Schutzbedarf
Einleitung
Ein zentraler Bestandteil bei Erstellung einer Sicherheitskonzeption und dem damit verbunden ISMS ist u.a. die Durchführung einer Schutzbedarfsfeststellung für die zu verarbeitenden Informationen.
Die Schutzbedarfsfeststellung muss für jede(n) Geschäftsprozess und/oder Anwendung getrennt durchgeführt werden und der festgestellte Schutzbedarf vererbt sich auf die folgenden Zielobjekte (Anwendungen, Netze, IT-Systeme) die von dem jeweiligen Geschäftsprozess oder der Anwendung genutzt werden.
Bei Informationsverbünden für die die Basis-Absicherung gewählt wurde, entfällt die Schutzbedarfsfeststellung, da die Basis-Absicherung grundsäztlich von einem Schutzbedarf "normal" in allen Grundwerten ausgeht.
Grundwerte
Die Schutzbedarfsfeststellung erfolgt getrennt für die drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit.
Vertraulichkeit: Keine unbefugte Kentnisnahme oder Weitergabe von Informationen.
Integrität: Die Korrektheit von Informationen und der Funktionsweise von Systemen.
Verfügbarkeit: Uneingeschränkter Zugriff auf Informationen und Systemen.
Die drei Grundwerte müssen durchgängig getrennt betrachtet werden, da sich diese auch in den Maßnahmen grundlegend unterscheiden.
Schutzbedarfskategorien
Zunächst sind Schutzbedarfskategorien (Schutzstufen) zu definieren. Durch das BSI werden folgende drei Schutzbedarfskategorien vorgeschlagen:
- normal (Die Schadensauswirkungen sind begrenzt und beherrschbar)
- hoch (Die Schadensauswirkungen können beträchtlich sein)
- sehr hoch (Die Schadensauswirkungen können existenzbedrohend sein)
Es können auch hiervon abweichende oder zusätzliche Schutzbedarfskategorien definiert werden. Mehr als 3-4 Schutzstufen erscheint jedoch nicht sinnvoll, da die Einstufung selten an klar definierten Kennzahlen erfolgen kann und daher oft subjektiv geprägt ist.
Die Grenze zwischen "normal" und "hoch" ist zu beachten! Die Kategorie "normal" darf nicht wesentlich von der Beispieldefinition des BSI im Standard 200-2 abweichen, da sich die Anforderungen der Standardabsicherung an dieser Definition orientieren. Bei unterschiedlicher Benennung der Kategorien muss erkennbar sein, welche Kategorie dem "normal" des BSI-Standards entspricht.
Schadensszenarien
Zur besseren Bewertbarkeit werden die Schutzbedarfe in verschiedenen Schadensszenarien betrachtet. Für jedes Schadensszenario werden die Schutzbedarfskategorien einzeln definiert:
| Schadnsszenario | normal | hoch | sehr hoch | |
|---|---|---|---|---|
| 1. | Verstoß gegen Gesetze, Vorschriften, Verträge | Verstöße gegen Vorschriften und Gesetze mit geringfügigen Konsequenzen. Geringfügige Vertragsverletzungen mit maximal geringen Konventionalstrafen. | Verstöße gegen Vorschriften und Gesetze mit erheblichen Konsequenzen. Vertragsverletzungen mit hohen Konventionalstrafen. | Fundamentaler Verstoß gegen Vorschriften und Gesetze. Vertragsverletzungen, deren Haftungsschäden ruinös sind. |
| 2. | Beeinträchtigung des informationellen Selbstbestimmungsrechts (personenbezogene Daten) | Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann. | Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann. | Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist. |
| 3. | Beeinträchtigung der persönlichen Unversehrtheit | Eine Beeinträchtigung erscheint nicht möglich. | Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht absolut ausgeschlossen werden. | Gravierende Beeinträchtigungen der persönlichen Unversehrtheit sind möglich. Gefahr für Leib und Leben. |
| 4. | Beeinträchtigung der Aufgabenerfüllung | Die Beeinträchtigung würde von den Betroffenen als tolerabel eingeschätzt werden und verstößt gegen keine Verträge, Fristen oder Gesetze. | Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt. Es werden lediglich interne Verträge oder Fristen verletzt. | Die Beeinträchtigung würde von allen Betroffenen als nicht tolerabel eingeschätzt werden. Verträge oder Fristen können nicht mehr erfüllt werden. |
| 5. | Negative Innen- oder Außenwirkung | Eine geringe bzw. nur interne Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten. | Eine breite Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten. | Eine landesweite Ansehens- oder Vertrauensbeeinträchtigung, eventuell sogar existenzgefährdender Art, ist denkbar. |
| 6. | Finanzielle Auswirkungen | Der finanzielle Schaden bleibt für die Institution tolerabel. | Der Schaden bewirkt beachtliche finanzielle Verluste, die aber noch innerhalb der Institution aufgefangen werden können. | Der finanzielle Schaden ist für die Institution existenzbedrohend. |
Vererbungsprinzipen
Die folgenden Vererbungsprinzipen des Schutzbedarfs können je nach Bedarf angewendet werden:
Maximalprinzip
Im Maximumprizip (Standard) wird der jeweils höchste Einzelwert betrachtet, d.h. wenn mehrere unterschiedliche Schutzstufen gemeinsam betrachtet werden, zählt nur die höchste Einzel-Stufe für das Gesamtsystem. Z.B. Nutzen drei Systeme unterschiedlichen Schutzbedarfs im Grundwert Verfügbarkeit eine Netzkomponente, erhält diese gemeinsame Netzkomponente die höchste Schutzbedarfsstufe der drei einzelnen Systeme.
Verteilungseffekt
Der Verteilungseffekt bedeutet das sich das Risiko über mehrere Systeme verteilen kann und daher die Schutzstufe des Gesamtsystems sinkt.
Z.B.: Wenn der Schutzbedarf eines einzelnen Systems im Grundwert Verfügbarkeit "hoch" ist, davon aber mehrere Systeme vorhanden sind, die sich gegenseitig ersetzen können, kann der Schutzbedarf im Gesamtsystem auf "normal" sinken, da der Ausfall eines einzelnen System im Gesamtsystem kompensiert werden kann.
Kumulationseffekt
Der Kumulationseffekt ist das Gegenteil vom Verteilungseffekt, hier kann die Kumulation mehrerer Systeme zu einer Erhöhung des Schutzbedarfs des Gesamtsystems führen. Z.B.: Auf einem Server laufen viele Anwendungen mit dem Schutzbedarf "normal", Der Ausfall einer einzelnen Anwendung ist unkritisch. Fällt dagegen der Server aus, fallen auch alle Anwendungen auf dem Server aus, was für das Gesamtsystem kritisch ist, daher bekommt der Server aufgrund des Kumulationseffekts den Schutzbedarf "hoch" auch wenn jede einzelne Anwendung nur einen normalen Schutzbedarf vererbt.
Vererbungsprinzipien in der Praxis
Im Beispiel rechts sind die Vererbungsprinzipien grafisch dargestellt.
Der Prozess (P1) benötigt die Anwendungen (A1) und (A2) und vererbt seinen Schutzbedarf 1:1 an beide Anwendungen.
Die Anwendung (A2) läuft auf dem Server (S4) und vererbt ihren Schutzbedarf 1:1 an den Server (S4).
Die Anwendung (A1) läuft lastverteilt auf den Servern (S1, S2, S3). Alle drei Server können sich gegenseitig zu ersetzen. Der Schutzbedarf für den Grundwert Verfügbarkeit verteilt sich auf alle drei Server, da der Ausfall eines Servers nicht zum Ausfall der Anwendung führt, die Anforderungen an die Verfügbarkeit jedes einzelnen Servers also geringer sind als die der Anwendung (Verteilungseffekt). Die Grundwerte Vertraulichkeit und Integrität bleiben unverändert und vererben sich 1:1 auf jeden der drei Server.
Alle vier Server (S1 bis S4) verwenden den Storage (ST1). Das Storage erbt den Schutzbedarf aller vier Server nach dem Maximalprizip. D.h. der jeweils höchste einzelne Schutzbedarf der vier Server (S1 bis S4) gilt für das gesamte Storage.
Da der Ausfall des Storage (ST1) zum Ausfall aller vier Server (S1 bis S4) führt (und damit zum Ausfall beider Anwendungen (A1) und (A2)), kommt hier ggf. auch der Kumulationseffekt zum Tragen. D.h. die einzelnen Schutzbedarfe kumulieren sich im Storage (ST1) und können hier in Summe zu einem höheren Schutzbedarf für den Grundwert Verfügbarkeit führen.
(In diesem kleinen Beispiel wäre dies in der Praxis nicht relevant, da es nur eine Quelle für den Schutzbedarf gibt, den Prozess (P1) und es keinen Sinn machen würde, dass eine einzelne Komponente einen höheren Schutzbedarf erhält als die zugrunde liegende Information).
Schutzbedarfsfeststellung
Auswirkungen auf weitere Schritte
Bei einem Schutzbedarf über "normal" muss im Rahmen einer Riskoanalyse festgestellt werden ob die Standard-Anforderungen des Grundschutz ausreichend sind oder ob (und wo) zusätzliche Maßnahmen erforderlich sind.
