Zum Inhalt springen

Informationssicherheit: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
K Textersetzung - „usw.“ durch „und weitere“
 
(220 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
'''Informationssicherheit''' - Eigenschaft von Systemen [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen
'''Informationssicherheit''' - Eigenschaft von Systemen [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität]] sicherzustellen


== Beschreibung ==
=== Beschreibung ===
; Als '''Informationssicherheit''' oder '''Cybersicherheit''' bezeichnet man Eigenschaften von technischen oder nicht-technischen Systemen zur [[Datenverarbeitung|Informationsverarbeitung]], -[[Datenspeicher|speicherung]] und -lagerung, die die Schutzziele [[Vertraulichkeit]], [[Verfügbarkeit]] und [[Integrität (Informationssicherheit)|Integrität]] sicherstellen.
; Systeme
* Informationssicherheit dient dem Schutz vor [[Gefahr]]en beziehungsweise [[Bedrohung]]en, der Vermeidung von wirtschaftlichen [[Schaden|Schäden]] und der Minimierung von [[Risiko|Risiken]].
{| class="wikitable options big"
|-
! System !! Beschreibung
|-
| nicht-technisch || [[IT-Grundschutz/Kompendium/Prozess-Bausteine|Prozessorientiert]]
|-
| technisch || [[IT-Grundschutz/Kompendium/System-Bausteine|Systemorientiert]]
|}


; In der Praxis orientiert sich die Informationssicherheit im Rahmen des [[IT-Sicherheitsmanagement]]s unter anderem an der internationalen [[ISO/IEC-27000]]-Reihe.
=== Begriffe ===
* Im deutschsprachigen Raum ist ein Vorgehen nach [[IT-Grundschutz]] verbreitet.
{| class="wikitable options big"
* Im Bereich der [[Evaluierung]] und [[Zertifizierung]] von IT-Produkten und -systemen findet die Norm [[ISO/IEC 15408]] ([[Common Criteria for Information Technology Security Evaluation|Common Criteria]]) häufig Anwendung.
|-
! Begriff !! Beschreibung
|-
| Informationssicherheit || Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
|-
| [[Cybersicherheit]] || Sicherheit gegen Gefahren aus dem Internet
|-
| [[IT-Sicherheit]] || Technische Maßnahmen zur Realisierung von [[Grundwerte]]n
|-
| [[Datenschutz]] || Schutz personenbezogener Daten ([[privacy]])
|-
| [[Business Continuity Management]] || Sicherstellung des Fortbestands von Einrichtungen
|}


; Die Normenreihe [[IEC 62443]] befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.
=== Informationsverarbeitung ===
{| class="wikitable options big"
|-
! Tätigkeit !! Beschreibung
|-
| [[Datenerfassung|Erfassen]] ||
|-
| [[Datenspeicher|Speichern]] ||
|-
| [[Datenübermittlung|Übermitteln]] ||
|}


; Bedeutung In den frühen Kindertagen<!-- Entweder präzisieren oder umformulieren.
=== Informationssicherheit ===
* Aktuell klingt dies etwas umgangssprachlich und nicht enzyklopädisch. --> des ([[Personal Computer|Personal]]-)[[Computer]]s verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen).
; Informationssicherheit
* Mit der Zeit änderten sich die Anforderungen an die Computer ([[Internet]], [[Datenspeicher|Speichermedien]]); die Aufgaben zur Computersicherheit mussten umgestaltet werden.
* Schutz vor [[Gefahr]]en/[[Bedrohung]]en
* Somit bleibt der Begriff der [[Computersicherheit]] wandelbar.
* Vermeidung von wirtschaftlichen [[Schaden|Schäden]]
* Minimierung von [[Risiko|Risiken]]


; Private und öffentliche [[Unternehmen]] sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen.
; Begriff ''Informationssicherheit''
* Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.
Der Begriff ''Informationssicherheit'' bezieht sich oft auf eine ''globale Informationssicherheit''
* Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist ''oder'' der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
* In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
* Daneben bezieht sich der Begriff auch auf die Sicherheit ''unter einem bestimmten Szenarium''
* In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
* Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann


; Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw.&nbsp;herleiten.
=== Grundwerte===
* Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar.
; Grundwerte der Informationssicherheit
* International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle.
{| class="wikitable options"
|-
| [[Vertraulichkeit]] ||
|-
| [[Verfügbarkeit]] ||
|-
| [[Integrität (Informationssicherheit)|Integrität]] ||
|}


==== Motivation ====
==== Abhängigkeit von IT-Systemen ====
; Das Streben nach Informationssicherheit resultiert aus einer risikoorientierten Herangehensweise
* Private und öffentliche [[Unternehmen]] sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
* Es soll Unternehmen vor Kapitalschäden jeglicher Art schützen.
* Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen
 
==== Gesetzte und Regelungen ====
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht und weitere&nbsp;herleiten
* Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar
* International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle
 
==== Informationssicherheit und IT-Sicherheit ====
 
=== Motivation ===
; Risikoorientierte Herangehensweise
* Vermeidung von Schäden durch Maßnahmen
* Schutz vor Schäden jeglicher Art


; Klassische Beispiele
; Klassische Beispiele
Zeile 34: Zeile 88:
* Verletzung von Marken- und Urheberrechten
* Verletzung von Marken- und Urheberrechten


; Es liegt in der Natur der Sache, dass Unternehmer solchen Schäden durch entsprechende Maßnahmen vermeiden wollen.
==== IT-Sicherheit ====
 
; Motivationen
; Warum ist Sicherheit überhaupt ein Thema?
{| class="wikitable options big"
* Verteilte Informatiksysteme sind kritische Ressourcen
|-
* Globalisierung der Kommunikationsbedürfnisse und -infrastruktur (Internet)
! Motivation !! !! Beschreibung
 
|-
; Grenzüberschreitenden Kooperation
| Globalisierung || Kommunikationsbedürfnisse und -infrastruktur (Internet) || Verteilte Informatiksysteme sind kritische Ressourcen
* Email
* Grenzüberschreitenden Kooperation
* Informationssysteme
** E-Mail
* Desktop-Conferencing
** Desktop-Konferenzen
* Soziale Netzwerke
** Soziale Netzwerke
 
** Fernzugriffe
; Offene Systeme
|-
* Vielfältige Schnittstellen und Datenaustausch
| Offene Systeme || Vielfältige Schnittstellen und Datenaustausch || Erhöhung des Angriffs- und Schadenpotentials
* Erhöhung des Angriffs- und Schadenpotentials
|-
 
| Physische Sicherheit || Zugang zu Räumen und IT-Systemen || Kann oft nicht gewährleistet werden
; Physische Sicherheit
|-
* kann oft nicht gewährleistet werden
| Vertrauen als Ressource || Wem vertraue ich, wem nicht? || Wer ist mein Gegenüber wirklich?
* Zugang zu Räumen und IT-Systemen
|}
 
; Vertrauen als Ressource
* Wem vertraue ich, wem nicht?
* Wer ist mein Gegenüber wirklich?


==== Arten und Wichtigkeit von Informationen ====
==== Arten und Wichtigkeit von Informationen ====
; ISO/IEC 27001
; Informationen sind Werte
: "Informationen sind Werte"
[[ISO/IEC 27001]]
* Wertvoll für eine Organisation
* Wertvoll für eine Organisation
* Wie die übrigen Geschäftswerte
* Wie die übrigen Geschäftswerte
* Müssen in geeigneter Weise geschützt werden
* Müssen in geeigneter Weise geschützt werden


; Angemessener Schutz unabhängig von
; Angemessener Schutz
Unabhängig von
* Erscheinungsform
* Erscheinungsform
* Art der Nutzung
* Art der Nutzung
* Speicherung
* Speicherung


{| class="wikitable sortable options"
{| class="wikitable options big"
|-
|-
! Option !! Beschreibung
! Option !! Beschreibung
|-
|-
| Schutzziele || [[Informationssicherheit/Schutzziele]]
| Schutzziele || [[IT-Sicherheit/Grundfunktionen]]
|-
|-
| Maßnahmen || [[IT-Grundschutz/Maßnahmen]]
| Maßnahmen || [[IT-Grundschutz/Maßnahmen]]
Zeile 81: Zeile 132:
|}
|}


== Informationssicherung ==
; Aufrechterhaltung (CIA) von Informationen
; Kernstück der Informationssicherheit
* Vertraulichkeit
* die Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Informationen, um sicherzustellen, dass [[Informationen]] in kritischen Situationen nicht beeinträchtigt werden.
* Integrität
* Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl.
* Verfügbarkeit
* Während papiergestützte Geschäftsabläufe immer noch weit verbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird.
 
* Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen).
; Ziel
* Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist.
Sicherstellen, dass [[Informationen]] in kritischen Situationen nicht beeinträchtigt werden
 
; Problemfelder
* Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
* Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
* Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
* Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist


; Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher
; Was ist ein Comuter?
* Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis hin zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen.
Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher
IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden.
* Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen.


; Informationssicherheit hat sich in den letzten Jahren stark weiterentwickelt
; IT-Sicherheitsspezialisten
* Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]].Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil.
* IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
* Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen.
* Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen


=== Schutz von Informationen ===
; Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
* Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]]
* Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
* Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen
 
==== Schutz von Informationen ====
; [[Risikomanagement für Informationssysteme|Informationsrisikomanagement]]
* Schutz von [[Informationen]] durch die Minderung von Informationsrisiken
* Schutz von [[Informationen]] durch die Minderung von Informationsrisiken
* Teil des [[Risikomanagement für Informationssysteme|Informationsrisikomanagement]]


; Risikominderung
; Risikominderung
* Eintrittwahrscheinlichkeit  
* Eintrittwahrscheinlichkeit
* Schadensausmaß
* Schadensausmaß


; Gefährdungen von Informationen  
; Gefährdungen von Informationen
* unbefugter/unangemessener Zugriff
[[IT-Grundschutz/Kompendium/Elementaren Gefährdungen]]
* unrechtmäßige Nutzung
 
* Enthüllung
; Beispiele
* Unterbrechung
{| class="wikitable big options"
* Löschung
|-
* [[Datenverfälschung|Korruption]]
! Gefährdung !! Beschreibung
* Änderung
|-
* Einsichtnahme
| Unbefugter/unangemessener Zugriff ||
* Aufzeichnung
|-
* Entwertung  
| Unrechtmäßige Nutzung ||
|-
| Enthüllung ||
|-
| Unterbrechung ||
|-
| Löschung ||
|-
| [[Datenverfälschung|Korruption]] ||
|-
| Änderung ||
|-
| Einsichtnahme ||
|-
| Aufzeichnung ||
|-
| Entwertung ||
|}


; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
* Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]]).
* Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]])


; CIA-Trias Ausgewogenen Schutz
; CIA-Trias Ausgewogenen Schutz
{| class="wikitable sortable options"
{| class="wikitable big options"
|-
|-
! Grundwert !! English !! Abkürzung
! Grundwert !! English !! Abkürzung
Zeile 140: Zeile 218:
* Identifizierung von Informationen und zugehörigen [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie potenziellen [[Bedrohung (Computer)|Bedrohungen]], [[Schwachstelle (Computer)|Schwachstellen]] und Auswirkungen;
* Identifizierung von Informationen und zugehörigen [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie potenziellen [[Bedrohung (Computer)|Bedrohungen]], [[Schwachstelle (Computer)|Schwachstellen]] und Auswirkungen;
* Bewertung der Risiken
* Bewertung der Risiken
* Entscheidung, wie mit den Risiken umzugehen ist, d.h.
* Entscheidung, wie mit den Risiken umzugehen ist, d.h
* sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
* sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
* wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
* wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
* Überwachung der Aktivitäten und ggf.
* Überwachung der Aktivitäten
* Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
* Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten


; Standardisierte Vorgehensweise Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung usw.&nbsp;anzubieten.
; Standardisierte Vorgehensweise
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung und weitere&nbsp;anzubieten


Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden.
Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden
* Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|Kontinuierliche Verbesserung]] eingeführt wird.
* Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|Kontinuierliche Verbesserung]] eingeführt wird


== Definition ==
=== Definition ===
[[File:CIAJMK1209-en.svg|alt=vectorial version|thumb|'''Information Security Attributes''': or qualities, i.e., [[Confidentiality]], [[Data integrity|Integrity]] and [[Availability]] (CIA). [[Information Systems]] are composed in three main portions, hardware, software and communications with the purpose to help identify and apply information security industry standards, as mechanisms of protection and prevention, at three levels or layers: [[Physical information security|physical]], personal and organizational.
==== Attribute ====
* Essentially, procedures or policies are implemented to tell administrators, users and operators how to use products to ensure information security within the organizations.]]
[[File:CIAJMK1209-en.svg|alt=vectorial version|mini]]
; Attribute der Informationssicherheit (CIA)
* [[Vertraulichkeit]]
* [[Datenintegrität|Integrität]]
* [[Verfügbarkeit]]


; Im Folgenden werden verschiedene Definitionen von Informationssicherheit vorgeschlagen, die aus unterschiedlichen Quellen stammen
==== Informationssysteme ====
# Bewahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.
; Hauptteile von [[Informationssysteme]]n
#: Darüber hinaus können auch andere Eigenschaften, wie Authentizität, Verantwortlichkeit, Nichtabstreitbarkeit und Zuverlässigkeit, einbezogen werden." (ISO/IEC 27000:2009)
* Hardware
# "Der Schutz von Informationen und Informationssystemen vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." (CNSS, 2010)
* Software
# "Stellt sicher, dass nur autorisierte Benutzer (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit)." ([[ISACA]], 2008)
* Kommunikation
# "Informationssicherheit ist der Prozess des Schutzes des geistigen Eigentums einer Organisation." (Pipkin, 2000)
# "...Informationssicherheit ist eine Disziplin des Risikomanagements, deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten." (McDermott und Geer, 2001)
# Ein gut informiertes Gefühl der Sicherheit, dass Informationsrisiken und -kontrollen im Gleichgewicht sind. (Anderson, J., 2003)
# "Informationssicherheit ist der Schutz von Informationen und minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden." (Venter und Eloff, 2003)
# Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld, das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen.


Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden.
; Ziel
* Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen.
Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:
* Der derzeit relevante Satz von Sicherheitszielen kann Folgendes umfassen: ''Vertraulichkeit, Integrität, Verfügbarkeit, Datenschutz, Authentizität und Vertrauenswürdigkeit, Nichtabstreitbarkeit, Rechenschaftspflicht und Überprüfbarkeit.''" (Cherdantseva und Hilton, 2013)
* [[Physikalische Informationssicherheit|physikalisch]]
* Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung (Kurose und Ross, 2010).
* persönlich
* organisatorisch


==== Richtlinien ====
Verfahren und Richtlinien implementieren
* Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
* Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten


== Standards, „Best Practices“ und Ausbildung ==
==== Definitionen von Informationssicherheit ====
{| class="wikitable sortable options"
{| class="wikitable big options"
|-
|-
! Option !! Beschreibung
! Definition !! Beschreibung !! Quelle
|-
|-
| [[Common Criteria]] ||
| Vertraulichkeit, Integrität und Verfügbarkeit<br>von Informationen || Weitere Eigenschaften
|-
* [[Authentizität]]
| [[Security Engineering]] || stellt Instrumente zur Abwehr und Analyse von Angriffen und Bedrohungen von IT-Systemen bereit.
* [[Verantwortlichkeit]]
* [[Nichtabstreitbarkeit]]
* [[Zuverlässigkeit]]
| ISO/IEC 27000
|-
|-
| Ausbildung || [[Informationssicherheit/Qualifizierung]]
| Schutz von</br>Informationen/Informationssystemen || vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten || CNSS, 2010
|-
|-
| Audit und Zertifizierungen || [[Informationssicherheit/Audit und Zertifizierungen]]
| Nur autorisierte Benutzer || (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) || [[ISACA]], 2008
|}
 
{| class="wikitable sortable options"
|-
|-
! Option !! Beschreibung
| Ist ein Prozess || des Schutzes des geistigen Eigentums einer Organisation || Pipkin, 2000
|-
|-
| Gesetzliche Rahmenbedingungen || [[Informationssicherheit/Gesetze]]
| Disziplin des Risikomanagements || deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten || McDermott und Geer, 2001
|-
|-
| Gesetzliche Grundlagen || [[Informationssicherheit/Gesetzliche_Grundlagen]]
| Gut informiertes Gefühl<br>der Sicherheit || dass Informationsrisiken und -kontrollen im Gleichgewicht sind || Anderson, J., 2003
|-
|-
| Einsatz mobiler Endgeräte || [[Mobile Endgeräte]]
| Schutz von Informationen || minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden || Venter und Eloff, 2003
|}
|}


== Verfahren ==
; Multidisziplinäres Studien- und Berufsfeld
Die Begriffe "vernünftige und umsichtige Person", "[[Sorgfaltspflicht]]" und "Sorgfaltspflicht" werden seit vielen Jahren in den Bereichen Finanzen, Wertpapiere und Recht verwendet.
Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen
* In den letzten Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten.


In der Geschäftswelt erwarten Aktionäre, Kunden, Geschäftspartner und Regierungen, dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt.
; Bedrohungskategorien
* Dies wird oft als die Regel der "vernünftigen und umsichtigen Person" beschrieben.
Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
* Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen.
* Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
* Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen.


Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:
; Relevanter Satz von Sicherheitszielen
:''"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees''.
* Vertraulichkeit
''."'' Und <nowiki>[Due Diligence sind die]</nowiki> ''"kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'''
* Integrität
* Verfügbarkeit
* Datenschutz
* Authentizität
* Vertrauenswürdigkeit
* Nichtabstreitbarkeit
* Rechenschaftspflicht
* Überprüfbarkeit


Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden.
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung
* Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen.
* Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind.


Organisationen haben eine Verantwortung, die Sorgfaltspflicht bei der Anwendung der Informationssicherheit zu praktizieren.
== Verfahren ==
* Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken.
{{:Informationssicherheit/Verfahren}}
* Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten.
* DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen.
* Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen.
 
== Sicherheits-Governance ==
Das [[Software Engineering Institute]] an der [[Carnegie Mellon University]] definiert in einer Veröffentlichung mit dem Titel ''Governing for Enterprise Security (GES) Implementation Guide'' die Merkmale einer effektiven Security Governance.
* Ein unternehmensweites Thema
* Führungskräfte sind rechenschaftspflichtig
* Betrachtung als Geschäftsanforderung
* Risikobasiert
* Rollen, Verantwortlichkeiten und Aufgabentrennung definiert
* In der Politik angesprochen und durchgesetzt
* Angemessene Ressourcen werden bereitgestellt
* Sensibilisierung und Schulung der Mitarbeiter
* Eine Anforderung an den Entwicklungslebenszyklus
* Geplant, verwaltet, messbar und gemessen
* Überprüft und auditiert
 
== Vorfallsreaktionspläne ==
[[Vorfallsreaktionspläne]]
 
== Änderungsmanagement ==
 
== Geschichte ==
Seit den Anfängen der Kommunikation waren sich Diplomaten und militärische Befehlshaber darüber im Klaren, dass ein Mechanismus zum Schutz der Vertraulichkeit der Korrespondenz und ein Mittel zur Aufdeckung von [[Manipulation]]en notwendig war.
[[Julius Caesar]] wird die Erfindung der [[Caesar-Chiffre]] um 50 v.Chr.
* zugeschrieben, die verhindern sollte, dass seine geheimen Botschaften gelesen werden konnten, falls eine Nachricht in die falschen Hände geriet.
In den meisten Fällen wurde der Schutz jedoch durch die Anwendung von Verfahrenskontrollen erreicht.
 
Sensible Informationen wurden gekennzeichnet, um anzuzeigen, dass sie geschützt und von vertrauenswürdigen Personen transportiert, bewacht und in einer sicheren Umgebung oder einem Tresor aufbewahrt werden sollten.
* Mit der Ausweitung der Postdienste schufen die Regierungen offizielle Organisationen, um Briefe abzufangen, zu entziffern, zu lesen und wieder zu verschließen (etwa
* das 1653 gegründete britische Secret Office).
 
Jahrhunderts wurden komplexere [[Verschlusssachen|Klassifizierungssysteme]] entwickelt, die es den Regierungen ermöglichten, ihre Informationen nach dem Grad ihrer Sensibilität zu verwalten.
Die britische Regierung beispielsweise kodifizierte dies bis zu einem gewissen Grad mit der Veröffentlichung des [[Official Secrets Act 1889|Official Secrets Act]] im Jahr 1889.
Abschnitt 1 des Gesetzes betraf die Spionage und die unrechtmäßige Weitergabe von Informationen, während sich Abschnitt 2 mit der Verletzung des offiziellen Vertrauens befasste.
Bald wurde eine Verteidigung des öffentlichen Interesses hinzugefügt, um die Offenlegung von Informationen im Interesse des Staates zu schützen.
Ein ähnliches Gesetz wurde 1889 in Indien verabschiedet, der Indian Official Secrets Act, der mit der britischen Kolonialzeit in Verbindung gebracht wurde und dazu diente, gegen Zeitungen vorzugehen, die sich der Politik des Raj widersetzten.
Eine neuere Version wurde 1923 verabschiedet, die sich auf alle Angelegenheiten mit vertraulichen oder geheimen Informationen für die Regierung erstreckte.
Zur Zeit des [[Ersten Weltkriegs]] wurden mehrstufige Klassifizierungssysteme für die Übermittlung von Informationen zwischen den verschiedenen Fronten verwendet, was zu einem verstärkten Einsatz von Verschlüsselungsabteilungen in diplomatischen und militärischen Hauptquartieren führte.
In der Zwischenkriegszeit wurde die Verschlüsselung immer ausgeklügelter, da Maschinen eingesetzt wurden, um Informationen zu ver- und entschlüsseln.
 
Die Einführung der [[Computersicherheit]] leitete die Geschichte der Informationssicherheit ein.
* Die Notwendigkeit dafür ergab sich während des [[Zweiten Weltkrieg]]s.
* Die Menge an Informationen, die von den alliierten Ländern während des Zweiten Weltkriegs ausgetauscht wurden, machte eine formale Anpassung der Klassifizierungssysteme und Verfahrenskontrollen erforderlich.
Es entwickelte sich eine Reihe von geheimnisvollen Kennzeichnungen, die anzeigten, wer mit Dokumenten umgehen durfte (in der Regel Offiziere und nicht Soldaten) und wo sie aufbewahrt werden sollten, während immer komplexere Tresore und Lagereinrichtungen entwickelt wurden.
Die [[Enigma-Maschine]], die von den Deutschen zur Verschlüsselung von Kriegsdaten eingesetzt und von [[Alan Turing]] erfolgreich entschlüsselt wurde, kann als eindrucksvolles Beispiel für die Erstellung und Nutzung gesicherter Informationen angesehen werden.
Es wurden Verfahren entwickelt, um sicherzustellen, dass Dokumente ordnungsgemäß vernichtet wurden, und es war die Nichtbeachtung dieser Verfahren, die zu einigen der größten nachrichtendienstlichen Coups des Krieges führte (etwadie Gefangennahme von [[U-570]]).
 
Während des [[Kalten Krieges]] wurden verschiedene [[Großrechner]] online miteinander verbunden, um anspruchsvollere Aufgaben zu erledigen, und zwar in einem Kommunikationsprozess, der einfacher war als das Hin- und Herschicken von [[Magnetbänder]]n durch Rechenzentren.
* Daher begann die [[Advanced Research Projects Agency]] (ARPA) des [[US-Verteidigungsministerium]]s mit der Erforschung der Machbarkeit eines vernetzten Kommunikationssystems für den Informationsaustausch innerhalb der [[US-Streitkräfte]].
* Im Jahr 1968 wurde das [[ARPANET]]-Projekt von Dr. [[Lawrence Roberts (Wissenschaftler)|Larry Roberts]] ins Leben gerufen, aus dem sich später das [[Internet]] entwickeln sollte.
 
1973 stellte der Internet-Pionier [[Robert Metcalfe]] fest, dass wichtige Elemente der ARPANET-Sicherheit zahlreiche Schwachstellen aufwiesen, wie etwa: "Anfälligkeit der Passwortstruktur und -formate; fehlende Sicherheitsverfahren für [[Einwahlverbindung|Einwahlverbindungen]]; und nicht vorhandene Benutzeridentifizierung und -autorisierung", abgesehen von den fehlenden Kontrollen und Sicherheitsvorkehrungen zum Schutz der Daten vor unberechtigtem Zugriff.
* Aufgrund dieser Probleme, gepaart mit der ständigen Verletzung der Computersicherheit sowie der exponentiellen Zunahme der Zahl der Hosts und Benutzer des Systems, wurde "Netzwerksicherheit" oft als "Netzwerkunsicherheit" bezeichnet.
 
Jahrhunderts und in den ersten Jahren des einundzwanzigsten Jahrhunderts gab es rasante Fortschritte in der [[Telekommunikation]], der [[Computerhardware|hardware]] und [[Software]] sowie der [[Verschlüsselung]] von Daten.
Die Verfügbarkeit kleinerer, leistungsfähigerer und preiswerterer Computergeräte machte die [[Datenverarbeitung|elektronische Datenverarbeitung]] für [[Kleinunternehmen]] und Privatanwender erschwinglich.
Die Einführung des Transfer Control Protocol/Internetwork Protocol (TCP/IP) in den frühen 1980er Jahren ermöglichte die Kommunikation zwischen verschiedenen Computertypen.
* Diese Computer wurden schnell durch das [[Internet]] miteinander verbunden.
 
Das rasche Wachstum und die weite Verbreitung der elektronischen Datenverarbeitung und des [[elektronischen Geschäftsverkehrs]] über das Internet sowie zahlreiche Fälle von internationalem [[Terrorismus]] führten dazu, dass bessere Methoden zum Schutz der Computer und der von ihnen gespeicherten, verarbeiteten und übertragenen Informationen erforderlich wurden.
Es entstanden die akademischen Disziplinen [[Computersicherheit]] und [[Informationssicherung]] sowie zahlreiche Berufsverbände, die alle das gemeinsame Ziel verfolgen, die Sicherheit und Zuverlässigkeit von [[Informationssystemen]]en zu gewährleisten.


<noinclude>
<noinclude>
== Anhang ==
== Anhang ==
{| class="wikitable options"  
{| class="wikitable options"
|-
|-
! Gebiet !! Beschreibung
! Gebiet !! Beschreibung
Zeile 288: Zeile 311:
| [[Informationssicherheit/Grundlagen|Grundlagen]] ||
| [[Informationssicherheit/Grundlagen|Grundlagen]] ||
|-
|-
| [[Informationssicherheit/Begriffe|Begriffe]] ||
| [[ISMS/Glossar|Begriffe]] ||
|-
|-
| [[Informationssicherheit/Schutzziele|Schutzziele]] ||
| [[IT-Sicherheit/Grundfunktionen|Schutzziele]] ||
|-
|-
| [[Managementsystem_für_Informationssicherheit|Managementsystem]] ||
| [[Managementsystem_für_Informationssicherheit|Managementsystem]] ||
Zeile 300: Zeile 323:
| [[Security Engineering]] ||
| [[Security Engineering]] ||
|-
|-
| [[:Kategorie:Informationssicherheit/Qualifizierung|Qualifizierung]] ||
| [[:Kategorie:ISMS/Qualifizierung|Qualifizierung]] ||
|-
|-
| [[Informationssicherheit/Audit und Zertifizierungen|Audit und Zertifizierungen]] ||
| [[Informationssicherheit/Audit und Zertifizierungen|Audit und Zertifizierungen]] ||
Zeile 313: Zeile 336:
|}
|}


=== Siehe auch ===
==== Siehe auch ====
{{Special:PrefixIndex/Informationssicherheit}}
{{Special:PrefixIndex/Informationssicherheit}}
----
----
Zeile 321: Zeile 344:
* [[Risikomanagement]]
* [[Risikomanagement]]
* [[Business Continuity Management]]
* [[Business Continuity Management]]
* [[Cyberabwehr]]
* [[Cyberkrieg]]
* [[Europäische Agentur für Netz- und Informationssicherheit]]
* [[Internetkriminalität]], [[IT-Sicherheitsverfahren]]
* [[Need-to-know-Prinzip]]
* [[Need-to-know-Prinzip]]
* [[TeleTrusT]]
* [[TeleTrusT]]
Zeile 331: Zeile 350:
==== Links ====
==== Links ====
===== Weblinks =====
===== Weblinks =====
# https://de.wikipedia.org/wiki/Informationssicherheit
# https://en.wikipedia.org/wiki/Information_security
# https://en.wikipedia.org/wiki/Information_security
# http://iac.dtic.mil/iatac/ia_policychart.html
# http://msdn2.microsoft.com/en-us/library/ms998382.aspx
# http://www.opensecurityarchitecture.org
# http://www.iwar.org.uk/comsec
# [http://www.cl.cam.ac.uk/~rja14/book.html Ross Anderson's book "Security Engineering"]
# [[:Datei:Mind map of information security.svg|Mind Map der Informationssicherheit]]
# https://de.wikipedia.org/wiki/Informationssicherheit
# [http://www.bsi.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)]
# [[BMWi]]: [http://www.it-sicherheit-in-der-wirtschaft.de/ Task Force „IT-Sicherheit in der Wirtschaft“]
# [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“].
* Service des [[Eco – Verband der Internetwirtschaft|eco-Verbands der Internetwirtschaft e.V.]], gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi)
# [https://www.sicher-im-netz.de/ Deutschland sicher im Netz e.&nbsp;V.]
# [http://www.enisa.europa.eu/act/ar/deliverables/2006/ar-guide/de ''A Users’ Guide: How to raise information security awareness'' (DE).] [[Bundesamt für Sicherheit in der Informationstechnik]], Juni 2006, [[ENISA]] (mit PDF ''Leitfaden für die Praxis: Wege zu mehr Bewusstsein für Informationssicherheit''; 2&nbsp;MB)
# [https://www.din.de/de/mitwirken/normenausschuesse/nia/nationale-gremien/wdc-grem:din21:54770248 DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren]
# Christian Hawellek: [https://pentest24.de/strafrechtliche-relevanz-von-it-sicherheitsaudits/ ''Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts''. ]
# [[Ken Thompson]]: [http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf ''Reflections on Trusting Trust''] Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner.
[[Kategorie:Informationssicherheit]]


== Anhang ==
[[Kategorie:ISMS]]
[[Kategorie:Informationssicherheit]]
[[Kategorie:ISMS/Glossar]]
[[Änderungsmanagement]]
</noinclude>
</noinclude>

Aktuelle Version vom 28. April 2025, 09:32 Uhr

Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Systeme
System Beschreibung
nicht-technisch Prozessorientiert
technisch Systemorientiert

Begriffe

Begriff Beschreibung
Informationssicherheit Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Cybersicherheit Sicherheit gegen Gefahren aus dem Internet
IT-Sicherheit Technische Maßnahmen zur Realisierung von Grundwerten
Datenschutz Schutz personenbezogener Daten (privacy)
Business Continuity Management Sicherstellung des Fortbestands von Einrichtungen

Informationsverarbeitung

Tätigkeit Beschreibung
Erfassen
Speichern
Übermitteln

Informationssicherheit

Informationssicherheit
Begriff Informationssicherheit

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit

  • Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
  • In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
  • Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium
  • In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
  • Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann

Grundwerte

Grundwerte der Informationssicherheit
Vertraulichkeit
Verfügbarkeit
Integrität

Abhängigkeit von IT-Systemen

  • Private und öffentliche Unternehmen sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
  • Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen

Gesetzte und Regelungen

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht und weitere herleiten

Informationssicherheit und IT-Sicherheit

Motivation

Risikoorientierte Herangehensweise
  • Vermeidung von Schäden durch Maßnahmen
  • Schutz vor Schäden jeglicher Art
Klassische Beispiele
  • Image- und Vertrauensverlust
  • Datenverlust
  • Produktivitätsausfall
  • Wirtschaftsspionage
  • Verletzung von Marken- und Urheberrechten

IT-Sicherheit

Motivationen
Motivation Beschreibung
Globalisierung Kommunikationsbedürfnisse und -infrastruktur (Internet) Verteilte Informatiksysteme sind kritische Ressourcen
  • Grenzüberschreitenden Kooperation
    • E-Mail
    • Desktop-Konferenzen
    • Soziale Netzwerke
    • Fernzugriffe
Offene Systeme Vielfältige Schnittstellen und Datenaustausch Erhöhung des Angriffs- und Schadenpotentials
Physische Sicherheit Zugang zu Räumen und IT-Systemen Kann oft nicht gewährleistet werden
Vertrauen als Ressource Wem vertraue ich, wem nicht? Wer ist mein Gegenüber wirklich?

Arten und Wichtigkeit von Informationen

Informationen sind Werte

ISO/IEC 27001

  • Wertvoll für eine Organisation
  • Wie die übrigen Geschäftswerte
  • Müssen in geeigneter Weise geschützt werden
Angemessener Schutz

Unabhängig von

  • Erscheinungsform
  • Art der Nutzung
  • Speicherung
Option Beschreibung
Schutzziele IT-Sicherheit/Grundfunktionen
Maßnahmen IT-Grundschutz/Maßnahmen
IT-Sicherheitsmanagement Managementsystem_für_Informationssicherheit
Aufrechterhaltung (CIA) von Informationen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder
  • Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
  • Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
  • Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
  • Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
Was ist ein Comuter?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

  • Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
IT-Sicherheitsspezialisten
  • IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
  • Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
  • Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
  • Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
  • Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen

Schutz von Informationen

Informationsrisikomanagement
  • Schutz von Informationen durch die Minderung von Informationsrisiken
Risikominderung
  • Eintrittwahrscheinlichkeit
  • Schadensausmaß
Gefährdungen von Informationen

IT-Grundschutz/Kompendium/Elementaren Gefährdungen

Beispiele
Gefährdung Beschreibung
Unbefugter/unangemessener Zugriff
Unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung
Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
  • Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
CIA-Trias Ausgewogenen Schutz
Grundwert English Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit
Schwerpunkt
Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess
  • Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
  • Bewertung der Risiken
  • Entscheidung, wie mit den Risiken umzugehen ist, d.h
  • sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
  • wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
  • Überwachung der Aktivitäten
  • Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
Standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung und weitere anzubieten

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden

  • Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird

Definition

Attribute

vectorial version
Attribute der Informationssicherheit (CIA)

Informationssysteme

Hauptteile von Informationssystemen
  • Hardware
  • Software
  • Kommunikation
Ziel

Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

Richtlinien

Verfahren und Richtlinien implementieren

  • Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
  • Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Definition Beschreibung Quelle
Vertraulichkeit, Integrität und Verfügbarkeit
von Informationen		 Weitere Eigenschaften ISO/IEC 27000
Schutz von
Informationen/Informationssystemen		 vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten CNSS, 2010
Nur autorisierte Benutzer (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) ISACA, 2008
Ist ein Prozess des Schutzes des geistigen Eigentums einer Organisation Pipkin, 2000
Disziplin des Risikomanagements deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten McDermott und Geer, 2001
Gut informiertes Gefühl
der Sicherheit		 dass Informationsrisiken und -kontrollen im Gleichgewicht sind Anderson, J., 2003
Schutz von Informationen minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden Venter und Eloff, 2003
Multidisziplinäres Studien- und Berufsfeld

Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen

Bedrohungskategorien

Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden

  • Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
Relevanter Satz von Sicherheitszielen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
  • Datenschutz
  • Authentizität
  • Vertrauenswürdigkeit
  • Nichtabstreitbarkeit
  • Rechenschaftspflicht
  • Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung

Verfahren

Informationssicherheit/Verfahren

Beschreibung

Verfahren Beschreibung
Sicherheits-Governance
Vorfallsreaktionspläne
Änderungsmanagement

Sorgfaltspflicht

"Vernünftige und umsichtige Person", "Sorgfaltspflicht"

  • Lange in Bereichen Finanzen, Wertpapiere und Recht verwendet
  • In den vergangenen Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten

Einhaltung von Gesetzen und Vorschriften

Aktionäre, Kunden, Geschäftspartner und Regierungen erwarten

  • dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt
  • Dies wird oft als die Regel der "vernünftigen und umsichtigen Person" beschrieben
  • Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen
  • Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen

"due care" und "due diligence"

Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:

"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees."

Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'

Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden
  • Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen
  • Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind

Verantwortung

Organisationen haben eine Verantwortung

Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren
  • Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken
  • Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten
  • DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen
  • Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen



Anhang

Gebiet Beschreibung
Grundlagen
Begriffe
Schutzziele
Managementsystem
Maßnahmen
Common Criteria
Security Engineering
Qualifizierung
Audit und Zertifizierungen
Rahmenbedingungen
Umsetzungsbereiche
Mobile Endgeräte
Bedrohungen

Siehe auch

Links

Weblinks
  1. https://de.wikipedia.org/wiki/Informationssicherheit
  2. https://en.wikipedia.org/wiki/Information_security
Abgerufen von „https://wiki.foxtom.de/index.php?title=Informationssicherheit&oldid=139027“