Informationssicherheitsberatung IT: Schutzbedarf gezielt klären
Schutzbedarf aus den Geschäftsprozessen ableiten
Informationssicherheitsberatung beginnt bei den Informationen, die ein Unternehmen für seine Arbeit benötigt. Vertraulichkeit, Integrität und Verfügbarkeit können je nach Prozess unterschiedlich wichtig sein. Eine veröffentlichte Produktbeschreibung verlangt andere Schutzüberlegungen als Zugangsdaten für eine Kundenumgebung.
Der Schutzbedarf beschreibt die möglichen Folgen einer Beeinträchtigung. Er ist damit von der Frage zu unterscheiden, wie wahrscheinlich ein konkreter Vorfall ist. Beide Betrachtungen werden später miteinander verbunden, sollten aber nicht vermischt werden.
Informationen, Verarbeitung und Abhängigkeiten erfassen
Für eine erste Untersuchung sind folgende Angaben hilfreich:
- Information oder Dienstleistung und zuständiger Fachbereich;
- Speicherorte, Übertragungswege und beteiligte Personen;
- eingesetzte Anwendungen und externe Dienstleister;
- mögliche Folgen von Offenlegung, Veränderung oder Ausfall;
- bereits vorhandene Schutzmaßnahmen und bekannte Lücken.
Die Einstufung wird mit den Prozessverantwortlichen besprochen. Eine rein technische Inventarliste erklärt noch nicht, welche Auswirkungen der Ausfall eines Systems auf Kunden oder laufende Aufträge hätte.
Ein Beispiel für unterschiedliche Schutzanforderungen
Ein IT-Dienstleister verarbeitet einen vertraulichen Migrationsplan und betreibt zugleich ein öffentliches Statusportal. Beim Migrationsplan stehen unberechtigte Einsicht und unbemerkte Änderungen im Vordergrund. Beim Statusportal sind verlässliche Angaben und ausreichende Verfügbarkeit besonders relevant. Die Schutzmaßnahmen müssen diese Unterschiede berücksichtigen.
Aus dem Ergebnis Handlungsfelder ableiten
Die Untersuchung sollte erkennen lassen, wo organisatorische Regeln, technische Kontrollen oder zusätzliche Informationen fehlen. Unbekannte Datenflüsse werden als Klärungsaufgabe dokumentiert. Hoher Schutzbedarf bedeutet nicht automatisch, dass jede denkbare Maßnahme umgesetzt werden muss; die konkrete Auswahl wird durch die anschließende Risikobetrachtung begründet.
Die IT-Grundschutz-Methodik und das Risikomanagement nach BSI bieten hierfür nachvollziehbare Arbeitsschritte. Sie sind eine methodische Orientierung und ersetzen keine Bewertung des jeweiligen Unternehmens.
Aus dem Schutzbedarf werden konkrete Szenarien für die ISMS-Risikobewertung abgeleitet. Die vorgesehenen Schutzmaßnahmen und ihre Zusammenhänge können anschließend in einem Informationssicherheitskonzept beschrieben werden.
Quellen und fachliche Grundlagen
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik