Die Identifizierung und die Klassifizierung der Werte sind ein integraler Bestandteil des Risikomanagements und stellen eine wichtige Komponente der Organisation der Informationssicherheit dar (auch genannt: Informationssicherheitsmanagementsystem - ISMS, siehe ISO/IEC 27001). Sie definieren die Sicherheitsanforderungen in Bezug auf Vertraulichkeit, Verfügbarkeit und Integrität.
Schreiben Sie eine Leitlinie zum Management von organisationseigenen Werten und sorgen Sie für deren Umsetzung.
Klassifizierungsprinzipien
-
Je größer die Auswirkung einer Offenlegung ist, desto höher muss die Klassifizierung der Vertraulichkeit sein.
-
Je größer die Auswirkung einer Kompromittierung eines Wertes ist, desto höher muss die Klassifizierung der Integrität sein.
-
Je größer die Auswirkung eines Verfügbarkeitsverlusts eines Wertes ist, umso höher muss die Klassifizierung der Verfügbarkeit sein.
Wichtigkeit der Klassifizierung
Die Klassifizierung der Werte wird vor allem benötigt, um eine Risikoanalyse durchzuführen. Tatsächlich muss man, um eine Risikoanalyse durchführen zu können, die Kritikalität der Werte (= Klassifizierungsniveau - mögliche Auswirkung) mit den Bedrohungen und den Schwachstellen in Verbindung bringen.
Die Klassifizierung ermöglicht die Erstellung einer möglichst objektiven Risiko-Bewertung sowie eines Risikobehandlungsplans. So kann man die Verringerung der wesentlichen Risiken, unter Berücksichtigung der zur Verfügung stehenden Investitionsmittel, überprüfen.
Klassifizierungs-Schema
Jedes Unternehmen verfügt über mehr oder weniger kritische Vermögenswerte, um einen ordnungsgemäßen Betrieb zu gewährleisten. Zu diesen Vermögenswerten zählen Geschäftsprozesse, Menschen, Informationen und natürlich auch Maschinen. Um wirksame und erfolgreiche Maßnahmen zur Gefahrenabwehr umsetzen zu können, ist es notwendig, für jeden Wert ein Schutzziel zu definieren.
Aus diesem Grund ist es wichtig, eine Klassifizierung der Werte durchzuführen und die Kritikalität in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit festzulegen.
Vertraulichkeit
Das folgende Diagramm zeigt die offizielle Abkürzung, den Namen sowie die Beschreibung der Klassifizierung der Vertraulichkeit. Es bezieht sich auch das "Traffic Light-Protokoll" der britischen Verwaltung NISCC. Diese Klassen definieren die Weiterleitungs-Regeln von Informationen im Bereich der kritischen Infrastrukturen.
|
Kategorie |
1) Auswirkung, 2) Management, 3) Beispiel, 4) Werkzeuge |
Entsprechender Wert im TLP |
|---|---|---|
|
SE, Geheim |
|
Rot |
|
CO, Vertraulich |
|
Orange. |
|
RE, Eingeschränkt |
|
Grün |
|
IN, Intern |
|
Grün |
|
PU, Öffentlich |
|
Weiß |
Integrität
Das folgende Diagramm zeigt die offizielle Abkürzung, den Namen sowie die Beschreibung der Klassifizierung der Integrität.
| Kategorie | 1) Auswirkung, 2) Management, 3) Beispiel, 4) Werkzeuge |
|---|---|
| VIT, Vital |
|
| IMP, Wichtig |
|
| NOR, Normal |
|
Verfügbarkeit
Die Verfügbarkeit wird in der erwarteten Reparaturzeit ausgedrückt.
| Kategorie |
Code Kategorie |
Ausfallzeit pro Jahr | Arbeitszeitverlust pro Jahr |
|---|---|---|---|
| 1 | 20J | 1 Monat | +/- 20 Tage |
| 2 | 10T | ½ Monat | 2 Wochen |
| 3 | 5J | 1 Woche | 5 Tage |
| 4 | 2.5T | ½ Woche | 2½ Tage |
| 5 | 1T | 1 Tag | 8 Stunden |
| 6 | 0.5T | ½ Tag | 4 Arbeitsstunden |
| 7 | 0.1T | 1 Stunde | 1 Stunde |
