Schutzbedarfsanalyse

1 Sicherheitsmanagement

Der PDCA-Zyklus nach William Edwards Deming

Ein funktionierendes Managementsystem für Informationssicherheit (ISMS) besteht aus einem Zyklus. Der gesamte Sicherheitsprozess unterliegt diesem Zyklus.

Um in diese Sicherheitsprozess ein Sicherheitskonzept zu erhalten, ernennt die Geschäftsleitung einen Informationssicherheitsbeauftragten (ISB). Dieser koordiniert die Entwicklung des Sicherheitskonzepts.

Des weiteren wird eine Leitlinie zur Informationssicherheit erstellt. Ziel der Leitlinie ist es, dass alle Beschäftigten mögliche Gefährdungen für die Informationssicherheit kennen.

Man beachte: Durch einen Hinweis in der Leitlinie, dass bspw. ein Ausfall von IT-Systemen die Existenz des Unternehmens gefährdet, werden alle Beschäftigten für die Informationssicherheit sensibilisiert.

3 Schutzbedarfsfeststellung - Schutzbedarfskategorien und Schadenszenarien

Der mögliche Schaden wird für jedes Zielobjekt (Anwendung, Prozess, ...) ermittelt. Dies geschieht immer auf Basis der drei Grundwerte: Vertraulichkeit, Integrität und Verfügbarkeit.

Der Schutzbedarf wird in drei Schutzbedarfskategorien unterteilt:

• normal: begrenzte Schadensauswirkung
• hoch: beträchtliche Schadensauswirkung
• sehr hoch: existenziell bedrohliche Schadensauswirkung

Dabei kann der Schaden sich auf verschiedene Schadenszenarien beziehen:

• finanzieller Schaden,
• Beeinträchtigung der Aufgabenerfüllung,
• negative Innen- oder Außenwirkung,
• Verstöße gegen Gesetze, Verträge,
• Personenschaden und
• Beeinträchtigungen des informationellen Selbstbestimmungsrechts.

Jede Institution muss nun die Schutzbedarfs­kategorien für die verschiedenen Schadenszenarien festlegen. Dies könnte bspw. wie folgt aussehen:

SB-Kategorie	finanzieller Schaden
normal	kleiner 50.000 €
hoch	50.000 € bis 500.000 €
sehr hoch	über 500.000 €

SB-Kategorie	Beeinträch­tigung der Aufgabener­füllung
normal	mehr als 24 h Ausfallzeit tolerabel
hoch	maximal 24 h Ausfallzeit tolerabel
sehr hoch	maximal 2 h Ausfallzeit tolerabel

Übung 1 Schutzbedarfsfeststellung

Quelle: BSI
Ein Unternehmen hat folgende Schutzbedarfskategorien definiert und mit der Geschäftsführung abgestimmt:

Schutzbedarfskategorie normal

Ein möglicher Schaden hätte begrenzte, überschaubare Auswirkungen auf das Unternehmen:

• Bei Verstößen gegen Gesetze,Vorschriften oder Verträge drohen allenfalls geringfügige juristische Konsequenzen.
• Der Missbrauch personenbezogener Daten hätte nur geringfügige Auswirkungen auf die davon Betroffenen und würden von diesen toleriert.
• Die persönliche Unversehrtheit wird nicht beeinträchtigt.
• Ausfallzeiten von mehr als 48 Stunden können hingenommen werden.
• Es droht kein Ansehensverlust bei Geschäftspartnern.
• Der mögliche finanzielle Schaden liegt unter 20.000 EUR.

Schutzbedarfskategorie hoch

Ein möglicher Schaden hätte beträchtliche Auswirkungen auf das Unternehmen:

• Bei Verstößen gegen Gesetze,Vorschriften oder Verträge drohen schwerwiegende juristische Konsequenzen oder hohe Konventionalstrafen.
• Der Missbrauch personenbezogener Daten hätte beträchtliche Auswirkungen auf die davon Betroffenen und würden von diesen nicht toleriert.
• Die persönliche Unversehrtheit wird nicht mit dauerhaften Folgen beeinträchtigt.
• Ausfallzeiten dürfen maximal 48 Stunden betragen.
• Ansehensverlust bei Geschäftspartnern ist beträchtlich.
• Der mögliche finanzielle Schaden liegt zwischen 20.000 EUR und 100.000 EUR.

Schutzbedarfskategorie sehr hoch

Ein möglicher Schaden hätte katastrophale Auswirkungen auf das Unternehmen:

• Verstöße gegen Gesetze,Vorschriften oder Verträge gefährden die Existenz des Unternehmens.
• Der Missbrauch personenbezogener Daten hätte ruinöse Auswirkungen auf die davon Betroffenen.
• Die persönliche Unversehrtheit wird mit dauerhaften Folgen beeinträchtigt.
• Ausfallzeiten dürfen maximal 2 Stunden betragen.
• Ansehensverlust bei Geschäftspartnern wird nachhaltig beeinträchtigt.
• Der mögliche finanzielle Schaden liegt über 100.000 EUR.

Bestimme für die folgenden Anwendungen/Prozesse den Schutzbedarf.

Anwen­dung/ IT-Sys­tem	Grund­wert	Schutz­bedarf	Begrün­dung
A001 Drucker­service	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:
A002 Personal­daten­ver­arbei­tung	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:
A003 Inter­net­recherche	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:
A004 Finanz­buch­hal­tung	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:
S001 Datei­server	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:
S002 Drucker­server	Vertrau­lich­keit
	Inte­grität:
	Verfüg­barkeit:

Wortliste und Satzbausteine

die Schutz­bedarfs­analyse, -n	Erarbeiten eines Sicherheitskonzepts für Unternehmen zum Schutz von Informationen und IT-Systemen
der Grund­wert, -e	auf Basis der Grundwerte: Vertraulichkeit, Integrität und Verfügbarkeit wird ein möglicher Schaden ermittelt
die Vertrau­lich­keit, -	die Geheimhaltung von Daten
die Inte­grität, -	die Unverfälschtheit von Daten
die Verfüg­bar­keit, -	die Verhinderung von Systemausfällen
die Struktur­ana­lyse, -n	Zielobjekte eines möglichen Fehlers/Angriffs werden identifiziert

das Ziel­objekt, -e	alle IT-Anwendungen, Geschäftsprozesse, IT-Systeme und Räume
die Schutz­bedarfs­fest­stellung, -en	Untersuchung des Schutzbedarfs für Zielobjekte
die Schutz­bedarfs­kateg­orie, -n	Einteilung des Schutzbedarfs in drei Kategorien: normal, hoch, sehr hoch
das Schadens­ze­nario, -en	verschiedene Bereiche in denen ein Schaden auftreten kann