Informationssicherheit ist nach dem BSI-Gesetz der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen; nach dem BSI-Standard 200-1 hat sie das Ziel, Informationen jeglicher Art und Herkunft zu schützen.
Auf einen Blick
Das BSI-Gesetz definiert Informationssicherheit als angemessenen Schutz; was als angemessen gilt, nennt die Definition nicht.
Zum Schutzbereich zählen auch analoge Informationsträger wie Aktenordner oder Mikrofilme.
Der IT-Grundschutz des BSI betrachtet neben technischen auch infrastrukturelle, organisatorische und personelle Themen.
Was ist Informationssicherheit?
Informationssicherheit hat nach dem BSI-Standard 200-2 den Schutz von Informationen als Ziel. Nach dem BSI-Standard 200-1 gilt dieses Ziel Informationen jeglicher Art und Herkunft, und der BSI-Standard 200-2 nennt dafür beispielsweise Aktenordner oder Mikrofilme. Das BSI-Gesetz definiert Informationssicherheit als angemessenen Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen; was als angemessen gilt, nennt die Definition selbst nicht. Das NIST (National Institute of Standards and Technology) fasst information security als Schutz von Informationen und Informationssystemen vor unbefugtem Zugriff, Gebrauch, Offenlegung, Störung, Veränderung oder Zerstörung auf, um Vertraulichkeit, Integrität und Verfügbarkeit bereitzustellen.
Für einen Versicherer reicht Informationssicherheit vom Bestandssystem bis zur Papierakte im Schadenarchiv; im Sinne des BSI-Gesetzes ist sie der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Nach dem BSI-Standard 200-2 wird das Aktionsfeld der klassischen IT-Sicherheit bei der Cyber-Sicherheit auf den gesamten Cyber-Raum ausgeweitet. Für den Datenschutz zieht das Standard-Datenschutzmodell nach dem BSI-Standard 200-2 weitere Schutzziele heran. Der BSI-Standard 200-1 weist zudem darauf hin, dass in der (Forschungs-)Literatur oftmals noch der Begriff „IT-Sicherheit“ verwendet wird, auch wenn häufig „Informationssicherheit“ gemeint ist.
Wie wird Informationssicherheit im Unternehmen umgesetzt?
Der IT-Grundschutz des BSI ermöglicht ein systematisches Vorgehen, um notwendige Sicherheitsmaßnahmen zu identifizieren und umzusetzen. Zentral ist dabei laut der BSI-Seite zum IT-Grundschutz ein ganzheitlicher Ansatz zur Informationssicherheit: Neben technischen Aspekten werden auch infrastrukturelle, organisatorische und personelle Themen betrachtet. Als Norm für das Management nennt der BSI-Standard 200-1 die ISO-Norm 27001, eine internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung ermöglicht.
Die englischsprachige NIST-Definition nennt die drei Ziele Vertraulichkeit, Integrität und Verfügbarkeit in einem Satz. Zu den einzelnen Zielen formuliert das NIST: Vertraulichkeit bedeutet, autorisierte Beschränkungen von Zugang und Offenlegung zu wahren, einschließlich Mitteln zum Schutz der Privatsphäre und geschützter firmeneigener Informationen. Integrität heißt Schutz vor unzulässiger Veränderung oder Zerstörung von Informationen und umfasst die Sicherstellung von Nichtabstreitbarkeit und Authentizität. Verfügbarkeit bedeutet rechtzeitigen und zuverlässigen Zugang zu Informationen und deren Nutzung. Das BSI-Gesetz nennt dieselben drei Eigenschaften in seiner Definition der Informationssicherheit als Gegenstand des angemessenen Schutzes.
Informationssicherheit im Vergleich
| Kriterium | Informationssicherheit | Datenschutz |
|---|---|---|
| Schutzziele | Vertraulichkeit, Integrität und Verfügbarkeit von Informationen (BSI-Gesetz) | Im Rahmen des Standard-Datenschutzmodells werden weitere Schutzziele herangezogen (BSI-Standard 200-2). |
| Schutzrichtung | Dient primär dem Schutz der datenverarbeitenden Institution (BSI, Baustein CON.2). | Aufgabe des Datenschutzes ist es, natürliche Personen davor zu schützen, dass Institutionen oder Stellen mit ihren Verarbeitungstätigkeiten zu intensiv in die Grundrechte und Grundfreiheiten der Personen eingreifen (BSI, Baustein CON.2). |
| Methodik der Maßnahmenauswahl | Die IT-Grundschutz-Methodik dient vorrangig der Informationssicherheit (BSI, Baustein CON.2). | Das Standard-Datenschutzmodell dient der Umsetzung der datenschutzrechtlichen Anforderungen, insbesondere der Grundsätze aus Artikel 5 DSGVO und der Betroffenenrechte aus Kapitel III DSGVO (BSI, Baustein CON.2). |
Wann ist Informationssicherheit angemessen?
| Merkmal | Worauf es ankommt |
|---|---|
| Schutzbereich | Informationen jeglicher Art und Herkunft, auch Aktenordner oder Mikrofilme (BSI-Standard 200-1 und 200-2); wie viel Schutz angemessen ist, nennt die Definition im BSI-Gesetz nicht. |
| Verantwortung der Leitungsebene | Der Leitungsebene kommt laut BSI-Standard 200-1 eine hohe Verantwortung für die Informationssicherheit zu. |
| Leitlinie mit dokumentierten Sicherheitszielen | Zum Sicherheitsprozess gehört laut BSI-Standard 200-1 eine Leitlinie zur Informationssicherheit, in der die Sicherheitsziele und die Strategie zu ihrer Umsetzung dokumentiert sind. |
| Systematisches Vorgehen statt Einzelmaßnahmen | Ein angemessenes Sicherheitsniveau ist laut BSI-Standard 200-1 in erster Linie abhängig vom systematischen Vorgehen und erst in zweiter Linie von einzelnen technischen Maßnahmen. |
Schutz im Ernstfall
Vorbeugen
- Ein systematisches Vorgehen wählen, um notwendige Sicherheitsmaßnahmen zu identifizieren und umzusetzen, wie es der IT-Grundschutz des BSI ermöglicht, und dabei neben technischen auch infrastrukturelle, organisatorische und personelle Themen sowie analoge Informationsträger wie Aktenordner einbeziehen.
Beispiele aus der Praxis
- Ein Unternehmen betrachtet für seine Informationssicherheit neben technischen Aspekten auch infrastrukturelle, organisatorische und personelle Themen, wie es der IT-Grundschutz des BSI beschreibt.
- Eine Behörde bezieht Aktenordner und Mikrofilme in ihr Informationssicherheitskonzept ein, weil der Schutz Informationen jeglicher Art und Herkunft gilt.
- Ein Versicherer schützt Bestandssysteme ebenso wie Papierakten im Schadenarchiv vor Verlust von Vertraulichkeit, Integrität und Verfügbarkeit.
