IT-Schutzziele: Die Basis für konkrete Sicherheitsmaßnahmen

Von Ralf Lautenbacher am 05. Februar 2020

IT-Schutzziele_750x250

Die Daten in einem System oder Verfahren müssen geschützt werden. Aber auf was genau gilt es dabei zu achten? Empfehlenswert ist hier die Definition eines konkreten Maßnahmenkatalogs, der sich systematisch aus sechs Sicherheits- oder Schutzzielen ableiten lässt. Die IT-Sicherheit kennt drei klassische Sicherheits- bzw. Schutzziele, die auch als CIA-Schutzziele bekannt sind:

  • Confidentiality (Vertraulichkeit)
  • Integrity (Integrität)
  • Availability (Verfügbarkeit)

Im Rahmen der IT-Sicherheitsforschung wurden drei weitere Schutzziele aus den CIA-Schutzzielen abgeleitet:

  • Revisionsfähigkeit (als Gegenpol zur Vertraulichkeit)
  • Authentizität (als Ergänzung zur Integrität)
  • Zurechenbarkeit (als Ergänzung zur Verfügbarkeit)

Ein System kann mit diesen sich nur scheinbar widersprechenden Anforderungen auf unterschiedliche Weise umgehen: Beispielsweise kann es Vertraulichkeit gegenüber Personen herstellen, die nicht einem bestimmten Personenkreis angehören, gleichzeitig aber aufgrund einer transparenten Protokollierung eine Prüfbarkeit herstellen. Auf diese Weise können nicht-autorisierte Zugriffe schneller entdeckt werden.

Die Schutzziele wurden in einer Reihe von Gesetzen teilweise oder komplett aufgenommen. So finden sie sich, teilweise unter anderen Begrifflichkeiten, in der europäischen Datenschutz-Grundverordnung, in verschiedenen Landesdatenschutzgesetzen wie auch im Gesetz zur Umsetzung der NIS-Richtlinie.

Schutzziel Vertraulichkeit

Wer darf auf welche Daten in welchem Umfang und unter welchen Voraussetzungen zugreifen? Vertraulichkeit ist gegeben, wenn nur Berechtigte bestimmte Daten sehen und nutzen können. Eine Lösung kann bloß dann wirklich „Vertraulichkeit“ herstellen, wenn der Anbieter gewährleistet, dass ständig kontrolliert wird, ob nur Befugte bestimmte Daten verarbeiten können. Dafür sollte das Zugriffsmanagement differenziert organisiert sein. Außerdem muss die Datenübertragung verschlüsselt erfolgen und hierfür gilt es zu klären, wer auf die Krypto-Schlüssel zugreifen kann. Sicheres Löschen bzw. ein Entsorgungskonzept gehört ebenfalls zu den Maßnahmen, die unter dieses Schutzziel fallen.

Schutzziel Integrität

Wer darf welche Daten oder Systeme ändern und unter welchen Bedingungen? Ein System ist dann integer, wenn Daten während der Datenverarbeitung unversehrt, vollständig und aktuell bleiben. Die Authentizität ist ein Aspekt der Integrität, die darauf zielt, dass der Ursprung der Daten festgestellt werden kann. Ein Hilfsmittel bezogen auf Dokumente sind beispielsweise digitale Signaturen oder ein „Information Rights Management“. Die „Integrität“ eines Systems lässt sich nur dann einschätzen, wenn der Anbieter etwa mittels einer Protokollierung eine permanente Kontrolle gewährleisten kann, Datenbestände, Schnittstellen und Prozesse zu sichern.

Schutzziel Verfügbarkeit

Sind die Informationen zugänglich, wann und wo sie von den Berechtigten gebraucht werden? Maßnahmen wie Redundanz und Backups können die Verfügbarkeit absichern. Die Verfügbarkeit ist eines der Hauptmotive für Anwender, Cloud-Lösungen zu nutzen. Sie müssen deshalb darauf achten, ob der Anbieter in den relevanten vertraglichen Vereinbarungen auch eine zeitgerechte Verfügbarkeit des Dienstes vorhält. Dies kann in Form von Service Level Agreements erfolgen.

Schutzziel Authentizität

Woher stammen die verfügbaren Daten? Anwender müssen die Möglichkeit haben, die Echtheit und Glaubwürdigkeit einer Person oder eines Dienstes zu überprüfen, um die Daten ihrem Ursprung zuordnen zu können. Sie müssen kontrollieren können, wer welche Informationen sehen kann. Möglich ist dies beispielsweise mit digitalen Signaturen. Dafür sollten sie explizit Rechte und Privilegien freigeben und darüber bestimmen können, wer von wo auf was wie zugreifen darf. Dies gehört zu den Voraussetzungen festlegen zu können, welche Daten lokal gespeichert und welche in die Cloud übermittelt werden.

Schutzziel Zurechenbarkeit

Kann ich eine Aktion einem Kommunikationspartner eindeutig zuordnen? Hier geht es um die Nutzung von Adress- und Profildaten und deren Verknüpfung über Nutzungsdaten.  Hier kann beispielsweise eine pseudonyme oder anonyme Nutzung oder eine Zuordnung mit Hilfe von Attributen festgelegt werden.

Schutzziel Revisionsfähigkeit

Kann ich feststellen, wer wann welche Daten in welcher Weise erhoben, verarbeitet oder genutzt hat? Die Verarbeitung von Daten muss nachvollzogen, überprüft und bewertet werden können. Der Aufwand für die hierfür notwendige Protokollierung sollte zumutbar bleiben.

 

Informationssicherheit
Kostenlose Brainloop Demo: Jetzt Demo vereinbaren!

Das könnte Sie auch interessieren:

Zentrale Sicherheitsrichtlinien für den Know-how-Schutz
Zentrale Sicherheitsrichtlinien für den Know-how-Schutz

Bei Nordex SE steht die Informationssicherheit hoch im Kurs. Daher kommt Brainloop weltweit beim Schutz vertraulicher Dokumente zum Einsatz.

Weiterlesen
Sicherheitskategorien steuern – auf allen Ebenen
Sicherheitskategorien steuern – auf allen Ebenen

Wie soll man vertrauliche Dokumente bei der Informationsflut heute schützen? Entscheidend ist: IT-Sicherheit funktioniert am Ende nur, wenn sie praktikabel..

Weiterlesen
Ganz konkret: Was die EU-Know-how-Schutz-Richtlinie für Firmen bedeutet
Ganz konkret: Was die EU-Know-how-Schutz-Richtlinie für Firmen bedeutet

Seit dem 9. Juni 2018 gilt die EU-Richtlinie zum Schutz vertraulicher Geschäftsinformationen. Was müssen Unternehmen beachten, um sie einzuhalten?

Weiterlesen
Neue Meldepflicht für IT-Sicherheitspannen
Neue Meldepflicht für IT-Sicherheitspannen

Seit 2016 müssen bestimmte Unternehmen IT-Sicherheitsvorfälle melden. Welche Vorgaben hier gelten und was meldepflichtig ist, haben wir zusammengefasst.

Weiterlesen

Ihre Meinung zum Thema:

Brainloop Blog: Jetzt abonnieren
New call-to-action