Schutzbedarfskategorien im IT-Sicherheitskonzept
Schutzbedarfskategorien werden verwendet, um zu bestimmen,
wie stark Informationen, Systeme oder Infrastrukturen geschützt werden müssen.
Grundlage ist die Bewertung der möglichen Schäden bei einer Sicherheitsverletzung.
Grundprinzip der Einstufung
Schadensauswirkung bewerten → Schutzbedarf festlegen → Sicherheitsmaßnahmen ableiten
1. Schutzbedarf „Normal“
Ein normaler Schutzbedarf liegt vor, wenn durch eine Sicherheitsverletzung
nur geringe oder begrenzte Schäden entstehen.
Beispiel:
Allgemeine Informationen wie interne Team-Notizen oder öffentliche Daten.
Merkmale:
- Geringe Auswirkungen
- Keine kritischen Geschäftsprozesse betroffen
- Standard-Sicherheitsmaßnahmen ausreichend
2. Schutzbedarf „Hoch“
Ein hoher Schutzbedarf liegt vor, wenn eine Verletzung der Sicherheit
zu erheblichen Schäden führen kann.
Beispiel:
Kundendaten, interne Geschäftsprozesse oder vertrauliche Verträge.
Merkmale:
- Erhebliche wirtschaftliche Schäden möglich
- Vertrauensverlust bei Kunden
- Erhöhte Sicherheitsmaßnahmen notwendig
3. Schutzbedarf „Sehr hoch“
Sehr hoher Schutzbedarf liegt vor, wenn eine Sicherheitsverletzung
existenzbedrohende oder schwerwiegende Folgen haben kann.
Beispiel:
Kritische Infrastruktur (Stromversorgung, Krankenhäuser),
Gesundheitsdaten oder sicherheitskritische Systeme.
Merkmale:
- Existenzbedrohende Schäden möglich
- Gefahr für Leib und Leben
- Sehr strenge Sicherheitsmaßnahmen erforderlich
Übersicht
| Schutzbedarf |
Auswirkung |
Beispiele |
| Normal |
Geringe Schäden |
Interne Notizen |
| Hoch |
Erhebliche Schäden |
Kundendaten, Verträge |
| Sehr hoch |
Existenzbedrohende Schäden |
Kliniken, kritische Infrastruktur |
Wie wird der Schutzbedarf verwendet?
- Zuerst werden Informationen und Systeme analysiert.
- Dann wird der mögliche Schaden bei einem Sicherheitsvorfall bewertet.
- Auf dieser Basis wird eine Schutzbedarfskategorie festgelegt.
- Je höher der Schutzbedarf, desto strengere Sicherheitsmaßnahmen werden eingesetzt.
Merksatz für die FISI-Prüfung:
Schutzbedarf richtet sich nach dem möglichen Schaden:
Normal = geringe Schäden
Hoch = erhebliche Schäden
Sehr hoch = existenzbedrohende Schäden
Typische Prüfungsfrage
Wie werden Schutzbedarfskategorien wie „normal“, „hoch“ und „sehr hoch“
verwendet, um den Sicherheitsbedarf von Informationen, Systemen oder
Infrastrukturen einzuschätzen?
Musterantwort:
Schutzbedarfskategorien werden verwendet, um den möglichen Schaden
bei einer Sicherheitsverletzung zu bewerten. Je nach Auswirkung werden
Informationen, Systeme oder Infrastrukturen in die Kategorien „normal“,
„hoch“ oder „sehr hoch“ eingestuft. Diese Einstufung dient als Grundlage
für die Auswahl geeigneter Sicherheitsmaßnahmen, wobei ein höherer
Schutzbedarf strengere Schutzmaßnahmen erfordert.
```