Schutzbedarf - Versionsgeschichte

Dirk am 5. März 2025 um 07:56 Uhr

2025-03-05T07:56:47Z

← Nächstältere Version		Version vom 5. März 2025, 09:56 Uhr
Zeile 221:		Zeile 221:

	[[Kategorie:Artikel]]		[[Kategorie:Artikel]]
			[[Kategorie:KMU]]

Dirk: /* Einleitung */

2024-08-02T13:53:55Z

Einleitung

← Nächstältere Version		Version vom 2. August 2024, 15:53 Uhr
Zeile 4:		Zeile 4:
	\|description=Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz, basierend auf Schutzzielen und Schutzbedarfskategorien für Informationen.		\|description=Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz, basierend auf Schutzzielen und Schutzbedarfskategorien für Informationen.
	}}{{SHORTDESC:Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz.}}		}}{{SHORTDESC:Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz.}}
	~~== Einleitung ==~~
	Ein zentraler Bestandteil bei der Erstellung einer Sicherheitskonzeption nach der Methodik des BSI Standards 200-2 und dem damit verbunden Aufbau eines ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.		Ein zentraler Bestandteil bei der Erstellung einer Sicherheitskonzeption nach der Methodik des BSI Standards 200-2 und dem damit verbunden Aufbau eines ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.

Dirk am 30. Juli 2024 um 17:13 Uhr

2024-07-30T17:13:22Z

← Nächstältere Version		Version vom 30. Juli 2024, 19:13 Uhr
Zeile 3:		Zeile 3:
	\|keywords=Schutzbedarfsfeststellung, BSI Standard 200-2, ISMS, Vertraulichkeit, Integrität, Verfügbarkeit, Schutzbedarfskategorien, Vererbungsprinzipien, Risikoanalyse, IT-Grundschutz, WiKi		\|keywords=Schutzbedarfsfeststellung, BSI Standard 200-2, ISMS, Vertraulichkeit, Integrität, Verfügbarkeit, Schutzbedarfskategorien, Vererbungsprinzipien, Risikoanalyse, IT-Grundschutz, WiKi
	\|description=Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz, basierend auf Schutzzielen und Schutzbedarfskategorien für Informationen.		\|description=Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz, basierend auf Schutzzielen und Schutzbedarfskategorien für Informationen.
	}}		}}{{SHORTDESC:Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz.}}
	== Einleitung ==		== Einleitung ==
	Ein zentraler Bestandteil bei der Erstellung einer Sicherheitskonzeption nach der Methodik des BSI Standards 200-2 und dem damit verbunden Aufbau eines ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.		Ein zentraler Bestandteil bei der Erstellung einer Sicherheitskonzeption nach der Methodik des BSI Standards 200-2 und dem damit verbunden Aufbau eines ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.

Dirk am 16. Juli 2024 um 13:37 Uhr

2024-07-16T13:37:48Z

@@ Zeile 16: / Zeile 16: @@
 Vertraulichkeit: Keine unbefugte Kentnisnahme oder Weitergabe von Informationen.
-Integrität: Die Korrektheit von Informationen und der Funktionsweise von Systemen.
+Integrität: Die Korrektheit von Informationen und der korrekte Funktionsweise von Systemen.
-Verfügbarkeit: Unbeeinträchtigter Zugriff auf Informationen und Systemen.
+Verfügbarkeit: Unbeeinträchtigter Zugriff auf Systeme und Informationen.
 Die drei Grundwerte müssen durchgängig getrennt betrachtet werden, da sich diese auch in den Maßnahmen grundlegend unterscheiden.
@@ Zeile 117: / Zeile 117: @@
 In der eigentlichen Schutzbedarfsfeststellung wird der Schutzbedarf für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit gemäß den zuvor getroffenen Definitionen für alle Prozesse (alternativ Anwendungen) einzeln ermittelt und die Einstufung kurz begründet. Die Begründung ist zwingend erforderlich um eine Nachvollziehbarkeit der Einstufung zu gewährleisten.
 '''Beispiel:'''
@@ Zeile 125: / Zeile 188: @@
 |-
 |Vertraulichkeit:
-|hoch
+|'''hoch'''
-|In der Personalverwaltung werden besondere personenbezogene Daten verarbeitet, die einem besonderen gesetzlichen Schutz unterliegen.
+|In der Personalverwaltung werden besondere personenbezogene Daten verarbeitet, die einem besonderen gesetzlichen Schutz unterliegen. Hohe Außenwirkung bei Bekanntwerden.
 |-
 |Integrität:
-|hoch
+|'''hoch'''
 |Personaldaten werden u.a. zur Gehaltsabrechnung genutzt. Fehlerhafte Daten können zu fehlerhaften Abrechnungen führen.
 |-
@@ Zeile 146: / Zeile 209: @@
 |-
 |Integrität:
-|hoch
+|'''hoch'''
 |Fehlerhafte Daten können zu Produktionsausfällen oder zu Schäden an Maschinen führen.
 |-
 |Verfügbarkeit:
-|hoch
+|'''hoch'''
 |Ohne Produktionsdaten kann nicht prodiziert werden, jeder Ausfall führt direkt zu finanziellem Schaden.
 |}
 == Auswirkungen auf weitere Schritte ==

Dirk: /* Schutzbedarfskategorien */

2024-07-13T07:29:12Z

Schutzbedarfskategorien

← Nächstältere Version		Version vom 13. Juli 2024, 09:29 Uhr
Zeile 31:		Zeile 31:
	Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.		Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.

	Die Grenze zwischen "'''normal'''" und "hoch" ist zu beachten! Die Kategorie "'''normal'''" darf nicht wesentlich von der Beispieldefinition des BSI im Standard 200-2 abweichen, da sich die Anforderungen der Standardabsicherung an dieser Definition orientieren.		Die Grenze zwischen "'''normal'''" und "'''hoch'''" ist zu beachten! Die Kategorie "'''normal'''" darf nicht wesentlich von der Beispieldefinition des BSI im Standard 200-2 abweichen, da sich die Anforderungen der Standardabsicherung an dieser Definition orientieren.
	Bei unterschiedlicher Benennung der Kategorien muss erkennbar sein, welche Kategorie dem "'''normal'''" des BSI-Standards entspricht.		Bei unterschiedlicher Benennung der Kategorien muss erkennbar sein, welche Kategorie dem "'''normal'''" des BSI-Standards entspricht.

Dirk am 25. März 2024 um 05:41 Uhr

2024-03-25T05:41:01Z

← Nächstältere Version		Version vom 25. März 2024, 07:41 Uhr
Zeile 1:		Zeile 1:
	{{#seo:		{{#seo:
	\|title=Durchführung einer Schutzbedarfsfeststellung		\|title=Durchführung einer Schutzbedarfsfeststellung
	\|keywords=~~ISMS~~,BSI,~~IT-Grundschutz~~,~~Informationssicherheit~~,~~WiKi~~,~~Hilfe~~,~~Schutzbedarf~~,~~Schutzbedarfsfeststellung~~,IT-~~Sicherheit~~		\|keywords=Schutzbedarfsfeststellung, BSI Standard 200-2, ISMS, Vertraulichkeit, Integrität, Verfügbarkeit, Schutzbedarfskategorien, Vererbungsprinzipien, Risikoanalyse, IT-Grundschutz, WiKi
	\|description=~~Verfahren zur~~ Durchführung einer Schutzbedarfsfeststellung für ~~die zu verarbeitenden~~ Informationen.		\|description=Durchführung einer Schutzbedarfsfeststellung nach BSI IT-Grundschutz, basierend auf Schutzzielen und Schutzbedarfskategorien für Informationen.

	}}		}}
	== Einleitung ==		== Einleitung ==

Dirk: /* Grundwerte */

2024-02-22T06:57:21Z

Grundwerte

← Nächstältere Version		Version vom 22. Februar 2024, 08:57 Uhr
Zeile 19:		Zeile 19:
	Integrität: Die Korrektheit von Informationen und der Funktionsweise von Systemen.		Integrität: Die Korrektheit von Informationen und der Funktionsweise von Systemen.

	Verfügbarkeit: ~~Uneingeschränkter~~ Zugriff auf Informationen und Systemen.		Verfügbarkeit: Unbeeinträchtigter Zugriff auf Informationen und Systemen.

	Die drei Grundwerte müssen durchgängig getrennt betrachtet werden, da sich diese auch in den Maßnahmen grundlegend unterscheiden.		Die drei Grundwerte müssen durchgängig getrennt betrachtet werden, da sich diese auch in den Maßnahmen grundlegend unterscheiden.
Zeile 26:		Zeile 26:
	Zunächst sind Schutzbedarfskategorien (Schutzstufen) zu definieren. Durch das BSI werden folgende drei Schutzbedarfskategorien vorgeschlagen:		Zunächst sind Schutzbedarfskategorien (Schutzstufen) zu definieren. Durch das BSI werden folgende drei Schutzbedarfskategorien vorgeschlagen:

	* '''normal''' (Die ~~Schadensauswirkungen~~ sind begrenzt und beherrschbar)		* '''normal''' (Die Auswirkungen möglicher Beinträchtigungen der Grundwerte sind begrenzt und beherrschbar)
	* '''hoch''' (Die ~~Schadensauswirkungen können~~ beträchtlich ~~sein~~)		* '''hoch''' (Die Auswirkungen möglicher Beinträchtigungen der Grundwerte sind beträchtlich)
	* '''sehr hoch''' (Die ~~Schadensauswirkungen können~~ existenzbedrohend ~~sein~~)		* '''sehr hoch''' (Die Auswirkungen möglicher Beinträchtigungen der Grundwerte sind existenzbedrohend)

	Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.		Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.
Zeile 53:		Zeile 53:
	\|'''2.'''		\|'''2.'''
	\|Beeinträchtigung des informationellen Selbstbestimmungsrechts (personenbezogene Daten)		\|Beeinträchtigung des informationellen Selbstbestimmungsrechts (personenbezogene Daten)
	\|Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann.		\|Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen nur gering beeinträchtigt werden kann.
	\|Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann.		\|Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann.
	\|Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist.		\|Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist.
Zeile 92:		Zeile 92:

	====== Verteilungseffekt ======		====== Verteilungseffekt ======
	Der Verteilungseffekt bedeutet das sich das Risiko über mehrere Systeme verteilen kann und daher die Schutzstufe des ~~Gesamtsystems~~ sinkt.		Der Verteilungseffekt bedeutet das sich das Risiko über mehrere Systeme verteilen kann und daher die Schutzstufe des einzelnen Systems sinkt.

	Z.B.: Wenn der Schutzbedarf eines ~~einzelnen~~ Systems im Grundwert Verfügbarkeit "hoch" ist, davon aber mehrere Systeme vorhanden sind, die sich gegenseitig ersetzen können, kann der Schutzbedarf ~~im Gesamtsystem~~ auf "normal" sinken, da der Ausfall eines einzelnen System im Gesamtsystem kompensiert werden kann.		Z.B.: Wenn der Schutzbedarf eines Systems im Grundwert Verfügbarkeit "hoch" ist, davon aber mehrere Systeme vorhanden sind, die sich gegenseitig ersetzen können (z.B. bei einer Lastverteilung), kann der Schutzbedarf für das einzelne System auf "normal" sinken, da der Ausfall eines einzelnen System im Gesamtsystem kompensiert werden kann.

	====== Kumulationseffekt ======		====== Kumulationseffekt ======
	Der Kumulationseffekt ist das Gegenteil vom Verteilungseffekt, hier kann die Kumulation mehrerer Systeme zu einer Erhöhung des Schutzbedarfs des Gesamtsystems führen. Z.B.: Auf einem Server laufen viele Anwendungen mit dem Schutzbedarf "normal", Der Ausfall einer einzelnen Anwendung ist unkritisch. Fällt dagegen der Server aus, fallen auch alle Anwendungen auf dem Server aus, was für das Gesamtsystem kritisch ist, daher bekommt der Server aufgrund des Kumulationseffekts den Schutzbedarf "hoch" auch wenn jede einzelne Anwendung nur einen normalen Schutzbedarf vererbt.		Der Kumulationseffekt ist das Gegenteil vom Verteilungseffekt, hier kann die Kumulation mehrerer Systeme zu einer Erhöhung des Schutzbedarfs des Gesamtsystems führen. Z.B.: Auf einem Server laufen viele Anwendungen mit dem Schutzbedarf "normal", Der Ausfall einer einzelnen Anwendung ist unkritisch. Fällt dagegen der Server aus, fallen damit auch alle Anwendungen auf dem Server aus, was für das Gesamtsystem kritisch ist, daher bekommt der Server aufgrund des Kumulationseffekts den Schutzbedarf "hoch" auch wenn jede einzelne Anwendung nur einen normalen Schutzbedarf vererbt.

	==== Vererbungsprinzipien in der Praxis ====		==== Vererbungsprinzipien in der Praxis ====
Zeile 111:		Zeile 111:
	Alle vier Server (S1 bis S4) verwenden den Storage (ST1). Das Storage erbt den Schutzbedarf aller vier Server nach dem '''Maximalprizip'''. D.h. der jeweils höchste einzelne Schutzbedarf der vier Server (S1 bis S4) gilt für das gesamte Storage.		Alle vier Server (S1 bis S4) verwenden den Storage (ST1). Das Storage erbt den Schutzbedarf aller vier Server nach dem '''Maximalprizip'''. D.h. der jeweils höchste einzelne Schutzbedarf der vier Server (S1 bis S4) gilt für das gesamte Storage.

	Da der Ausfall des Storage (ST1) zum Ausfall aller vier Server (S1 bis S4) führt (und damit zum Ausfall beider Anwendungen (A1) und (A2)), kommt hier ggf. auch der '''Kumulationseffekt''' zum Tragen. D.h. die einzelnen Schutzbedarfe kumulieren ~~sich~~ im Storage (ST1) und können hier in Summe zu einem höheren Schutzbedarf für den Grundwert Verfügbarkeit führen.		Da der Ausfall des Storage (ST1) zum Ausfall aller vier Server (S1 bis S4) führt (und damit zum Ausfall beider Anwendungen (A1) und (A2)), kommt hier ggf. auch der '''Kumulationseffekt''' zum Tragen. D.h. die einzelnen Schutzbedarfe kumulieren im Storage (ST1) und können hier in Summe zu einem höheren Schutzbedarf für den Grundwert Verfügbarkeit führen.

	''(In diesem kleinen Beispiel wäre ~~dies~~ in der Praxis nicht relevant, da es nur eine Quelle für den Schutzbedarf gibt, den Prozess (P1) und es keinen Sinn machen würde, dass eine einzelne Komponente einen höheren Schutzbedarf erhält als die zugrunde liegende Information).''		''(In diesem kleinen Beispiel wäre der Kumulationseffekt in der Praxis nicht relevant, da es nur eine Quelle für den Schutzbedarf gibt, den Prozess (P1) und es keinen Sinn machen würde, dass eine einzelne Komponente einen höheren Schutzbedarf erhält als die zugrunde liegende Information).''

	== Schutzbedarfsfeststellung ==		== Schutzbedarfsfeststellung ==

	In der eigentlichen Schutzbedarfsfeststellung wird der Schutzbedarf für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit gemäß den zuvor getroffenen Definitionen für alle Prozesse (alternativ Anwendungen) einzeln ermittelt und die Einstufung kurz begründet.		In der eigentlichen Schutzbedarfsfeststellung wird der Schutzbedarf für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit gemäß den zuvor getroffenen Definitionen für alle Prozesse (alternativ Anwendungen) einzeln ermittelt und die Einstufung kurz begründet. Die Begründung ist zwingend erforderlich um eine Nachvollziehbarkeit der Einstufung zu gewährleisten.

	'''Beispiel:'''		'''Beispiel:'''
Zeile 135:		Zeile 135:
	\|Verfügbarkeit:		\|Verfügbarkeit:
	\|normal		\|normal
	\|Personalangelegenheiten sind i.d.R. nicht besonders zeitkritisch. Ausfälle von mehr als 24 Stunden sind vertretbar. Die Daten werden täglich gesichert ~~und~~ stehen bei Bedarf auch in Papierform zur Verfügung und können teilweise noch auf Papier bearbeitet werden.		\|Personalangelegenheiten sind i.d.R. nicht besonders zeitkritisch. Ausfälle von mehr als 24 Stunden sind vertretbar. Die Daten werden täglich gesichert, stehen bei Bedarf auch in Papierform zur Verfügung und können teilweise noch auf Papier bearbeitet werden.
	\|}		\|}
	{\| class="wikitable"		{\| class="wikitable"
Zeile 144:		Zeile 144:
	\|Vertraulichkeit:		\|Vertraulichkeit:
	\|normal		\|normal
	\|In der ~~Produktion~~ werden keine personenbezogenen Daten und keine schützenswerten Betriebsgeheimnisse verarbeitet.		\|In der Produktionssteuerung werden keine personenbezogenen Daten und keine besonders schützenswerten Betriebsgeheimnisse verarbeitet.
	\|-		\|-
	\|Integrität:		\|Integrität:
Zeile 156:		Zeile 156:

	== Auswirkungen auf weitere Schritte ==		== Auswirkungen auf weitere Schritte ==
	Bei einem Schutzbedarf über "normal" muss im Rahmen einer [[RiLi-Risikoanalyse\|Riskoanalyse]] festgestellt werden ob die Standardanforderungen des IT-Grundschutz ausreichen oder ob (und wo) zusätzliche Maßnahmen erforderlich sind.		Bei einem Schutzbedarf über "normal" muss im Rahmen einer [[RiLi-Risikoanalyse\|Riskoanalyse]] festgestellt werden, ob die Standardanforderungen des IT-Grundschutz ausreichen oder ob (und wo) zusätzliche Maßnahmen erforderlich sind.

	[[Kategorie:Artikel]]		[[Kategorie:Artikel]]

Dirk am 10. Oktober 2023 um 07:53 Uhr

2023-10-10T07:53:35Z

← Nächstältere Version		Version vom 10. Oktober 2023, 09:53 Uhr
Zeile 1:		Zeile 1:
	~~{{Vorlage:Entwurf}}~~
	{{#seo:		{{#seo:
	\|title=Durchführung einer Schutzbedarfsfeststellung		\|title=Durchführung einer Schutzbedarfsfeststellung
Zeile 33:		Zeile 32:
	Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.		Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.

	Die Grenze zwischen "normal" und "hoch" ist zu beachten! Die Kategorie "normal" darf nicht wesentlich von der Beispieldefinition des BSI im Standard 200-2 abweichen, da sich die Anforderungen der Standardabsicherung an dieser Definition orientieren.		Die Grenze zwischen "'''normal'''" und "hoch" ist zu beachten! Die Kategorie "'''normal'''" darf nicht wesentlich von der Beispieldefinition des BSI im Standard 200-2 abweichen, da sich die Anforderungen der Standardabsicherung an dieser Definition orientieren.
	Bei unterschiedlicher Benennung der Kategorien muss erkennbar sein, welche Kategorie dem "normal" des BSI-Standards entspricht.		Bei unterschiedlicher Benennung der Kategorien muss erkennbar sein, welche Kategorie dem "'''normal'''" des BSI-Standards entspricht.

	== Schadensszenarien ==		== Schadensszenarien ==
Zeile 41:		Zeile 40:
	\|+		\|+
	!		!
	!~~Schadnsszenario~~		!Schadensszenario
	!normal		!normal
	!hoch		!hoch
Zeile 82:		Zeile 81:
	\|Der finanzielle Schaden ist für die Institution existenzbedrohend.		\|Der finanzielle Schaden ist für die Institution existenzbedrohend.
	\|}		\|}
			Je nach Art der Organisation sind die Grenzen zwischen den einzelnen Schutzbedarfskategorien "normal" ⇔ "hoch" und "hoch" ⇔ "sehr hoch" zu konkretisieren. Z.B. bei den finanziellen Auswirkungen mit konkreten Euro-Beträgen.

	== Vererbungsprinzipen ==		== Vererbungsprinzipen ==
			Da einzelne IT-Komponenten in der Regel nicht zum Selbstzweck betrieben werden, leitet sich ihr Schutzbedarf nicht vom reinen Wert der Komponente ab, sondern von den Informationen/Geschäftsprozessen, deren Verarbeitung sie dienen. Der Schutzbedarf vererbt sich somit von den Kerngeschäftsprozessen über die Anwendungen, die einzelnen IT-Komponenten bis hin zu den Gebäuden und Räumen.

	Die folgenden Vererbungsprinzipen des Schutzbedarfs können je nach Bedarf angewendet werden:		Die folgenden Vererbungsprinzipen des Schutzbedarfs können je nach Bedarf angewendet werden:

Zeile 105:		Zeile 107:
	Die Anwendung (A2) läuft auf dem Server (S4) und vererbt ihren Schutzbedarf 1:1 an den Server (S4).		Die Anwendung (A2) läuft auf dem Server (S4) und vererbt ihren Schutzbedarf 1:1 an den Server (S4).

	Die Anwendung (A1) läuft lastverteilt auf den Servern (S1, S2, S3). Alle drei Server können sich gegenseitig zu ersetzen. Der Schutzbedarf für den Grundwert <u>Verfügbarkeit</u> verteilt sich auf alle drei Server~~, da~~ der Ausfall eines Servers nicht zum Ausfall der Anwendung führt, die Anforderungen an die Verfügbarkeit jedes einzelnen Servers also geringer ~~sind~~ als die der Anwendung ('''Verteilungseffekt'''). Die Grundwerte Vertraulichkeit und Integrität bleiben unverändert und vererben sich 1:1 auf jeden der drei Server.		Die Anwendung (A1) läuft lastverteilt auf den Servern (S1, S2, S3). Alle drei Server können sich gegenseitig ersetzen. Der Schutzbedarf für den Grundwert <u>Verfügbarkeit</u> verteilt sich auf alle drei Server Da der Ausfall eines Servers nicht zum Ausfall der Anwendung führt, sind die Anforderungen an die Verfügbarkeit jedes einzelnen Servers also geringer als die der Anwendung ('''Verteilungseffekt'''). Die Grundwerte Vertraulichkeit und Integrität bleiben unverändert und vererben sich 1:1 auf jeden der drei Server.

	Alle vier Server (S1 bis S4) verwenden den Storage (ST1). Das Storage erbt den Schutzbedarf aller vier Server nach dem '''Maximalprizip'''. D.h. der jeweils höchste einzelne Schutzbedarf der vier Server (S1 bis S4) gilt für das gesamte Storage.		Alle vier Server (S1 bis S4) verwenden den Storage (ST1). Das Storage erbt den Schutzbedarf aller vier Server nach dem '''Maximalprizip'''. D.h. der jeweils höchste einzelne Schutzbedarf der vier Server (S1 bis S4) gilt für das gesamte Storage.
Zeile 115:		Zeile 117:
	== Schutzbedarfsfeststellung ==		== Schutzbedarfsfeststellung ==

			In der eigentlichen Schutzbedarfsfeststellung wird der Schutzbedarf für die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit gemäß den zuvor getroffenen Definitionen für alle Prozesse (alternativ Anwendungen) einzeln ermittelt und die Einstufung kurz begründet.

			'''Beispiel:'''
			{\| class="wikitable"
			\|-
			\| colspan="2" \|'''P1 - Personalverwaltung'''
			\|Begründung:
			\|-
			\|Vertraulichkeit:
			\|hoch
			\|In der Personalverwaltung werden besondere personenbezogene Daten verarbeitet, die einem besonderen gesetzlichen Schutz unterliegen.
			\|-
			\|Integrität:
			\|hoch
			\|Personaldaten werden u.a. zur Gehaltsabrechnung genutzt. Fehlerhafte Daten können zu fehlerhaften Abrechnungen führen.
			\|-
			\|Verfügbarkeit:
			\|normal
			\|Personalangelegenheiten sind i.d.R. nicht besonders zeitkritisch. Ausfälle von mehr als 24 Stunden sind vertretbar. Die Daten werden täglich gesichert und stehen bei Bedarf auch in Papierform zur Verfügung und können teilweise noch auf Papier bearbeitet werden.
			\|}
			{\| class="wikitable"
			\|-
			\| colspan="2" \|'''P2 - Produktionssteuerung'''
			\|Begründung:
			\|-
			\|Vertraulichkeit:
			\|normal
			\|In der Produktion werden keine personenbezogenen Daten und keine schützenswerten Betriebsgeheimnisse verarbeitet.
			\|-
			\|Integrität:
			\|hoch
			\|Fehlerhafte Daten können zu Produktionsausfällen oder zu Schäden an Maschinen führen.
			\|-
			\|Verfügbarkeit:
			\|hoch
			\|Ohne Produktionsdaten kann nicht prodiziert werden, jeder Ausfall führt direkt zu finanziellem Schaden.
			\|}

	== Auswirkungen auf weitere Schritte ==		== Auswirkungen auf weitere Schritte ==
	Bei einem Schutzbedarf über "normal" muss im Rahmen einer [[RiLi-Risikoanalyse\|Riskoanalyse]] festgestellt werden ob die ~~Standard~~-~~Anforderungen des~~ Grundschutz ~~ausreichend sind~~ oder ob (und wo) zusätzliche Maßnahmen erforderlich sind.		Bei einem Schutzbedarf über "normal" muss im Rahmen einer [[RiLi-Risikoanalyse\|Riskoanalyse]] festgestellt werden ob die Standardanforderungen des IT-Grundschutz ausreichen oder ob (und wo) zusätzliche Maßnahmen erforderlich sind.

	[[Kategorie:Artikel]]		[[Kategorie:Artikel]]
	~~[[Kategorie:Entwurf]]~~

Dirk am 21. September 2023 um 13:02 Uhr

2023-09-21T13:02:51Z

← Nächstältere Version		Version vom 21. September 2023, 15:02 Uhr
Zeile 1:		Zeile 1:
			{{Vorlage:Entwurf}}
	{{#seo:		{{#seo:
	\|title=Durchführung einer Schutzbedarfsfeststellung		\|title=Durchführung einer Schutzbedarfsfeststellung

Mario W.: /* Einleitung */

2023-09-01T18:09:01Z

Einleitung

← Nächstältere Version		Version vom 1. September 2023, 20:09 Uhr
Zeile 6:		Zeile 6:
	}}		}}
	== Einleitung ==		== Einleitung ==
	Ein zentraler Bestandteil bei Erstellung einer Sicherheitskonzeption und dem damit verbunden ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.		Ein zentraler Bestandteil bei der Erstellung einer Sicherheitskonzeption nach der Methodik des BSI Standards 200-2 und dem damit verbunden Aufbau eines ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.

	Die Schutzbedarfsfeststellung muss für jede(n) Geschäftsprozess und/oder Anwendung getrennt durchgeführt werden und der festgestellte Schutzbedarf vererbt sich auf die folgenden Zielobjekte (Anwendungen, Netze, IT-Systeme) die von dem jeweiligen Geschäftsprozess oder der Anwendung genutzt werden.		Die Schutzbedarfsfeststellung muss für jede(n) Geschäftsprozess und/oder Anwendung getrennt durchgeführt werden und der festgestellte Schutzbedarf vererbt sich auf die folgenden Zielobjekte (Anwendungen, Netze, IT-Systeme) die von dem jeweiligen Geschäftsprozess oder der Anwendung genutzt werden.