Informationssicherheit

Aus Foxwiki

Informationssicherheit - Eigenschaft von Systemen Vertraulichkeit, Verfügbarkeit und Integrität sicherzustellen

Beschreibung

Abgrenzungen
Begriff Beschreibung
Cybersicherheit
IT-Sicherheit
Informationssicherheit
Systeme
  • technisch
  • nicht-technisch

Informationsverarbeitung

Ziele

Grundwerte der Informationssicherheit
Grundwert Beschreibung
Vertraulichkeit
Verfügbarkeit
Integrität
Informationssicherheit
Normen und Standards

In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe

  • Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
  • Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
  • Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller
Bedeutung in den frühen Kindertagen
  • des (Personal-)Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von Bandlaufwerken oder anderen Bauteilen) und Software (richtige Installation und Wartung von Programmen)
  • Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten umgestaltet werden
  • Somit bleibt der Begriff der Computersicherheit wandelbar
Abhängigkeit von IT-Systemen
  • Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen
  • Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmungen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen
Gesetzte und Regelungen

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten

Informationssicherheit

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit

  • Bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht.
  • In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss.
  • Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium.
  • In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist.
  • Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.

Informationssicherheit versus IT-Sicherheit

Motivation

Risikoorientierte Herangehensweise
  • Vermeidung von Schäden durch Maßnahmen
  • Schutz vor Schäden jeglicher Art
Klassische Beispiele
  • Image- und Vertrauensverlust
  • Datenverlust
  • Produktivitätsausfall
  • Wirtschaftsspionage
  • Verletzung von Marken- und Urheberrechten

IT-Sicherheit

Motivation
Motivation Beschreibung
Globalisierung Kommunikationsbedürfnisse und -infrastruktur (Internet) Verteilte Informatiksysteme sind kritische Ressourcen
  • Grenzüberschreitenden Kooperation
    • E-Mail
    • Desktop-Konferenzen
    • Soziale Netzwerke
    • Fernzugriffe
Offene Systeme Vielfältige Schnittstellen und Datenaustausch Erhöhung des Angriffs- und Schadenpotentials
Physische Sicherheit kann oft nicht gewährleistet werden
  • Zugang zu Räumen und IT-Systemen
Vertrauen als Ressource Wem vertraue ich, wem nicht? Wer ist mein Gegenüber wirklich?

Arten und Wichtigkeit von Informationen

Informationen sind Werte

ISO/IEC 27001

  • Wertvoll für eine Organisation
  • Wie die übrigen Geschäftswerte
  • Müssen in geeigneter Weise geschützt werden
Angemessener Schutz

Unabhängig von

  • Erscheinungsform
  • Art der Nutzung
  • Speicherung
Option Beschreibung
Schutzziele IT-Sicherheit/Grundfunktionen
Maßnahmen Grundschutz/Maßnahmen
IT-Sicherheitsmanagement Managementsystem_für_Informationssicherheit
Aufrechterhaltung (CIA) von Informationen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
Ziel

Sicherstellen, dass Informationen in kritischen Situationen nicht beeinträchtigt werden

Problemfelder
  • Zu diesen Problemen gehören unter anderem Naturkatastrophen, Computer-/Serverfehlfunktionen und physischer Diebstahl
  • Während papiergestützte Geschäftsabläufe immer noch weitverbreitet sind und eine eigene Reihe von Informationssicherheitspraktiken erfordern, werden digitale Unternehmensinitiativen immer mehr in den Vordergrund gerückt, wobei die Informationssicherheit jetzt in der Regel von IT-Sicherheitsspezialisten übernommen wird
  • Diese Spezialisten wenden die Informationssicherheit auf die Technologie an (meistens auf eine Form von Computersystemen)
  • Es sei darauf hingewiesen, dass ein Computer nicht zwangsläufig ein Heimcomputer ist
Was ist ein Comuter?

Ein Computer ist jedes Gerät mit einer Prozessor und etwas Speicher

  • Solche Geräte können von nicht vernetzten, eigenständigen Geräten wie Taschenrechnern bis zu vernetzten mobilen Computern wie Smartphones und Tablet-Computern reichen
IT-Sicherheitsspezialisten
  • IT-Sicherheitsspezialisten sind aufgrund der Art und des Wertes der Daten in größeren Unternehmen fast immer in allen größeren Unternehmen/Einrichtungen zu finden
  • Sie sind dafür verantwortlich, dass die gesamte Technologie des Unternehmens vor böswilligen Cyberangriffen geschützt wird, die häufig darauf abzielen, an wichtige private Informationen zu gelangen oder die Kontrolle über die internen Systeme zu erlangen
Informationssicherheit hat sich in den vergangenen Jahren stark weiterentwickelt
  • Es bietet viele Spezialisierungsmöglichkeiten, darunter die Sicherung von Netzwerken und verwandter Infrastruktur, die Sicherung von Anwendungen und Datenbanken, Sicherheitstests, die Prüfung von Informationssystemen Auditierung, Geschäftskontinuitätsplanung, die Aufdeckung elektronischer Daten und digitale Forensik
  • Fachleute für Informationssicherheit sind in ihrem Beschäftigungsverhältnis sehr stabil
  • Mehr als 80 Prozent der Fachleute hatten über einen Zeitraum von einem Jahr keinen Wechsel des Arbeitgebers oder der Beschäftigung zu verzeichnen, und die Zahl der Fachleute wird von 2014 bis 2019 voraussichtlich kontinuierlich um mehr als 11 Prozent jährlich steigen

Schutz von Informationen

Informationsrisikomanagement
  • Schutz von Informationen durch die Minderung von Informationsrisiken
Risikominderung
  • Eintrittwahrscheinlichkeit
  • Schadensausmaß
Gefährdungen von Informationen
Gefährdung Beschreibung
unbefugter/unangemessener Zugriff
unrechtmäßige Nutzung
Enthüllung
Unterbrechung
Löschung
Korruption
Änderung
Einsichtnahme
Aufzeichnung
Entwertung
Maßnahmen zur Verringerung der nachteiligen Auswirkungen solcher Vorfälle
  • Geschützte Informationen können jede Form annehmen, etwa elektronisch oder physisch, materiell (etwa Papier) oder immateriell (etwa Wissen)
CIA-Trias Ausgewogenen Schutz
Grundwert English Abkürzung
Datenvertraulichkeit
Datenintegrität
Datenverfügbarkeit
Schwerpunkt
Risikomanagement-Prozess Strukturierter Risikomanagement-Prozess
  • Identifizierung von Informationen und zugehörigen Vermögenswerten sowie potenziellen Bedrohungen, Schwachstellen und Auswirkungen;
  • Bewertung der Risiken
  • Entscheidung, wie mit den Risiken umzugehen ist, d.h
  • sie zu vermeiden, abzuschwächen, zu teilen oder zu akzeptieren
  • wenn eine Risikominderung erforderlich ist, Auswahl oder Entwurf geeigneter Sicherheitskontrollen und deren Implementierung
  • Überwachung der Aktivitäten und ggf
  • Anpassung an Probleme, Veränderungen und Verbesserungsmöglichkeiten
Standardisierte Vorgehensweise

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Leitlinien, Richtlinien und Industriestandards zu Passwort, Antivirensoftware, firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Schulung usw. anzubieten

Diese Standardisierung kann durch eine Vielzahl von Gesetzen und Vorschriften vorangetrieben werden, die sich darauf auswirken, wie Daten abgerufen, verarbeitet, gespeichert, übertragen und vernichtet werden

  • Die Umsetzung von Standards und Leitlinien innerhalb einer Organisation kann jedoch nur begrenzte Wirkung haben, wenn keine Kultur der Kontinuierliche Verbesserung eingeführt wird

Definition

Attribute

Attribute der Informationssicherheit (CIA)
vectorial version

Informationssysteme

Informationssysteme bestehen aus drei Hauptteilen, Hardware, Software und Kommunikation, mit dem Ziel, Informationssicherheits-Industriestandards als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu identifizieren und anzuwenden:

Richtlinien

Verfahren und Richtlinien implementieren

  • Administratoren, Benutzern und Betreibern mitteilen, wie Produkte verwendet werden sollen
  • Um die Informationssicherheit innerhalb der Organisationen zu gewährleisten

Definitionen von Informationssicherheit

Option Beschreibung Quelle
Vertraulichkeit, Integrität und Verfügbarkeit
von Informationen		 Weitere Eigenschaften ISO/IEC 27000
Schutz von
Informationen/Informationssystemen		 vor unbefugtem Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." CNSS, 2010
Nur autorisierte Benutzer (Vertraulichkeit) bei Bedarf Zugang zu genauen und vollständigen Informationen (Integrität) haben (Verfügbarkeit) ISACA, 2008
Ist ein Prozess des Schutzes des geistigen Eigentums einer Organisation Pipkin, 2000
Disziplin des Risikomanagements deren Aufgabe es ist, die Kosten des Informationsrisikos für das Unternehmen zu verwalten." McDermott und Geer, 2001
Gut informiertes Gefühl
der Sicherheit		 dass Informationsrisiken und -kontrollen im Gleichgewicht sind Anderson, J., 2003
Schutz von Informationen minimiert das Risiko, dass Informationen Unbefugten zugänglich gemacht werden. Venter und Eloff, 2003
Informationssicherheit ist ein multidisziplinäres Studien- und Berufsfeld
  • das sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Arten (technisch, organisatorisch, menschlich und rechtlich) befasst, um Informationen an all ihren Orten (innerhalb und außerhalb der Unternehmensgrenzen) und folglich auch Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und vernichtet werden, vor Bedrohungen zu schützen
Bedrohungen für Informationen und Informationssysteme können in Kategorien eingeteilt werden, und für jede Kategorie von Bedrohungen kann ein entsprechendes Sicherheitsziel definiert werden
  • Ein Satz von Sicherheitszielen, der als Ergebnis einer Bedrohungsanalyse ermittelt wurde, sollte regelmäßig überarbeitet werden, um seine Angemessenheit und Konformität mit dem sich entwickelnden Umfeld sicherzustellen
Relevante Satz von Sicherheitszielen
  • Vertraulichkeit
  • Integrität
  • Verfügbarkeit
  • Datenschutz
  • Authentizität
  • Vertrauenswürdigkeit
  • Nichtabstreitbarkeit
  • Rechenschaftspflicht
  • Überprüfbarkeit

Die Sicherheit von Informationen und Informationsressourcen unter Verwendung von Telekommunikationssystemen oder -geräten bedeutet den Schutz von Informationen, Informationssystemen oder Büchern vor unbefugtem Zugriff, Beschädigung, Diebstahl oder Zerstörung

Normen und Standards

Kategorie:Informationssicherheit/Standard

Verfahren

Informationssicherheit/Verfahren


Anhang

Gebiet Beschreibung
Grundlagen
Begriffe
Schutzziele
Managementsystem
Maßnahmen
Common Criteria
Security Engineering
Qualifizierung
Audit und Zertifizierungen
Rahmenbedingungen
Umsetzungsbereiche
Mobile Endgeräte
Bedrohungen

Siehe auch

Links

Weblinks
  1. https://de.wikipedia.org/wiki/Informationssicherheit
  2. https://en.wikipedia.org/wiki/Information_security
Abgerufen von „https://wiki.foxtom.de/index.php?title=Informationssicherheit&oldid=98450“