Informationssicherheit: Unterschied zwischen den Versionen

Version vom 17. Dezember 2023, 11:28 Uhr

Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Informationssicherheit und Cybersicherheit

Eigenschaften von

technischen oder
nicht-technischen Systemen

zur Informationsverarbeitung, -speicherung und -lagerung, die die Schutzziele

sicherstellen.

Informationssicherheit dient

dem Schutz vor Gefahren beziehungsweise Bedrohungen
der Vermeidung von wirtschaftlichen Schäden
der Minimierung von Risiken

Normen und Standards

In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe.

Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet.
Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung.
Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.

Bedeutung in den frühen Kindertagen

des (Personal-)Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen).
Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten umgestaltet werden.
Somit bleibt der Begriff der Computersicherheit wandelbar.

Abhängigkeit von IT-Systemen

Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen.
Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.

Gesetzte und Regelungen

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten.

Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar.
International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle.

Motivation

Risikoorientierte Herangehensweise

Vermeidung von Schäden durch Maßnahmen
Schutz vor Schäden jeglicher Art

Klassische Beispiele

Image- und Vertrauensverlust
Datenverlust
Produktivitätsausfall
Wirtschaftsspionage
Verletzung von Marken- und Urheberrechten

IT-Sicherheit

Warum ist IT-Sicherheit überhaupt ein Thema?

Globalisierung

Kommunikationsbedürfnisse und -infrastruktur (Internet)
Verteilte Informatiksysteme sind kritische Ressourcen
Grenzüberschreitenden Kooperation
- E-Mail
- Desktop-Konferenzen
- Soziale Netzwerke
- Fernzugriffe

Offene Systeme

Vielfältige Schnittstellen und Datenaustausch
Erhöhung des Angriffs- und Schadenpotentials

Physische Sicherheit

kann oft nicht gewährleistet werden
Zugang zu Räumen und IT-Systemen

Vertrauen als Ressource

Wem vertraue ich, wem nicht?
Wer ist mein Gegenüber wirklich?

Arten und Wichtigkeit von Informationen

ISO/IEC 27001: "Informationen sind Werte"

Wertvoll für eine Organisation
Wie die übrigen Geschäftswerte
Müssen in geeigneter Weise geschützt werden

Angemessener Schutz unabhängig von

Erscheinungsform
Art der Nutzung
Speicherung

Option	Beschreibung
Schutzziele	Informationssicherheit/Schutzziele
Maßnahmen	Grundschutz/Maßnahmen
IT-Sicherheitsmanagement	Managementsystem_für_Informationssicherheit

Informationssicherung

Kernstück der Informationssicherheit

Aufrechterhaltung (CIA) von Informationen

Vertraulichkeit
Integrität und
Verfügbarkeit

Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder

Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl.
Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird.
Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen).
Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist.

Was ist ein Comuter?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen.

IT-Sicherheitsspezialisten

IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden.
Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen.

Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt

Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik.
Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil.
Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen.

Schutz von Informationen

Informationsrisikomanagement

Schutz von Informationen durch die Minderung von Informationsrisiken

Risikominderung

Eintrittwahrscheinlichkeit
Schadensausmaß

Gefährdungen von Informationen

Gefährdung	Beschreibung
unbefugter/unangemessener Zugriff
unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung

Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle

Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen).

CIA-Trias Ausgewogenen Schutz

Grundwert	English	Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit

Schwerpunkt

Effiziente Umsetzung von Richtlinien
ohne die Produktivität der Organisation zu beeinträchtigen

Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess

Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
Bewertung der Risiken
Entscheidung, wie mit den Risiken umzugehen ist, d.h.
sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
Überwachung der Aktivitäten und ggf.
Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten

Standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten.

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden.

Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird.

Definition

Attribute der Informationssicherheit (CIA)

Informationssysteme

Informationssysteme bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

physikalisch
persönlich
organisatorisch

Richtlinien

Verfahren und Richtlinien implementieren

Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Option	Beschreibung	Quelle
Bewahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.	Ferner können auch andere Eigenschaften, wie Authentizität, Verantwortlichkeit, Nichtabstreitbarkeit und Zuverlässigkeit, einbezogen werden.	ISO/IEC 27000:2009
Der Schutz von Informationen und Informationssystemen	vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten."	CNSS, 2010
Stellt sicher, dass nur autorisierte Benutzer	(Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit)	(ISACA, 2008)
Informationssicherheit ist der Prozess	des Schutzes des geistigen Eigentums einer Organisation	Pipkin, 2000
Informationssicherheit ist eine Disziplin des Risikomanagements	deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten."	McDermott und Geer, 2001
Ein gut informiertes Gefühl der Sicherheit	dass Informationsrisiken und -kontrollen im Gleichgewicht sind	Anderson, J., 2003
Informationssicherheit ist der Schutz von Informationen	minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden.	Venter und Eloff, 2003

Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld

das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen.

Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden.

Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen.

Relevante Satz von Sicherheitszielen

Vertraulichkeit
Integrität
Verfügbarkeit
Datenschutz
Authentizität
Vertrauenswürdigkeit
Nichtabstreitbarkeit
Rechenschaftspflicht
Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung.

Normen und Standards

Grundschutz/Normen und Standards

Verfahren

Informationssicherheit/Verfahren

Anhang

Gebiet	Beschreibung
Grundlagen
Begriffe
Schutzziele
Managementsystem
Maßnahmen
Common Criteria
Security Engineering
Qualifizierung
Audit und Zertifizierungen
Rahmenbedingungen
Umsetzungsbereiche
Mobile Endgeräte
Bedrohungen

Siehe auch

Links

Weblinks

https://en.wikipedia.org/wiki/Information_security
http://iac.dtic.mil/iatac/ia_policychart.html
http://msdn2.microsoft.com/en-us/library/ms998382.aspx
http://www.opensecurityarchitecture.org
http://www.iwar.org.uk/comsec
Ross Anderson's book "Security Engineering"
Mind Map der Informationssicherheit
https://de.wikipedia.org/wiki/Informationssicherheit
Bundesamt für Sicherheit in der Informationstechnik (BSI)
BMWi: Task Force „IT-Sicherheit in der Wirtschaft“
Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“.
Service des eco-Verbands der Internetwirtschaft e.V., gefördert durch das Bundesministerium für Wirtschaft und Technologie (BMWi)
Deutschland sicher im Netz e. V.
A Users’ Guide: How to raise information security awareness (DE). Bundesamt für Sicherheit in der Informationstechnik, Juni 2006, ENISA (mit PDF Leitfaden für die Praxis: Wege zu mehr Bewusstsein für Informationssicherheit; 2 MB)
DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren
Christian Hawellek: Die strafrechtliche Relevanz von IT-Sicherheitsaudits – Wege zur Rechtssicherheit vor dem Hintergrund des neuen Computerstrafrechts.
Ken Thompson: Reflections on Trusting Trust Artikel über Software-Sicherheit und deren Untergrabung, etwa durch Trojaner.

@@ Zeile 255: / Zeile 255: @@
 == Verfahren ==
-; Sorgfaltspflicht
+[[Informationssicherheit/Verfahren]]
-* Die Begriffe "vernünftige und umsichtige Person", "[[Sorgfaltspflicht]]" und "Sorgfaltspflicht" werden seit vielen Jahren in den Bereichen Finanzen, Wertpapiere und Recht verwendet.
-* In den letzten Jahren haben diese Begriffe auch in den Bereichen Informatik und Informationssicherheit Einzug gehalten.
-; Einhaltung von Gesetzen und Vorschriften
-In der Geschäftswelt erwarten Aktionäre, Kunden, Geschäftspartner und Regierungen, dass die Unternehmensleitung das Unternehmen in Übereinstimmung mit anerkannten Geschäftspraktiken und unter Einhaltung von Gesetzen und anderen Vorschriften führt.
-* Dies wird oft als die Regel der "vernünftigen und umsichtigen Person" beschrieben.
-* Eine umsichtige Person achtet darauf, dass alles Erforderliche getan wird, um das Unternehmen nach soliden Geschäftsprinzipien und auf legale, ethische Weise zu führen.
-* Eine umsichtige Person ist auch gewissenhaft (aufmerksam, fortlaufend) in ihrer Sorgfaltspflicht gegenüber dem Unternehmen.
-; "due care" und "due diligence"
-Im Bereich der Informationssicherheit bietet Harris die folgenden Definitionen der Begriffe "due care" und "due diligence" an:
-:''"Due care are steps that are taken to show that a company has taken responsibility for the activities that take place within the corporation and has taken the necessary steps to help protect the company, its resources, and employees''.
-''."'' Und <nowiki>[Due Diligence sind die]</nowiki> ''"kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich aufrechterhalten werden und funktionsfähig sind."'''
-; Bei diesen Definitionen sollten zwei wichtige Punkte beachtet werden.
-* Erstens werden bei der Sorgfaltspflicht Schritte unternommen, die sich nachweisen lassen; das bedeutet, dass die Schritte überprüft und gemessen werden können oder sogar greifbare Artefakte hervorbringen.
-* Dies bedeutet, dass Menschen tatsächlich etwas tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und dass diese Aktivitäten fortlaufend sind.
-; Organisationen haben eine Verantwortung
-Sorgfaltspflicht bei der Anwendung der Informationssicherheit praktizieren
-* Der Duty of Care Risk Analysis Standard (DoCRA) bietet Grundsätze und Praktiken für die Bewertung von Risiken.
-* Dabei werden alle Parteien berücksichtigt, die von diesen Risiken betroffen sein könnten.
-* DoCRA hilft bei der Bewertung von Schutzmaßnahmen, ob diese geeignet sind, andere vor Schaden zu bewahren und gleichzeitig eine angemessene Belastung darstellen.
-* Angesichts der zunehmenden Rechtsstreitigkeiten im Zusammenhang mit Datenschutzverletzungen müssen Unternehmen ein Gleichgewicht zwischen Sicherheitskontrollen, Einhaltung der Vorschriften und ihrem Auftrag herstellen.
-=== Sicherheits-Governance ===
-[[Sicherheits-Governance]]
-=== Vorfallsreaktionspläne ===
-[[Vorfallsreaktionspläne]]
-=== Änderungsmanagement ===
-[[Änderungsmanagement]]
 <noinclude>