Informationswerte & Schutzbedarf
Schutz beginnt beim Wert. Wie Informationswert und Bedeutung der Leistungen zu einem belastbaren Schutzbedarfsprofil zusammenfinden
Kurzfassung
Viele Organisationen kennen ihre Systeme, aber nicht den Wert ihrer Informationen. Welche Informationen wirklich kritisch sind, wer für sie verantwortlich ist und wo sie überall liegen, wissen sie oft nicht. Ohne dieses Wissen schützen sie nach Gewohnheit, nach Budget oder nach dem, was ein Projekt gerade verlangt. Das Ergebnis ist Fehlschutz in zwei Richtungen: Teils wird zu aufwendig geschützt, teils bleiben Informationen mit hohem Wert ungeschützt.
Selbst wo der Wert bekannt ist, stellen Business-Impact-Analyse, Prozessanforderungen, Klassifizierung, Datenschutz, Verträge und die Schutzbedarfsanalysen einzelner Anwendungen Anforderungen an dieselben Schutzobjekte. Das Whitepaper führt deshalb zwei Blickrichtungen zusammen, Top-down von der Geschäftsleistung und Bottom-up vom Wert der Information. Wo sie sich am Schutzobjekt treffen, entsteht ein Schutzbedarfsprofil je Schutzziel.
Es zeigt, wie daraus überprüfbare Sicherheitsanforderungen folgen, wie Abweichungen sichtbar gemacht und entschieden werden und wie sich die Wirksamkeit auf dem Rückweg nachweisen lässt. Viele Abschnitte enthalten einen Prüfnachweis, und Leitfragen für Leitungs- und Aufsichtsgremien unterstützen die Standortbestimmung.
Eine Schutzlücke darf nicht verdeckt werden, indem man die Einstufung dem Istzustand anpasst. Sie verlangt einen Entscheid der zuständigen Ebene.
Kernaussagen
- Wer den Wert seiner Informationen nicht kennt, schützt nach Gewohnheit, Budget oder Projektzufall. Die Folge ist Fehlschutz in zwei Richtungen: Überschutz bindet Mittel ohne Nutzen, Unterschutz lässt Informationen mit hohem Wert ungeschützt.
- Anforderungen erreichen dasselbe Schutzobjekt aus zwei Richtungen: Top-down aus der Bedeutung der Geschäftsleistung, Bottom-up aus dem Wert der Information samt Klassifizierung, Datenschutz und weiteren Schutzpflichten. Am Schutzobjekt entsteht daraus ein Profil je Schutzziel (Vertraulichkeit, Integrität, Verfügbarkeit, Nachvollziehbarkeit).
- Mehrere für sich plausible Einzelanalysen können zusammen ein falsches Gesamtbild ergeben. Abweichungen zwischen erforderlichem und erreichtem Schutzniveau werden nicht durch eine angepasste Einstufung geglättet, sondern auf der zuständigen Ebene entschieden.
- Wirksam wird der Schutzbedarf erst durch eine durchgängige Kette bis zum Wirksamkeitsnachweis. Der Einstieg beginnt nicht mit einem vollständigen Inventar, sondern mit den kritischsten Informationsbeständen, ihren Informationseignern und ihren tatsächlichen Ablageorten, auch bei Dienstleistern.
Zielgruppe
Leitungs- und Aufsichtsgremien sowie Verantwortliche in Fachbereichen, Informationssicherheit, Datenschutz, IT, Business Continuity Management und Audit.