Die Identifikation der relevanten Anwendungen ist der erste wichtige Schritt. Hier sind einige Methoden, die du anwenden kannst:
- Durchsicht der IT-Bestandsliste: Überprüfe vorhandene Dokumentationen und Inventare.
- Befragung von Abteilungsleitern und Schlüsselmitarbeitern: Sie kennen oft die wichtigsten Anwendungen in ihren Bereichen.
- Analyse der Netzwerkinfrastruktur: Scanne das Netzwerk, um aktive Systeme und Dienste zu identifizieren.
- Workshops mit verschiedenen Fachabteilungen: Bringen alle Beteiligten zusammen, um ein vollständiges Bild zu erhalten.
- [k] Denk daran: Eine Anwendung in diesem Kontext kann vieles sein - von einer einfachen Buchhaltungssoftware bis hin zu komplexen Datenbanksystemen oder Webapplikationen.
Welche Informationen müssen wir für jede Anwendung sammeln?
Für jede identifizierte Anwendung solltest du folgende relevante Informationen sammeln:
| Information | Beschreibung | Relevanz für die Analyse |
|---|---|---|
| Zweck der Anwendung | Wofür wird die Anwendung genutzt? | Hilft bei der Einschätzung der Kritikalität |
| Verarbeitete Daten | Welche Arten von Daten werden verarbeitet? | Beeinflusst den Schutzbedarf, besonders bei sensiblen Daten |
| Benutzergruppen | Wer nutzt die Anwendung? | Wichtig für die Bewertung der Vertraulichkeit |
| Technische Details | Serverstandort, Schnittstellen, etc. | Relevant für die Bewertung der Integrität und Verfügbarkeit |
| Gesetzliche Anforderungen | Gibt es spezielle Vorschriften? | Kann den Schutzbedarf erhöhen |
Um diese Informationen zu sammeln, kannst du verschiedene Methoden kombinieren:
- Dokumentenanalyse
- Interviews mit Anwendungsverantwortlichen
- Gespräche mit technischen Experten
- Fragebögen an Benutzer
Wie legen wir die Bewertungskriterien und Schutzbedarfskategorien fest?
Die Festlegung klarer Bewertungskriterien und Schutzbedarfskategorien ist entscheidend für eine einheitliche und nachvollziehbare Analyse. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt drei Schutzbedarfskategorien:
- Normal
- Hoch
- Sehr hoch
Lass uns diese Kategorien am Beispiel des Grundwerts “Vertraulichkeit” verdeutlichen:
- Normal: Die Informationen sind nur für einen eingeschränkten Personenkreis bestimmt. Eine Offenlegung hätte begrenzte negative Auswirkungen.
- Hoch: Die Informationen sind vertraulich. Eine unbefugte Offenlegung könnte erhebliche Nachteile für das Unternehmen oder betroffene Personen haben.
- Sehr hoch: Die Informationen sind streng vertraulich. Eine Offenlegung könnte existenzbedrohende Auswirkungen haben oder die persönliche Sicherheit gefährden.
Ähnliche Definitionen müssen für die Grundwerte “Integrität” und “Verfügbarkeit” festgelegt werden. Diese klaren Kriterien bilden die Basis für eine einheitliche Bewertung aller Anwendungen und machen die Analyse objektiv und aussagekräftig.
Wie gehen wir bei der Bewertung der Vertraulichkeit vor?
Bei der Bewertung der Vertraulichkeit geht es um die Frage: Wie schlimm wäre es, wenn unbefugte Personen Zugriff auf die Informationen in der Anwendung erhalten würden?
Berücksichtige dabei folgende Aspekte:
- Art der verarbeiteten Daten (z.B. personenbezogene Daten, Geschäftsgeheimnisse)
- Gesetzliche Anforderungen (z.B. DSGVO)
- Mögliche Konsequenzen bei unbefugter Offenlegung
Hier ein Beispiel für die Bewertung der Vertraulichkeit einer Anwendung zur Verwaltung von Kundendaten:
| Schutzbedarfskategorie | Begründung |
|---|---|
| Hoch | Die Anwendung enthält personenbezogene Daten von Kunden. Eine unbefugte Offenlegung könnte zu erheblichen Reputationsschäden und rechtlichen Konsequenzen führen. |
- [k] Denk daran: Die Einstufung sollte immer gut begründet und nachvollziehbar sein.
Wie bewerten wir die Integrität einer Anwendung?
Bei der Bewertung der Integrität stellen wir uns die Frage: Welche Auswirkungen hätte es, wenn die Daten in der Anwendung unbemerkt manipuliert würden?
Beachte dabei folgende Punkte:
- Bedeutung der Daten für Geschäftsprozesse
- Mögliche finanzielle Auswirkungen bei Datenmanipulation
- Potenzielle Gefährdung der Sicherheit von Personen oder Systemen
Hier ein Beispiel für die Bewertung der Integrität einer Anwendung zur Steuerung von Produktionsanlagen:
| Schutzbedarfskategorie | Begründung |
|---|---|
| Sehr hoch | Eine unbemerkte Manipulation der Steuerungsdaten könnte zu Fehlfunktionen der Produktionsanlagen führen. Dies könnte nicht nur erhebliche finanzielle Schäden verursachen, sondern auch die Sicherheit der Mitarbeiter gefährden. |
Die Bewertung der Integrität ist besonders wichtig bei Anwendungen, die kritische Prozesse steuern oder wichtige Entscheidungsgrundlagen liefern.
Wie gehen wir bei der Bewertung der Verfügbarkeit vor?
Bei der Bewertung der Verfügbarkeit fragen wir uns: Wie schwerwiegend wären die Folgen, wenn die Anwendung für eine bestimmte Zeit nicht verfügbar wäre?
Berücksichtige dabei folgende Faktoren:
- Bedeutung der Anwendung für kritische Geschäftsprozesse
- Maximale tolerierbare Ausfallzeit
- Finanzielle Verluste pro Zeiteinheit bei Nichtverfügbarkeit
Hier ein Beispiel für die Bewertung der Verfügbarkeit eines Online-Buchungssystems für ein Hotel:
| Schutzbedarfskategorie | Begründung |
|---|---|
| Hoch | Das Buchungssystem ist essenziell für den Geschäftsbetrieb. Ein Ausfall von mehr als zwei Stunden würde zu erheblichen finanziellen Einbußen führen und könnte das Kundenvertrauen nachhaltig schädigen. |
Die Bewertung der Verfügbarkeit ist besonders wichtig für Anwendungen, die direkt mit dem Kerngeschäft verbunden sind oder zeitkritische Prozesse unterstützen.
Wie entwickeln wir realistische Schadensszenarien?
Die Entwicklung realistischer Schadensszenarien hilft, die Bewertungen zu konkretisieren und nachvollziehbar zu machen. Gehe dabei wie folgt vor:
- Identifiziere potenzielle Bedrohungen für die Anwendung
- Überlege, welche Schwachstellen ausgenutzt werden könnten
- Beschreibe den möglichen Schaden und seine Auswirkungen
Hier ein Beispiel für ein Schadensszenario:
Szenario: Unbefugter Zugriff auf Kundendaten
Ein Hacker verschafft sich durch eine Sicherheitslücke Zugang zur Kundendatenbank.
Er kopiert die persönlichen Daten von 10.000 Kunden und veröffentlicht sie im Internet.
Mögliche Folgen:
- Verletzung der DSGVO mit potenziellen Strafen in Millionenhöhe
- Schwerer Reputationsschaden und Vertrauensverlust bei Kunden
- Kosten für Benachrichtigung der Betroffenen und Krisenkommunikation
Solche Szenarien machen die Schutzbedarfsanalyse greifbarer und helfen, die Einstufungen besser zu begründen. Sie sind auch nützlich, um Stakeholdern die Bedeutung der Schutzbedarfsanalyse zu verdeutlichen.
Wie fassen wir die Einzelbewertungen zusammen?
Die Zusammenfassung der Einzelbewertungen ist ein wichtiger Schritt, um einen Überblick über den Schutzbedarf aller analysierten Anwendungen zu erhalten. Gehe dabei wie folgt vor:
- Erstelle eine Liste aller analysierten Anwendungen.
- Trage für jede Anwendung die Bewertungen für Vertraulichkeit, Integrität und Verfügbarkeit ein.
- Notiere den höchsten Schutzbedarf pro Anwendung.
Hier ein Beispiel für eine solche Zusammenfassung:
| Anwendung | Vertraulichkeit | Integrität | Verfügbarkeit | Höchster Schutzbedarf |
|---|---|---|---|---|
| CRM-System | Hoch | Normal | Hoch | Hoch |
| E-Mail-Server | Normal | Hoch | Sehr hoch | Sehr hoch |
| Intranet | Normal | Normal | Normal | Normal |
Diese Übersicht ermöglicht einen schnellen Überblick über den Schutzbedarf aller Anwendungen und hilft bei der Priorisierung von Schutzmaßnahmen.
Wie begründen und dokumentieren wir die Einstufungen?
Eine gut begründete und dokumentierte Einstufung ist entscheidend für die Nachvollziehbarkeit und spätere Überprüfungen. Hier ein Beispiel, wie eine solche Begründung aussehen könnte:
CRM-System:
Vertraulichkeit (Hoch):
Das System enthält detaillierte Kundendaten einschließlich Kontaktinformationen und Kaufhistorie. Eine unbefugte Offenlegung könnte zu erheblichen Reputationsschäden und Verstößen gegen die DSGVO führen.
Integrität (Normal):
Fehlerhafte Daten können in der Regel durch Mitarbeiter erkannt und korrigiert werden. Die Auswirkungen einer Manipulation wären begrenzt.
Verfügbarkeit (Hoch):
Das CRM-System ist für den Vertrieb und Kundenservice essentiell.
Ein Ausfall von mehr als 4 Stunden würde zu erheblichen Einschränkungen
im Tagesgeschäft führen.
Achte bei der Dokumentation darauf:
- Konkrete Gründe für jede Einstufung zu nennen
- Mögliche Auswirkungen bei Verletzung des Schutzbedarfs zu beschreiben
- Konsistent in der Bewertung über alle Anwendungen hinweg zu sein
Eine gute Dokumentation hilft nicht nur dir selbst, sondern auch anderen Stakeholdern, deine Entscheidungen nachzuvollziehen und zu verstehen.
Wie erstellen wir eine aussagekräftige Gesamtübersicht?
Eine aussagekräftige Gesamtübersicht fasst alle wichtigen Informationen zusammen und bietet einen schnellen Überblick über den Schutzbedarf aller Anwendungen. Hier ein Beispiel für eine solche Gesamtübersicht:
| Anwendung | Beschreibung | V | I | A | Begründung | Gesamtschutzbedarf | Verantwortlich |
|---|---|---|---|---|---|---|---|
| CRM-System | Verwaltung von Kundendaten und -beziehungen | H | N | H | V: Sensible Kundendaten I: Fehler erkennbar A: Kritisch für Vertrieb | Hoch | Vertriebsabteilung |
| E-Mail-Server | Unternehmensweite E-Mail-Kommunikation | N | H | SH | V: Keine besonderen Daten I: Wichtig für Kommunikation A: Essentiell für Geschäftsbetrieb | Sehr hoch | IT-Abteilung |
Diese Gesamtübersicht enthält:
- Name und Beschreibung der Anwendung
- Einstufungen für Vertraulichkeit (V), Integrität (I) und Verfügbarkeit (A)
- Kurze Begründungen für jede Einstufung
- Gesamtschutzbedarf der Anwendung
- Verantwortliche Person oder Abteilung
Sie dient als zentrales Dokument für die Schutzbedarfsanalyse und ist Grundlage für weitere Entscheidungen im Bereich der IT-Sicherheit.
Abschlussquiz
Was ist der erste wichtige Schritt bei einer Schutzbedarfsanalyse?
Blank
- Festlegung des Budgets
- Identifikation der relevanten Anwendungen
- Erstellung eines Zeitplans
Antwort
Identifikation der relevanten Anwendungen
Erklärung: Die Identifikation der relevanten Anwendungen ist der erste wichtige Schritt. Ohne zu wissen, welche Anwendungen analysiert werden sollen, kann keine Schutzbedarfsanalyse durchgeführt werden.
Welche Information ist nicht typischerweise Teil der Datensammlung für jede Anwendung?
Blank
- Zweck der Anwendung
- Verarbeitete Daten
- Anschaffungskosten der Anwendung
Antwort
Anschaffungskosten der Anwendung
Erklärung: Die Anschaffungskosten der Anwendung sind in der Regel nicht relevant für die Schutzbedarfsanalyse. Wichtig sind dagegen der Zweck, die verarbeiteten Daten, Benutzergruppen, technische Details und gesetzliche Anforderungen.
Wie viele Schutzbedarfskategorien empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI)?
Blank
- Zwei
- Drei
- Vier
Antwort
Drei
Erklärung: Das BSI empfiehlt drei Schutzbedarfskategorien: Normal, Hoch und Sehr hoch.
Was bedeutet 'Integrität' im Kontext der Schutzbedarfsanalyse?
Blank
- Die Verfügbarkeit der Anwendung
- Der Schutz vor unbefugtem Zugriff
- Der Schutz vor unbemerkter Manipulation der Daten
Antwort
Der Schutz vor unbemerkter Manipulation der Daten
Erklärung: Integrität bezieht sich auf den Schutz vor unbemerkter Manipulation der Daten. Es geht darum, welche Auswirkungen es hätte, wenn die Daten in der Anwendung unbemerkt verändert würden.
Was ist nicht Teil einer typischen Gesamtübersicht der Schutzbedarfsanalyse?
Blank
- Name und Beschreibung der Anwendung
- Einstufungen für Vertraulichkeit, Integrität und Verfügbarkeit
- Detaillierte technische Spezifikationen der Anwendung
Antwort
Detaillierte technische Spezifikationen der Anwendung
Erklärung: Detaillierte technische Spezifikationen sind normalerweise nicht Teil der Gesamtübersicht. Diese enthält typischerweise Name und Beschreibung der Anwendung, Einstufungen, kurze Begründungen, Gesamtschutzbedarf und Verantwortliche.
Warum ist die Entwicklung realistischer Schadensszenarien wichtig?
Blank
- Um das Budget für IT-Sicherheit zu erhöhen
- Um die Bewertungen zu konkretisieren und nachvollziehbar zu machen
- Um Mitarbeiter einzuschüchtern
Antwort
Um die Bewertungen zu konkretisieren und nachvollziehbar zu machen
Erklärung: Realistische Schadensszenarien helfen, die Bewertungen zu konkretisieren und nachvollziehbar zu machen. Sie machen die Schutzbedarfsanalyse greifbarer und helfen, die Einstufungen besser zu begründen.