Was ist Informationssicherheit?
Die Informationssicherheit dient der Sicherstellung der drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch Maßnahmen in technischen und nicht-technischen Systemen.
Schutzziele der Informationssicherheit – die drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit von Informationen
- Vertraulichkeit bedeutet, dass die Daten bzw. Informationen nur von solchen Personen eingesehen, bearbeitet und verwaltet werden dürfen, die dazu befugt sind. Zum Beispiel: Der Personenkreis für den Einblick in Personalakten wird eingeschränkt.
- Integrität bedeutet, dass die unerkannte Veränderung von Daten nicht möglich sein darf. Die Korrektheit der Daten bzw. Informationen muss sichergestellt sein. Zum Beispiel: Ein Eintrag in die Personalakte darf durch die Mitarbeiter*innen nicht verändert werden.
- Verfügbarkeit bedeutet, dass die Daten bzw. Informationen nicht verloren gehen und für befugte Personen zugänglich sein sollten. Zum Beispiel: Ein Eintrag in die Personalakte darf durch die Mitarbeiter*innen nicht herausgenommen bzw. gelöscht werden
Unternehmen können sich daraus folgende Ziele ableiten:
- Einhaltung der mit Kunden geschlossenen Vereinbarungen zu Sicherheit und Verfügbarkeit der Dienstleistungen sowie der gesetzlichen und regulatorischen Anforderungen
- Gewährleistung der Vertraulichkeit und Integrität von Informationen (Kunden- und Unternehmensdaten) und somit Wahrung von Geschäfts- und Betriebsgeheimnissen, aber auch Datenschutz i.S.d. EU-DSGVO
- Sicherstellung der Verfügbarkeit der für die Informationsverarbeitung notwendigen Infrastruktur und Technologie
- Frühzeitige Erkennung und Behandlung von potenziellen Sicherheitsrisiken zur Verhinderung von Sicherheitsvorfällen
Maßnahmen für die Informationssicherheit
Informationssicherheit ist ein übergreifendes Thema, das weit über rein technische Themen hinausgeht. Dementsprechend gehört sie zu den zentralen Managementaufgaben eines Unternehmens. Die zugrundeliegende Maßnahme zum Schutz der Informationswerte ist die Implementierung eines Informationssicherheitsmanagementsystems.
Was ist ein Informationssicherheitsmanagementsystem (ISMS)?
Ein Information Security Management System ist eine zusammenhängende Aufstellung von Vorgaben und Regelungen, um die Informationssicherheit dauerhaft zu definieren, zu steuern, aufrechtzuerhalten, zu kontrollieren und fortlaufend zu verbessern. Die Norm ISO/IEC 27001 beschreibt die Anforderungen, die ein ISMS erfüllen muss.
Konkrete Sicherheitsmaßnahmen
Die Einführung eines Informationssicherheitsmanagementsystems analog des internationalen Standards ISO 27001 stellt für eine Organisation eine strategische Entscheidung bzw. Maßnahme dar. Ein solches ISMS wahrt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen unter Anwendung eines Risikomanagementprozesses und verleiht interessierten Parteien das Vertrauen in eine angemessene Steuerung von Risiken.