Informationssicherheit: Unterschied zwischen den Versionen
| Zeile 2: | Zeile 2: | ||
== Beschreibung == | == Beschreibung == | ||
Abgrenzungen | |||
{| class="wikitable options big" | {| class="wikitable options big" | ||
|- | |- | ||
Version vom 10. April 2024, 14:23 Uhr
Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen
Beschreibung
Abgrenzungen
| Begriff | Beschreibung |
|---|---|
| Cybersicherheit | |
| IT-Sicherheit |
- Systeme
- technisch
- nicht-technisch
- Speicherung
- Datenlagerung
Ziele
| Grundwert | Beschreibung |
|---|---|
| Vertraulichkeit | |
| Verfügbarkeit | |
| Integrität |
- Informationssicherheit
- Schutz vor Gefahren/Bedrohungen
- Vermeidung von wirtschaftlichen Schäden
- Minimierung von Risiken
- Normen und Standards
In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe
- Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
- Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
- Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller
- Abhängigkeit von IT-Systemen
- Private und öffentliche Unternehmen sind in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
- Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen
- Gesetzte und Regelungen
Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten
- Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar
- International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle
- Informationssicherheit
Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit
- Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht.
- In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss.
- Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium.
- In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist.
- Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.
Informationssicherheit versus IT-Sicherheit
Motivation
- Risikoorientierte Herangehensweise
- Vermeidung von Schäden durch Maßnahmen
- Schutz vor Schäden jeglicher Art
- Klassische Beispiele
- Image- und Vertrauensverlust
- Datenverlust
- Produktivitätsausfall
- Wirtschaftsspionage
- Verletzung von Marken- und Urheberrechten
IT-Sicherheit
- Motivation
| Motivation | Beschreibung | |
|---|---|---|
| Globalisierung | Kommunikationsbedürfnisse und -infrastruktur (Internet) | Verteilte Informatiksysteme sind kritische Ressourcen
|
| Offene Systeme | Vielfältige Schnittstellen und Datenaustausch | Erhöhung des Angriffs- und Schadenpotentials |
| Physische Sicherheit | kann oft nicht gewährleistet werden
| |
| Vertrauen als Ressource | Wem vertraue ich, wem nicht? | Wer ist mein Gegenüber wirklich? |
Arten und Wichtigkeit von Informationen
- Informationen sind Werte
- Wertvoll für eine Organisation
- Wie die übrigen Geschäftswerte
- Müssen in geeigneter Weise geschützt werden
- Angemessener Schutz
Unabhängig von
- Erscheinungsform
- Art der Nutzung
- Speicherung
| Option | Beschreibung |
|---|---|
| Schutzziele | IT-Sicherheit/Grundfunktionen |
| Maßnahmen | Grundschutz/Maßnahmen |
| IT-Sicherheitsmanagement | Managementsystem_für_Informationssicherheit |
- Aufrechterhaltung (CIA) von Informationen
- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Ziel
Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden
- Problemfelder
- Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
- Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
- Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
- Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
- Was ist ein Comuter?
Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher
- Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
- IT-Sicherheitsspezialisten
- IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
- Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
- Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
- Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
- Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
- Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen
Schutz von Informationen
- Schutz von Informationen durch die Minderung von Informationsrisiken
- Risikominderung
- Eintrittwahrscheinlichkeit
- Schadensausmaß
- Gefährdungen von Informationen
| Gefährdung | Beschreibung |
|---|---|
| unbefugter/unangemessener Zugriff | |
| unrechtmäßige Nutzung | |
| Enthüllung | |
| Unterbrechung | |
| Löschung | |
| Korruption | |
| Änderung | |
| Einsichtnahme | |
| Aufzeichnung | |
| Entwertung |
- Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
- Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
- CIA-Trias Ausgewogenen Schutz
| Grundwert | English | Abkürzung |
|---|---|---|
| Datenvertraulichkeit | ||
| Datenintegrität | ||
| Datenverfügbarkeit |
- Schwerpunkt
- Effiziente Umsetzung von Richtlinien
- ohne die Produktivität der Organisation zu beeinträchtigen
- Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess
- Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
- Bewertung der Risiken
- Entscheidung, wie mit den Risiken umzugehen ist, d.h
- sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
- wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
- Überwachung der Aktivitäten und ggf
- Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
- Standardisierte Vorgehensweise
Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten
Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden
- Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird
Definition
Attribute
- Attribute der Informationssicherheit (CIA)
Informationssysteme
Informationssysteme bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:
- physikalisch
- persönlich
- organisatorisch
Richtlinien
Verfahren und Richtlinien implementieren
- Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
- Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten
Definitionen von Informationssicherheit
| Option | Beschreibung | Quelle |
|---|---|---|
| Vertraulichkeit, Integrität und Verfügbarkeit von Informationen |
Weitere Eigenschaften | ISO/IEC 27000 |
| Schutz von Informationen/Informationssystemen |
vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." | CNSS, 2010 |
| Nur autorisierte Benutzer | (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) | ISACA, 2008 |
| Ist ein Prozess | des Schutzes des geistigen Eigentums einer Organisation | Pipkin, 2000 |
| Disziplin des Risikomanagements | deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten." | McDermott und Geer, 2001 |
| Gut informiertes Gefühl der Sicherheit |
dass Informationsrisiken und -kontrollen im Gleichgewicht sind | Anderson, J., 2003 |
| Schutz von Informationen | minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden. | Venter und Eloff, 2003 |
- Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld
- das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen
- Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
- Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
- Relevante Satz von Sicherheitszielen
- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Datenschutz
- Authentizität
- Vertrauenswürdigkeit
- Nichtabstreitbarkeit
- Rechenschaftspflicht
- Überprüfbarkeit
Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung
Normen und Standards
Informationssicherheit-Standards - Normen und Standards im Überblick
Beschreibung
- Der Aufwand für die Sicherung der IT-Ressourcen in einem Unternehmen kann mitunter sehr hoch sein
- Da traditionellerweise zuerst eine Analyse der vorhandenen schützenswerten Objekte (Assets) und eine Risiko- und Bedrohungsanalyse erfolgen muss.
- Danach werden die notwendigen Sicherheitsmaßnahmen ausgewählt, die zum Schutz der jeweiligen Assets für nötig erachtet werden.
- Um den Zeit- und Arbeitsaufwand für die Sicherung reduzieren zu können und unternommene Sicherheitsbemühungen besser vergleichen zu können, werden in der Praxis oft Kriterienkataloge angewandt, die den Sicherheitsverantwortlichen bei seiner Arbeit unterstützen.
- Die verschiedenen Kriterienwerke haben aber eine unterschiedliche Auslegung bezüglich der Anwendung, der verwendeten Methoden und der betrachteten Problemstellungen.
- Normen und Standards
In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe
- Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
- Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
- Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller
Nutzen von Sicherheitsstandards
| Option | Beschreibung |
|---|---|
| Kostensenkung |
|
| Angemessenes Sicherheitsniveau |
|
| Wettbewerbsvorteile |
|
| Rechtssicherheit |
|
Zweck und Struktur relevanter Normen und Richtlinien
Arten von Normen und Standards
- Standards zur Informationssicherheit im Überblick
Beispiele für Normen und Standards
- Kriterienwerke
Verbindlichkeit
Modalverben - beschreiben die Verbindlichkeit einer Anforderung
- Beschreibung
- MUSS und SOLL
| Ausdruck | Verbindlichkeit |
|---|---|
| MUSS, DARF NUR | Anforderung muss unbedingt erfüllt werden |
| DARF NICHT, DARF KEIN | Darf in keinem Fall getan werden |
| SOLLTE | Anforderung ist normalerweise zu erfüllt (MUSS, wenn kann). Abweichung in stichhaltig begründeten Fällen möglich. |
| SOLLTE NICHT, SOLLTE KEIN | Dieser Ausdruck bedeutet, dass etwas normalerweise nicht getan werden darf, bei stichhaltigen Gründen aber trotzdem erfolgen kann. |
| Ausdruck | Verbindlichkeit |
|---|---|
| MUST, MUST NOT, SHALL, SHALL NOT | Anforderung muss zwingend eingehalten werden |
| SHOULD, SHOULD NOT, RECOMMENDED, NOT RECOMMENDED | Empfohlene Anforderung, Abweichung in Begründeten Einelfällen möglich. |
| MAY, OPTIONAL | Anforderung liegt im Ermessen des Herstellers |
Verfahren
Informationssicherheit/Verfahren - Beschreibung
Beschreibung
| Option | Beschreibung |
|---|---|
| Sicherheits-Governance | |
| Vorfallsreaktionspläne | |
| Änderungsmanagement |
Sorgfaltspflicht
„Vernünftige und umsichtige Person“, „Sorgfaltspflicht“
- Lange in Bereichen Finanzen, Wertpapiere und Recht verwendet
- In den vergangenen Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten
Einhaltung von Gesetzen und Vorschriften
Aktionäre, Kunden, Geschäftspartner und Regierungen erwarten
- dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt
- Dies wird oft als die Regel der „vernünftigen und umsichtigen Person“ beschrieben
- Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen
- Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen
"due care" und "due diligence"
Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:
- "Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees."
Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'
- Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden
- Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen.
- Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind.
Verantwortung
Organisationen haben eine Verantwortung
- Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren
- Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken.
- Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten.
- DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen.
- Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen.
Anhang
Siehe auch
- Need-to-know
- Backup
- Bedrohungen
- Risikomanagement
- Business Continuity Management
- Need-to-know-Prinzip
- TeleTrusT
- Mind Map der Informationssicherheit
