Version vom 30. September 2024, 12:55 Uhr

Inhalte

Einführung

Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Systeme

System	Beschreibung
nicht-technisch	Prozessorientiert
technisch	Systemorientiert

Begriffe

Begriff	Beschreibung
Informationssicherheit	Eigenschaft von Systemen, Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Cybersicherheit	Sicherheit gegen Gefahren aus dem Internet
IT-Sicherheit	Technische Maßnahmen zur Realisierung von Grundwerten
Datenschutz	Schutz personenbezogener Daten (privacy)
Business Continuity Management	Sicherstellung des Fortbestands von Einrichtungen

Informationsverarbeitung

Tätigkeit	Beschreibung
Erfassen
Speichern
Übermitteln

Informationssicherheit

Informationssicherheit

Schutz vor Gefahren/Bedrohungen
Vermeidung von wirtschaftlichen Schäden
Minimierung von Risiken

Begriff Informationssicherheit

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit

Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht
In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss
Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium
In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist
Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann

Grundwerte

Grundwerte der Informationssicherheit

Vertraulichkeit
Verfügbarkeit
Integrität

Abhängigkeit von IT-Systemen

Private und öffentliche Unternehmen sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen

Gesetzte und Regelungen

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten

Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar
International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle

Informationssicherheit und IT-Sicherheit

Motivation

Risikoorientierte Herangehensweise

Vermeidung von Schäden durch Maßnahmen
Schutz vor Schäden jeglicher Art

Klassische Beispiele

Image- und Vertrauensverlust
Datenverlust
Produktivitätsausfall
Wirtschaftsspionage
Verletzung von Marken- und Urheberrechten

IT-Sicherheit

Motivationen

Motivation		Beschreibung
Globalisierung	Kommunikationsbedürfnisse und -infrastruktur (Internet)	Verteilte Informatiksysteme sind kritische Ressourcen Grenzüberschreitenden Kooperation E-Mail Desktop-Konferenzen Soziale Netzwerke Fernzugriffe
Offene Systeme	Vielfältige Schnittstellen und Datenaustausch	Erhöhung des Angriffs- und Schadenpotentials
Physische Sicherheit	Zugang zu Räumen und IT-Systemen	Kann oft nicht gewährleistet werden
Vertrauen als Ressource	Wem vertraue ich, wem nicht?	Wer ist mein Gegenüber wirklich?

Arten und Wichtigkeit von Informationen

Informationen sind Werte

ISO/IEC 27001

Wertvoll für eine Organisation
Wie die übrigen Geschäftswerte
Müssen in geeigneter Weise geschützt werden

Angemessener Schutz

Unabhängig von

Erscheinungsform
Art der Nutzung
Speicherung

Option	Beschreibung
Schutzziele	IT-Sicherheit/Grundfunktionen
Maßnahmen	IT-Grundschutz/Maßnahmen
IT-Sicherheitsmanagement	Managementsystem_für_Informationssicherheit

Aufrechterhaltung (CIA) von Informationen

Vertraulichkeit
Integrität
Verfügbarkeit

Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder

Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist

Was ist ein Comuter?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen

IT-Sicherheitsspezialisten

IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen

Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt

Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen

Schutz von Informationen

Informationsrisikomanagement

Schutz von Informationen durch die Minderung von Informationsrisiken

Risikominderung

Eintrittwahrscheinlichkeit
Schadensausmaß

Gefährdungen von Informationen

IT-Grundschutz/Kompendium/Elementaren Gefährdungen

Beispiele

Gefährdung	Beschreibung
Unbefugter/unangemessener Zugriff
Unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung

Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle

Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)

CIA-Trias Ausgewogenen Schutz

Grundwert	English	Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit

Schwerpunkt

Effiziente Umsetzung von Richtlinien
ohne die Produktivität der Organisation zu beeinträchtigen

Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess

Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
Bewertung der Risiken
Entscheidung, wie mit den Risiken umzugehen ist, d.h
sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
Überwachung der Aktivitäten
Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten

Standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden

Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird

Definition

Attribute

Attribute der Informationssicherheit (CIA)

Informationssysteme

Hauptteile von Informationssystemen

Hardware
Software
Kommunikation

Ziel

Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

physikalisch
persönlich
organisatorisch

Richtlinien

Verfahren und Richtlinien implementieren

Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Definition	Beschreibung	Quelle
Vertraulichkeit, Integrität und Verfügbarkeit von Informationen	Weitere Eigenschaften Authentizität Verantwortlichkeit Nichtabstreitbarkeit Zuverlässigkeit	ISO/IEC 27000
Schutz von Informationen/Informationssystemen	vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten	CNSS, 2010
Nur autorisierte Benutzer	(Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit)	ISACA, 2008
Ist ein Prozess	des Schutzes des geistigen Eigentums einer Organisation	Pipkin, 2000
Disziplin des Risikomanagements	deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten	McDermott und Geer, 2001
Gut informiertes Gefühl der Sicherheit	dass Informationsrisiken und -kontrollen im Gleichgewicht sind	Anderson, J., 2003
Schutz von Informationen	minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden	Venter und Eloff, 2003

Multidisziplinäres Studien- und Berufsfeld

Das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen

Bedrohungskategorien

Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden

Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen

Relevanter Satz von Sicherheitszielen

Vertraulichkeit
Integrität
Verfügbarkeit
Datenschutz
Authentizität
Vertrauenswürdigkeit
Nichtabstreitbarkeit
Rechenschaftspflicht
Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung

Verfahren

Informationssicherheit/Verfahren

Beschreibung

Verfahren	Beschreibung
Sicherheits-Governance
Vorfallsreaktionspläne
Änderungsmanagement

Sorgfaltspflicht

„Vernünftige und umsichtige Person“, „Sorgfaltspflicht“

Lange in Bereichen Finanzen, Wertpapiere und Recht verwendet
In den vergangenen Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten

Einhaltung von Gesetzen und Vorschriften

Aktionäre, Kunden, Geschäftspartner und Regierungen erwarten

dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt
Dies wird oft als die Regel der „vernünftigen und umsichtigen Person“ beschrieben
Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen
Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen

"due care" und "due diligence"

Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:

"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees."

Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'

Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden

Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen
Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind

Verantwortung

Organisationen haben eine Verantwortung

Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren

Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken
Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten
DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen
Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen

Begriffe

Begriffe der Informations- und IT-Sicherheit

Glossar

Begriffe werden je nach Autor und sprachlichem Umfeld unterschiedlich interpretiert

Begriff	Synonyme	Beschreibung
Authentizität
Bedrohung
Computersicherheit
Datenschutz
Datensicherheit
Datensicherung
Informationssicherheit
Informationstechnik	IT, Informationstechnologie	Technische Verarbeitung und Übertragung von Informationen
IT-Sicherheit
IT-System
Risiko
Risikoanalyse
Scope
Sicherheit
Sicherheitskultur
Sicherheitslücke

Normreihe ISO/IEC 2700x

ISO/27000 - ISMS - Überblick und Terminologie

Beschreibung

ISO/IEC 27000 - Informationssicherheitsmanagementsystem - Überblick und Terminologie

Informationstechnik - Sicherheitsverfahren - Informationssicherheits-Managementsysteme - Überblick und Terminologie
Informativer Standard
Einführung in ISO 27000 ff.

Definition relevanter Begriffe

Beschreibt Begriffe nicht abschließend
Nicht alle Begriffe der ISO 27000 ff.

Umsetzung eines ISMS

Grundsätze
Generelle Aussagen zur Anwendung, Bedeutung und Wirkung der ISO 27000 ff.
Aufzählung der wesentlichen Schritte für die Umsetzung des ISMS

ISO/IEC 2700X/270XX

Internationale Standard Familie
Baut auf ISO 17799 und dem British Standard BS 7799 auf
Diese Standards unterliegen häufigen Änderungen

Über 20 Normen zu Informationssicherheit

Best-Practice-Lösungen
Kriterienkataloge

Aspekte

Regeln und Richtlinien zur Informationssicherheit
Organisation von Sicherheitsmaßnahmen und Managementprozessen
Personelle Sicherheit
Asset-Management
Physikalische Sicherheit und Zugangsdienste
Zugriffskontrolle (Access Control)
Umgang mit sicherheitstechnischen Vorfällen
Systementwicklung und deren Wartung
Planung einer Notfallvorsorge
Einhaltung gesetzlicher Vorgaben
Überprüfung durch Audits

Standards zur Informationssicherheit

Zusammenarbeit von ISO und IEC

Standards zur Informationssicherheit unter dem Nummernkreis 2700x Information technology – Security techniques zusammengefasst
Der deutsche Anteil an dieser Normungsarbeit wird vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut
Für die Evaluierung und Zertifizierung von IT-Produkten und -systemen existiert der Standard ISO/IEC 15408 (Common Criteria).

ISMS

Information Security Management System
Best-Practice-Empfehlungen zur Organisation der Informationssicherheit

Normen

Informationssicherheits-Managementsysteme

Informationssicherheits-Managementsysteme (2700X)

ISO/IEC	Beschreibung
27000	Übersicht und Vokabular	Begriffe und Definitionen
27001	Anforderungen	Anforderungen an ein ISMS
27002	Code of practice	Kontrollmechanismen für Informationssicherheit
27003	Implementation Guidelines	Leitfaden zur Umsetzung der ISO/IEC 27001
27004	Measurements	Information Security Management Measurement
27005	Information security risk management	IS-Risikomanagement
27006	Informationstechnik - Sicherheitstechniken - Anforderungen	Kriterien der Auditierung und Zertifizierung
27007	Informationstechnik - Sicherheitstechniken - Leitfaden	Leitfaden für die Auditierung
27008	Informationstechnik - Sicherheitstechniken - Leitfaden für Auditoren	Kontrolle eines ISMS

Fachspezifische Normen

Fachspezifische Subnormen (270XX)

ISO/IEC	Beschreibung
27010	Informationssicherheitsmanagement für sektor- und organisationsübergreifende Kommunikation
27011	Informationssicherheitsmanagement-Richtlinien für Telekommunikationsorganisationen
27013	Integrierte Implementierung von ISO/IEC 20000-1 und ISO/IEC 27001
27014	Governance der Informationssicherheit
27015	Informationssicherheitsmanagement für Finanzdienstleistungen (zurückgezogen)
27016	Auditing und Überprüfungen
27017	Sicherheitstechniken - Verhaltenskodex - Informationssicherheitskontrollen für Cloud-Computing-Dienste
27018	Sicherheitstechniken - Verhaltenskodex - Kontrollen zum Schutz personenbezogener Daten, die in öffentlichen Cloud-Computing-Diensten verarbeitet werden
27019	Informationssicherheitsmanagement basierend auf ISO/IEC 27002 für Prozessleitsysteme speziell für die Energiewirtschaft
27031	Geschäftskontinuität
27032	Richtlinien für Cybersecurity
27033	Netzwerksicherheit - Überblick und Konzepte
27034	Richtlinien für Anwendungssicherheit
27035	Management von Informationssicherheitsvorfällen

Weitere

ISO/IEC	Beschreibung
15408	Common Criteria
22301	Business Continuity Management
27799	Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002
31000	Risikomanagement

Übersicht

ISO/IEC 27000

Scope	Geltungsbereich
Asset	Wert/Schutzobjekt
SOA	Statement of Applicability
RTP	Risk Treatment Plan
BCP	Business Continuity-Plan
Logs	Log Files

Quelle

Ausbildung und Zertifizierung

Option	Beschreibung
Organisationen	Ein Information Security Management System kann gegen den normativen Teil ISO/IEC 27001 geprüft und zertifiziert werden
Personen	Für Personen existieren verschiedene Schemata zur Ausbildung und Zertifizierung Diese werden von unterschiedlichen Zertifizierungsunternehmen gestaltet Liste der IT-Zertifikate

Management der Informationssicherheit

Information Security Management System (ISMS) - Managementsystem für Informationssicherheit

Beschreibung

IT-Sicherheitsmanagement

Prozess zur Gewährleistung der IT-Sicherheit

Aufgaben

Systematische Absicherung eines informationsverarbeitenden IT-Verbundes
Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
Die Auswahl und Umsetzung von IT-Sicherheitsmaßnahmen für die jeweiligen Geschäftsprozesse eines Unternehmens zählt zu den Tätigkeiten des IT-Sicherheitsmanagements
Eine normierte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht

Begriffsherkunft

Der Begriff des IT-Sicherheitsmanagements taucht erstmals mit der Veröffentlichung der Green Books im Jahre 1989 auf

Aus einem Teil der Green Books entwickelte sich die BS-7799-Norm für Informationssicherheit
Gleichwohl wurden bereits von amerikanischen Behörden in den 1970er-Jahren Methoden für ein strukturiertes Vorgehen zur Absicherung gegen Bedrohungen der Informationssicherheit verwendet
In den 1980er-Jahren folgten im englischsprachigen Bereich einige Studien und Aufsätze zum Thema computer abuse and security und wie eine effektive Informationssicherheit durch organisatorische Maßnahmen in einem Unternehmen erreicht werden konnte

Sicherheitstechnik

Institutionen nutzt Sicherheitstechnik

Beispielsweise um sich vor Gefahren aus dem Internet abzusichern

Virenschutzprogramme
Spamfilter
gestaffelte Firewalls
Software zur Angriffserkennung

Sicherheitsorganisation

Organisatorische Maßnahme

Richtlinien

Benutzung mobiler Systeme erlassen oder die ihre Mitarbeiter über Gefahren im Internet informieren

Fehlende Konzeption

Sowohl die Anwendung von Technik als auch die Einführung organisatorischer Maßnahmen erfolgt oft jedoch ohne Konzept und Erfolgskontrolle

Isolierte Maßnahmen

Für eine angemessene Informationssicherheit ist die isolierte Umsetzung einzelner technischer oder organisatorischer Maßnahmen erfahrungsgemäß, allerdings weder effektiv noch effizient

Vielmehr ist ein Rahmen erforderlich, der dafür sorgt, dass alle Maßnahmen zielgerichtet gesteuert und überwacht werden

Ein solches Managementsystem für Informationssicherheit (ISMS) besteht aus folgenden Komponenten

Managementprinzipien, etwa der Vorgabe von Zielen in der Organisation, der Erstellung von Kommunikationsgrundsätzen oder Regelungen für Kosten-Nutzen-Analysen,
Ressourcen und Mitarbeitern, dies umfasst die Steuerung des Einsatzes von Technik und Personal sowie
der Beschreibung eines Sicherheitsprozesses

Worauf sollten Sie beim Aufbau und Betrieb eines ISMS achten?

BSI-Standard 200-1: Managementsysteme für Informationssicherheit

Die dort genannten Empfehlungen werden im -Standard 200-2: -Grundschutz-Methodik konkretisiert
In den Kapiteln 3 und 4 erfahren Sie dort beispielsweise, worauf bei der Initiierung und Organisation des Sicherheitsprozesses zu achten ist

Aspekte des Managements von Informationssicherheit gemäß IT-Grundschutz

Aspekt	Beschreibung
Sicherheitsprozess
Managementprinzipien
Sicherheitsorganisation
Sicherheitsleitlinie
Sicherheitskonzept
Dokumentation

Aufgabe

Systematische Absicherung eines Informationsverbunds

Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
Die Auswahl und Umsetzung von IT-Sicherheitsstandards zählt zu den Aufgaben des IT-Sicherheitsmanagements

Standards

IT-Grundschutz des BSI

Die IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen
Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor

ISO/IEC 27001: Norm für Informationssicherheitsmanagementsysteme (ISMS)
ISO/IEC 27002: Leitfaden für das Informationssicherheitsmanagement

Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm

Folgende Standards werden dem IT-Sicherheitsmanagement zugerechnet

Weltweit am stärksten verbreitet ist die ISO/IEC-27001-Norm

IT-Grundschutz des BSI	IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Anforderungen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen (Waschzettel)
Für Systeme mit hohem Schutzbedarf	geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
Die Grundschutz-Kataloge sind primär in Deutschland bekannt	liegen allerdings auch englischsprachig vor
ISO/IEC 27001	Norm für Informationsicherheitsmanagementsysteme (ISMS)
ISO/IEC 27002	Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
BS 7799-1 und BS 7799-2	Vorgänger der ISO/IEC 27001 und ISO/IEC 27002

Weitere Standards mit IT-Sicherheitsaspekten

ITIL	Best-Practices-Sammlung für das IT-Servicemanagement
ISO/IEC 20000	die ISO/IEC-Norm für IT-Servicemanagement
BS 15000	Britischer Standard für IT-Servicemanagement
COBIT	IT-Governance-Framework
ISO/IEC 13335	Ehemalige Normenreihe zum Sicherheitsmanagement in der Informations- und Kommunikationstechnik
EN ISO 27799	Medizinische Informatik – Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002 (speziell für den Gesundheitsbereich)
VdS 10005	Richtlinie für IT-Sicherheit im kleinen Mittelstand
Payment Card Industry Data Security Standard (PCI-DSS)	Regelwerk für die Abwicklung von Kreditkartentransaktionen
Benchmarks des Center for Internet Security
Federal Information Processing Standards (FIPS)	weitere des US National Institute of Standards and Technology (NIST)

Verfahren und Regeln

Verfahren und Regeln innerhalb einer Organisation
Informationssicherheit

definieren
steuern
kontrollieren
aufrechterhalten
fortlaufend verbessern

Begriff wird im Standard ISO/IEC 27002 definiert

ISO/IEC 27001 beschreibt ein ISMS

Deutscher Anteil an dieser Normungsarbeit

DIN NIA-01-27 IT-Sicherheitsverfahren

Informationssicherheit und Datenschutz

Überschneidende Zuständigkeiten
Informationssicherheitsbeauftragte (ISB) und Datenschutzbeauftragter (DSB)

Sollten personell getrennt wahrgenommen werden

ISO/IEC 27701

Mit der ISO/IEC 27701 wird das klassische Informationssicherheitsmanagementsystem um Datenschutzaspekte erweitert

Sodass beide Beauftragte über das gleiche Dokumentenwerk gegenseitig zuarbeiten können

Allgemeine Ansätze

Ansatz	Beschreibung
Verankerung in der Organisation	Die Verantwortlichkeiten und Befugnisse für den Informationssicherheitsprozess werden vom obersten Management eindeutig und widerspruchsfrei zugewiesen Insbesondere wird ein Mitarbeiter bestimmt, der umfassend verantwortlich für das Informationssicherheitsmanagementsystem ist (in der Regel Informationssicherheitsbeauftragter oder kurz ISB genannt) Alternativ kann sich die Organisation auch eines externen Dienstleisters bedienen, der den ISB stellt
Verbindliche Ziele	Die durch den Informationssicherheitsprozess zu erreichenden Ziele werden durch das Topmanagement vorgegeben.
Richtlinien	Verabschiedung von Sicherheitsrichtlinien (Security Policy), die den sicheren Umgang mit der IT-Infrastruktur und den Informationen definieren durch das oberste Management
Personalmanagement	Bei Einstellung, Einarbeitung sowie Beendigung oder Wechsel der Anstellung von Mitarbeitern werden die Anforderungen der Informationssicherheit berücksichtigt.
Aktualität des Wissens	Es wird sichergestellt, dass das Unternehmen über aktuelles Wissen in Bezug auf Informationssicherheit verfügt.
Qualifikation und Fortbildung	Es wird sichergestellt, dass das Personal seine Verantwortlichkeiten versteht und es für seine Aufgaben geeignet und qualifiziert ist.
Adaptive Sicherheit	Das angestrebte Niveau der Informationssicherheit wird definiert, umgesetzt und fortlaufend an die aktuellen Bedürfnisse sowie die Gefährdungslage angepasst (Kontinuierlicher Verbesserungsprozess)
Vorbereitung	Das Unternehmen ist auf Störungen, Ausfälle und Sicherheitsvorfälle in der elektronischen Datenverarbeitung vorbereitet

Zertifizierung

IT-Grundschutz/Zertifizierung

Rahmenbedingungen

Regulatorisch

IT-Sicherheitsgesetz

IT-Sicherheitsgesetz - Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme

Beschreibung

IT-Sicherheitsgesetz 1.0

Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme

Mit dem seit Juli 2015 gültigen Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT -Sicherheitsgesetz) leistet die Bundesregierung einen Beitrag dazu, die IT -Systeme und digitalen Infrastrukturen Deutschlands zu den sichersten weltweit zu machen

Insbesondere im Bereich der Kritischen Infrastrukturen (KRITIS ) - wie etwa Strom- und Wasserversorgung, Finanzen oder Ernährung - hätte ein Ausfall oder eine Beeinträchtigung der Versorgungsdienstleistungen dramatische Folgen für Wirtschaft, Staat und Gesellschaft in Deutschland
Die Verfügbarkeit und Sicherheit der IT -Systeme spielt somit, speziell im Bereich der Kritischen Infrastrukturen, eine wichtige und zentrale Rolle

Ziel des IT -Sicherheitsgesetzes ist aber auch die Verbesserung der IT -Sicherheit bei Unternehmen und in der Bundesverwaltung, sowie ein besserer Schutz der Bürgerinnen und Bürger im Internet

Neben o. g. Akteuren gelten einzelne Regelungen des IT -Sicherheitsgesetzes daher auch für Betreiber von kommerziellen Webangeboten, die höhere Anforderungen an ihre IT -Systeme erfüllen müssen
Auch Telekommunikationsunternehmen sind künftig stärker gefordert
Sie werden verpflichtet, ihre Kunden zu warnen, wenn sie einen Missbrauch eines Kundenanschlusses feststellen
Zusätzlich sollen sie Betroffenen wenn möglich Lösungsmöglichkeiten aufzeigen
Die zuständige Aufsichtsbehörde ist in diesen Fällen die Bundesnetzagentur
Um diese Ziele zu erreichen, wurden u. a. die Aufgaben und Befugnisse des Bundesamtes für Sicherheit in der Informationstechnik (BSI ) ausgeweitet

Antworten zu den wichtigsten Fragen finden Sie in unseren FAQ sowie in einer Informationsbroschüre des BSI :

Broschüre "IT-Sicherheitsgesetz"

Broschüre "IT-Sicherheitsgesetz"

IT-Sicherheitsgesetz 2.0

Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme

Neues IT -Sicherheitsgesetz für eine moderne Cybersicherheit

Durch die Unterzeichnung des Bundespräsidenten und die Veröffentlichung im Bundesgesetzblatt ist das Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT -Sicherheitsgesetz 2.0) in Kraft getreten

Der Bundesrat hat das Gesetz am 7. Mai 2021 gebilligt
Im Bundestag wurde das Gesetz bereits am 23. April 2021 verabschiedet

Das BSI bekommt damit neue Kompetenzen, die seine Arbeit als Cybersicherheitsbehörde des Bundes deutlich stärken

Stärkung des BSI

Detektion und Abwehr

Das BSI erhält verstärkte Kompetenzen bei der Detektion von Sicherheitslücken und der Abwehr von Cyberangriffen

So kann das BSI als zentrales Kompetenzzentrum der Informationssicherheit die sichere Digitalisierung gestalten und unter anderem Mindeststandards für die Bundesbehörden verbindlich festlegen und effektiver kontrollieren

Cybersicherheit in den Mobilfunknetzen

Das Gesetz enthält eine Regelung zur Untersagung des Einsatzes kritischer Komponenten zum Schutz der öffentlichen Ordnung oder Sicherheit in Deutschland
Die Netzbetreiber müssen zudem vorgegebene, hohe Sicherheitsanforderungen erfüllen und kritische Komponenten müssen zertifiziert werden
So sorgt das Gesetz unter anderem für die Informationssicherheit in den 5G -Mobilfunknetzen

Verbraucherschutz

Das BSI bekommt die Aufgabe des Digitalen Verbraucherschutzes (DVS ) und der Verbraucherinformation im Bereich der Sicherheit in der Informationstechnik, insbesondere durch unabhängige und neutrale Beratung sowie Warnung auf Bundesebene

Durch die Einführung eines einheitlichen IT -Sicherheitskennzeichens für Bürgerinnen und Bürger soll in Zukunft die IT -Sicherheit transparenter werden
Zudem soll erkennbar sein, welche Produkte bereits bestimmte IT -Sicherheitsstandards einhalten

Sicherheit für Unternehmen

Der Kreis der Kritischen Infrastrukturen wird um den Sektor Siedlungsabfallentsorgung erweitert

Daneben müssen künftig auch weitere Unternehmen im besonderen öffentlichen Interesse (zum Beispiel Rüstungshersteller oder Unternehmen mit besonders großer volkswirtschaftlicher Bedeutung) bestimmte IT -Sicherheitsmaßnahmen umsetzen und werden in den vertrauensvollen Informationsaustausch mit dem BSI einbezogen

Behörde für Cybersicherheitszertifizierung

Nationale Behörde für Cybersicherheitszertifizierung

Das BSI ist laut § 9a Absatz 1 die Nationale Behörde für die Cybersicherheitszertifizierung (im englischen "National Cybersecurity Certification Authority [[[NCCA]] ]") im Sinne des Artikels 58 Absatz 1 der Verordnung (EU ) 2019/881, auch bekannt als Cybersecurity Act (CSA )

Diese ist insbesondere für die Überwachung und Durchsetzung der Vorschriften im Rahmen der europäischen Schemata für die Cybersicherheitszertifizierung zuständig
Dabei sind die Tätigkeiten Aufsichtsführung und Zertifizierung streng voneinander zu trennen und unabhängig durchzuführen

Informationssicherheit und Digitalisierung gehören untrennbar zusammen

Sie sind zwei Seiten einer Medaille und des BSI
Mit dem IT -SiG 2.0 haben der Bundestag und der Bundesrat ein klares und dringendes Upgrade der Informationssicherheit in Deutschland vollzogen
Damit die Digitalisierung sicher gelingt, braucht es das BSI als starke Cybersicherheitsbehörde des Bundes
Denn das Beraten, Informieren und Warnen wird in Zukunft immer wichtiger werden

KRITIS

Kritische Infrastrukturen - Infrastrukturen mit wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen

Beschreibung

Was sind Kritische Infrastrukturen?

Anlagen
Systeme
oder Teile davon

Störungen mit erheblichen Auswirkungen

Wirtschaftliches/soziales Wohlergehen der Bevölkerung

Allgemeines

Definition KRITIS: Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.

Infrastrukturen sind jedermann zugängliche staatliche oder private Anlagen oder Einrichtungen, die in einem festgelegten organisatorischen und/oder geografischen Bereich Dienstleistungen zur Verfügung stellen

Dazu gehören auch die ablaufenden Prozesse, die eingesetzte Informationstechnik sowie die tätigen Arbeitskräfte

Kritische Infrastrukturen sind dementsprechend „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“
„Kritisch“ bezieht sich auf die Systemrelevanz der Infrastrukturen, also auf die für das Gesamtsystem und die Daseinsvorsorge besonders bedeutsamen Einrichtungen

Es bedarf auch des Schutzes Kritischer Informationsinfrastrukturen (, CIIP). „Kritisch“ meint hierbei nicht, dass die Eintrittswahrscheinlichkeit von Störungen hoch ist

Es ist vielmehr so zu verstehen, dass Störungen oder Ausfälle weitreichende Folgen bis hin zu katastrophalen Auswirkungen für Staat, Wirtschaft und/oder große Teile der Bevölkerung haben können

Sektoren

Sektoren Kritischer Infrastrukturen

Energie
Informationstechnik und Telekommunikation
Transport und Verkehr
Gesundheit
Medien und Kultur
Wasser
Ernährung
Finanz- und Versicherungswesen
Siedlungsabfallentsorgung
Staat und Verwaltung

Alle Organisationen aus diesen Sektoren zählen unabhängig von ihrer Größe zu den Kritischen Infrastrukturen (KRITIS)

Die Sektoren Staat und Verwaltung sowie Medien und Kultur unterliegen jedoch nicht der Regulierung durch das BSIG

Durch das BSIG regulierte KRITIS-Sektoren

Gemäß § 2 Absatz 10 BSIG sind Kritische Infrastrukturen im Sinne dieses Gesetzes Einrichtungen, Anlagen oder Teile davon, die den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung angehören und von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden. Die Kritischen Infrastrukturen im Sinne dieses Gesetzes werden durch die Rechtsverordnung nach § 10 Absatz 1 BSIG (BSI-Kritisverordnung) näher bestimmt:

Arten

Kritische Infrastrukturen setzen sich zusammen aus technischen Basisinfrastrukturen und sozioökonomischen Infrastrukturen

Technische Basisinfrastrukturen gewährleisten die

Energieversorgung
Trinkwasserversorgung sowie Abwasserentsorgung und
ermöglichen Informationsaustausch, Kommunikation sowie
Transport und Verkehr bis hin zu
Absatz- und Lieferketten

Sozioökonomische Infrastrukturen betreffen

Teilweise sind sie interdependent wie beispielsweise Transport und Nahrungsmittelversorgung (Lieferketten)

Rechtsfragen

Im Sinne der EU-Richtlinie des Rates vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer Kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern, ist eine Kritische Infrastruktur eine Anlage, ein System oder ein Teil davon, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen hätte, da ihre Funktionen nicht aufrechterhalten werden könnten

Die CER-Richtlinie (EU 2022/2557) reguliert die Resilienz bei Kritischen Infrastrukturen in der EU durch Maßnahmen in Unternehmen und staatliche Aufsicht

Die NIS-2-Richtlinie weitet Cybersicherheitsvorgaben auf mehr Sektoren und mehr Unternehmen aus

Dienstleistungen und Schwellenwerte

BSI-Kritisverordnung definiert kritische Dienstleistungen und Schwellenwerte

Welche Einrichtungen, Anlagen oder Teile davon wegen ihrer Bedeutung für die Versorgung der Bevölkerung und damit für das Funktionieren des Gemeinwesens als Kritische Infrastrukturen im Sinne des BSIG gelten, wird durch die BSI-Kritisverordnung definiert. Ob ein bedeutender Versorgungsgrad vorliegt, ist vom Erreichen oder Überschreiten von in der BSI-Kritisverordnung aufgeführten Schwellenwerten abhängig. Werden diese Schwellenwerte erreicht oder überschritten, gelten für KRITIS-Betreiber die gesetzlichen Melde- und Nachweispflichten des BSIG.

Auch wenn Ihre Anlagen die Schwellenwerte der BSI-Kritisverordnung unterschreiten, empfehlen wir Ihnen die Teilnahme am UP KRITIS

Ergänzende Informationen auf der Website des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK)

Internetseiten des BBK zum Schutz Kritischer Infrastrukturen

Wirtschaftliche Aspekte

Aufgrund der Vernetzung Kritischer Infrastrukturen sowohl sektorübergreifend als auch grenzüberschreitend bestehen starke, nicht-lineare Interdependenzen

Dies kann dazu führen, dass sich eine Störung von einem Betreiber einer Kritischen Infrastruktur durch Kaskadeneffekt auf andere Betreiber ausbreitet und somit die Bevölkerung gefährdet
Betreiber ist nach Vorlage:§ Nr. 2 BSI-KritisV eine natürliche oder juristische Person, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf die Beschaffenheit und den Betrieb einer Anlage oder Teilen davon ausübt

NIS2

{{NIS2]]

Organisatorisch

Aufbau-Organisation
Ablauf-Organisation

ISO/IEC 27001

Anforderungen
Bestandteile

ISO/27001 - Anforderungen an ein Informationssicherheitsmanagementsystem

Beschreibung

ISO/IEC 27001

Internationale Norm

Informationstechnologie - Sicherheitstechniken - Informationssicherheitsmanagementsysteme - Anforderungen
Information technology – Security techniques – Information security management systems – Requirements

Dokumentiertes Informationssicherheits-Managementsystems

unter Berücksichtigung des Kontexts einer Organisation

Anforderungen an ein ISMS

Einrichtung
Umsetzung
Aufrechterhaltung
Fortlaufende Verbesserung

Beurteilung und Behandlung von Informationssicherheitsrisiken

Weiterhin beinhaltet die Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation

Hierbei werden sämtliche Arten von Organisationen (z. B. Handelsunternehmen, staatliche Organisationen, Non-Profitorganisationen) berücksichtigt
Die Norm wurde auch als DIN-Norm veröffentlicht und ist Teil der ISO 27000-Reihe

Die Norm spezifiziert Anforderungen für die Implementierung von geeigneten Sicherheitsmechanismen, welche an die Gegebenheiten der einzelnen Organisationen adaptiert werden sollen

Der deutsche Anteil an diesem internationalen Normungsprojekt wird vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut

Inhalte

Anwendung

Bereiche

Formulierung von Anforderungen und Zielsetzungen zur Informationssicherheit
Kosteneffizientes Management von Sicherheitsrisiken
Sicherstellung der Konformität mit Gesetzen und Regulatorien
Prozessrahmen für die Implementierung und das Management von Maßnahmen zur Sicherstellung von spezifischen Zielen zur Informationssicherheit
Definition von neuen Informationssicherheits-Managementprozessen
Identifikation und Definition von bestehenden Informationssicherheits-Managementprozessen
Definition von Informationssicherheits-Managementtätigkeiten
Gebrauch durch interne und externe Auditoren zur Feststellung des Umsetzungsgrades von Richtlinien und Standards

Anforderungen

Anhang (Normativ)

Beispiele für Anforderungen

Zuordnung ISO und IT-Grundschutz

Zertifizierung

Managementsysteme

Viele Einrichtungen haben interne Sicherheitsrichtlinien für ihre IT

Durch eine interne Begutachtung (Audit) können Unternehmen ihr korrektes Vorgehen im Abgleich mit ihren eigenen Vorgaben überprüfen

Unternehmen können damit allerdings ihre Kompetenzen im Bereich der IT-Sicherheit nicht öffentlichkeitswirksam gegenüber (möglichen) Kunden aufzeigen

Dazu ist eine Zertifizierung z. B. nach ISO/IEC 27001, ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz oder nach IT-Grundschutz sinnvoll

Konformität zu Normen und Standards

Konformität von sich aus verkünden
Kunden bitten, die Konformität zu bestätigen
Unabhängiger externen Auditor kann die Konformität verifizieren
Begutachtung durch eine staatliche Stelle (z. B. das BSI)

Die ISO selbst führt keine Zertifizierungen durch

Gibt den Rahmen vor

Personen

Es existieren verschiedene, meist modulare, Schemata zur Ausbildung und Zertifizierung von Personen im Bereich der ISO/IEC 27000-Reihe

Diese werden von unterschiedlichen Zertifizierungsunternehmen gestaltet, siehe Liste der IT-Zertifikate

Normen, Standards, Rahmenwerke

Weitere relevante Standards

IT-Grundschutz

BSI-Grundschutz und ISO27001

Umsetzung

Umsetzung eines ISMS nach ISO 27001

Theoretisch
Praktisch
Zertifizierung

@@ Zeile 14: / Zeile 14: @@
 = Rahmenbedingungen =
 ; Regulatorisch
+= IT-Sicherheitsgesetz =
 {{:IT-Sicherheitsgesetz}}
+= KRITIS =
 {{:KRITIS}}
+= NIS2 =
 {{NIS2]]