6 Min. Lesezeit
Vertraulichkeit, Integrität und Verfügbarkeit: von IT Schutzzielen zu konkreten Maßnahmen
DriveLock Feb 17, 2021 12:21:45 PM
BSI Grundschutz Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab?Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab?
Ausblick
- Schutzziele der Informationssicherheit: Die Informationssicherheit hat drei Hauptziele: Vertraulichkeit, Integrität und Verfügbarkeit. Diese Ziele gelten sowohl für Daten als auch für Systeme.
-
IT-Security Maßnahmen für Vertraulichkeit: Vertrauliche Informationen müssen vor Verrat geschützt werden. Maßnahmen wie Zugriffskontrolle und Verschlüsselung werden eingesetzt, um den Zugriff auf sensible Daten zu beschränken.
-
IT-Security Maßnahmen für Integrität: Die Integrität von Daten und Systemen bezieht sich auf ihr unverändertes Funktionieren und die Richtigkeit der Informationen. Maßnahmen wie Verschlüsselung und Zugriffskontrollen dienen dazu, unbefugte Veränderungen zu verhindern.
-
IT-Security Maßnahmen für Verfügbarkeit: Verfügbarkeit definiert, wie leicht Benutzer auf IT-Systeme und Informationen zugreifen können. Maßnahmen wie Backup-Systeme und redundante Netzwerke werden implementiert, um sicherzustellen, dass Systeme kontinuierlich verfügbar sind.
-
Umsetzung von BSI-Grundschutzanforderungen: Die BSI-Grundschutzanforderungen helfen dabei, die Schutzziele in der Praxis umzusetzen. Durch die Feststellung des Schutzbedarfs und die Zuordnung von Maßnahmen werden IT-Systeme gemäß ihrer Anforderungen geschützt. Maßnahmen wie Applikationskontrolle, Gerätekontrolle und Verschlüsselung werden genutzt, um die Anforderungen zu erfüllen und die Informationssicherheit zu gewährleisten.
Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab? Ob Unternehmens-, Personen- oder andere sensible Daten: Sie alle sind wichtige Güter von Unternehmen und müssen vor Verlust, unberechtigtem Zugriff oder Manipulation geschützt werden.
INHALT |
A. 3 Schutzziele der Informationssicherheit[1]
Die Aufgabe der Informationssicherheit ist der angemessene Schutz der Grundwerte
- Vertraulichkeit
- Integrität (Unverfälschtheit) und
- Verfügbarkeit[2].
Diese Schutzziele gelten für Daten und Systeme.
IT Vertraulichkeit
Im Grundschutz des Bundesamts für Sicherheit in der Informationstechnologie, kurz BSI, bedeutet das Schutzziel Vertraulichkeit Schutz vor Verrat von Informationen oder vertraulichen Daten. Darunter sind z.B. Umsatzzahlen und daraus erhobene Daten oder Produkt- und Forschungsergebnisse zu verstehen, die die Konkurrenz interessieren könnten.
IT Integrität
Das Schutzziel Integrität bezeichnet laut IT Grundschutz das durchgängige Funktionieren von IT-Systemen sowie die Vollständigkeit und Richtigkeit von Daten und Informationen. In Bezug auf die Informationssicherheit bedeutet Integrität das Verhindern von nicht genehmigten Veränderungen an wichtigen Informationen. Integrität von Daten kann man z.B. durch Verschlüsselung erreichen.
IT Verfügbarkeit
Das Schutzziel Verfügbarkeit definiert, zu welchem Grad IT-Systeme, IT Anwendungen, IT Netzwerke und elektronische Informationen einem Benutzer zur Verfügung stehen und ohne Einschränkung verwendet werden können.
Gefährdungen benennen den Grund bzw. die Bedrohungen, warum Daten geschützt werden müssen.
B. IT-Grundschutz: Welche Gefährdungen gibt es?
Das BSI hat eine Liste aller elementaren Gefährdungen, welche die Schutzziele von Unternehmensdaten bedrohen, im IT Grundschutz-Kompendium veröffentlicht. Von diesen 47 Gefährdungen konzentrieren wir uns nun auf eine Auswahl [3]:
- Datenverlust (G 0.45)
- Missbrauch von Berechtigungen (G 0.32)
- Diebstahl von Geräten und Datenträgern (G 0.16)
- Verlust von Geräten und Datenträgern (G 0.17)
- Offenlegung schützenswerter Informationen (G 0.19)
- Verstoß gegen Gesetze oder Regelungen (G 0.29)
- Manipulation von Informationen (G 0.22)
Gehen wir nun in die konkrete Praxis: Im ersten Schritt ordnen wir Schutzzielen den Schutzbedarf zu. Diesen gilt es im nächsten Schritt mit Maßnahmen zu befriedigen.
C. Schritt 1: Feststellung der Schutzbedarfe
„Ziel der Schutzbedarfsfeststellung ist es, für die zu behandelnden Daten zu entscheiden, welcher Grad an Schutz sie bezüglich der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit benötigen.“
Dieser Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen Anwendungen und damit der jeweiligen Geschäftsprozesse verbunden sind. [4] In unserem Fall erfolgt diese Feststellung speziell für IT-Systeme. Den zu schützenden Daten müssen Schutzbedarfe zugeordnet werden.
Da der Schutzbedarf meist nicht quantifizierbar ist, beschränkt sich der BSI IT-Grundschutz somit auf eine qualitative Aussage, indem er Schutzbedarf in drei Kategorien unterteilt.
-
- normal | Die Schadensauswirkungen sind begrenzt und überschaubar.
- hoch | Die Schadensauswirkungen können beträchtlich sein.
- sehr hoch | Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.
Um die Schutzbedarfskategorien normal, hoch und sehr hoch voneinander abgrenzen zu können, bietet es sich an, die Grenzen für die einzelnen Schadensszenarien zu bestimmen. Es kann auch sinnvoll sein, feinere Kategorien zu wählen, wenn die o.g. drei Kategorien nicht granular genug sind.
Sie möchten es sich besser vorstellen? Hier zwei Beispiele:
Telefonnummern im Telefonbuch:
- Vertraulichkeit: normaler Schutzbedarf. Daten stehen im Telefonbuch öffentlich zur Verfügung
- Integrität: Hoher Schutzbedarf. Nummern dürfen nicht verändert werden
- Verfügbarkeit: Normal. Auch ohne Telefonbuch ist es möglich, eine Nummer herauszufinden (Auskunft, Internet)
Kreditkartendaten in einem eCommerce-Portal:
- Vertraulichkeit: hoher bis sehr hoher Schutzbedarf
- Integrität: sehr hoher Schutzbedarf. Nummern dürfen nicht verändert werden. Schäden können bei missbräuchlicher Verwendung sehr hoch werden, je nach Limit der Karte.
D. Schritt 2: BSI Grundschutz-Anforderungen
Nun werden den Schutzzielen mit deren spezifischem Grad (Schutzbedarf) die Anforderungen zugeordnet. Im BSI-Grundschutz-Baustein SYS werden die Anforderungen für IT-Systeme behandelt. Unter dem Gesichtspunkt der Endpoint Protection sind dies vor allem die Folgenden [5] :
- SYS.2.1 Allgemeiner Client
- SYS.2.2.3 Clients unter Windows 10
- SYS.3.1 Laptops
- SYS.4.5 Wechseldatenträger
Anhand von Kreuzreferenztabellen lässt sich ermitteln, welche Anforderungen dazu geeignet sind, die genannten elementaren Gefährdungen abzudecken. Dabei wird auch angezeigt, welches Schutzziel (C = Vertraulichkeit, I = Integrität, A - Verfügbarkeit) durch die Anforderung vorrangig erfüllt wird.
Ein Beispiel aus den Anforderungen für allgemeine Clients:
- Anforderung:
Verschlüsselung der Clients (SYS.2.1.A28) - Elementare Gefährdung, die abgedeckt wird:
u.a. Offenlegung schützenswerter Informationen (G 0.19) - vorangig erfülltes Schutzziel
Vertraulichkeit (C) - Schutzbedarf
hoch
Konkrete Sicherheitsmaßnahmen, die sich aus der Anforderung ableiten, wirken der genannten elementaren Gefährdung entgegen. Für das gerade genannte Beispiel ergibt sich daraus:
- Maßnahme:
Festplattenverschlüsselung.
Betrachten wir nun einige Anforderungen an Clients, Laptops und Wechseldatenträger wie USB, die aus Sicht der Cybersicherheit durch geeignete Software mit der Möglichkeit der Einführung zentraler Sicherheitsrichtlinien umgesetzt werden können..
Der IT-Grundschutz unterscheidet dabei zwischen Basis-Anforderungen (B), Standard-Anforderungen (S) und Anforderungen bei erhöhtem Schutzbedarf (H).
1. Anforderungen für allg. Clients (SYS 2.1 Allg. Client [6] )
Für Clients im Allgemeinen, also Endgeräte wie PCs, gibt es folgende Standard-Anforderungen, die als SOLL-Vorgaben zu interpretieren sind.
SYS.2.1.A9 Festlegung einer Sicherheitsrichtlinie für Clients
Von der allgemeinen Sicherheitsrichtlinie ausgehend werden Unternehmen aufgefordert, die Anforderungen an allgemeine Clients zu konkretisieren. Die Umsetzung der in der Richtlinie geforderten Inhalte soll regelmäßig überprüft und die Ergebnisse sinnvoll dokumentiert werden.
SYS.2.1.A24 Umgang mit externen Medien und Wechseldatenträgern
Sinngemäß fordert das BSI Maßnahmen zu ergreifen, damit nicht unkontrolliert Software auf den Clients über Wechsellaufwerke oder externe Schnittstellen installiert werden kann oder unberechtigt Daten von den Clients kopiert werden können. Auf externe Schnittstellen sollte nur restriktiv zugegriffen werden können. Generell sollte verhindert werden, dass von den Clients auf Daten oder Wechseldatenträger aus nicht vertrauenswürdigen Quellen zugegriffen wird.
Anforderungen bei erhöhtem Schutzbedarf sind beispielweise:
SYS.2.1.A28 Verschlüsselung der Clients
Das BSI empfiehlt als SOLL-Vorgabe, im Falle von vertraulichen Informationen auf den Clients mindestens die schutzbedürftigen Dateien und ausgewählte Dateisystembereiche, im Idealfall die gesamte Festplatte zu verschlüsseln.
SYS.2.1.A33 Application Whitelisting
Es wird der Einsatz von Application Whitelisting empfohlen, um sicherzustellen, dass nur erlaubte Programme und Skripte ausgeführt werden können. Die Regeln sollten so eng wie möglich gefasst werden. Falls Pfade und Hashes nicht explizit angegeben werden können, sollten alternativ auch zertifikatsbasierte oder Pfad-Regeln genutzt werden.
2. Anforderungen für Clients unter Windows 10 (SYS.2.2.3 [7] )
Ergänzend zu den Anforderungen zu allgemeinen Clients nennt das BSI als Basisanforderungen (MUSS-Vorgaben):
SYS.2.2.3.A5 Schutz vor Schadsoftware unter Windows 10
Sofern nicht gleich- oder höherwertige Maßnahmen zum Schutz des IT-Systems vor einer Infektion mit Schadsoftware getroffen wurden, muss der Einsatz einer spezialisierten Komponente zum Schutz vor Schadsoftware auf Windows 10-Clients umgesetzt sein.
Standardanforderungen (SOLL-Vorgaben):
SYS.2.2.3.A8 Zentrale Verwaltung der Sicherheitsrichtlinien von Clients
Alle Einstellungen des Windows 10-Clients sollten durch ein zentrales Management verwaltet und entsprechend dem ermittelten Schutzbedarf sowie auf den internen Richtlinien basierend konfiguriert sein. Technisch nicht umsetzbare Konfigurationsparameter sind zu dokumentieren, zu begründen und mit dem Sicherheitsmanagement abzustimmen.
3. Anforderungen für Labtops (SYS 3.1 Labtops [8] )
Standardanforderungen (SOLL-Vorgaben):
SYS.3.1.A13 Verschlüsselung von Laptops
Das BSI empfiehlt eine Festplattenverschlüsselung, für die ein sicherer Verschlüsselungsalgorithmus eingesetzt werden sollte. Die Schlüssel sollten zufällig erzeugt werden und geeignet aufbewahrt werden können.
4. Anforderungen für Wechseldatenträger (SYS 4.5 Wechseldatenträger [9] )
Die Basisanforderungen (MUSS-Vorgaben) sind u.a.:
SYS.4.5.A1 Sensibilisierung der Mitarbeiter zum sicheren Umgang mit Wechseldatenträgern
Das IT Grundschutz-Kompendium fordert dazu auf, alle Mitarbeiter für den sicheren Umgang mit Wechseldatenträgern zu sensibilisieren, d.h. die Mitarbeiter MÜSSEN insbesondere darauf hingewiesen werden, wie sie mit den Wechseldatenträgern umgehen sollten, um Verlust oder Diebstahl vorzubeugen und eine lange Lebensdauer zu gewährleisten.
SYS.4.5.A12 Schutz vor Schadsoftware
Es dürfen nur Daten auf Wechseldatenträger übertragen werden, die auf Schadsoftware überprüft worden sind.
Standardanforderungen (SOLL-Vorgaben) sind:
SYS.4.5.A7 Sicheres Löschen der Datenträger vor und nach der Verwendung
Wiederbeschreibbare Datenträger sollten mit dafür geeigneter Software gelöscht werden, bevor sie weitergegeben, wiederverwendet oder ausgesondert werden.
Anforderungen bei erhöhtem Schutzbedarf (SOLL-Vorgaben):
SYS.4.5.A10 Datenträgerverschlüsselung
Für Wechseldatenträger wird empfohlen, diese mit einem sicheren Verschlüsselungsverfahren vollständig zu verschlüsseln.
E. Wie helfen Lösungen von DriveLock, die BSI-Grundschutz Empfehlungen umzusetzen?
Mit den DriveLock-Modulen Applikationskontrolle, Gerätekontrolle und Verschlüsselung gelingt es, die oben genannten Anforderungen zu erfüllen. Beispielsweise lässt sich die Integrität von Windows Systemen (im weitesten Sinn Richtung Unversehrtheit) mit Hilfe der DriveLock Applikationskontrolle erreichen.
Quellenverzeichnis:
[1] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6
[2] Quelle: https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_006.pdf?__blob=publicationFile&v=1
[3] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6, ,elementare Gefährdungen, Seite.7 ff
[4] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6 , Schutzbedarfsfeststellung, S. 37
[5] Quelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Kompendium/IT-Grundschutz-Bausteine/Bausteine_Download_Edition_node.html, SYS: IT-Systeme
[6] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_2_1_Allgemeiner_Client_Edition_2021.pdf?__blob=publicationFile&v=2
[7] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_2_2_3_Clients_unter_Windows_10_Edition_2021.pdf?__blob=publicationFile&v=2
[8] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_3_1_Laptops_Edition_2021.pdf?__blob=publicationFile&v=2
[9] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_4_5_Wechseldatentraeger_Edition_2021.pdf?__blob=publicationFile&v=2
Krankenhauszukunftsgesetz KHZG-Förderung gegen Informationssicherheit
Der Bund hat zum 20. Oktober 2020 das Gesetz für ein Zukunftsprogramm Krankenhäuser beschlossen (Krankenhauszukunftsgesetz KHZG).
BitLocker- Wiederherstellungsschlüssel verzweifelt gesucht!
Das BSI empfiehlt Festplattenverschlüsselung als wirksame Maßnahme zum Schutz von Daten auf Desktop-Clients und Notebooks im Unternehmensumfeld....