ist eine Voraussetzung für einen effektiven Datenschutz.
* Vermeidung von Schäden durch Maßnahmen
* Das frühere [[Bundesdatenschutzgesetz|BDSG]] nannte den Begriff der Datensicherheit lediglich im damaligen § 9a BDSG im Zusammenhang mit dem ebenfalls nicht näher definierten „[[Datenschutzaudit]]“.
* Schutz vor Schäden jeglicher Art


Es gibt einen Ansatz namens ''Datenzentrierte Sicherheit'' (englisch Data-centric security), bei dem die Sicherheit der [[Daten]] selbst im Vordergrund steht und nicht die Sicherheit von [[Netzwerken]], [[Server]]n oder Anwendungen.
; Klassische Beispiele
* Image- und Vertrauensverlust
* Datenverlust
* Produktivitätsausfall
* Wirtschaftsspionage
* Verletzung von Marken- und Urheberrechten
----


=== Datensicherung ===
== Begriffe ==
* [[Datensicherung]]
=== Systeme ===
Datensicherung ist ein Synonym für das englischsprachige „Backup“ (dt. ''Sicherung''), es war der ursprüngliche gesetzliche Begriff für Datensicherheit.
{| class="table table-striped table-hover col1bold"
|-
! System !! Beschreibung
|-
| [[Organisationen]] || [[IT-Grundschutz/Kompendium/Prozess-Bausteine|Prozessorientiert]]
|-
| [[Technische Systeme]] || [[IT-Grundschutz/Kompendium/System-Bausteine|Systemorientiert]]
|}


=== Datenschutz ===
=== Bereiche ===
* [[Datenschutz]]
{| class="table table-striped table-hover col1bold"
Beim Datenschutz geht es nicht um den Schutz von allgemeinen Daten vor Schäden, sondern um den Schutz personenbezogener Daten vor Missbrauch („Datenschutz ist Personenschutz“).
|-
* Der Schutz [[Personenbezogene Daten|personenbezogener Daten]] stützt sich auf das Prinzip der [[Informationelle Selbstbestimmung|informationellen Selbstbestimmung]].
! Begriff !! Beschreibung
* Diese wurde im [[Volkszählungsurteil|BVerfG-Urteil zur Volkszählung]] festgeschrieben.
|-
* Geschützt werden muss dabei die Privatsphäre, d.&nbsp;h. Persönlichkeitsdaten bzw. [[Anonymität]] müssen gewahrt bleiben.
| [[Informationssicherheit]] || Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
* Datenschutz verlangt über die Datensicherheit hinaus den Ausschluss des Zugangs zu Daten mit unberechtigtem Lesen durch unbefugte Dritte.
|-
* Das deutsche Bundesdatenschutzgesetz ([[Bundesdatenschutzgesetz|BDSG]]) beschreibt in {{§|1|BDSG|dejure}} ausschließlich Anforderungen für den Umgang mit personenbezogenen Daten.
| [[Cybersicherheit]] || Sicherheit gegen Gefahren aus dem Internet
* Die DSGVO und das BDSG definieren den Unterschied der Begriffe Datenschutz und Datensicherheit nicht.
|-
* Nur wenn geeignete Schutzmaßnahmen getroffen werden, kann man davon ausgehen, dass vertrauliche bzw. personenbezogene Daten nicht in die Hände von Unbefugten gelangen.
| [[IT-Sicherheit]] || Technische Maßnahmen zur Realisierung von [[Grundwerte]]n
* Hierbei spricht man in der Regel von technischen und organisatorischen Maßnahmen zum Datenschutz, die insbesondere in {{Art.|32|DSGVO|dejure}} DSGVO, dem [[Bundesdatenschutzgesetz|BDSG]] und in den Landesdatenschutzgesetzen beschrieben sind.
|-
| [[Datenschutz]] || Schutz personenbezogener Daten ([[privacy]])
|-
| [[Business Continuity Management]] || Sicherstellung des Fortbestands von Einrichtungen
|}


== Motivation und Ziele der Informationssicherheit ==
=== Informationsverarbeitung ===
Informationen (oder Daten) sind schützenswerte Güter.
{| class="table table-striped table-hover col1bold col1nowrap"
* Der Zugriff auf diese sollte beschränkt und kontrolliert sein.
|-
* Nur autorisierte Benutzer oder Programme dürfen auf die Information zugreifen. ''[[Schutzziele (Informationssicherheit)|Schutzziele]]'' werden zum Erreichen bzw.
! Tätigkeit !! Beschreibung
|-
| [[Datenerfassung|Erfassen]] ||
|-
| [[Datenspeicher|Speichern]] ||
|-
| [[Datenübermittlung|Übermitteln]] ||
|}


Einhalten der Informationssicherheit und damit zum Schutz der Daten vor beabsichtigten Angriffen von IT-Systemen definiert:
=== Informationssicherheit ===
* Die Allgemeine Schutzziele sind nach ihrer englischen Abkürzung auch als CIA(-Triade) bekannt:
; Informationssicherheit
** ''[[Vertraulichkeit]]'' (englisch: ''confidentiality''): Daten dürfen lediglich von autorisierten Benutzern gelesen werden, dies gilt sowohl beim Zugriff auf gespeicherte Daten wie auch während der [[Datenübertragung]].
* Schutz vor [[Gefahr]]en/[[Bedrohung]]en
** ''[[Integrität (Informationssicherheit)|Integrität]]'' (englisch: ''integrity''): Daten dürfen nicht unbemerkt verändert werden.
* Vermeidung von wirtschaftlichen [[Schaden|Schäden]]
* Alle Änderungen müssen nachvollziehbar sein.
* Minimierung von [[Risiko|Risiken]]
** ''[[Verfügbarkeit]]'' (englisch: ''availability''): Verhinderung von Systemausfällen; der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet sein.
* Weitere Schutzziele der Informationssicherheit:
** ''[[Authentizität]]'' (englisch: ''authenticity'') bezeichnet die Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Objekts.
** ''Verbindlichkeit/Nichtabstreitbarkeit'' (englisch: ''non repudiation''): Sie erfordert, dass „kein unzulässiges Abstreiten durchgeführter Handlungen“ möglich ist.<ref name="unibr_itsec05-0a_F25" /> Sie ist unter anderem wichtig beim elektronischen Abschluss von Verträgen.
* Erreichbar ist sie beispielsweise durch [[elektronische Signatur]]en.
** ''Zurechenbarkeit'' (englisch: ''accountability''): „Eine durchgeführte Handlung kann einem Kommunikationspartner eindeutig zugeordnet werden.“
** in bestimmtem Kontext (zum Beispiel im Internet) auch ''[[Anonymität]]''
* Besonderes Schutzziel im Zuge der [[Datenschutz-Grundverordnung|DSGVO]]:
** ''Resilienz'' (englisch: ''resilience''): Widerstandsfähigkeit/Belastbarkeit gegenüber Ausspähungen, irrtümlichen oder mutwilligen Störungen oder absichtlichen Schädigungen (Sabotagen)


Jedes noch so gut geplante und umgesetzte IT-System kann [[Sicherheitslücke|Schwachstellen]] besitzen.
; Begriff
* Sind bestimmte Angriffe zum Umgehen der vorhandenen Sicherheitsvorkehrungen möglich, ist das System ''[[Verwundbarkeit|verwundbar]]''.
Der Begriff ''Informationssicherheit'' bezieht sich oft auf eine ''globale Informationssicherheit''
* Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (englisch: ''threat'').
* Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist ''oder'' der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
* Angriffe auf die Schutzziele bedeuten für Unternehmen Angriffe auf reale [[Unternehmenswert]]e, im Regelfall das Abgreifen oder Verändern von unternehmensinternen Informationen.
* In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
* Jede mögliche Bedrohung ist ein ''[[Risiko]]'' (englisch: ''risk'') für das Unternehmen.
* Daneben bezieht sich der Begriff auch auf die Sicherheit ''unter einem bestimmten Szenarium''
* Unternehmungen versuchen durch die Verwendung eines [[Risikomanagement]]s (englisch: ''risk management'') die Wahrscheinlichkeit des Eintretens eines Schadens und die daraus resultierende Schadenshöhe zu bestimmen.
* In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
Nach einer ''[[Risikoanalyse]]'' und ''Bewertung'' der unternehmensspezifischen IT-Systeme können entsprechende ''Schutzziele'' definiert werden.
* Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann
* Anschließend folgt die Auswahl von IT-Sicherheitsmaßnahmen für die jeweiligen [[Geschäftsprozess]]e eines Unternehmens.
* Dieser Vorgang zählt zu den Tätigkeiten des IT-Sicherheitsmanagements.
* Eine genormte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht.


Im Rahmen des IT-Sicherheitsmanagements findet die Auswahl und Umsetzung entsprechender ''IT-Sicherheitsstandards'' statt.
{{:Grundwerte}}
* Zu diesem Zweck existieren im Bereich IT-Sicherheitsmanagement verschiedene Standards.
* Mit Hilfe des ''[[ISO/IEC 27001]]''- oder des ''[[IT-Grundschutz]]''-Standards wird mit anerkannten Regeln versucht, die Komplexität [[Soziotechnisches System|soziotechnischer Systeme]] für den Bereich des IT-Sicherheitsmanagements zu reduzieren und ein geeignetes Maß an Informationssicherheit zu finden.


== Bedeutung der Informationssicherheit ==
== Gesetze und Regelungen ==
In den frühen Kindertagen<!-- Entweder präzisieren oder umformulieren.
Verpflichtungen lassen sich aus verschiedenen Gesetzen herleiten
* Aktuell klingt dies etwas umgangssprachlich und nicht enzyklopädisch. --> des ([[Personal Computer|Personal]]-)[[Computer]]s verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von zum Beispiel Bandlaufwerken oder anderen mechanischen Bauteilen) und Software (richtige Installation und Wartung von Programmen).
* Gesellschaftsrecht
* Mit der Zeit änderten sich die Anforderungen an die Computer ([[Internet]], [[Datenspeicher|Speichermedien]]); die Aufgaben zur Computersicherheit mussten anders gestaltet werden.
* Haftungsrecht
* Somit bleibt der Begriff der Computersicherheit wandelbar.
* Datenschutz
* Bankenrecht
* […]


Private und öffentliche [[Unternehmen]] sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen.
Dort stellt [[Informationssicherheit]] einen Baustein des [[Risikomanagement]]s dar
* Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.


Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten.
; International Vorschriften
* Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar.
Spielen eine wichtige Rolle
* International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle.
* [[Basel II]]
* [[Sarbanes-Oxley Act]]


== Bedrohungen ==
= IT-Sicherheit =
[[Bedrohungen]]
{{:IT-Sicherheit}}


== Maßnahmen ==
== Arten und Wichtigkeit von Informationen ==
[[Sicherheit/Maßnahmen]]
; Informationen sind Werte
[[ISO/IEC 27001]]
* Wertvoll für eine Organisation
* Wie die übrigen Geschäftswerte
* Müssen in geeigneter Weise geschützt werden


== Standards, „Best Practices“ und Ausbildung im Überblick ==
; Angemessener Schutz
Zur Bewertung und [[Zertifizierung]] der ''Sicherheit von Computersystemen'' existieren internationale [[Qualitätsmanagementnorm|Normen]].
Unabhängig von
* Wichtige Normen in diesem Zusammenhang waren die amerikanischen [[Trusted Computer System Evaluation Criteria|TCSEC]] und die europäischen [[Information Technology Security Evaluation Criteria|ITSEC]]-Standards.
* Erscheinungsform
* Beide wurden 1996 von dem neueren [[Common Criteria for Information Technology Security Evaluation|Common-Criteria]]-Standard abgelöst.
* Art der Nutzung
* Die Evaluierung und Zertifizierung von IT-Produkten und -systemen erfolgt in Deutschland in der Regel durch das [[Bundesamt für Sicherheit in der Informationstechnik]] (BSI).
* Speicherung


=== IT-Sicherheitsmanagement ===
{| class="table table-striped table-hover col1bold col1nowrap"
Die Aufgabe des ''[[IT-Sicherheitsmanagement]]s'' ist die systematische Absicherung eines informationsverarbeitenden IT-Verbundes.
|-
* Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden.
! Option !! Beschreibung
* Die Auswahl und Umsetzung von ''IT-Sicherheitsstandards'' zählt zu den Aufgaben des IT-Sicherheitsmanagements.
|-
* Standards des IT-Sicherheitsmanagements sind beispielsweise:
| Schutzziele || [[IT-Sicherheit/Grundfunktionen]]
* [[IT-Grundschutz]] des BSI
|-
** Die [[IT-Grundschutz-Kataloge]] definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen [[Waschzettel#Werbung und Public Relations|(Waschzettel)]].
| Maßnahmen || [[IT-Grundschutz/Maßnahmen]]
* Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren.
|-
* Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor.
| IT-Sicherheitsmanagement || [[Managementsystem_für_Informationssicherheit]]
* [[ISO/IEC 27001]]: Norm für Informationssicherheitsmanagementsysteme (ISMS)
|}
* [[ISO/IEC 27002]]: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)


Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm.
; Aufrechterhaltung (CIA) von Informationen
* Vertraulichkeit
* Integrität
* Verfügbarkeit


Weitere Standards sind zu finden im {{Hauptartikel|IT-Sicherheitsmanagement}}
; Ziel
Sicherstellen, dass [[Informationen]] in kritischen Situationen nicht beeinträchtigt werden


=== Security Engineering ===
; Problemfelder
Das Fachgebiet [[Security Engineering]] stellt Instrumente zur Abwehr und Analyse von Angriffen und Bedrohungen von IT-Systemen bereit.
* Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
* Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
* Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
* Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist


=== Ausbildung ===
; Was ist ein Computer?
Neben den Standards zur Informationssicherheit gibt es auch Standards für die Ausbildung von Sicherheitsfachkräften.
Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher
* Als wichtigste sind zu nennen die Zertifizierungen zum [[Certified Information Security Manager]] (CISM) und [[Certified Information Systems Auditor]] (CISA) der [[ISACA]], die Zertifizierung zum [[Certified Information Systems Security Professional]] (CISSP) des International Information Systems Security Certification Consortium (ISC)², die Security+ Zertifizierung von [[CompTIA]], die Zertifizierung zum [[TeleTrusT Information Security Professional]] (TISP) des TeleTrusT – Bundesverband IT-Sicherheit e.&nbsp;V. sowie die GIAC-Zertifizierungen des SANS Institute.
* Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
* Eine erweiterte Übersicht bietet die [[Liste der IT-Zertifikate]].


=== Audits und Zertifizierungen ===
; IT-Sicherheitsspezialisten
Um ein gewisses Standardmaß an Informationssicherheit zu gewährleisten, ist die regelmäßige Überprüfung von Maßnahmen zur Risikominimierung und -dezimierung Pflicht.
* IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
* Auch hier rücken wieder organisatorische und technische Aspekte in den Vordergrund.
* Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen


Technische Sicherheit kann zum Beispiel durch Maßnahmen wie regelmäßige [[Penetrationstest (Informatik)|Penetrationstests]] oder vollständige [[IT-Sicherheitsaudit|Sicherheitsaudits]] erreicht werden, um eventuell bestehende Sicherheitsrisiken im Bereich von informationstechnischen Systemen, Applikationen und/oder in der informationstechnischen [[Infrastruktur]] zu erkennen und zu beseitigen.
; Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
* Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]]
* Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
* Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen


Organisatorische Sicherheit kann durch [[Audit]]s der entsprechenden Fachabteilungen einer Organisation erreicht und überprüft werden.
==== Schutz von Informationen ====
* Beispielsweise können vordefinierte Testschritte beziehungsweise Kontrollpunkte eines Prozesses während eines Audits getestet werden.
; [[Risikomanagement für Informationssysteme|Informationsrisikomanagement]]
* Schutz von [[Informationen]] durch die Minderung von Informationsrisiken


Aus Feststellungen der weitreichenden Überprüfungsmethoden lassen sich Maßnahmen zur weiteren Risikominimierung beziehungsweise -dezimierung ableiten.
; Risikominderung
* Eine Methodik, wie in diesem Absatz beschrieben, ist unmittelbar konform zu [[Normung|Normen]] wie [[ISO/IEC 27001]], [[BS 7799]] oder [[gesetz]]lichen Vorschriften.
* Eintrittwahrscheinlichkeit
* Hier wird meist eine Nachvollziehbarkeit über Vorgänge der Informationssicherheit unmittelbar eingefordert, indem Unternehmen ein [[Risikomanagement]] abverlangt wird.
* Schadensausmaß


Bei der Arbeit an Maschinen und Anlagen haben Komponenten der funktionalen Sicherheit für den Menschen eine wichtige Schutzfunktion.
; Gefährdungen von Informationen
* Damit Sicherheitsfunktionen von Steuerungen zuverlässig funktionieren, muss auch die Steuerung selbst vor Ausfall und Manipulation geschützt werden.
[[IT-Grundschutz/Kompendium/Elementaren Gefährdungen]]
* Daher werden auch Security-Aspekte der funktionalen Sicherheit von industriellen Automatisierungssystemen geprüft und zertifiziert.
* Diese Prüfung/Zertifizierung kann nur in Kombination mit einer Zertifizierung der funktionalen Sicherheit durchgeführt werden oder auf einer solchen Zertifizierung aufbauen.
* Ein Prüfgrundsatz formuliert Anforderungen für das Erreichen eines Security-Levels 1 (SL 1: Schutz gegen gelegentlichen oder zufälligen Verstoß) nach [[IEC 62443|DIN EN 62443-3-3]].
* Weitere Grundlagen dieses Prüfgrundsatzes sind die Normen IEC/TS 62443-1-1, DIN EN IEC 62443-4-1, DIN EN IEC 62443-4-2.


Den organisatorischen Ablauf einer Prüfung/Zertifizierung regelt die DGUV Test Prüf- und Zertifizierungsordnung, Teil 1: Zertifizierung von Produkten, Prozessen und Qualitätsmanagementsystemen (DGUV Grundsatz 300-003).
; Beispiele
{| class="table table-striped table-hover big col1bold col1nowrap"
|-
! Gefährdung !! Beschreibung
|-
| Unbefugter/unangemessener Zugriff ||
|-
| Unrechtmäßige Nutzung ||
|-
| Enthüllung ||
|-
| Unterbrechung ||
|-
| Löschung ||
|-
| [[Datenverfälschung|Korruption]] ||
|-
| Änderung ||
|-
| Einsichtnahme ||
|-
| Aufzeichnung ||
|-
| Entwertung ||
|}


== Umsetzungsbereiche ==
; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
Zur Sensibilisierung für die Gefahren im Bereich der IT-Sicherheit und um mögliche Gegenmaßnahmen aufzuzeigen, existieren in Deutschland einige Initiativen.
* Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]])
* Dazu zählen der Cyber-Sicherheitsrat Deutschland e.&nbsp;V., der Verein [[Deutschland sicher im Netz]], die Allianz für Cyber-Sicherheit und die [[Sicherheitskooperation Cybercrime]].


=== Privathaushalte ===
; CIA-Trias - Ausgewogener Schutz
Programmierfehler in fast jeder [[Software]] machen es quasi unmöglich, Sicherheit vor jeder Art von Angriffen zu erreichen.
{| class="table table-striped table-hover big col1bold col1nowrap"
* Durch den Anschluss von Computern mit sensiblen Daten (zum Beispiel [[Electronic Banking|Homebanking]], Bearbeitung der [[Dissertation]]) an das [[Internet]] sind diese Schwachstellen auch von außen nutzbar.
|-
* Der Standard an IT-Sicherheit in Privathaushalten ist geringer, da kaum ausreichende Maßnahmen zur Absicherung der [[Infrastruktur]] (zum Beispiel [[unterbrechungsfreie Stromversorgung]], Einbruchsschutz) ergriffen werden.
! Grundwert !! English !! Abkürzung
|-
| [[Datenvertraulichkeit]] || ||
|-
| [[Datenintegrität]] || ||
|-
| [[Datenverfügbarkeit]] || ||
|}


Aber auch in anderen Bereichen besteht in privaten Haushalten weiterhin ein Defizit.
; Schwerpunkt
* Effiziente Umsetzung von [[Richtlinien]]
* ohne die [[Produktivität]] der Organisation zu beeinträchtigen


Viele private Benutzer haben noch nicht verstanden, dass es wichtig ist, die Konfiguration der genutzten Software an die jeweiligen Bedürfnisse anzupassen.
; Risikomanagement-Prozess Strukturierter [[Risikomanagement]]-Prozess
* So ist es bei vielen an das Internet angeschlossenen Rechnern nicht nötig, dass auf ihnen [[Server]]-Programme laufen.
Identifizierung von Informationen und zugehörigen
* Server-Dienste werden von vielen Betriebssystemen in der Standardinstallation geladen; mit deren Deaktivierung schließt man eine Reihe wichtiger Angriffspunkte.
* [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie
* potenziellen [[Bedrohung (Computer)|Bedrohungen]]
* [[Schwachstelle (Computer)|Schwachstellen]]
* Auswirkungen


Sicherheitsaspekte wie zum Beispiel die Einrichtung von Zugriffsbeschränkungen sind vielen Benutzern ebenfalls fremd.  
; Bewertung der Risiken
* Außerdem ist es von Bedeutung, sich über Schwachstellen in der eingesetzten Software zu informieren und regelmäßig Aktualisierungen einzuspielen.
Entscheidung, wie mit den Risiken umzugehen ist, d.h
* sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
* wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
* Überwachung der Aktivitäten
* Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten


Zur Computersicherheit gehört nicht nur der präventive Einsatz technischer Werkzeuge wie beispielsweise [[Firewall]]s, [[Intrusion Detection System|Intrusion-Detection-Systeme]] etc., sondern auch ein organisatorischer Rahmen in Form durchdachter Grundsätze (Policy, Strategie), die den Menschen als Anwender der Werkzeuge in das System einbezieht.
; standardisierte Vorgehensweise
* Allzu oft gelingt es [[Hacker]]n, durch Ausnutzung eines zu schwachen [[Passwort|Kennworts]] oder durch sogenanntes [[Social Engineering (Sicherheit)|Social Engineering]] Zugang zu sensiblen Daten zu erlangen.
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|Firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung und weitere&nbsp;anzubieten


=== IT-Sicherheit bei Sparkassen und Banken ===
Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden
Zur Beschleunigung des Prozesses und Hervorhebung der Wichtigkeit haben unter anderem die Ergebnisse von [[Basel II]], die Vorschriften von [[Bundesanstalt für Finanzdienstleistungsaufsicht|BaFin]] und des [[Kreditwesengesetz|KWG]] sowie der einzelnen Verbandsrevisionen der [[Sparkasse]]n und [[Bank]]en beigetragen.
* Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|kontinuierlichen Verbesserung]] eingeführt wird
* Verstärkt werden sowohl externe als auch interne Prüfungen auf dieses Thema ausgelegt.
* Gleichzeitig entstand ein umfangreiches Dienstleistungsangebot zur Durchführung verschiedener Projekte, die einen IT-Sicherheitsprozesses in Unternehmen etablieren sollen.
* Anbieter sind sowohl innerhalb der jeweiligen Unternehmensgruppe als auch auf dem externen Markt zu finden.
* Bei anderen Finanzdienstleistungsinstituten, Versicherungsunternehmen und den Unternehmen des Wertpapierhandels wird das Konzept im Allgemeinen identisch sein, wobei hier zum Beispiel auch andere Gesetze eine Rolle spielen können.
Siehe auch|Krisenreaktionszentrum für IT-Sicherheit der Deutschen Versicherungswirtschaft


=== IT-Sicherheit bei anderen Unternehmen ===
== Verfahren ==
Auch wenn die Gesetzgebungen und Prüfungen in anderen Sektoren der Wirtschaft weniger Vorgaben macht, behält die IT-Sicherheit ihren hohen Stellenwert.
{{:Informationssicherheit/Verfahren}}
* Hilfestellungen gewähren die kostenfreien [[IT-Grundschutz-Kataloge]] des [[Bundesamt für Sicherheit in der Informationstechnik|BSI]].


Durch die zunehmende Vernetzung verschiedener Niederlassungen z.&nbsp;B. bei Firmenzukäufen gewinnt eine Absicherung der IT-Systeme größere Bedeutung.
<noinclude>
* Durch die Datenübertragung aus einem internen, geschlossenen Netzwerk über eine externe, öffentliche Verbindung zum anderen Standort entstehen risikobehaftete Situationen.


Die Auswirkungen für Unternehmen sind u.&nbsp;a.:
== Anhang ==
=== Siehe auch ===
<div class="card-group">
<div class="col">
  <div class="card text-light bg-secondary">
  <div class="card-header">'''<big>Informationssicherheit</big>'''</div>
  <div class="card-body bg-white">
    <p class="card-text"><big>[[Informationssicherheit]]/[[ISMS]]</big></p>
    <div style="column-count:3">
      <categorytree hideroot=on mode="categories">ISMS</categorytree>
    </div>
  </div>
</div>
</div>
</div>


* Verlust von Daten,
----
* Manipulation von Daten,
* unzuverlässiger Empfang von Daten,
* verspätete Verfügbarkeit von Daten,
* Abkopplung von Systemen für das operative Geschäft,
* unzulässige Verwertung von Daten,
* fehlende Entwicklungsfähigkeit der eingesetzten Systeme.


Die Gefahr liegt nicht nur im firmeninternen Datenaustausch.
{| class="table table-striped table-hover col1bold col1nowrap"
* Zunehmend werden Anwendungen direkt zu den Nutzern übertragen, oder externe Mitarbeiter und outgesourcte Dienstleister können auf interne Daten zugreifen und diese bearbeiten und verwalten.
|-
* Dies erfordert entsprechende Zugriffsberechtigungen ([[Authentifizierung]]) sowie eine Dokumentation der getätigten Aktionen wie Datenabruf oder Datenänderungen.
! Gebiet !! Beschreibung
|-
| [[Informationssicherheit/Grundlagen|Grundlagen]] ||
|-
| [[ISMS/Glossar|Begriffe]] ||
|-
| [[IT-Sicherheit/Grundfunktionen|Schutzziele]] ||
|-
| [[Managementsystem_für_Informationssicherheit|Managementsystem]] ||
|-
| [[IT-Grundschutz/Maßnahmen|Maßnahmen]] ||
|-
| [[Common Criteria]] ||
|-
| [[Security Engineering]] ||
|-
| [[:Kategorie:ISMS/Qualifizierung|Qualifizierung]] ||
|-
| [[Informationssicherheit/Audit und Zertifizierungen|Audit und Zertifizierungen]] ||
|-
| [[Informationssicherheit/Rahmenbedingungen|Rahmenbedingungen]] ||
|-
| [[Informationssicherheit/Umsetzungsbereiche|Umsetzungsbereiche]] ||
|-
| [[Mobile Endgeräte]] ||
|-
| [[Bedrohung]]en ||
|}


Dieser Thematik folgend entstehen neue Anforderungen an die bestehenden Sicherheitskonzepte.
----
* Hinzu kommen die gesetzlichen Vorgaben, die ebenfalls in das IT-Sicherheitskonzept mit integriert werden müssen.
* Die entsprechenden Gesetze werden von externen und internen Prüfern kontrolliert.
* Da keine Methoden definiert worden sind, um diese Ergebnisse zu erreichen, wurden hier für die jeweiligen Bereiche verschiedenen „Best Practice“-Methoden entwickelt, wie zum Beispiel [[ITIL]], [[COBIT]], ISO oder [[Basel II]].


Hier gilt der Ansatz, ein Unternehmen so zu führen und zu kontrollieren, dass die relevanten und möglichen Risiken abgedeckt sind ([[IT-Governance]]).
{{Special:PrefixIndex/Informationssicherheit}}
* Grundlagen dafür sind sowohl die ''zwingenden Standards'', also Gesetze ([[Handelsgesetzbuch|HGB]], [[Abgabenordnung|AO]], GOB) und Fachgutachten ([[Sarbanes-Oxley Act]], 8. EU-Audit-Richtlinie), als auch die ''unterstützenden Standards'' ([[Best Practice]]).


Die Risiken müssen identifiziert, analysiert und bewertet werden, um ein ganzheitliches Sicherheitskonzept aufbauen zu können.
----
* Dies beinhaltet nicht nur die eingesetzten Technologien, sondern auch konzeptionelle Aspekte wie Zuständigkeiten, Berechtigungen, Kontrollinstanzen oder Mindestanforderungen für bestimmte Sicherheitsmerkmale.


So werden nun an die EDV besondere Anforderungen gestellt:
* [[Need-to-know]]
 
* [[Backup]]
# Verhinderung von Manipulationen
* [[Bedrohung]]
# Nachweis von Eingriffen
* [[Risikomanagement]]
# Installation von Frühwarnsystemen
* [[Business Continuity Management]]
# Interne Kontrollsysteme
 
Dabei ist zu beachten, dass die Daten der Automation derart gespeichert werden, dass sie jederzeit lesbar, nachvollziehbar und konsistent sind.
* Dazu müssen diese Daten vor Manipulation und Löschung geschützt werden.
* Jegliche Änderung soll ein Versionsmanagement auslösen und die Reporte und Statistiken über die Prozesse und deren Änderungen müssen direkt zentral abrufbar sein.
 
Eine Abhilfe können hier hochentwickelte Automatisierungslösungen sein.
* Dadurch, dass weniger manuelle Eingriffe notwendig sind, werden potenzielle Gefahrenquellen ausgeschlossen.
* Die RZ-Automation umfasst somit folgende Gebiete:
 
* Risikofaktor Prozessablauf
* Risikofaktor Ressourcen
* Risikofaktor Technologie
* Risikofaktor Zeit
 
=== IT-Sicherheit in öffentlichen Einrichtungen und Behörden ===
Im Bereich öffentliche Einrichtungen und Behörden sind die [[IT-Grundschutz-Kataloge]] des [[Bundesamt für Sicherheit in der Informationstechnik|Bundesamtes für Sicherheit in der Informationstechnik (BSI)]] Standardwerke.
* In großem Maße erhalten diese Stellen das zugehörige [[GSTOOL]], welches die Durchführung deutlich vereinfacht, kostenlos.
 
== Gesetzliche Rahmenbedingungen ==
[[Sicherheit/Gesetze]]
 
== Anhang ==
=== Siehe auch ===
* [[Cyberabwehr]]
* [[Cyberkrieg]]
* [[Europäische Agentur für Netz- und Informationssicherheit]]
* [[Internetkriminalität]], [[IT-Sicherheitsverfahren]]
* [[Need-to-know-Prinzip]]
* [[TeleTrusT]]
* [[TeleTrusT]]
* [[:Datei:Mind map of information security.svg|Mind Map der Informationssicherheit]]
* [[:Datei:Mind map of information security.svg|Mind Map der Informationssicherheit]]


==== Unterseiten ====
=== Links ===
{{Special:PrefixIndex/Sicherheit}}
==== Weblinks ====
 
==== Dokumentation ====
===== RFC =====
===== Man-Pages =====
===== Info-Pages =====
==== Links ====
===== Einzelnachweise =====
<references />
===== Projekt =====
===== Weblinks =====
# https://de.wikipedia.org/wiki/Informationssicherheit
# https://de.wikipedia.org/wiki/Informationssicherheit
# [http://www.bsi.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)]
# https://en.wikipedia.org/wiki/Information_security
# [[BMWi]]: [http://www.it-sicherheit-in-der-wirtschaft.de/ Task Force „IT-Sicherheit in der Wirtschaft“]
# [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“]. Service des [[Eco – Verband der Internetwirtschaft|eco-Verbands der Internetwirtschaft e.V.]], gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi)
# [https://www.sicher-im-netz.de/ Deutschland sicher im Netz e.&nbsp;V.]
# [http://www.enisa.europa.eu/act/ar/deliverables/2006/ar-guide/de ''A Users’ Guide: How to raise information security awareness'' (DE).] [[Bundesamt für Sicherheit in der Informationstechnik]], Juni 2006, [[ENISA]] (mit PDF ''Leitfaden für die Praxis: Wege zu mehr Bewusstsein für Informationssicherheit''; 2&nbsp;MB)
# [https://www.din.de/de/mitwirken/normenausschuesse/nia/nationale-gremien/wdc-grem:din21:54770248 DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren]
# Christian Hawellek: [https://pentest24.de/strafrechtliche-relevanz-von-it-sicherheitsaudits/ ''Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts''. ]
# [[Ken Thompson]]: [http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf ''Reflections on Trusting Trust''] (PDF; 220&nbsp;kB; englisch). Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner.
<noinclude>
 
=== Testfragen ===
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 1''
<div class="mw-collapsible-content">'''Antwort1'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 2''
<div class="mw-collapsible-content">'''Antwort2'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 3''
<div class="mw-collapsible-content">'''Antwort3'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 4''
<div class="mw-collapsible-content">'''Antwort4'''</div>
</div>
<div class="toccolours mw-collapsible mw-collapsed">
''Testfrage 5''
<div class="mw-collapsible-content">'''Antwort5'''</div>
</div>


[[Kategorie:IT-Sicherheit|!]]
[[Kategorie:Informationssicherheit]]
[[Kategorie:Informationssicherheit]]
[[Kategorie:ISMS]]
[[Kategorie:ISMS/Glossar]]


</noinclude>
</noinclude>

Aktuelle Version vom 22. September 2026, 21:16 Uhr

Informationssicherheit - Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Abhängigkeit von IT-Systemen
  • Unternehmen und Einrichrungen
    • sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
  • Da neben der Abhängigkeit
    • auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen
Motivationen
Motivation Beschreibung
Globalisierung Kommunikationsbedürfnisse und -infrastruktur (Internet) Verteilte Informatiksysteme sind kritische Ressourcen
  • Grenzüberschreitenden Kooperation
    • E-Mail
    • Desktop-Konferenzen
    • Soziale Netzwerke
    • Fernzugriffe
Offene Systeme Vielfältige Schnittstellen und Datenaustausch Erhöhung des Angriffs- und Schadenpotentials
Physische Sicherheit Zugang zu Räumen und IT-Systemen Kann oft nicht gewährleistet werden
Vertrauen als Ressource Wem vertraue ich, wem nicht? Wer ist mein Gegenüber wirklich?

Definition

Attribute

Attribute der Informationssicherheit (CIA)

Informationssysteme

Hauptteile von Informationssystemen
Ziel

Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

Richtlinien

Verfahren und Richtlinien implementieren

  • Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
  • Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Definition Beschreibung Quelle
Vertraulichkeit, Integrität und Verfügbarkeit
von Informationen		 Weitere Eigenschaften ISO/IEC 27000
Schutz von
Informationen/Informationssystemen		 vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten CNSS, 2010
Nur autorisierte Benutzer (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) ISACA, 2008
Ist ein Prozess des Schutzes des geistigen Eigentums einer Organisation Pipkin, 2000
Disziplin des Risikomanagements deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten McDermott und Geer, 2001
Gut informiertes Gefühl
der Sicherheit		 dass Informationsrisiken und -kontrollen im Gleichgewicht sind Anderson, J., 2003
Schutz von Informationen minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden Venter und Eloff, 2003
Multidisziplinäres Studien- und Berufsfeld

Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen

Bedrohungskategorien

Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden

  • Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
Relevanter Satz von Sicherheitszielen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
  • Datenschutz
  • Authentizität
  • Vertrauenswürdigkeit
  • Nichtabstreitbarkeit
  • Rechenschaftspflicht
  • Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung

Motivation

Risikoorientierte Herangehensweise
  • Vermeidung von Schäden durch Maßnahmen
  • Schutz vor Schäden jeglicher Art
Klassische Beispiele
  • Image- und Vertrauensverlust
  • Datenverlust
  • Produktivitätsausfall
  • Wirtschaftsspionage
  • Verletzung von Marken- und Urheberrechten

Begriffe

Systeme

System Beschreibung
Organisationen Prozessorientiert
Technische Systeme Systemorientiert

Bereiche

Begriff Beschreibung
Informationssicherheit Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Cybersicherheit Sicherheit gegen Gefahren aus dem Internet
IT-Sicherheit Technische Maßnahmen zur Realisierung von Grundwerten
Datenschutz Schutz personenbezogener Daten (privacy)
Business Continuity Management Sicherstellung des Fortbestands von Einrichtungen

Informationsverarbeitung

Tätigkeit Beschreibung
Erfassen
Speichern
Übermitteln

Informationssicherheit

Informationssicherheit
Begriff

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit

  • Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
  • In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
  • Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium
  • In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
  • Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann


Grundwerte

Grundwerte der Informationssicherheit
Vertraulichkeit
Verfügbarkeit
Integrität


Gesetze und Regelungen

Verpflichtungen lassen sich aus verschiedenen Gesetzen herleiten

  • Gesellschaftsrecht
  • Haftungsrecht
  • Datenschutz
  • Bankenrecht
  • […]

Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar

International Vorschriften

Spielen eine wichtige Rolle

IT-Sicherheit

Beschreibung

IT-Sicherheit

Im Englischen hat der deutsche Begriff der IT-Sicherheit zwei verschiedene Ausprägungen

Die Eigenschaft der Funktionssicherheit (englisch: safety)

  • Bezeichnet, dass sich ein System entsprechend der zur erwarteten Funktionalität verhält und kann dabei auch weitergehende risikomindernde Maßnahmen umfassen.

Diese Maßnahmen werden dann als Funktionale Sicherheit bezeichnet. Informationssicherheit (englisch: security)

  • Bezieht sich auf den Schutz der technischen Verarbeitung von Informationen und ist eine Eigenschaft eines funktionssicheren Systems.
  • Sie soll verhindern, dass nicht-autorisierte Datenmanipulationen möglich sind oder die Preisgabe von Informationen stattfindet.
Der IT-Sicherheit kommt eine Schlüsselrolle für die Sicherheit von soziotechnischen Systemen zu
  • IT oder auch ITK-Systeme sind Teil der soziotechnischen Systeme.
  • Zu den Aufgaben der IT-Sicherheit gehört der Schutz von ITK-Systemen von Organisationen (zum Beispiel Unternehmen) gegen Bedrohungen.
  • Damit soll unter anderem wirtschaftlicher Schaden verhindert werden.
IT-Sicherheit ist ein Teil der Informationssicherheit
  • In Abgrenzung zu IT-Sicherheit umfasst Informationssicherheit neben der Sicherheit der IT-Systeme und der darin gespeicherten Daten auch die Sicherheit von nicht elektronisch verarbeiteten Informationen
Beispiel

Die "Prinzipien der Informationssicherheit" können auch auf per Hand auf Papier notierte Rezepte eines Restaurants angewandt werden (da Vertraulichkeit, Integrität und Verfügbarkeit der Rezepte für das Restaurant notwendig sein können, auch wenn dieses Restaurant vollkommen ohne Einsatz eines IT-Systems betrieben wird).


Arten und Wichtigkeit von Informationen

Informationen sind Werte

ISO/IEC 27001

  • Wertvoll für eine Organisation
  • Wie die übrigen Geschäftswerte
  • Müssen in geeigneter Weise geschützt werden
Angemessener Schutz

Unabhängig von

  • Erscheinungsform
  • Art der Nutzung
  • Speicherung
Option Beschreibung
Schutzziele IT-Sicherheit/Grundfunktionen
Maßnahmen IT-Grundschutz/Maßnahmen
IT-Sicherheitsmanagement Managementsystem_für_Informationssicherheit
Aufrechterhaltung (CIA) von Informationen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder
  • Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
  • Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
  • Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
  • Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
Was ist ein Computer?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

  • Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
IT-Sicherheitsspezialisten
  • IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
  • Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
  • Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
  • Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
  • Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen

Schutz von Informationen

Informationsrisikomanagement
  • Schutz von Informationen durch die Minderung von Informationsrisiken
Risikominderung
  • Eintrittwahrscheinlichkeit
  • Schadensausmaß
Gefährdungen von Informationen

IT-Grundschutz/Kompendium/Elementaren Gefährdungen

Beispiele
Gefährdung Beschreibung
Unbefugter/unangemessener Zugriff
Unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung
Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
  • Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
CIA-Trias - Ausgewogener Schutz
Grundwert English Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit
Schwerpunkt
Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess

Identifizierung von Informationen und zugehörigen

Bewertung der Risiken

Entscheidung, wie mit den Risiken umzugehen ist, d.h

  • sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
  • wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
  • Überwachung der Aktivitäten
  • Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, Firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung und weitere anzubieten

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden

  • Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der kontinuierlichen Verbesserung eingeführt wird

Verfahren

Informationssicherheit/Verfahren

Beschreibung

Verfahren Beschreibung
Sicherheits-Governance
Vorfallsreaktionspläne
Änderungsmanagement

Sorgfaltspflicht

Vernünftige umsichtige Person
  • Definition lange in Bereichen Finanzen, Wertpapiere und Recht verwendet
  • In den vergangenen Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten

Einhaltung von Gesetzen und Vorschriften

Aktionäre, Kunden, Geschäftspartner und Regierungen erwarten

  • dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt
  • Dies wird oft als die Regel der "vernünftigen und umsichtigen Person" beschrieben
  • Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen
  • Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen

"due care" und "due diligence"

Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:

"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees."

Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'

Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden
  • Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen
  • Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind

Verantwortung

Organisationen haben eine Verantwortung

Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren
  • Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken
  • Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten
  • DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen
  • Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen




Anhang

Siehe auch

Informationssicherheit

Informationssicherheit/ISMS

Gebiet Beschreibung
Grundlagen
Begriffe
Schutzziele
Managementsystem
Maßnahmen
Common Criteria
Security Engineering
Qualifizierung
Audit und Zertifizierungen
Rahmenbedingungen
Umsetzungsbereiche
Mobile Endgeräte
Bedrohungen
  1. https://de.wikipedia.org/wiki/Informationssicherheit
  2. https://en.wikipedia.org/wiki/Information_security


Abgerufen von „https://wiki.foxtom.de/index.php?title=Informationssicherheit&oldid=178790“
Powered by MediaWiki