IT-Grundschutz/Schutzbedarf

topic - Kurzbeschreibung

Schutzbedarfsfeststellung

Wie viel Schutz benötigen der Informationsverbund und seine Zielobjekte?

• Wie kommen Sie zu begründeten und nachvollziehbaren Einschätzungen des Schutzbedarfs?
• Welche Zielobjekte benötigen mehr Sicherheit, bei welchen genügt es, Standard-Anforderungen zu erfüllen?

Ziel der Schutzbedarfsfeststellung ist es, diese Fragen zu klären

• und damit die Festlegung der Sicherheitsanforderungen und die Auswahl angemessener Sicherheitsmaßnahmen für die einzelnen Zielobjekte des betrachteten Informationsverbundes zu steuern.

Arbeitsschritte

• Mithilfe von Schadensszenarien die Schutzbedarfskategorien definieren
• Sinnvolle Reihenfolge
  • den Schutzbedarf für die verschiedenen Zielobjekt-Typen eines Informationsverbundes feststellen,
• Abhängigkeiten
• wie sich Abhängigkeiten zwischen den Zielobjekten auf die Ergebnisse der Schutzbedarfsfeststellung auswirken sowie
• Schlussfolgerungen
• welche Schlussfolgerungen aus den Ergebnissen der Schutzbedarfsfeststellung gezogen werden können.

Basis-Absicherung

Bei der Basis-Absicherung sind für den betrachteten Informationsverbund nur die Basis-Anforderungen verpflichtend.

• Daher ist eine Schutzbedarfsfeststellung bei dieser Variante der -Grundschutz-Methodik nicht erforderlich.

Grundlegende Definitionen

Bei der Schutzbedarfsfeststellung ist danach zu fragen,

• welcher Schaden entstehen kann, wenn für ein Zielobjekt
• die Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden.

Dies wäre der Fall, wenn

• vertrauliche Informationen unberechtigt zur Kenntnis genommen oder weitergegeben werden (Verletzung der Vertraulichkeit),
• die Korrektheit der Informationen und der Funktionsweise von Systemen nicht mehr gegeben ist (Verletzung der Integrität),
• autorisierte Benutzer am Zugriff auf Informationen und Systeme behindert werden (Verletzung der Verfügbarkeit).

Der Schutzbedarf eines Objekts bezüglich eines dieser Grundwerte orientiert sich an dem Ausmaß des bei Verletzungen jeweils drohenden Schadens.

• Da dessen Höhe in der Regel vorab nicht genau bestimmt werden kann, sollten Sie eine für Ihren Anwendungszweck passende Anzahl von Kategorien definieren, anhand derer Sie den Schutzbedarf unterscheiden.

Schutzbedarfskategorien

Die -Grundschutz-Methodik empfiehlt hierfür drei Schutzbedarfskategorien

• normal: Die Schadensauswirkungen sind begrenzt und überschaubar.
• hoch: Die Schadensauswirkungen können beträchtlich sein.
• sehr hoch: Die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen.

Schadensszenarien

Der Schaden, der von einer Verletzung der Grundwerte ausgehen kann, kann sich auf verschiedene Schadensszenarien beziehen:

• Verstöße gegen Gesetze, Vorschriften oder Verträge,
• Beeinträchtigungen des informationellen Selbstbestimmungsrechts,
• Beeinträchtigungen der persönlichen Unversehrtheit,
• Beeinträchtigungen der Aufgabenerfüllung,
• negative Innen- oder Außenwirkung oder
• finanzielle Auswirkungen.

Bedeutung der Szenarien

Wie wichtig ein Szenario jeweils ist, unterscheidet sich von Institution zu Institution.

• Unternehmen schauen beispielsweise besonders intensiv auf die finanziellen Auswirkungen eines Schadens, da diese bei einer entsprechenden Höhe existenzgefährdend sein können.
• Für eine Behörde kann es hingegen besonders wichtig sein, das öffentliche Ansehen zu wahren und daher negative Außenwirkungen zu vermeiden.

Schutzbedarfskategorien

Wann hat ein Objekt einen normalen, wann einen hohen und wann einen sehr hohen Schutzbedarf?

Eine allgemeingültige Antwort auf diese Frage ist nicht bei allen Schadensszenarien möglich. Eine erste Abgrenzung der Kategorien finden Sie in Kapitel 8.2.1 des -Standards 200-2: -Grundschutz-Methodik. Die dort angeführten, relativ allgemein gehaltenen Definitionen können Sie als Ausgangspunkt nehmen, an die besonderen Gegebenheiten Ihrer Institution anpassen und gegebenenfalls ergänzen.

Beispielsweise finden Sie dort für die Schutzbedarfskategorie „normal“ und das Schadensszenario „Finanzielle Auswirkungen“ die Festlegung:

„Der finanzielle Schaden bleibt für die Institution tolerabel.“

Was aber heißt für ein Unternehmen „tolerabel“? Für ein sehr großes Unternehmen spielen einige Millionen Euro mehr oder weniger vielleicht keine große Rolle, kleinere und mittlere Unternehmen kann ein Schaden in dieser Höhe dagegen zur Insolvenz führen. Bei der Abgrenzung der Schadenskategorien müssen Sie also die Besonderheiten der betrachteten Institution berücksichtigen, zum Beispiel* in Bezug auf das Szenario „finanzielle Auswirkungen“ die Höhe des Umsatzes oder des Gewinns eines Unternehmens oder die Höhe des bewilligten Budgets einer Behörde,

• in Bezug auf das Szenario „Beeinträchtigung der Aufgabenerfüllung“ das Vorhandensein von Ausweichverfahren bei einem Ausfall eines Verfahrens.

Beispiel

Für das Beispielunternehmen, die RECPLAST , wurde bezüglich der Schadensszenarien „finanzielle Auswirkungen“ und „Beeinträchtigung der Aufgabenerfüllung“ folgendes festgelegt:

Normaler Schutzbedarf:

• „Der mögliche finanzielle Schaden ist kleiner als 50.000 Euro.“
• „Die Abläufe bei RECPLAST werden allenfalls unerheblich beeinträchtigt. Ausfallzeiten von mehr als 24 Stunden können hingenommen werden.“

Hoher Schutzbedarf:

• „Der mögliche finanzielle Schaden liegt zwischen 50.000 und 500.000 Euro.“
• „Die Abläufe bei RECPLAST werden erheblich beeinträchtigt. Ausfallzeiten dürfen maximal 24 Stunden betragen.“

Sehr hoher Schutzbedarf:

• „Der mögliche finanzielle Schaden liegt über 500.000 Euro.“
• „Die Abläufe bei RECPLAST werden so stark beeinträchtigt, dass Ausfallzeiten, die über zwei Stunden hinausgehen, nicht toleriert werden können.“

Vorgehen und Vererbung

• Die Objekte im Informationsverbund werden eingesetzt, um Geschäftsprozesse und Anwendungen zu unterstützen.
• Daher hängt der Schutzbedarf eines Objekts vom Schutzbedarf derjenigen Geschäftsprozesse und Informationen ab, für deren Bearbeitung es benötigt wird.

Zunächst wird deshalb der Schutzbedarf der Geschäftsprozesse und zugehörigen Informationen bestimmt.

• Deren Schutzbedarf vererbt sich auf den der Anwendungen, Systeme, Räume und Kommunikationsverbindungen.

Vererbung

• Es lassen sich, folgende Fälle unterscheiden

Beispiel Systeme

Option	Beschreibung
Maximumprinzip	In vielen Fällen lässt sich der höchste Schutzbedarf aller Anwendungen, die das System benötigen, übernehmen Wenn eine Anwendung auf die Ergebnisse einer anderen Anwendung angewiesen ist, überträgt sich ihr Schutzbedarf auf diese liefernde Anwendung. Werden diese beiden Anwendungen auf verschiedenen Systemen ausgeführt, dann muss auch der Schutzbedarf des einen auf das liefernde System übertragen werden (Betrachtung von Abhängigkeiten).
Kumulationseffekt	Der Schutzbedarf des Systems kann höher sein als der Schutzbedarf der einzelnen Anwendungen. Dies ist der Fall, wenn auf einem Server mehrere Anwendungen mit normalem Schutzbedarf betrieben werden. Der Ausfall einer dieser Anwendungen könnte überbrückt werden. Wenn aber alle Anwendungen gleichzeitig ausfallen, kann ein hoher Schaden entstehen.
Verteilungseffekt	Der Schutzbedarf kann niedriger sein als der Schutzbedarf der zugeordneten Anwendungen, wenn eine Anwendung mit hohem Schutzbedarf auf mehrere Systeme verteilt ist und auf dem betreffenden System nur weniger wichtige Teile dieser Anwendung ausgeführt werden. Bei Anwendungen, die personenbezogene Daten verarbeiten, sind Komponenten weniger kritisch, in denen die Daten nur in pseudonymisierter Form verwendet werden.

Systeme

Grundschutz/Schutzbedarf/Systeme

Räume

Grundschutz/Schutzbedarf/Räume

Kommunikationsverbindungen

Grundschutz/Schutzbedarf/Kommunikationsverbindungen

Anhang

Siehe auch

• IT-Grundschutz/Schutzbedarf
• IT-Grundschutz/Schutzbedarf/Anwendungen
• IT-Grundschutz/Schutzbedarf/Geschäftsprozesse
• IT-Grundschutz/Schutzbedarf/Kategorie
• IT-Grundschutz/Schutzbedarf/Kommunikationsverbindungen
• IT-Grundschutz/Schutzbedarf/Netzwerke
• IT-Grundschutz/Schutzbedarf/Räume
• IT-Grundschutz/Schutzbedarf/Systeme
• IT-Grundschutz/Schutzbedarfsfeststellung