Informationssicherheit: Unterschied zwischen den Versionen
Keine Bearbeitungszusammenfassung |
|||
| Zeile 2: | Zeile 2: | ||
== Beschreibung == | == Beschreibung == | ||
; '''Informationssicherheit''' und '''Cybersicherheit''' | ; '''Informationssicherheit''' und '''Cybersicherheit''' | ||
Eigenschaften von | Eigenschaften von | ||
* technischen oder | * technischen oder | ||
* nicht-technischen Systemen | * nicht-technischen Systemen | ||
zur [[Datenverarbeitung|Informationsverarbeitung]], -[[Datenspeicher|speicherung]] und -lagerung, die die Schutzziele | zur [[Datenverarbeitung|Informationsverarbeitung]], -[[Datenspeicher|speicherung]] und -lagerung, die die Schutzziele | ||
* [[Vertraulichkeit]] | * [[Vertraulichkeit]] | ||
* [[Verfügbarkeit]] und | * [[Verfügbarkeit]] und | ||
* [[Integrität (Informationssicherheit)|Integrität]] | * [[Integrität (Informationssicherheit)|Integrität]] | ||
sicherstellen | sicherstellen | ||
; Informationssicherheit dient | ; Informationssicherheit dient | ||
* dem Schutz vor [[Gefahr]]en beziehungsweise [[Bedrohung]]en | * dem Schutz vor [[Gefahr]]en beziehungsweise [[Bedrohung]]en | ||
* der Vermeidung von wirtschaftlichen [[Schaden|Schäden]] | * der Vermeidung von wirtschaftlichen [[Schaden|Schäden]] | ||
| Zeile 18: | Zeile 18: | ||
; Normen und Standards | ; Normen und Standards | ||
In der Praxis orientiert sich die Informationssicherheit im Rahmen des [[IT-Sicherheitsmanagement]]s unter anderem an der internationalen [[ISO/IEC-27000]]-Reihe | In der Praxis orientiert sich die Informationssicherheit im Rahmen des [[IT-Sicherheitsmanagement]]s unter anderem an der internationalen [[ISO/IEC-27000]]-Reihe | ||
* Im deutschsprachigen Raum ist ein Vorgehen nach [[IT-Grundschutz]] verbreitet | * Im deutschsprachigen Raum ist ein Vorgehen nach [[IT-Grundschutz]] verbreitet | ||
* Im Bereich der [[Evaluierung]] und [[Zertifizierung]] von IT-Produkten und -systemen findet die Norm [[ISO/IEC 15408]] ([[Common Criteria for Information Technology Security Evaluation|Common Criteria]]) häufig Anwendung | * Im Bereich der [[Evaluierung]] und [[Zertifizierung]] von IT-Produkten und -systemen findet die Norm [[ISO/IEC 15408]] ([[Common Criteria for Information Technology Security Evaluation|Common Criteria]]) häufig Anwendung | ||
* Die Normenreihe [[IEC 62443]] befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller | * Die Normenreihe [[IEC 62443]] befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller | ||
; Bedeutung in den frühen Kindertagen | ; Bedeutung in den frühen Kindertagen | ||
* des ([[Personal Computer|Personal]]-)[[Computer]]s verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen) | * des ([[Personal Computer|Personal]]-)[[Computer]]s verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen) | ||
* Mit der Zeit änderten sich die Anforderungen an die Computer ([[Internet]], [[Datenspeicher|Speichermedien]]); die Aufgaben zur Computersicherheit mussten umgestaltet werden | * Mit der Zeit änderten sich die Anforderungen an die Computer ([[Internet]], [[Datenspeicher|Speichermedien]]); die Aufgaben zur Computersicherheit mussten umgestaltet werden | ||
* Somit bleibt der Begriff der [[Computersicherheit]] wandelbar | * Somit bleibt der Begriff der [[Computersicherheit]] wandelbar | ||
; Abhängigkeit von IT-Systemen | ; Abhängigkeit von IT-Systemen | ||
* Private und öffentliche [[Unternehmen]] sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen | * Private und öffentliche [[Unternehmen]] sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen | ||
* Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen | * Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und [[Netzwerk]]e in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen | ||
; Gesetzte und Regelungen | ; Gesetzte und Regelungen | ||
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten | Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten | ||
* Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar | * Dort stellt Informationssicherheit einen Baustein des [[Risikomanagement]]s dar | ||
* International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle | * International spielen Vorschriften wie [[Basel II]] und der [[Sarbanes-Oxley Act]] eine wichtige Rolle | ||
== Motivation == | == Motivation == | ||
| Zeile 100: | Zeile 100: | ||
Aufrechterhaltung (CIA) von Informationen | Aufrechterhaltung (CIA) von Informationen | ||
* Vertraulichkeit | * Vertraulichkeit | ||
* Integrität und | * Integrität und | ||
* Verfügbarkeit | * Verfügbarkeit | ||
; Ziel | ; Ziel | ||
| Zeile 107: | Zeile 107: | ||
; Problemfelder | ; Problemfelder | ||
* Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl | * Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl | ||
* Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird | * Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird | ||
* Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen) | * Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen) | ||
* Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist | * Es sei darauf hingewiesen, dass ein [[Computer]] nicht zwangsläufig ein Heimcomputer ist | ||
; Was ist ein Comuter? | ; Was ist ein Comuter? | ||
Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher | Ein Computer ist jedes Gerät mit einer [[Zentraleinheit|Prozessor]] und etwas Speicher | ||
* Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen | * Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen | ||
; IT-Sicherheitsspezialisten | ; IT-Sicherheitsspezialisten | ||
* IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden | * IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden | ||
* Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen | * Sie sind dafür verantwortlich, dass die gesamte [[Technologie]] des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen | ||
; Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt | ; Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt | ||
* Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]] | * Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter [[Infrastruktur]], die Sicherung von [[Anwendungssoftware|Anwendungen]] und [[Datenbanken]], [[Sicherheitstests]], die Prüfung von Informationssystemen [[IT-Audit|Auditierung]], [[Geschäftskontinuitätsplanung]], die Aufdeckung elektronischer Daten und [[digitale Forensik]] | ||
* Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil | * Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil | ||
* Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen | * Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen | ||
=== Schutz von Informationen === | === Schutz von Informationen === | ||
| Zeile 130: | Zeile 130: | ||
; Risikominderung | ; Risikominderung | ||
* Eintrittwahrscheinlichkeit | * Eintrittwahrscheinlichkeit | ||
* Schadensausmaß | * Schadensausmaß | ||
; Gefährdungen von Informationen | ; Gefährdungen von Informationen | ||
{| class="wikitable sortable options" | {| class="wikitable sortable options" | ||
|- | |- | ||
| Zeile 156: | Zeile 156: | ||
| Aufzeichnung || | | Aufzeichnung || | ||
|- | |- | ||
| Entwertung | | Entwertung || | ||
|} | |} | ||
; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle | ; Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle | ||
* Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]]) | * Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa [[Dokument|Papier]]) oder immateriell (etwa [[Wissen]]) | ||
; CIA-Trias Ausgewogenen Schutz | ; CIA-Trias Ausgewogenen Schutz | ||
| Zeile 181: | Zeile 181: | ||
* Identifizierung von Informationen und zugehörigen [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie potenziellen [[Bedrohung (Computer)|Bedrohungen]], [[Schwachstelle (Computer)|Schwachstellen]] und Auswirkungen; | * Identifizierung von Informationen und zugehörigen [[Vermögenswert (Computersicherheit)|Vermögenswerten]] sowie potenziellen [[Bedrohung (Computer)|Bedrohungen]], [[Schwachstelle (Computer)|Schwachstellen]] und Auswirkungen; | ||
* Bewertung der Risiken | * Bewertung der Risiken | ||
* Entscheidung, wie mit den Risiken umzugehen ist, d.h | * Entscheidung, wie mit den Risiken umzugehen ist, d.h | ||
* sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren | * sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren | ||
* wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung | * wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung | ||
* Überwachung der Aktivitäten und ggf | * Überwachung der Aktivitäten und ggf | ||
* Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten | * Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten | ||
; Standardisierte Vorgehensweise | ; Standardisierte Vorgehensweise | ||
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung usw. anzubieten | Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu [[Passwort]], [[Antivirensoftware]], [[Firewall (Computer)|firewall]], [[Verschlüsselungssoftware]], [[rechtliche Haftung]], [[Sicherheitsbewusstsein]] und Schulung usw. anzubieten | ||
Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden | Diese [[Standardisierung]] kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden | ||
* Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|Kontinuierliche Verbesserung]] eingeführt wird | * Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der [[Kontinuierlicher Verbesserungsprozess|Kontinuierliche Verbesserung]] eingeführt wird | ||
== Definition == | == Definition == | ||
| Zeile 202: | Zeile 202: | ||
; Informationssysteme | ; Informationssysteme | ||
[[Informationssysteme]] bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden: | [[Informationssysteme]] bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden: | ||
* [[Physikalische Informationssicherheit|physikalisch]] | * [[Physikalische Informationssicherheit|physikalisch]] | ||
* persönlich | * persönlich | ||
| Zeile 218: | Zeile 218: | ||
|- | |- | ||
| Bewahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. || Ferner können auch andere Eigenschaften, wie Authentizität, Verantwortlichkeit, Nichtabstreitbarkeit und Zuverlässigkeit, einbezogen werden. || ISO/IEC 27000:2009 | | Bewahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. || Ferner können auch andere Eigenschaften, wie Authentizität, Verantwortlichkeit, Nichtabstreitbarkeit und Zuverlässigkeit, einbezogen werden. || ISO/IEC 27000:2009 | ||
|- | |- | ||
| Der Schutz von Informationen und Informationssystemen || vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." || CNSS, 2010 | | Der Schutz von Informationen und Informationssystemen || vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." || CNSS, 2010 | ||
|- | |- | ||
| Zeile 233: | Zeile 233: | ||
; Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld | ; Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld | ||
* das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen | * das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen | ||
; Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden | ; Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden | ||
* Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen | * Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen | ||
; Relevante Satz von Sicherheitszielen | ; Relevante Satz von Sicherheitszielen | ||
| Zeile 249: | Zeile 249: | ||
* Überprüfbarkeit | * Überprüfbarkeit | ||
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung | Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung | ||
== Normen und Standards == | == Normen und Standards == | ||
| Zeile 260: | Zeile 260: | ||
== Anhang == | == Anhang == | ||
{| class="wikitable options" | {| class="wikitable options" | ||
|- | |- | ||
! Gebiet !! Beschreibung | ! Gebiet !! Beschreibung | ||
| Zeile 319: | Zeile 319: | ||
# [http://www.bsi.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)] | # [http://www.bsi.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)] | ||
# [[BMWi]]: [http://www.it-sicherheit-in-der-wirtschaft.de/ Task Force „IT-Sicherheit in der Wirtschaft“] | # [[BMWi]]: [http://www.it-sicherheit-in-der-wirtschaft.de/ Task Force „IT-Sicherheit in der Wirtschaft“] | ||
# [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“] | # [https://www.initiative-s.de/de/index.html Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“] | ||
# Service des [[Eco – Verband der Internetwirtschaft|eco-Verbands der Internetwirtschaft e.V.]], gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi) | # Service des [[Eco – Verband der Internetwirtschaft|eco-Verbands der Internetwirtschaft e.V.]], gefördert durch das [[Bundesministerium für Wirtschaft und Technologie]] (BMWi) | ||
# [https://www.sicher-im-netz.de/ Deutschland sicher im Netz e. V.] | # [https://www.sicher-im-netz.de/ Deutschland sicher im Netz e. V.] | ||
| Zeile 325: | Zeile 325: | ||
# [https://www.din.de/de/mitwirken/normenausschuesse/nia/nationale-gremien/wdc-grem:din21:54770248 DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren] | # [https://www.din.de/de/mitwirken/normenausschuesse/nia/nationale-gremien/wdc-grem:din21:54770248 DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren] | ||
# Christian Hawellek: [https://pentest24.de/strafrechtliche-relevanz-von-it-sicherheitsaudits/ ''Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts''. ] | # Christian Hawellek: [https://pentest24.de/strafrechtliche-relevanz-von-it-sicherheitsaudits/ ''Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts''. ] | ||
# [[Ken Thompson]]: [http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf ''Reflections on Trusting Trust''] Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner | # [[Ken Thompson]]: [http://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf ''Reflections on Trusting Trust''] Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner | ||
[[Kategorie:Informationssicherheit]] | [[Kategorie:Informationssicherheit]] | ||
</noinclude> | </noinclude> | ||
Version vom 25. Januar 2024, 11:49 Uhr
Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Beschreibung
- Informationssicherheit und Cybersicherheit
Eigenschaften von
- technischen oder
- nicht-technischen Systemen
zur Informationsverarbeitung, -speicherung und -lagerung, die die Schutzziele
sicherstellen
- Informationssicherheit dient
- dem Schutz vor Gefahren beziehungsweise Bedrohungen
- der Vermeidung von wirtschaftlichen Schäden
- der Minimierung von Risiken
- Normen und Standards
In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe
- Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
- Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
- Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller
- Bedeutung in den frühen Kindertagen
- des (Personal-)Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen)
- Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten umgestaltet werden
- Somit bleibt der Begriff der Computersicherheit wandelbar
- Abhängigkeit von IT-Systemen
- Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
- Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen
- Gesetzte und Regelungen
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten
- Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar
- International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle
Motivation
- Risikoorientierte Herangehensweise
- Vermeidung von Schäden durch Maßnahmen
- Schutz vor Schäden jeglicher Art
- Klassische Beispiele
- Image- und Vertrauensverlust
- Datenverlust
- Produktivitätsausfall
- Wirtschaftsspionage
- Verletzung von Marken- und Urheberrechten
IT-Sicherheit
Warum ist IT-Sicherheit überhaupt ein Thema?
- Globalisierung
- Kommunikationsbedürfnisse und -infrastruktur (Internet)
- Verteilte Informatiksysteme sind kritische Ressourcen
- Grenzüberschreitenden Kooperation
- Desktop-Konferenzen
- Soziale Netzwerke
- Fernzugriffe
- Offene Systeme
- Vielfältige Schnittstellen und Datenaustausch
- Erhöhung des Angriffs- und Schadenpotentials
- Physische Sicherheit
- kann oft nicht gewährleistet werden
- Zugang zu Räumen und IT-Systemen
- Vertrauen als Ressource
- Wem vertraue ich, wem nicht?
- Wer ist mein Gegenüber wirklich?
Arten und Wichtigkeit von Informationen
- ISO/IEC 27001
- "Informationen sind Werte"
- Wertvoll für eine Organisation
- Wie die übrigen Geschäftswerte
- Müssen in geeigneter Weise geschützt werden
- Angemessener Schutz unabhängig von
- Erscheinungsform
- Art der Nutzung
- Speicherung
| Option | Beschreibung |
|---|---|
| Schutzziele | Informationssicherheit/Schutzziele |
| Maßnahmen | Grundschutz/Maßnahmen |
| IT-Sicherheitsmanagement | Managementsystem_für_Informationssicherheit |
Informationssicherung
- Kernstück der Informationssicherheit
Aufrechterhaltung (CIA) von Informationen
- Vertraulichkeit
- Integrität und
- Verfügbarkeit
- Ziel
Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden
- Problemfelder
- Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
- Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
- Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
- Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
- Was ist ein Comuter?
Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher
- Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
- IT-Sicherheitsspezialisten
- IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
- Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
- Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
- Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
- Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
- Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen
Schutz von Informationen
- Schutz von Informationen durch die Minderung von Informationsrisiken
- Risikominderung
- Eintrittwahrscheinlichkeit
- Schadensausmaß
- Gefährdungen von Informationen
| Gefährdung | Beschreibung |
|---|---|
| unbefugter/unangemessener Zugriff | |
| unrechtmäßige Nutzung | |
| Enthüllung | |
| Unterbrechung | |
| Löschung | |
| Korruption | |
| Änderung | |
| Einsichtnahme | |
| Aufzeichnung | |
| Entwertung |
- Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
- Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
- CIA-Trias Ausgewogenen Schutz
| Grundwert | English | Abkürzung |
|---|---|---|
| Datenvertraulichkeit | ||
| Datenintegrität | ||
| Datenverfügbarkeit |
- Schwerpunkt
- Effiziente Umsetzung von Richtlinien
- ohne die Produktivität der Organisation zu beeinträchtigen
- Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess
- Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
- Bewertung der Risiken
- Entscheidung, wie mit den Risiken umzugehen ist, d.h
- sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
- wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
- Überwachung der Aktivitäten und ggf
- Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
- Standardisierte Vorgehensweise
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten
Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden
- Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird
Definition
- Attribute der Informationssicherheit (CIA)
- Informationssysteme
Informationssysteme bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:
- physikalisch
- persönlich
- organisatorisch
- Richtlinien
Verfahren und Richtlinien implementieren
- Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
- Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten
- Definitionen von Informationssicherheit
| Option | Beschreibung | Quelle |
|---|---|---|
| Bewahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. | Ferner können auch andere Eigenschaften, wie Authentizität, Verantwortlichkeit, Nichtabstreitbarkeit und Zuverlässigkeit, einbezogen werden. | ISO/IEC 27000:2009 |
| Der Schutz von Informationen und Informationssystemen | vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." | CNSS, 2010 |
| Stellt sicher, dass nur autorisierte Benutzer | (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) | (ISACA, 2008) |
| Informationssicherheit ist der Prozess | des Schutzes des geistigen Eigentums einer Organisation | Pipkin, 2000 |
| Informationssicherheit ist eine Disziplin des Risikomanagements | deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten." | McDermott und Geer, 2001 |
| Ein gut informiertes Gefühl der Sicherheit | dass Informationsrisiken und -kontrollen im Gleichgewicht sind | Anderson, J., 2003 |
| Informationssicherheit ist der Schutz von Informationen | minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden. | Venter und Eloff, 2003 |
- Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld
- das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen
- Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
- Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
- Relevante Satz von Sicherheitszielen
- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Datenschutz
- Authentizität
- Vertrauenswürdigkeit
- Nichtabstreitbarkeit
- Rechenschaftspflicht
- Überprüfbarkeit
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung
Normen und Standards
Kategorie:Informationssicherheit/Standard
Verfahren
Informationssicherheit/Verfahren
Anhang
Siehe auch
- Need-to-know
- Backup
- Bedrohungen
- Risikomanagement
- Business Continuity Management
- Cyberabwehr
- Cyberkrieg
- Europäische Agentur für Netz- und Informationssicherheit
- Internetkriminalität, IT-Sicherheitsverfahren
- Need-to-know-Prinzip
- TeleTrusT
- Mind Map der Informationssicherheit
Links
Weblinks
- https://en.wikipedia.org/wiki/Information_security
- http://iac.dtic.mil/iatac/ia_policychart.html
- http://msdn2.microsoft.com/en-us/library/ms998382.aspx
- http://www.opensecurityarchitecture.org
- http://www.iwar.org.uk/comsec
- Ross Anderson's book "Security Engineering"
- Mind Map der Informationssicherheit
- https://de.wikipedia.org/wiki/Informationssicherheit
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- BMWi: Task Force „IT-Sicherheit in der Wirtschaft“
- Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“
- Service des eco-Verbands der Internetwirtschaft e.V., gefördert durch das Bundesministerium für Wirtschaft und Technologie (BMWi)
- Deutschland sicher im Netz e. V.
- A Users’ Guide: How to raise information security awareness (DE). Bundesamt für Sicherheit in der Informationstechnik, Juni 2006, ENISA (mit PDF Leitfaden für die Praxis: Wege zu mehr Bewusstsein für Informationssicherheit; 2 MB)
- DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren
- Christian Hawellek: Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts.
- Ken Thompson: Reflections on Trusting Trust Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner