Schutzziele der Informationssicherheit: Die Basis für eine erfolgreiche Cybersicherheitsstrategie

Ganz unabhängig von Größe oder Branche ist die Informationssicherheit zu einem kritischen Aspekt für Unternehmen geworden. Unser Arbeitsleben wird von digitalen Technologien revolutioniert und häufig auch dominiert. Gleichzeitig bringen diese Technologien Risiken für sensible Daten mit sich, die vermehrt das Ziel von Cyberangriffen werden. Daher ist es für Unternehmen von hoher wirtschaftlicher Bedeutung, eine umfassende Strategie für die Informationssicherheit zu entwickeln. Eine wichtige Rolle spielen hierbei die Schutzziele der Informationssicherheit, die wir in diesem Blogbeitrag ausführlich für Sie beleuchten.

Definition: Was bedeutet Informationssicherheit?

Welche Schutzziele der Informationssicherheit gibt es?

Was bedeutet das Schutzziel Vertraulichkeit?

Was bedeutet Integrität in der Informationssicherheit?

Schutzziele Informationssicherheit: Verfügbarkeit einer Information

Was sind „erweiterte“ Schutzziele der Informationssicherheit?

Regulatorische Anforderungen: NIS2 und der Cyber Resilience Act (CRA) im Kontext der Schutzziele

Cyber Resilience Act (CRA): Anforderungen an die Sicherheit von IT-Produkten

Fazit

Vertraulichkeit ist eines der zentralen Schutzziele der IT-Sicherheit und stellt sicher, dass sensible Informationen nur für diejenigen Personen oder Systeme zugänglich sind, die über eine Berechtigung verfügen. Besonders relevant ist dies für Daten, die aus datenschutzrechtlichen Gründen geschützt werden müssen, oder für vertrauliche Informationen, die für das Unternehmen von entscheidender Bedeutung sind.

Maßnahmen zur Gewährleistung von Vertraulichkeit sind beispielsweise:

• Verschlüsselung von sensiblen Daten: Durch kryptografische Verfahren werden Daten in eine unleserliche Form gebracht, die nur mit einer passenden Entschlüsselung wieder lesbar wird. Beispiele hierfür sind die symmetrische Verschlüsselung (AES) und die asymmetrische Verschlüsselung (RSA).
• Sichere Authentisierung: Neben dem Benutzernamen und Passwort erfordert die sichere Authentisierung mindestens eine weitere Verifizierung, bevor der Zugang zu den Daten gewährt wird. Beliebte Optionen sind eine Smartcard mit Zertifikaten oder die Authentisierung über eine App.
• Berechtigungsmanagement: Hierbei werden Nutzern je nach Funktion und Verantwortung unterschiedliche Zugriffsrechte eingeräumt. Im Sinne des Prinzips der minimale Rechte Nutzer (Least Privilege) sollten nur Diejenigen eine Berechtigung erhalten, die sie für ihre Arbeit tatsächlich benötigen. So kann das Risiko von Insider-Bedrohungen und unbefugtem Zugriff reduziert werden.

Neben den drei bereits beschriebenen Grundwerten gibt es zusätzliche Schutzziele, die in bestimmten Kontexten von Bedeutung sein können:

• Authentizität: Gewährleistung, dass eine Kommunikation oder ein Systemzugriff tatsächlich von der vorgegebenen Person oder Entität stammt. Dies verhindert Angriffe wie Man-in-the-Middle-Attacken. Authentizität kann durch kryptografisch verifizierbare Identitäten sichergestellt werden.
• Zurechenbarkeit: Die Möglichkeit, jede Aktion einem eindeutig identifizierbaren Akteur zuzuordnen, sodass Verantwortlichkeiten klar geregelt sind.
• Verbindlichkeit: Sicherstellung, dass eine durchgeführte Aktion oder eine übermittelte Nachricht später nicht bestritten werden kann. Dies wird oft durch digitale Signaturen oder Protokollierungsmechanismen gewährleistet.

Während NIS2 vor allem auf Unternehmen abzielt, reguliert der Cyber Resilience Act (CRA) die Cybersicherheit von Produkten mit digitalen Elementen. Hersteller müssen sicherstellen, dass ihre Produkte bereits bei der Entwicklung gegen Angriffe geschützt sind (Security by Design & Default). Auch hier spielen die Schutzziele der Informationssicherheit eine zentrale Rolle:

• Schutz der Vertraulichkeit von Daten durch Verschlüsselung mit modernen kryptografischen Mechanismen.
• Wahrung der Integrität von Daten, Befehlen, Programmen und Konfigurationen, um Manipulationen zu verhindern.
• Schutz vor unbefugtem Zugriff durch sichere Authentifizierungs-, Identitäts- und Zugriffsverwaltungssysteme.
• Gewährleistung der Verfügbarkeit wesentlicher Funktionen, einschließlich Schutz- und Abwehrmechanismen gegen Denial-of-Service-Angriffe.

Die Schutzziele der Informationssicherheit - Vertraulichkeit, Integrität und Verfügbarkeit - bilden die Grundlage für den Schutz sensibler Daten. Ihre Einhaltung ist nicht nur eine Aufgabe der IT-Sicherheit, sondern auch ein wesentlicher Bestandteil der Unternehmensführung und des Risikomanagements. Angesichts zunehmender Cyberbedrohungen und regulatorischer Anforderungen wie NIS2 und dem Cyber Resilience Act müssen Unternehmen umfassende Sicherheitsmaßnahmen ergreifen. Um die IT-Schutzziele effektiv zu erreichen, können Unternehmen eine Public Key Infrastructure (PKI) einsetzen. Durch den Einsatz von PKI kann die Vertraulichkeit durch starke Verschlüsselungsverfahren gewährleistet, die Integrität von Daten durch digitale Signaturen sichergestellt und die Authentizität von Kommunikationspartnern durch Zertifikate verifiziert werden. PKI ermöglicht es, diese grundlegenden Schutzziele auf sichere, skalierbare und automatisierte Weise umzusetzen.

Der kontinuierliche Ausbau und die Implementierung dieser Ziele durch ein strukturiertes Informationssicherheits-Managementsystem (ISMS) sind entscheidend für die langfristige Sicherheit eines Unternehmens. In Verbindung mit regulatorischen Vorgaben wie der NIS2-Richtlinie und dem Cyber Resilience Act müssen Unternehmen ihre Sicherheitsstrategien kontinuierlich verbessern und anpassen, um den wachsenden Bedrohungen entgegenzuwirken und gesetzliche Anforderungen zu erfüllen. Eine solide Sicherheitsinfrastruktur, unterstützt durch PKI, schützt nicht nur die Unternehmensdaten, sondern auch das Vertrauen von Kunden und Partnern.