Die Schutzbedarfsanalyse beschreibt das Vorgehen, den Schutzbedarf von Objekten wie Geschäftsprozessen, Informationen und Informationstechnik hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit zu ermitteln; das BSI nennt dieses Vorgehen in seinen Standards Schutzbedarfsfeststellung.
Auf einen Blick
Der Schutzbedarf wird in Kategorien eingeteilt; im BSI-Standard 200-2 hat sich „normal“, „hoch“ und „sehr hoch“ bewährt.
Die Risikoanalyse ist ein eigener Prozess; nach dem BSI-Standard 200-2 ist sie zusätzlich bei hohem oder sehr hohem Schutzbedarf durchzuführen und unter anderem auch dann, wenn Objekte mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet werden können.
Wie wichtig ein Schadensszenario ist, unterscheidet sich von Institution zu Institution.
Was ist eine Schutzbedarfsanalyse?
Bei der Schutzbedarfsfeststellung, wie das BSI den Vorgang nennt, wird danach gefragt, welcher Schaden entstehen kann, wenn für ein Zielobjekt die Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden. Der BSI-Standard 200-2 spricht von Schutzbedarfsfeststellung. Nach dem BSI-Standard 200-2 ist für die erfassten Objekte im Informationsverbund zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzen. Der Zweck der Schutzbedarfsfeststellung ist zu ermitteln, welcher Schutz für die Geschäftsprozesse, die dabei verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist. Der Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen Anwendungen und damit der jeweiligen Geschäftsprozesse verbunden sind.
Mit einer Schutzbedarfsanalyse bewertet ein Versicherer, welche Schäden entstehen könnten, wenn Vertraulichkeit, Integrität oder Verfügbarkeit seiner Schadendatenbank beeinträchtigt werden; der ermittelte Schutzbedarf bildet eine Grundlage für die Auswahl geeigneter Sicherheitsmaßnahmen. Nach dem BSI-Standard 200-2 sind die getroffenen Festlegungen in geeigneter Weise im Sicherheitskonzept zu dokumentieren, da von ihnen die Auswahl von Sicherheitsmaßnahmen und damit meist Folgekosten abhängen.
Wie läuft eine Schutzbedarfsanalyse ab?
Im BSI-Standard 200-2 hat sich für die Schutzbedarfsfeststellung eine Einteilung in die drei Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“ bewährt. Nach dem BSI lauten die Beschreibungen: Bei „normal“ sind die Schadensauswirkungen begrenzt und überschaubar, bei „hoch“ können sie beträchtlich sein, bei „sehr hoch“ können sie ein existentiell bedrohliches, katastrophales Ausmaß erreichen. Der Schutzbedarf eines Objekts bezüglich eines der Grundwerte orientiert sich dabei am Ausmaß des drohenden Schadens bei einer Verletzung.
Der Schaden kann sich auf verschiedene Schadensszenarien beziehen: Verstöße gegen Gesetze, Vorschriften oder Verträge, Beeinträchtigungen des informationellen Selbstbestimmungsrechts, der persönlichen Unversehrtheit oder der Aufgabenerfüllung, negative Innen- oder Außenwirkung sowie finanzielle Auswirkungen. Wie wichtig ein Szenario jeweils ist, unterscheidet sich von Institution zu Institution. Nach dem BSI-Standard 200-2 sind für die Anwendung des IT-Grundschutz-Kompendiums auf einen Informationsverbund detaillierte Unterlagen über seine Struktur und den Schutzbedarf der darin enthaltenen Zielobjekte die Voraussetzung.
Schutzbedarfsanalyse im Vergleich
| Kriterium | Schutzbedarfsanalyse | Risikoanalyse | Business Impact Analyse |
|---|---|---|---|
| Leitfrage | Welcher Schaden kann entstehen, wenn für ein Zielobjekt Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden (BSI: Schutzbedarfsfeststellung). | Der komplette Prozess, um Risiken zu beurteilen (identifizieren, einschätzen und bewerten) sowie zu behandeln. | Strukturierte Untersuchung mit dem Ziel, (zeit-)kritische Geschäftsprozesse und Ressourcen (Assets) zu identifizieren (BSI-Glossar zum Standard 200-4). |
| Betrachtete Folgen | Der Schaden bei einer Verletzung der Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit. | Nach dem BSI-Standard 200-2 schätzt die Risikoanalyse auf der Basis von IT-Grundschutz (BSI-Standard 200-3) Risiken ein, die von elementaren Gefährdungen ausgehen, und bewertet sie anhand einer Matrix; die Einschätzung erfolgt über die zu erwartende Häufigkeit des Eintretens und die Höhe des Schadens. | Direkte und indirekte potenzielle Folgeschäden, die durch den Ausfall von Geschäftsprozessen verursacht werden. |
| Einordnung in den BSI-Standards | Beschrieben im BSI-Standard 200-2, dort als Schutzbedarfsfeststellung. | Beschrieben im BSI-Standard 200-3; nach dem BSI-Standard 200-2 zusätzlich durchzuführen bei hohem oder sehr hohem Schutzbedarf und unabhängig davon unter anderem auch dann, wenn Objekte mit den existierenden Bausteinen des IT-Grundschutzes nicht hinreichend abgebildet werden können. | Begriff aus dem Glossar zum BSI-Standard 200-4. |
Wofür braucht ein Unternehmen eine Schutzbedarfsanalyse?
| Merkmal | Worauf es ankommt |
|---|---|
| Zweck der Schutzbedarfsfeststellung | Nach dem BSI-Standard 200-2 soll ermittelt werden, welcher Schutz für die Geschäftsprozesse, die verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist. |
| Vererbung des Schutzbedarfs von Geschäftsprozessen | Der Schutzbedarf der Geschäftsprozesse vererbt sich nach dem BSI auf den der Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen; in vielen Fällen lässt sich nach dem BSI der höchste Schutzbedarf aller Anwendungen, die das IT-System benötigen, übernehmen (Maximumprinzip). |
| Kumulationseffekt und Verteilung auf mehrere Systeme | Der Schutzbedarf des IT-Systems kann nach dem BSI höher sein als der Schutzbedarf der einzelnen Anwendungen (Kumulationseffekt); er kann niedriger sein als der Schutzbedarf der zugeordneten Anwendungen, wenn eine Anwendung mit hohem Schutzbedarf auf mehrere Systeme verteilt ist. |
| Begründung der Schutzbedarfsfeststellungen | Wichtig ist nach dem BSI, die Schutzbedarfsfeststellungen zu begründen. |
| Einbeziehung der Verantwortlichen | Bei der Abschätzung des Schadens sollten nach dem BSI unbedingt die Verantwortlichen und die Benutzer der Anwendung einbezogen werden. |
Beispiele aus der Praxis
- Eine Institution ordnet ein Zielobjekt der Schutzbedarfskategorie „hoch“ zu, wenn die Schadensauswirkungen beträchtlich sein können.
- Zwei Institutionen gewichten dasselbe Schadensszenario verschieden, weil sich die Bedeutung eines Szenarios von Institution zu Institution unterscheidet.
- Ein Versicherer bewertet, welche Schäden entstehen könnten, wenn Vertraulichkeit, Integrität oder Verfügbarkeit seiner Schadendatenbank beeinträchtigt werden, und leitet daraus den Schutzbedarf ab.
