Informationssicherheit

Informationssicherheit, manchmal verkürzt auf Infosec, ist die Praxis des Schutzes Information durch mildernde Informationsrisiken. Es ist Teil von Informationsrisikomanagement.^[1][2] In der Regel werden die Wahrscheinlichkeit eines nicht autorisierten/unangemessenen Zugangs verhindern oder reduziert Daten, oder die rechtswidrige Verwendung, Offenlegung, Störung, Löschung, Korruption, Änderung, Inspektion, Aufzeichnung oder Abwertung von Informationen.^[3] Es umfasst auch Maßnahmen, die die nachteiligen Auswirkungen solcher Vorfälle verringern sollen. Geschützte Informationen können jedes Formular annehmen, z. elektronisch oder physisch, greifbar (z. Papierkram) oder immateriell (z. Wissen).^[4][5] Der Hauptaugenmerk der Informationssicherheit liegt im ausgewogenen Schutz der Vertraulichkeit, Integrität, und Verfügbarkeit von Daten (auch als CIA -Triade bezeichnet) gleichzeitig einen Fokus auf effizientes Fokus Politik Implementierung, alles ohne die Organisation zu behindern Produktivität.^[6] Dies wird größtenteils durch ein strukturiertes erreicht Risikomanagement Prozess, der beinhaltet:

• Informationen und verwandte Identifizierung Vermögenswerte, plus Potenzial Bedrohungen, Schwachstellenund Auswirkungen;
• Bewertung der Risiken
• Entscheidung, wie die Risiken angegangen oder behandelt werden sollen, d. H. Sie zu vermeiden, zu mildern, zu teilen oder zu akzeptieren
• Wenn die Risikominderung erforderlich ist, die Auswahl oder Entwerfen geeigneter Sicherheitskontrollen und implementieren
• Überwachung der Aktivitäten, Anpassungen nach Bedarf, um Probleme, Änderungen und Verbesserungsmöglichkeiten anzugehen^[7]

Um diese Disziplin zu standardisieren, arbeiten Akademiker und Fachleute zusammen, um Anleitung, Richtlinien und Branchenstandards zu bieten Passwort, Antiviren Software, Firewall, Verschlüsselungssoftware, rechtliche Haftung, Sicherheitsbewusstsein und Training und so weiter.^[8] Dies Standardisierung Kann weiter von einer Vielzahl von Gesetzen und Vorschriften getrieben werden, die sich auf die Daten auswirken, die auf Daten zugegriffen, verarbeitet, gespeichert, übertragen und zerstört werden.^[9] Die Umsetzung von Standards und Leitlinien innerhalb eines Unternehmens kann jedoch nur begrenzte Auswirkungen haben, wenn eine Kultur von Kultur ständige Verbesserung wird nicht adoptiert.^[10]

Definition

Informationssicherheitsattribute: oder Qualitäten, d. h., Vertraulichkeit, Integrität und Verfügbarkeit (CIA). Informationssysteme sind in drei Hauptabschnitten, Hardware, Software und Kommunikation mit dem Ziel, die Identifizierung und Anwendung von Standards der Informationssicherheitsindustrie als Schutz- und Präventionsmechanismen auf drei Ebenen oder Schichten zu bestimmen: physischpersönlich und organisatorisch. Im Wesentlichen werden Verfahren oder Richtlinien implementiert, um Administratoren, Benutzern und Betreiber mitzuteilen, wie sie Produkte verwenden, um die Informationssicherheit innerhalb der Organisationen zu gewährleisten.^[11]

Verschiedene Definitionen der Informationssicherheit werden nachstehend vorgeschlagen, zusammengefasst aus verschiedenen Quellen:

1. "Erhaltung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Hinweis: Darüber hinaus können auch andere Eigenschaften wie Authentizität, Rechenschaftspflicht, Nicht-Repudiation und Zuverlässigkeit beteiligt sein." (ISO/IEC 27000: 2009)^[12]
2. "Der Schutz von Informations- und Informationssystemen vor nicht autorisierten Zugriff, Verwendung, Offenlegung, Störung, Änderung oder Zerstörung, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten." (CNSS, 2010)^[13]
3. "Stellen Sie sicher, dass nur autorisierte Benutzer (Vertraulichkeit) Zugriff auf genaue und vollständige Informationen (Integrität) haben, wenn dies erforderlich ist (Verfügbarkeit)." (Isaca, 2008)^[14]
4. "Informationssicherheit ist der Prozess des Schutzes des geistigen Eigentums einer Organisation." (Pipkin, 2000)^[15]
5. "... Informationssicherheit ist eine Disziplin der Risikomanagement, deren Aufgabe darin besteht, die Kosten des Informationsrisikos für das Unternehmen zu verwalten." (McDermott und Geer, 2001)^[16]
6. "Ein gut informiertes Gefühl der Gewissheit, dass Informationsrisiken und Kontrollen im Gleichgewicht stehen." (Anderson, J., 2003)^[17]
7. "Informationssicherheit ist der Schutz von Informationen und minimiert das Risiko, Informationen nicht autorisierter Parteien auszusetzen." (Venter und Eloff, 2003)^[18]
8. "Informationssicherheit ist ein multidisziplinärer Studienbereich und beruflicher Aktivität, der sich mit der Entwicklung und Umsetzung von Sicherheitsmechanismen aller verfügbaren Typen (technischer, organisatorischer, menschlicher orientierter und legaler) befasst, um Informationen an allen Standorten (innerhalb und) zu halten außerhalb des Umkreises der Organisation) und folglich Informationssysteme, in denen Informationen erstellt, verarbeitet, gespeichert, übertragen und zerstört werden, frei von Bedrohungen.^[19] Bedrohungen für Informations- und Informationssysteme können kategorisiert und ein entsprechendes Sicherheitsziel für jede Kategorie von Bedrohungen definiert werden.^[20] Eine Reihe von Sicherheitszielen, die als Ergebnis einer Bedrohungsanalyse identifiziert wurden, sollte regelmäßig überarbeitet werden, um ihre Angemessenheit und Konformität mit der sich entwickelnden Umgebung zu gewährleisten.^[21] Die derzeit relevanten Sicherheitsziele können umfassen: Vertraulichkeit, Integrität, Verfügbarkeit, Privatsphäre, Authentizität und Vertrauenswürdigkeit, Nicht-Repudiation, Rechenschaftspflicht und Prüfbarkeit."(Cherdantseva und Hilton, 2013)^[11]
9. Informations- und Informationsressourcensicherheit unter Verwendung von Telekommunikationssystem oder Geräten bedeutet, Informationen, Informationssysteme oder Bücher vor nicht autorisierten Zugriff, Schaden, Diebstahl oder Zerstörung zu schützen (Kurose und Ross, 2010).^[22]

Überblick

Im Zentrum der Informationssicherheit steht Informationssicherheit, die Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Informationen aufrechterhalten, um sicherzustellen, dass dies sicherstellt, dass dies sichergestellt wird Information wird in keiner Weise beeinträchtigt, wenn kritische Probleme auftreten.^[23] Diese Probleme umfassen, ohne auf Naturkatastrophen, Computer/Server -Fehlfunktionen und physischer Diebstahl zu beschränken. Während papierbasierte Geschäftsbetriebe noch weit verbreitet sind und ihre eigenen Informationssicherheitspraktiken verlangen, werden digitale Unternehmensinitiativen zunehmend betont,^[24][25] Mit der Informationssicherung werden in der Regel Sicherheitsspezialisten für Informationstechnologie (IT) behandelt. Diese Spezialisten wenden Informationssicherheit auf Technologie an (meistens irgendeine Form von Computersystemen). Es lohnt sich zu beachten, dass a Computer bedeutet nicht unbedingt einen Home -Desktop.^[26] Ein Computer ist jedes Gerät mit einem Prozessor und etwas Gedächtnis. Solche Geräte können von nicht-networkierten eigenständigen Geräten reichen, die so einfach sind wie Taschenrechner bis hin zu vernetzten mobilen Computergeräten wie Smartphones und Tablet-Computern.^[27] IT -Sicherheitsspezialisten sind aufgrund der Art und des Werts der Daten in größeren Unternehmen fast immer in einem größeren Unternehmen/Establishment zu finden.^[28] Sie sind dafür verantwortlich, alle alle zu behalten Technologie Innerhalb des Unternehmens sichern Sie sich vor böswilligen Cyber ​​-Angriffen, die häufig versuchen, kritische private Informationen zu erwerben oder die Kontrolle über die internen Systeme zu erlangen.^[29][30]

Das Gebiet der Informationssicherheit ist in den letzten Jahren erheblich gewachsen und hat sich erheblich weiterentwickelt.^[31] Es bietet viele Bereiche für die Spezialisierung, einschließlich Sicherung von Netzwerken und Verbands Infrastruktur, sichere Anwendungen und Datenbanken, Sicherheitstests, Informationssysteme Prüfung, Geschäftskontinuitätsplanung, elektronische Aufzeichnung Entdeckung und digitale Forensik. Fachleute für Informationssicherheit sind in ihrer Beschäftigung sehr stabil.^[32] Ab 2013^{[aktualisieren]} Mehr als 80 Prozent der Fachleute hatten in einem Zeitraum von einem Jahr keine Veränderung des Arbeitgebers oder Beschäftigung, und die Zahl der Fachkräfte wird voraussichtlich von 2014 bis 2019 kontinuierlich mehr als 11 Prozent pro Jahr wachsen.^[33]

Bedrohungen

Informationssicherheit Bedrohungen kommen in vielen verschiedenen Formen.^[34][35] Einige der häufigsten Bedrohungen sind heute Softwareangriffe, Diebstahl von geistigem Eigentum, Diebstahl der Identität, Diebstahl von Geräten oder Informationen, Sabotage und Informationserpressung.^[36][37] Die meisten Menschen haben Softwareangriffe in irgendeiner Art erlebt. Viren,^[38] Würmer, Phishing -Angriffe, und trojanische Pferde sind einige häufige Beispiele für Softwareangriffe. Das Diebstahl des geistigen Eigentums war auch ein umfangreiches Thema für viele Unternehmen in der Informationstechnologie (ES) aufstellen.^[39] Identitätsdiebstahl ist der Versuch, als jemand anderes zu fungieren, um die persönlichen Daten dieser Person zu erhalten oder ihren Zugang zu lebenswichtigen Informationen durch zu nutzen soziale Entwicklung.^[40][41] Der Diebstahl von Geräten oder Informationen wird heute immer häufiger, da die meisten Geräte heute mobil sind.^[42] sind anfällig für Diebstahl und sind mit zunehmender Datenkapazität auch weitaus wünschenswerter geworden. Sabotage besteht normalerweise aus der Zerstörung der Organisation einer Organisation Webseite in dem Versuch, Vertrauensverlust seiner Kunden zu verursachen.^[43] Informationserpressung besteht aus Diebstahl des Eigentums oder Informationen eines Unternehmens als Versuch, eine Zahlung als Gegenleistung für die Rückgabe der Informationen oder des Eigentums an seinen Eigentümer wie bei der Rückgabe an seinen Eigentümer zu erhalten Ransomware.^[44] Es gibt viele Möglichkeiten, sich vor einigen dieser Angriffe zu schützen, aber eine der funktionalsten Vorsichtsmaßnahmen ist die Durchführung regelmäßiger Benutzerbewusstsein.^[45] Die Bedrohung Nummer eins für eine Organisation sind Benutzer oder interne Mitarbeiter, sie werden auch als Insider -Bedrohungen bezeichnet.^[46]

Regierungen, Militär-, Unternehmen, Finanzinstitutionen, Krankenhäuser, gemeinnützige Organisationen und privat Unternehmen Setzen Sie viel vertrauliche Informationen über ihre Mitarbeiter, Kunden, Produkte, Forschung und finanziellen Status an.^[47] Sollten vertrauliche Informationen über die Kunden oder Finanzen eines Unternehmens oder eine neue Produktlinie in die Hände eines Konkurrenten oder eines Konkurrenten fallen Black Hat HackerEin Unternehmen und seine Kunden könnten weit verbreitete, irreparable finanzielle Verluste sowie Schäden am Ruf des Unternehmens erleiden.^[48] Aus geschäftlicher Sicht muss die Informationssicherheit gegen Kosten ausgeglichen werden. das Gordon-Loeb-Modell Bietet einen mathematischen wirtschaftlichen Ansatz zur Bekämpfung dieses Anliegens.^[49]

Für die Person hat die Informationssicherheit erhebliche Auswirkungen auf Privatsphäre, was in verschiedenen sehr unterschiedlich angesehen wird Kulturen.^[50]

Antworten auf Bedrohungen

Mögliche Antworten auf eine Sicherheitsbedrohung oder Risiko sind:^[51]

• Reduzieren/Minderung - Implementieren von Schutzmaßnahmen und Gegenmaßnahmen, um Schwachstellen zu beseitigen oder Bedrohungen zu blockieren
• Zuweisen/Übertragung - Legen Sie die Kosten für die Bedrohung in ein anderes Unternehmen oder eine andere Organisation, z. B. den Einkaufsversicherung oder das Outsourcing
• Akzeptieren - Bewerten Sie, ob die Kosten der Gegenmaßnahme die möglichen Verlustkosten aufgrund der Bedrohung überwiegt^[52]

Geschichte

Seit den frühen Kommunikationszeit Manipulationen.^[53] Julius Caesar wird der Erfindung der zugeschrieben Caesar -Chiffre c. 50 v.^[54] Zum größten Teil wurde der Schutz jedoch durch die Anwendung von prozeduralen Handhabungskontrollen erreicht.^[55][56] Sensible Informationen wurden markiert, um anzuzeigen, dass sie von vertrauenswürdigen Personen geschützt und transportiert werden sollten, bewacht und in einer sicheren Umgebung oder in einer starken Schachtel gespeichert werden sollten.^[57] Als Postdienste erweiterten, schuf die Regierungen offizielle Organisationen, um Briefe abzufangen, zu entschlüsseln, zu lesen und wieder zu verschließen (z. B. das Geheimbüro des Vereinigten Königreichs, das 1653 gegründet wurde^[58]).

Mitte des neunzehnten Jahrhunderts komplexer Klassifizierungssysteme wurden entwickelt, um den Regierungen ihre Informationen entsprechend dem Sensibilitätsgrad zu ermöglichen.^[59] Zum Beispiel kodierte die britische Regierung dies in gewissem Maße mit der Veröffentlichung der Offizielles Geheimnisgesetz 1889.^[60] Abschnitt 1 des Gesetzes betraf die Spionage und rechtswidrige Angaben von Information, während Abschnitt 2 sich mit Verstößen gegen das offizielle Vertrauen befasste.^[61] Eine Verteidigung des öffentlichen Interesses wurde bald hinzugefügt, um die Offenlegung im Interesse des Staates zu verteidigen.^[62] Ein ähnliches Gesetz wurde 1889 in Indien verabschiedet, dem indischen offiziellen Geheimungsgesetz, das mit der britischen Kolonialzeit verbunden war und gegen Zeitungen vorangetrieben wurde, die sich der RAJ -Politik widersetzten.^[63] Eine neuere Version wurde 1923 verabschiedet, die sich auf alle Angelegenheiten vertraulicher oder geheimer Informationen für die Governance erstreckte.^[64] Zum Zeitpunkt der Zeit Erster WeltkriegEs wurden mehrstufige Klassifizierungssysteme verwendet, um Informationen an und von verschiedenen Fronten zu kommunizieren, was eine stärkere Verwendung von Abschnitten für Codeherstellung und Brechen im diplomatischen und militärischen Hauptquartier förderte.^[65] Die Codierung wurde zwischen den Kriegen anspruchsvoller, als Maschinen eingesetzt wurden, um Informationen zu durchsuchen und zu entschlüsseln.^[66]

Die Einrichtung von Computersicherheit Eröffnete die Geschichte der Informationssicherheit. Die Notwendigkeit solcher erschien während Zweiter Weltkrieg.^[67] Das Informationsvolumen der alliierten Länder während des Zweiten Weltkriegs erforderte eine formelle Ausrichtung von Klassifizierungssystemen und Verfahrenskontrollen.^[68] Ein arkaner Markierungsbereich entwickelte sich, um anzuzeigen, wer Dokumente (normalerweise Offiziere anstatt eingetragene Truppen) bewältigen könnte und wo sie als zunehmend komplexe Safes und Lagereinrichtungen aufbewahrt werden sollten.^[69] Das Enigma -Maschine, das von den Deutschen verwendet wurde, um die Daten der Kriegsführung zu verschlüsseln und erfolgreich entschlüsselt von Alan Turing, kann als auffälliges Beispiel für das Erstellen und Verwenden gesicherter Informationen angesehen werden.^[70] Verfahren entwickelt, um sicherzustellen, dass die Dokumente ordnungsgemäß zerstört wurden, und es war das Versäumnis, diese Verfahren zu befolgen, was zu einigen der größten Geheimdienstputme des Krieges führte (z. B. die Erfassung von U-570^[70]).

Verschiedene Mainframe -Computer wurden während der online verbunden Kalter Krieg Um ausgefeiltere Aufgaben zu erledigen, in einem Kommunikationsprozess leichter als das Versenden Magnetbänder hin und her durch Computerzentren. Als solche die Agentur für fortschrittliche Forschungsprojekte (ARPA), von der Verteidigungsministerium der Vereinigten Staaten, begann mit der Erforschung der Machbarkeit eines vernetzten Kommunikationssystems, um Informationen innerhalb der zu handeln Streitkräfte der Vereinigten Staaten. 1968 die Arpanet Das Projekt wurde von Dr. formuliert Larry Roberts, was sich später zu dem entwickeln würde, was als die genannt wird Internet.^[71]

1973 wurden von Internet Pioneer wichtige Elemente der Arpanet -Sicherheit gefunden Robert Metcalfe viele Mängel wie die: "Sicherheitsanfälligkeit von Kennwortstruktur und Formaten; mangelnde Sicherheitsverfahren für Verbindungen wählen; und nicht vorhandene Benutzeridentifikation und -genehmigungen ", abgesehen von den mangelnden Kontrollen und Schutzmaßnahmen, um Daten vor unbefugtem Zugriff zu schützen. Hacker hatten mühelose Zugang zu Arpanet, da die öffentlichen Telefonnummern die Telefonnummern bekannt waren.^[72] Aufgrund dieser Probleme in Verbindung mit dem ständigen Verstoß gegen die Computersicherheit sowie der exponentiellen Zunahme der Anzahl der Hosts und Benutzer des Systems wurde "Netzwerksicherheit" häufig als "Netzwerkunsicherheit" angespielt.^[72]

Das Ende des 20. Jahrhunderts und in den frühen Jahren des 21. Jahrhunderts verzeichneten rasante Fortschritte in Telekommunikation, Computer Hardware- und Softwareund Daten Verschlüsselung.^[73] Die Verfügbarkeit kleinerer, leistungsfähigerer und günstigerer Computergeräte gemacht elektronische Datenverarbeitung in Reichweite von Kleinunternehmen und Heimnutzer.^[74] Die Festlegung des Protokolls/Internet -Protokolls (Transfer -Steuerungsprotokoll)/Internetwork (TCP/IP) in den frühen 1980er Jahren ermöglichte verschiedene Computertypen, um zu kommunizieren.^[75] Diese Computer wurden schnell durch die miteinander verbunden Internet.^[76]

Das schnelle Wachstum und die weit verbreitete Verwendung der elektronischen Datenverarbeitung und elektronisches Geschäft durchgeführt über das Internet zusammen mit zahlreichen Ereignissen internationaler Terrorismus, befugte die Notwendigkeit besserer Methoden zum Schutz der Computer und der Informationen, die sie speichern, verarbeiten und übertragen.^[77] Die akademischen Disziplinen von Computersicherheit und Informationsabsicherung trat zusammen mit zahlreichen Berufsverbänden hervor, die alle die gemeinsamen Ziele der Gewährleistung der Sicherheit und Zuverlässigkeit von trugen Informationssysteme.

Grundprinzipien

Schlüssel Konzepte

Poster zur Förderung der Informationssicherheit durch den Russen Verteidigungsministerium

Die CIA -Triade der Vertraulichkeit, Integrität und Verfügbarkeit steht im Mittelpunkt der Informationssicherheit.^[78] (Die Mitglieder der klassischen Infosec -Triade - Konfiguration, Integrität und Verfügbarkeit - werden in der Literatur austauschbar als Sicherheitsattribute, Eigenschaften, Sicherheitsziele, grundlegende Aspekte, Informationskriterien, kritische Informationsmerkmale und grundlegende Bausteine ​​bezeichnet.)^[79] Die Debatte setzt sich jedoch fort, ob diese CIA -Triade ausreicht, um sich schnell verändernde Technologie- und Geschäftsanforderungen zu erfüllen, und die Empfehlungen, um die Kreuzungen zwischen Verfügbarkeit und Vertraulichkeit sowie die Beziehung zwischen Sicherheit und Privatsphäre zu erweitern.^[23] Manchmal wurden andere Prinzipien wie "Rechenschaftspflicht" vorgeschlagen; Es wurde darauf hingewiesen, dass Probleme wie Nicht-Repudiation Passen Sie nicht gut in die drei Kernkonzepte.^[80]

Die Triade scheint zum ersten Mal in a erwähnt worden zu sein NIST Veröffentlichung im Jahr 1977.^[81]

1992 und überarbeitet im Jahr 2002 die OECD's Richtlinien für die Sicherheit von Informationssystemen und Netzwerken^[82] schlug die neun allgemein anerkannten Prinzipien vor: Bewusstsein, Verantwortung, Reaktion, Ethik, Demokratie, Risikobewertung, Sicherheitsdesign und -umsetzung, Sicherheitsmanagement und Neubewertung.^[83] Aufbau auf diesen, im Jahr 2004 die NIST's Engineering -Prinzipien für die Sicherheit der Informationstechnologie^[80] Vorgeschlagene 33 Prinzipien. Aus jeder dieser abgeleiteten Richtlinien und Praktiken.

In 1998, Donn Parker schlug ein alternatives Modell für die klassische CIA -Triade vor, die er das nannte Sechs atomare Informationselemente. Die Elemente sind Vertraulichkeit, Besitz, Integrität, Authentizität, Verfügbarkeit, und Dienstprogramm. Die Verdienste der Parkerian Hexad sind Gegenstand von Debatten unter Sicherheitsfachleuten.^[84]

In 2011, Die offene Gruppe veröffentlichte den Standard für Information Security Management Standard O-ISM3.^[85] Dieser Standard schlug ein vor Arbeitsdefinition von den Schlüsselkonzepten der Sicherheitsbekämpfung mit Elementen, die als "Sicherheitsziele" bezogen werden, bezogen auf Zugangskontrolle (9), Verfügbarkeit (3), Datenqualität (1), Compliance und technisch (4). In 2009, Dod Softwareschutzinitiative Archiviert 2016-09-25 bei der Wayback -Maschine veröffentlichte die Drei Grundsätze der Cybersicherheit Archiviert 2020-05-10 am Wayback -Maschine die Systemanfälligkeit, Zugang zum Fehler und die Fähigkeit, den Fehler auszunutzen.^[86][87][88] Keines dieser Modelle wird weit verbreitet.

Vertraulichkeit

In der Informationssicherheit ist Vertraulichkeit "das Eigentum, dass Informationen nicht zur Verfügung gestellt oder nicht autorisierten Personen, Unternehmen oder Prozessen offengelegt oder offengelegt werden."^[89] Ähnlich wie "Privatsphäre" sind die beiden Wörter nicht austauschbar. Vertraulichkeit ist vielmehr ein Bestandteil der Privatsphäre, der zum Schutz unserer Daten vor nicht autorisierten Zuschauern implementiert wird.^[90] Beispiele für die Vertraulichkeit elektronischer Daten, die beeinträchtigt werden, sind Laptop -Diebstahl, Kennwortdiebstahl oder sensible E -Mails an die falschen Personen.^[91]

Integrität

In der IT -Sicherheit, Datenintegrität bedeutet, die Genauigkeit und Vollständigkeit von Daten über den gesamten Lebenszyklus aufrechtzuerhalten und zu sichern.^[92] Dies bedeutet, dass Daten nicht autorisiert oder unentdeckt geändert werden können.^[93] Dies ist nicht dasselbe wie Referenzintegrität in Datenbanken, obwohl es als Sonderfall der Konsistenz angesehen werden kann, wie im Klassiker verstanden SÄURE Modell von Transaktionsverarbeitung.^[94] Informationssicherheitssysteme enthalten in der Regel Steuerelemente, um ihre eigene Integrität zu gewährleisten, insbesondere den Schutz des Kernels oder der Kernfunktionen vor absichtlichen und zufälligen Bedrohungen.^[95] Computersysteme für Mehrzweck- und Mehrfachbenutzer zielen darauf ab, die Daten und die Verarbeitung zu unterteilen, so dass kein Benutzer oder Prozess einen anderen beeinflussen kann und Privatsphäre Verstöße.^[96]

Im weiteren Sinne ist Integrität ein Prinzip der Informationssicherheit, das sowohl menschliche/soziale, prozess- und kommerzielle Integrität als auch Datenintegrität betrifft. Als solches berührt es Aspekte wie Glaubwürdigkeit, Konsistenz, Wahrhaftigkeit, Vollständigkeit, Genauigkeit, Aktualität und Sicherheit.^[97]

Verfügbarkeit

Damit ein Informationssystem seinen Zweck erfüllt, müssen die Informationen sein verfügbar Wenn es benötigt wird.^[98] Dies bedeutet, dass die Computersysteme zum Speichern und Verarbeiten der Informationen verwendet werden, die Sicherheitskontrollen Wird zum Schutz verwendet, und die Kommunikationskanäle, die zum Zugriff verwendet werden, müssen korrekt funktionieren.^[99] Hohe Verfügbarkeit Die Systeme sollen jederzeit verfügbar bleiben und Servicestörungen aufgrund von Stromausfällen, Hardwarefehlern und Systemaufrüstungen verhindern.^[100] Die Sicherstellung der Verfügbarkeit beinhaltet auch die Verhinderung Denial-of-Service-Angriffe, wie eine Flut eingehender Nachrichten an das Zielsystem, die es im Wesentlichen zum Abschalten zwingen.^[101]

Im Bereich der Informationssicherheit kann die Verfügbarkeit häufig als einer der wichtigsten Teile eines erfolgreichen Information Sicherheitsprogramms angesehen werden. Letztendlich müssen Endbenutzer in der Lage sein, Jobfunktionen auszuführen. Durch die Gewährleistung der Verfügbarkeit kann eine Organisation die Standards, die die Stakeholder einer Organisation erwarten, ausführen.^[102] Dies kann Themen wie Proxy -Konfigurationen, außerhalb des Webzugriffs, die Möglichkeit umfassen, auf freigegebene Laufwerke zuzugreifen und E -Mails zu senden.^[103] Führungskräfte verstehen oft nicht die technische Seite der Informationssicherheit und betrachten die Verfügbarkeit als einfache Behebung. Dies erfordert jedoch häufig die Zusammenarbeit vieler verschiedener Organisationsteams wie Netzbetrieb, Entwicklungsvorgängen, Vorfälle und Richtlinien-/Änderungsmanagement.^[104] Ein erfolgreiches Informationssicherheitsteam beinhaltet viele verschiedene Schlüsselrollen, um die CIA -Triade effektiv zu erfüllen und auszurichten.^[105]

Nicht-Repudiation

Vor dem Gesetz, Nicht-Repudiation impliziert die Absicht, ihre Verpflichtungen zu einem Vertrag zu erfüllen. Dies impliziert auch, dass eine Partei einer Transaktion weder eine Transaktion erhalten hat, noch kann die andere Partei eine Transaktion verweigern.^[106]

Es ist wichtig zu beachten, dass Technologie wie kryptografische Systeme zwar bei Nicht-Repudiation-Bemühungen beitragen kann, das Konzept jedoch in ihrem Kern ist, ein rechtliches Konzept, das den Bereich der Technologie überschreitet.^[107] Es reicht beispielsweise nicht aus, zu zeigen, dass die Nachricht mit einer digitalen Signatur übereinstimmt, die mit dem privaten Schlüssel des Absenders signiert ist, und daher hätte nur der Absender die Nachricht senden können, und niemand hätte sie im Transport ändern können (Datenintegrität).^[108] Der mutmaßliche Absender könnte im Gegenzug nachweisen, dass der digitale Signaturalgorithmus verletzlich oder fehlerhaft ist oder behauptet oder beweist, dass sein Unterzeichnungsschlüssel beeinträchtigt wurde.^[109] Der Fehler für diese Verstöße kann beim Absender liegen oder nicht, und solche Behauptungen können den Absender von der Haftung entlasten oder nicht, aber die Behauptung würde die Behauptung ungültig machen, dass die Unterschrift notwendigerweise Authentizität und Integrität beweist. Daher kann der Absender die Nachricht zurückweisen (weil Authentizität und Integrität Voraussetzungen für die Nicht-Repudiation sind).^[110]

Risikomanagement

Im Großen und Ganzen ist das Risiko die Wahrscheinlichkeit, dass etwas Schlimmes passieren wird, das einem Informationsvermögen (oder dem Verlust des Vermögenswerts) zu Schaden zugefügt wird.^[111] Eine Schwachstelle ist eine Schwäche, die verwendet werden könnte, um einen Informationsvermögen zu gefährden oder Schaden zuzufügen. Eine Bedrohung ist alles (künstlich oder Akt der Natur) Das hat das Potenzial, Schaden zu verursachen.^[112] Die Wahrscheinlichkeit, dass eine Bedrohung eine Anfälligkeit nutzt, schadet ein Risiko. Wenn eine Bedrohung eine Anfälligkeit nutzt, um Schaden zuzufügen, hat sie Auswirkungen.^[113] Im Kontext der Informationssicherheit sind die Auswirkungen ein Verlust der Verfügbarkeit, Integrität und Vertraulichkeit sowie möglicherweise anderer Verluste (verlorenes Einkommen, Lebensverlust, Verlust von Immobilien).^[114]

Das Wirtschaftsprüfer zertifizierter Informationssysteme (CISA) Überprüfungshandbuch 2006 Definiert Risikomanagement als "der Prozess der Identifizierung Schwachstellen und Bedrohungen zu den Informationsressourcen, die von einer Organisation zur Erreichung von Geschäftszielen verwendet und entscheiden, was Gegenmaßnahmen,^[115] Wenn überhaupt, reduzieren Sie das Risiko auf ein akzeptables Niveau, basierend auf dem Wert der Informationsressource für die Organisation. "^[116]

In dieser Definition gibt es zwei Dinge, die möglicherweise etwas Klarstellung benötigen. Zuerst die Prozess des Risikomanagements ist ein fortlaufender, iterativer Prozess. Es muss auf unbestimmte Zeit wiederholt werden. Das Geschäftsumfeld verändert sich ständig und neu Bedrohungen und Schwachstellen tauchen jeden Tag auf.^[117] Zweitens die Wahl von Gegenmaßnahmen (Kontrollen) Zum Verwalten von Risiken muss ein Gleichgewicht zwischen Produktivität, Kosten, Wirksamkeit der Gegenmaßnahme und dem Wert des geschützten Informationsvermögens hergestellt werden.^[118] Darüber hinaus haben diese Prozesse Einschränkungen, da Sicherheitsverletzungen im Allgemeinen selten sind und in einem bestimmten Kontext entstehen, der möglicherweise nicht leicht dupliziert wird.^[119] Daher sollte jeder Prozess und jede Gegenmaßnahme selbst auf Schwachstellen bewertet werden.^[120] Es ist nicht möglich, alle Risiken zu identifizieren, und es ist auch nicht möglich, alle Risiken zu beseitigen. Das verbleibende Risiko wird als "Restrisiko" bezeichnet.^[121]"

A Risikoabschätzung wird von einem Team von Menschen durchgeführt, die Kenntnisse bestimmter Geschäftsbereiche haben.^[122] Die Mitgliedschaft im Team kann im Laufe der Zeit variieren, da verschiedene Teile des Geschäfts bewertet werden.^[123] Die Bewertung kann eine subjektive qualitative Analyse verwenden, die auf informierter Meinung basiert oder wenn zuverlässige Dollar -Zahlen und historische Informationen verfügbar sind, kann die Analyse verwendet werden quantitative Analyse.

Untersuchungen haben gezeigt, dass der am stärksten gefährdete Punkt in den meisten Informationssystemen der menschliche Nutzer, Operator, Designer oder andere Menschen ist.^[124] Das ISO/IEC 27002: 2005 Praxiskodex für Informationssicherheitsmanagement Empfiehlt, dass die folgenden Untersuchungen während einer Risikobewertung untersucht werden:

• Sicherheitsrichtlinie,
• Organisation der Informationssicherheit,
• Anlagenmanagement,
• Humanressourcen Sicherheit,
• physisch und Umweltsicherheit,
• Kommunikation und Operations Management,
• Zugangskontrolle,
• Erwerb, Entwicklung und Wartung von Informationssystemen,
• Informationssicherheit Incident Management,
• Wirtschaftskontinuitätsmanagement
• Vorschriftenregulierung.

Im Wesentlichen besteht der Risikomanagementprozess aus:^[125][126]

1. Identifizierung von Vermögenswerten und Schätzung ihres Wertes. Hören Sie: Personen, Gebäude, Hardware, Software, Daten (elektronisch, drucken, andere), Lieferungen.^[127]
2. Verhalten a Bedrohungsanalyse. Hören Sie: Naturhandlungen, Kriegshandlungen, Unfälle, böswillige Handlungen, die von innen oder außerhalb der Organisation stammen.^[128]
3. Verhalten a Schwachstellenanalyseund für jede Verwundbarkeit berechnen Sie die Wahrscheinlichkeit, dass sie ausgenutzt wird. Richtlinien, Verfahren, Standards, Schulungen, Richtlinien bewerten, Schulung, physische Sicherheit, Qualitätskontrolle, technische Sicherheit.^[129]
4. Berechnen Sie die Auswirkungen, die jede Bedrohung auf jedes Vermögenswert haben würde. Verwenden Sie qualitative Analyse oder quantitative Analyse.^[130]
5. Identifizieren, auswählen und implementieren Sie geeignete Steuerelemente. Eine proportionale Antwort geben. Berücksichtigen Sie Produktivität, Kosteneffektivität und Wert des Vermögenswerts.^[131]
6. Bewerten Sie die Wirksamkeit der Kontrollmaßnahmen. Stellen Sie sicher, dass die Kontrollen den erforderlichen kostengünstigen Schutz ohne erkennbare Produktivitätsverlust bieten.^[132]

Für ein bestimmtes Risiko kann sich das Management dafür entscheiden, das Risiko zu akzeptieren, das auf dem relativ niedrigen Wert des Vermögenswerts, der relativen geringen Häufigkeit des Auftretens und der relativ geringen Auswirkungen auf das Unternehmen basiert.^[133] Eine Führung kann sich dafür entscheiden, das Risiko zu mildern, indem geeignete Kontrollmaßnahmen ausgewählt und implementiert werden, um das Risiko zu verringern. In einigen Fällen kann das Risiko in ein anderes Unternehmen übertragen werden, indem Versicherungen abgeschlossen oder an ein anderes Unternehmen ausgelagert werden.^[134] Die Realität einiger Risiken kann umstritten sein. In solchen Fällen kann die Führung das Risiko verweigern.^[135]

Sicherheitskontrollen

Durch die Auswahl und Implementierung der ordnungsgemäßen Sicherheitskontrollen können eine Organisation zunächst das Risiko auf akzeptable Niveaus verringern.^[136] Die Kontrollauswahl sollte folgen und auf der Risikobewertung basieren.^[137] Kontrollen können in der Natur variieren, aber im Grunde sind sie Möglichkeiten, die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen zu schützen. ISO/IEC 27001 hat Kontrollen in verschiedenen Bereichen definiert.^[138] Organisationen können zusätzliche Kontrollen gemäß den Anforderungen der Organisation umsetzen.^[139] ISO/IEC 27002 Bietet eine Richtlinie für Organisationsinformationssicherheitsstandards.^[140]

Administrativ

Verwaltungskontrollen (auch Verfahrenskontrollen genannt) bestehen aus genehmigten schriftlichen Richtlinien, Verfahren, Standards und Richtlinien. Verwaltungskontrollen bilden den Rahmen für die Führung des Geschäfts und die Verwaltung von Personen.^[141] Sie informieren die Leute darüber, wie das Geschäft geführt werden soll und wie täglich der Betrieb durchgeführt werden soll. Gesetze und Vorschriften, die von Regierungsstellen geschaffen wurden, sind ebenfalls eine Art Verwaltungskontrolle, da sie das Geschäft informieren.^[142] Einige Branchen haben Richtlinien, Verfahren, Standards und Richtlinien, die befolgt werden müssen - die Zahlungskartenbranche Datensicherheitsstandard^[143] (PCI DSS) erforderlich durch Visa und MasterCard ist ein solches Beispiel. Weitere Beispiele für Verwaltungskontrollen sind die Unternehmenssicherheitsrichtlinie. Kennwortrichtlinie, Einstellungspolitik und Disziplinarpolitik.^[144]

Verwaltungskontrollen bilden die Grundlage für die Auswahl und Implementierung logischer und physikalischer Kontrollen. Logische und physikalische Kontrollen sind Manifestationen von administrativen Kontrollen, die von größter Bedeutung sind.^[141]

Logisch

Logische Steuerelemente (auch technische Steuerelemente genannt) verwenden Software und Daten, um den Zugriff auf Informationen zu überwachen und zu steuern. Computer Systeme. Passwörter, Netzwerk- und Host-basierte Firewalls, Netzwerk Intrusionserkennung Systeme, Zugriffskontrolllistenund Datenverschlüsselung sind Beispiele für logische Kontrollen.^[145]

Eine wichtige logische Steuerung, die häufig übersehen wird, ist das Prinzip der geringsten Privilegien, bei dem ein Individuum, ein Programm oder ein Systemprozess nicht mehr Zugriffsberechtigungen gewährt werden, als für die Ausführung der Aufgabe erforderlich sind.^[146] Ein offensichtliches Beispiel für das Versäumnis, sich an das Prinzip der geringsten Privilegien zu halten, ist die Anmeldung in Windows als Benutzeradministrator, um E -Mails zu lesen und im Web zu surfen. Verstöße gegen dieses Prinzip können auch auftreten, wenn eine Person im Laufe der Zeit zusätzliche Zugangsberechtigte sammelt.^[147] Dies geschieht, wenn sich die Arbeitsaufgaben der Mitarbeiter ändern, Mitarbeiter in eine neue Position befördert oder Mitarbeiter in eine andere Abteilung übertragen werden.^[148] Die von ihren neuen Aufgaben erforderlichen Zugangsberechtigten werden häufig zu ihren bereits vorhandenen Zugriffsberechtigten hinzugefügt, was möglicherweise nicht mehr erforderlich oder angemessen ist.^[149]

Physisch

Physische Steuerelemente überwachen und kontrollieren die Umgebung des Arbeitsortes und der Computereinrichtungen.^[150] Sie überwachen und steuern auch den Zugang zu und aus solchen Einrichtungen und umfassen Türen, Schlösser, Heizung und Klimaanlage, Rauch- und Brandalarme, Brandunterdrückungssysteme, Kameras, Barrikaden, Zäune, Sicherheitskräfte, Kabelschlösser usw. Die Trennung des Netzwerks und des Arbeitsplatzes In funktionelle Bereiche befinden sich auch physikalische Kontrollen.^[151]

Eine wichtige physikalische Kontrolle, die häufig übersehen wird, ist die Trennung von Pflichten, die sicherstellt, dass eine Person eine kritische Aufgabe nicht selbst erledigen kann.^[152] Beispielsweise sollte ein Mitarbeiter, der eine Erstattungsanfrage einreicht, auch nicht in der Lage sein, die Zahlung zu genehmigen oder den Scheck auszudrucken.^[153] Ein Anwendungsprogrammierer sollte nicht auch der sein Serveradministrator oder der Datenbankadministrator; Diese Rollen und Verantwortlichkeiten müssen voneinander getrennt sein.^[154]

Verteidigung in der Tiefe

Das Zwiebelmodell der Tiefe der Verteidigung

Informationssicherheit muss Informationen während ihrer gesamten Lebensdauer von der ersten Erstellung der Informationen bis zur endgültigen Verfügung der Informationen schützen.^[155] Die Informationen müssen in Bewegung und in Ruhe geschützt werden. Während seiner Lebensdauer können Informationen viele verschiedene Informationsverarbeitungssysteme und viele verschiedene Teile von Informationsverarbeitungssystemen durchlaufen.^[156] Es gibt viele verschiedene Möglichkeiten, wie die Informations- und Informationssysteme bedroht werden können. Um die Informationen während ihrer gesamten Lebensdauer vollständig zu schützen, muss jeder Komponente des Informationsverarbeitungssystems eigene Schutzmechanismen haben.^[157] Das Aufbau, das Schichten und die Überlappung von Sicherheitsmaßnahmen wird als "Verteidigung eingehend" bezeichnet.^[158] Im Gegensatz zu einer Metallkette, die nur so stark ist wie das schwächste Glied, zielt die Verteidigung der Tiefenstrategie auf eine Struktur ab, in der eine Verteidigungsmaßnahme ausfällt, und andere Maßnahmen werden weiterhin Schutz bieten.^[159]

Erinnern Sie sich an die frühere Diskussion über administrative Kontrollen, logische Kontrollen und physische Kontrollen. Die drei Arten von Kontrollen können verwendet werden, um die Grundlage für die Aufstellung einer Verteidigung der Tiefenstrategie zu bilden.^[141] Mit diesem Ansatz kann die Verteidigung der Tiefe als drei unterschiedliche Schichten oder Flugzeuge konzipiert werden, die übereinander gelegt werden.^[160] Zusätzlicher Einblick in die Verteidigung in der Tiefe kann gewonnen werden, indem sie sich als die Bildung der Schichten einer Zwiebel, mit Daten im Kern der Zwiebel, den Menschen in der nächsten äußeren Außenschicht der Zwiebel und erwerben können Netzwerksicherheit, hostbasierte Sicherheit und Anwendungssicherheit die äußersten Schichten der Zwiebel bilden.^[161] Beide Perspektiven sind gleichermaßen gültig, und jeder bietet wertvolle Einblicke in die Umsetzung einer guten Verteidigung der Tiefenstrategie.^[162]

Einstufung

Ein wichtiger Aspekt der Informationssicherheit und des Risikomanagements ist es, den Wert von Informationen zu erkennen und geeignete Verfahren und Schutzanforderungen für die Informationen zu definieren.^[163] Nicht alle Informationen sind gleich, und daher erfordern nicht alle Informationen den gleichen Schutzgrad.^[164] Dies erfordert, dass Informationen zugewiesen werden a Sicherheitsklassifizierung.^[165] Der erste Schritt in der Informationsklassifizierung besteht darin, ein Mitglied der Geschäftsleitung als Eigentümer der jeweiligen Informationen zu identifizieren. Entwickeln Sie als nächstes eine Klassifizierungsrichtlinie.^[166] Die Richtlinie sollte die verschiedenen Klassifizierungsbezeichnungen beschreiben, die Kriterien für die Zuweisung eines bestimmten Etiketts definieren und die erforderlichen Auflistung auflisten Sicherheitskontrollen Für jede Klassifizierung.^[167]

Einige Faktoren, die die Klassifizierungsinformationen beeinflussen, sind zugewiesen, wie viel Wert diese Informationen an die Organisation haben, wie alt die Informationen sind und ob die Informationen veraltet sind oder nicht.^[168] Gesetze und andere behördliche Anforderungen sind ebenfalls wichtige Überlegungen bei der Klassifizierung von Informationen.^[169] Das Informationssystem Audit- und Steuerungsverband (Isaca) und seine Geschäftsmodell für Informationssicherheit Außerdem dient es als Instrument für Sicherheitsfachleute, um die Sicherheit aus systembedingter Sicht zu untersuchen und eine Umgebung zu schaffen, in der Sicherheit ganzheitlich verwaltet werden kann, sodass tatsächliche Risiken angegangen werden können.^[170]

Die Art der ausgewählten und verwendeten Klassifizierungsbezeichnungen zur Informationssicherheit hängt von der Art der Organisation ab, wobei Beispiele:^[167]

• Im Geschäftsbereich Bezeichnungen wie: öffentlich, sensibel, privat, vertraulich.
• Im staatlichen Sektor sind Bezeichnungen wie: nicht klassifiziert, inoffiziell, geschützt, vertraulich, geheim, heimliches Geheimnis und ihre nicht englischen Äquivalente.^[171]
• In Kreuzsektorformationen die Ampelprotokoll, was besteht aus: Weiß, Grün, Bernstein und Rot.

Alle Mitarbeiter in der Organisation sowie Geschäftspartner müssen im Klassifizierungsschema geschult werden und die erforderlichen Sicherheitskontrollen und -handhabungsverfahren für jede Klassifizierung verstehen.^[172] Die Klassifizierung eines bestimmten Informationsvermögens, der zugewiesen wurde, sollte regelmäßig überprüft werden, um sicherzustellen, dass die Klassifizierung weiterhin für die Informationen geeignet ist und sicherzustellen, dass die durch die Klassifizierung erforderlichen Sicherheitskontrollen vorhanden sind und in ihren rechten Verfahren eingehalten werden.^[173]

Zugangskontrolle

Der Zugriff auf geschützte Informationen muss auf Personen beschränkt sein, die befugt sind, auf die Informationen zuzugreifen.^[174] Die Computerprogramme und in vielen Fällen müssen auch die Computer, die die Informationen verarbeiten, genehmigt werden.^[175] Dies erfordert, dass Mechanismen vorhanden sind, um den Zugriff auf geschützte Informationen zu steuern.^[175] Die Raffinesse der Zugangskontrollmechanismen sollte mit dem Wert der geschützten Informationen in Parität sein. Je empfindlicher oder wertvoller die Informationen, desto stärker müssen die Kontrollmechanismen sein.^[176] Die Grundlage, auf der Zugangskontrollmechanismen aufgebaut sind, beginnen mit der Identifizierung und Authentifizierung.^[177]

Die Zugangskontrolle wird im Allgemeinen in drei Schritten berücksichtigt: Identifizierung, Authentifizierung, und Genehmigung.^[178][91]

Identifikation

Identifizierung ist eine Behauptung darüber, wer jemand ist oder was etwas ist. Wenn eine Person die Erklärung abgibt "Hallo, mein Name ist John Doe"Sie behaupten, wer sie sind.^[179] Ihre Behauptung kann jedoch wahr sein oder nicht. Bevor John Doe Zugang zu geschützten Informationen erhalten kann, muss die Person, die behauptet, John Doe zu sein, wirklich John Doe ist.^[180] Normalerweise erfolgt die Behauptung in Form eines Benutzernamens. Wenn Sie diesen Benutzernamen eingeben, behaupten Sie "Ich bin die Person, zu der der Benutzername gehört".^[181]

Authentifizierung

Die Authentifizierung ist der Akt der Überprüfung eines Identitätsanspruchs. Als John Doe in eine Bank geht, um einen Rückzug zu erzielen, erzählt er dem Bankangestellter Er ist John Doe, ein Anspruch auf Identität.^[182] Der Bank -Kassierer bittet um einen Foto -Ausweis, also gibt er dem Kassierer seine über Führerschein.^[183] Der Bankangestellte überprüft die Lizenz, um sicherzustellen, dass John Doe darauf gedruckt ist, und vergleicht das Foto auf der Lizenz mit der Person, die behauptet, John Doe zu sein.^[184] Wenn das Foto und der Name mit der Person übereinstimmen, hat der Kassierer authentifiziert, dass John Doe, der er behauptet hat, zu sein. In ähnlicher Weise liefert der Benutzer durch die Eingabe des richtigen Passworts Beweise dafür, dass er die Person ist, zu der der Benutzername gehört.^[185]

Es gibt drei verschiedene Arten von Informationen, die zur Authentifizierung verwendet werden können:^[186][187]

• Etwas, das Sie wissen: Dinge wie ein Pin, a Passwort, oder deine Mutter Mädchenname^[188][189]
• Etwas, das Sie haben: einen Führerschein oder ein Magnet Magnetstreifenkarte^[190][191]
• Etwas, das du bist: Biometrie, einschließlich Palmenabdrücke, Fingerabdrücke, Sprachdrucke, und Retina (Auge) Scans^[192]

Eine starke Authentifizierung erfordert die Bereitstellung von mehr als einer Art von Authentifizierungsinformationen (Zwei-Faktor-Authentifizierung).^[193] Das Nutzername ist heute die häufigste Form der Identifizierung auf Computersystemen und das Kennwort ist die häufigste Form der Authentifizierung.^[194] Benutzernamen und Passwörter haben ihren Zweck erfüllt, aber sie sind zunehmend unzureichend.^[195] Benutzernamen und Passwörter werden langsam ersetzt oder ergänzt durch ausgefeiltere Authentifizierungsmechanismen wie z. Zeitbasierte einmalige Passwortalgorithmen.^[196]

Genehmigung

Nachdem eine Person, ein Programm oder ein Computer erfolgreich identifiziert und authentifiziert wurden, muss festgelegt werden, auf welche Informationsressourcen sie zugreifen dürfen und auf welche Aktionen sie ausführen dürfen (ausführen, ausführen, erstellen, löschen oder ändern).^[197] Das nennt man Genehmigung. Die Genehmigung zum Zugriff auf Informationen und andere Computerdienste beginnt mit Verwaltungsrichtlinien und -verfahren.^[198] Die Richtlinien verschreiben vor, auf welche Informationen und Computerdienste zugreifen können, von wem und unter welchen Bedingungen. Die Zugangskontrollmechanismen werden dann konfiguriert, um diese Richtlinien durchzusetzen.^[199] Verschiedene Computersysteme sind mit verschiedenen Arten von Zugangskontrollmechanismen ausgestattet. Einige bieten möglicherweise sogar eine Auswahl verschiedener Zugangskontrollmechanismen.^[200] Der Zugangskontrollmechanismus, der ein System bietet, basiert auf einem von drei Ansätzen zur Zugangskontrolle oder kann aus einer Kombination der drei Ansätze abgeleitet werden.^[91]

Der nicht diskretionäre Ansatz konsolidiert alle Zugangskontrolle unter einer zentralisierten Verwaltung.^[201] Der Zugang zu Informationen und anderen Ressourcen basiert normalerweise auf der Einzelpersonenfunktion (Rolle) in der Organisation oder den Aufgaben, die der Einzelne ausführen muss.^[202][203] Der diskretionäre Ansatz gibt dem Schöpfer oder Eigentümer der Informationsressource die Möglichkeit, den Zugriff auf diese Ressourcen zu steuern.^[201] Im obligatorischen Zugangskontrollansatz wird der Zugriff gewährt oder verweigert das Basis der der Informationsressource zugewiesenen Sicherheitsklassifizierung.^[174]

Beispiele für gemeinsame Zugriffskontrollmechanismen, die heute verwendet werden Rollenbasierte Zugriffskontrolle, in vielen erweiterten Datenbankverwaltungssystemen verfügbar; einfach Dateiberechtigungen in den UNIX- und Windows -Betriebssystemen bereitgestellt;^[204] Gruppenrichtlinienobjekte in Windows Network Systems bereitgestellt; und Kerberos, RADIUS, Tacacsund die einfachen Zugriffslisten, die in vielen verwendet werden Firewalls und Router.^[205]

Um effektiv zu sein, müssen Richtlinien und andere Sicherheitskontrollen durchsetzbar und bestätigt sein. Effektive Richtlinien stellen sicher, dass Menschen für ihre Handlungen zur Rechenschaft gezogen werden.^[206] Das US-FinanzministeriumDie Richtlinien für die Systemverarbeitung sensibler oder proprietärer Informationen, z. B. gibt beispielsweise an, dass alle fehlgeschlagenen und erfolgreichen Authentifizierungs- und Zugriffsversuche protokolliert werden müssen, und alle Zugriff auf Informationen müssen irgendeine Art von Arten hinterlassen Buchungskontrolle.^[207]

Außerdem muss das Bedürfnis zu wissen, dass das Prinzip in Kraft sein muss, wenn Sie über die Zugriffskontrolle sprechen. Dieses Prinzip gibt Zugriffsrechten für eine Person, um ihre Jobfunktionen auszuführen.^[208] Dieses Prinzip wird in der Regierung im Umgang mit Differenzenträgern verwendet.^[209] Obwohl zwei Mitarbeiter in verschiedenen Abteilungen a haben TOPSCHREISUNGENSie müssen die Notwendigkeit haben, zu wissen, damit Informationen ausgetauscht werden können. Im Rahmen des Bedarfs-Wissens-Prinzips gewähren Netzwerkadministratoren dem Mitarbeiter den geringsten Privileg, um die Mitarbeiter daran zu hindern, mehr zugreifen, als sie sollen.^[210] Die Notwendigkeit, die Bedürfnisse zu kennen, hilft, die Vertraulichkeit und die Triade zur Verfügbarkeit zu durchsetzen. Die Notwendigkeit wirkt sich direkt auf den vertraulichen Bereich der Triade aus.^[211]

Kryptographie

Informationssicherheit Verwendungszwecke Kryptographie verwendbare Informationen in ein Formular umzuwandeln, das es von anderen als einem autorisierten Benutzer unbrauchbar macht; Dieser Prozess wird genannt Verschlüsselung.^[212] Informationen, die verschlüsselt (unbrauchbar gemacht) wurden, können von einem autorisierten Benutzer, der das besitzt kryptografischer Schlüsseldurch den Prozess der Entschlüsselung.^[213] Die Kryptographie wird in der Informationssicherheit verwendet, um Informationen vor nicht autorisierter oder zufälliger Offenlegung zu schützen, während die Information ist im Transport (entweder elektronisch oder physisch) und während Informationen im Speicher sind.^[91]

Die Kryptographie bietet Informationssicherheit auch andere nützliche Anwendungen, einschließlich verbesserter Authentifizierungsmethoden, Nachrichtenverdauungen, digitale Signaturen, Nicht-Repudiationund verschlüsselte Netzwerkkommunikation.^[214] Ältere, weniger sichere Anwendungen wie z. Telnet und Dateitransferprotokoll (FTP) werden langsam durch sicherere Anwendungen wie z. Sichere Schale (SSH), die verschlüsselte Netzwerkkommunikation verwenden.^[215] Die drahtlose Kommunikation kann mit Protokollen wie beispielsweise verschlüsselt werden WPA/WPA2 oder das älter (und weniger sicher) Wep. Kabelgebundene Kommunikation (wie z. Itu -t G.hn) werden mithilfe dessen gesichert AES für Verschlüsselung und X.1035 zur Authentifizierung und zum Schlüsselaustausch.^[216] Softwareanwendungen wie z. Gnupg oder PGP Kann verwendet werden, um Datendateien und E -Mails zu verschlüsseln.^[217]

Kryptographie kann Sicherheitsprobleme einführen, wenn sie nicht korrekt implementiert wird.^[218] Kryptografische Lösungen müssen mithilfe von Branchenkompetenzlösungen implementiert werden, die durch unabhängige Experten in Kryptographie strengen Peer-Reviews unterzogen wurden.^[219] Das Länge und Stärke des Verschlüsselungsschlüssels ist ebenfalls eine wichtige Überlegung.^[220] Ein Schlüssel, das ist schwach Oder zu kurz erzeugt eine schwache Verschlüsselung.^[220] Die für die Verschlüsselung und Entschlüsselung verwendeten Schlüssel müssen mit dem gleichen Grad an Strenge wie jeder anderen vertraulichen Informationen geschützt werden.^[221] Sie müssen vor nicht autorisierter Offenlegung und Zerstörung geschützt werden und müssen bei Bedarf verfügbar sein.^[222] Öffentliche Schlüsselinfrastruktur (PKI) -Lösungen behandeln viele der Probleme, die umgeben Schlüsselverwaltung.^[91]

Verfahren

Die Begriffe "angemessene und umsichtige Person", "Sorgfalt"und" Due Diligence "werden seit vielen Jahren in den Bereichen Finanzen, Wertpapiere und Recht verwendet. In den letzten Jahren haben diese Begriffe ihren Weg in die Bereiche von Computer- und Informationssicherheit gefunden.^[126] UNS. Bundesverurteilungsrichtlinien Ermöglichen Sie nun, Unternehmensbeauftragte für die Versäumnis, die Behandlung und Sorgfalt bei der Verwaltung ihrer Informationssysteme nicht auszuüben.^[223]

In der Geschäftswelt haben Aktionäre, Kunden, Geschäftspartner und Regierungen die Erwartung, dass Unternehmensbeauftragte das Geschäft gemäß den anerkannten Geschäftspraktiken sowie den Einhaltung von Gesetzen und anderen behördlichen Anforderungen führen werden. Dies wird oft als "vernünftige und umsichtige Person" -Regel beschrieben. Eine umsichtige Person sorgt dafür, dass alles notwendig ist, um das Geschäft durch fundierte Geschäftsprinzipien und rechtliche, ethische Weise zu betreiben. Eine umsichtige Person ist auch fleißig (achtsam, aufmerksam, anhaltend) in ihrer gebührenden Betreuung des Geschäfts.

Im Bereich der Informationssicherheit, Harris^[224] Bietet die folgenden Definitionen von gebührender Pflege und Due Diligence an:

"Genauige Sorgfalt sind Schritte, die zeigen, dass ein Unternehmen die Verantwortung für die Aktivitäten übernommen hat, die innerhalb des Unternehmens stattfinden, und die erforderlichen Schritte unternommen hat, um das Unternehmen, seine Ressourcen und die Mitarbeiter zu schützen^[225]. " Und [Due Diligence sind die] "kontinuierliche Aktivitäten, die sicherstellen, dass die Schutzmechanismen kontinuierlich gewartet und betriebsbereit sind."^[226]

Es sollte auf zwei wichtige Punkte in diesen Definitionen beachtet werden.^[227][228] Zunächst werden in gebührender Sorgfalt Schritte unternommen, um zu zeigen; Dies bedeutet, dass die Schritte verifiziert, gemessen oder sogar greifbare Artefakte erzeugen können.^[229][230] Zweitens gibt es in Due Diligence kontinuierliche Aktivitäten; Dies bedeutet, dass Menschen tatsächlich Dinge tun, um die Schutzmechanismen zu überwachen und aufrechtzuerhalten, und diese Aktivitäten sind noch nicht abgeschlossen.^[231]

Organisationen haben die Verantwortung für die praktizierende Sorgfaltspflicht bei der Anwendung der Informationssicherheit. Die Pflichtrisikoanalysestandard (DOCRA)^[232] Bietet Prinzipien und Praktiken zur Bewertung des Risikos.^[233] Es berücksichtigt alle Parteien, die von diesen Risiken betroffen sein könnten.^[234] DOCRA hilft bei der Bewertung von Schutzmaßnahmen, wenn sie andere vor Schaden schützen und gleichzeitig eine angemessene Belastung darstellen.^[235] Mit erhöhten Rechtsstreitigkeiten mit Datenverletzungen müssen Unternehmen Sicherheitskontrollen, Compliance und ihre Mission in Einklang bringen.^[236]

Sicherheit Governance

Das Software Engineering Institute bei Carnegie Mellon Universitätin einer Veröffentlichung mit dem Titel " GES -Implementierungshandbuch für Enterprise Security (GES)definiert Merkmale einer wirksamen Sicherheit Governance. Diese beinhalten:^[237]

• Ein unternehmungsweites Problem
• Führungskräfte sind rechenschaftspflichtig
• Als geschäftliche Anforderung angesehen
• Risikobasierte
• Rollen, Verantwortlichkeiten und Trennung von Pflichten definiert
• In Richtlinien angesprochen und durchgesetzt
• Angemessene Ressourcen begangen
• Mitarbeiter bewusst und geschult
• Eine Entwicklungslebenszyklusanforderung
• Geplant, verwaltet, messbar und gemessen
• Überprüft und geprüft

Vorfälle Antwortpläne

Ein Vorfallreaktionsplan (IRP) ist eine Gruppe von Richtlinien, die eine Organisationsreaktion auf einen Cyberangriff bestimmen. Sobald ein Sicherheitsverstoß ermittelt wurde, wurde der Plan eingeleitet.^[238] Es ist wichtig zu beachten, dass es rechtliche Auswirkungen auf eine Datenverletzung geben kann. Es ist entscheidend, lokale und föderale Gesetze zu kennen.^[239] Jeder Plan ist einzigartig für die Bedürfnisse der Organisation und kann Fähigkeiten einbeziehen, die nicht Teil eines IT -Teams sind.^[240] Beispielsweise kann ein Anwalt in den Antwortplan aufgenommen werden, um die rechtlichen Auswirkungen auf eine Datenverletzung zu steuern.^[241]

Wie oben erwähnt, ist jeder Plan einzigartig, aber die meisten Pläne werden Folgendes enthalten:^[242]

Vorbereitung

Eine gute Vorbereitung umfasst die Entwicklung eines Vorfall -Reaktionsteams (IRT).^[243] Die Fähigkeiten müssen von diesem Team verwendet werden, Penetrationstests, Computer -Forensik, Netzwerksicherheit usw.^[244] Dieses Team sollte auch die Trends im Auge behalten Internet-Sicherheit und moderne Angriffsstrategien.^[245] Ein Schulungsprogramm für Endbenutzer ist wichtig, und die meisten modernen Angriffsstrategien zielen auf Benutzer im Netzwerk ab.^[242]

Identifikation

Dieser Teil des Vorfalls -Antwortplans identifiziert, ob es ein Sicherheitsereignis gab.^[246] Wenn ein Endbenutzer Informationen oder ein Administrator unregelmäßig meldet, wird eine Untersuchung eingeleitet. Ein einfallendes Protokoll ist ein entscheidender Bestandteil dieses Schritts.^[247] Alle Mitglieder des Teams sollten dieses Protokoll aktualisieren, um sicherzustellen, dass die Informationen so schnell wie möglich fließen.^[248] Wenn festgestellt wurde, dass ein Sicherheitsverstoß aufgetreten ist, sollte der nächste Schritt aktiviert werden.^[249]

Eindämmung

In dieser Phase isoliert das IRT die Bereiche, die der Verstoß stattfand, um den Umfang des Sicherheitsereignisses zu begrenzen.^[250] In dieser Phase ist es wichtig, Informationen forensisch zu erhalten, damit sie später im Prozess analysiert werden kann.^[251] Die Eindämmung kann so einfach sein wie physikalisch einen Serverraum oder so komplex wie die Segmentierung eines Netzwerks, um die Ausbreitung eines Virus nicht zuzulassen.^[252]

Ausrottung

Hier wird die identifizierte Bedrohung aus den betroffenen Systemen entfernt.^[253] Dies könnte das Löschen böswilliger Dateien, das Beenden von kompromittierten Konten oder das Löschen anderer Komponenten umfassen.^[254][255] Einige Ereignisse erfordern diesen Schritt nicht. Es ist jedoch wichtig, das Ereignis vollständig zu verstehen, bevor sie zu diesem Schritt wechselt.^[256] Dies wird dazu beitragen, dass die Bedrohung vollständig entfernt wird.^[252]

Wiederherstellung

In dieser Phase werden die Systeme wieder in den ursprünglichen Betrieb wiederhergestellt.^[257] Diese Phase kann die Wiederherstellung von Daten, die Änderung von Benutzerzugriffsinformationen oder die Aktualisierung von Firewall -Regeln oder -Richtlinien umfassen, um in Zukunft einen Verstoß zu verhindern.^[258][259] Ohne diesen Schritt auszuführen, könnte das System immer noch anfällig für zukünftige Sicherheitsbedrohungen sein.^[252]

gewonnene Erkenntnisse

In diesem Schritt wird Informationen, die während dieses Prozesses gesammelt wurden, verwendet, um zukünftige Entscheidungen über die Sicherheit zu treffen.^[260] Dieser Schritt ist entscheidend dafür, dass zukünftige Ereignisse verhindert werden. Die Verwendung dieser Informationen zur weiteren Ausbildung von Administratoren ist entscheidend für den Prozess.^[261] Dieser Schritt kann auch verwendet werden, um Informationen zu verarbeiten, die von anderen Unternehmen verteilt sind, die ein Sicherheitsereignis erlebt haben.^[262]

Änderungsmanagement

Das Änderungsmanagement ist ein formeller Prozess, um Änderungen in die Informationsverarbeitungsumgebung zu lenken und zu kontrollieren.^[263][264] Dies umfasst Änderungen an Desktop -Computern, Netzwerk, Servern und Software.^[265] Ziel des Änderungsmanagements ist es, die Risiken zu verringern, die durch Änderungen in der Informationsverarbeitungsumgebung ausgestattet sind und die Stabilität und Zuverlässigkeit der Verarbeitungsumgebung nach vorgenommenen Änderungen verbessern.^[266] Es ist nicht das Ziel des Änderungsmanagements, die erforderlichen Änderungen zu verhindern oder zu behindern.^[267][268]

Jede Änderung der Informationsverarbeitungsumgebung führt zu einem Risikoelement.^[269] Auch anscheinend einfache Veränderungen können unerwartete Auswirkungen haben.^[270] Eine der vielen Aufgaben des Managements ist das Management des Risikos.^[271][272] Change Management ist ein Instrument zur Verwaltung der Risiken, die durch Änderungen in der Informationsverarbeitungsumgebung eingeführt werden.^[273] Ein Teil des Änderungsmanagementprozesses stellt sicher, dass Änderungen nicht zu unpassenden Zeiten implementiert werden, wenn sie kritische Geschäftsprozesse stören oder andere Änderungen beeinträchtigen.^[274]

Nicht jede Änderung muss verwaltet werden.^[275][276] Einige Arten von Änderungen sind Teil der alltäglichen Routine der Informationsverarbeitung und halten sich an ein vordefiniertes Verfahren ein, wodurch das Gesamtrisiko für die Verarbeitungsumgebung verringert wird.^[277] Erstellen eines neuen Benutzerkontos oder Bereitstellung eines neuen Desktop -Computers sind Beispiele für Änderungen, die im Allgemeinen keine Änderungsverwaltung erfordern.^[278] Die Verlagerung von Benutzerdateifreigaben oder das Upgrade des E -Mail -Servers stellt jedoch ein viel höheres Risiko für die Verarbeitungsumgebung dar und ist keine normale tägliche Aktivität.^[279] Die kritischen ersten Schritte im Änderungsmanagement sind (a) Veränderung (und kommunizieren diese Definition) und (b) den Umfang des Änderungssystems.^[280]

Das Änderungsmanagement wird in der Regel von einem Änderungsüberprüfungsausschuss überwacht, der aus Vertretern aus wichtigen Geschäftsbereichen besteht,^[281] Sicherheit, Netzwerk, Systemadministratoren, Datenbankverwaltung, Anwendungsentwickler, Desktop -Support und Helpdesk.^[282] Die Aufgaben des Änderungsüberprüfungsausschusses können durch die Verwendung der automatisierten Arbeitsflussanwendung erleichtert werden.^[283] Die Verantwortung des Änderungsüberprüfungsausschusses besteht darin, sicherzustellen, dass die dokumentierten Änderungsmanagementverfahren der Organisation befolgt werden.^[284] Der Änderungsmanagementprozess ist wie folgt^[285]

• Anfrage: Jeder kann eine Änderung anfordern.^[286][287] Die Person, die die Änderungsanforderung stellt, kann dieselbe Person sein oder nicht, die die Analyse durchführt oder die Änderung implementiert.^[288][289] Wenn ein Änderungsantrag empfangen wird, kann sie einer vorläufigen Überprüfung unterzogen werden, um festzustellen, ob die angeforderte Änderung mit den Organisationen kompatibel ist Geschäftsmodell und Praktiken und um die Anzahl der Ressourcen zu bestimmen, die zur Umsetzung der Änderung erforderlich sind.^[290]
• Genehmigen: Das Management führt das Geschäft aus und kontrolliert die Zuteilung von Ressourcen. Daher muss das Management Anforderungen an Änderungen genehmigen und für jede Änderung eine Priorität zuweisen.^[291] Das Management könnte sich dafür entscheiden, eine Änderungsanforderung abzulehnen, wenn die Änderung nicht mit dem Geschäftsmodell, den Branchenstandards oder den Best Practices kompatibel ist.^[292][293] Das Management kann sich auch dafür entscheiden, eine Änderungsanforderung abzulehnen, wenn die Änderung mehr Ressourcen erfordert, als für die Änderung zugewiesen werden kann.^[294]
• Planen: Die Planung einer Änderung beinhaltet die Entdeckung des Umfangs und der Auswirkungen der vorgeschlagenen Veränderung. Analyse der Komplexität der Veränderung; Zuteilung von Ressourcen und Entwicklung, Testen und Dokumentation sowohl der Implementierung als auch der Rückfahrpläne.^[295] Müssen die Kriterien definieren, über die eine Entscheidung getroffen werden soll.^[296]
• Prüfen: Jede Änderung muss in einer sicheren Testumgebung getestet werden, die die tatsächliche Produktionsumgebung genau widerspiegelt, bevor die Änderung auf die Produktionsumgebung angewendet wird.^[297] Der Backout -Plan muss ebenfalls getestet werden.^[298]
• Zeitlicher Ablauf: Ein Teil der Verantwortung des Änderungsüberprüfungsausschusses besteht darin, die Planung von Änderungen durch Überprüfung des vorgeschlagenen Umsetzungsdatums für potenzielle Konflikte mit anderen geplanten Änderungen oder kritischen Geschäftsaktivitäten zu unterstützen.^[299]
• Kommunizieren: Sobald eine Änderung geplant ist, muss sie kommuniziert werden.^[300] Die Kommunikation soll anderen die Möglichkeit geben, das Änderungsüberprüfungsausschuss an andere Änderungen oder kritische Geschäftsaktivitäten zu erinnern, die bei der Planung der Änderung möglicherweise übersehen wurden.^[301] Die Kommunikation dient auch dazu, den Helpdesk zu machen, und die Benutzer werden sich bewusst, dass eine Änderung vorhanden ist.^[302] Eine weitere Verantwortung des Änderungsüberprüfungsausschusses besteht darin, sicherzustellen, dass geplante Änderungen denjenigen, die von der Änderung betroffen sind oder auf andere Weise ein Interesse an der Änderung haben, ordnungsgemäß mitgeteilt wurden.^[303][304]
• Implementieren: Zum festgelegten Datum und Uhrzeit müssen die Änderungen umgesetzt werden.^[305][306] Ein Teil des Planungsprozesses bestand darin, einen Implementierungsplan, einen Testplan und einen Rückplan zu entwickeln.^[307][308] Wenn die Implementierung der Änderung fehlschlagen sollte oder die Post -Implementierungstests fehlschlagen oder andere "Drop Dead" -Kriterien erfüllt wurden, sollte der Rückplan implementiert werden.^[309]
• Dokumentieren: Alle Änderungen müssen dokumentiert werden.^[310][311] Die Dokumentation enthält die erste Änderungsanforderung, die Genehmigung, die ihm zugewiesene Priorität, die Implementierung,^[312] Testen und Rückschläge, die Ergebnisse der Änderungsüberprüfungs -Kritik, das Datum/die Uhrzeit, die die Änderung implementiert wurde.^[313] Wer es implementiert hat und ob die Änderung erfolgreich umgesetzt, gescheitert oder verschoben wurde.^[314][315]
• Post-Change-Bewertung: Das Änderungsüberprüfungsausschuss sollte eine Überprüfung der Änderungen nach der Implementierung durchführen.^[316] Es ist besonders wichtig, fehlgeschlagen zu überprüfen und Änderungen auszuziehen. Das Überprüfungsausschuss sollte versuchen, die Probleme zu verstehen, die auftreten, und nach Verbesserungsbereichen zu suchen.^[316]

Änderungsmanagementverfahren, die einfach zu befolgen sind und einfach zu bedienen sind, können die insgesamt erzeugten Gesamtrisiken erheblich verringern, wenn Änderungen an der Informationsverarbeitungsumgebung vorgenommen werden.^[317] Gute Verfahren zur Veränderung des Wandels verbessern die Gesamtqualität und den Erfolg von Änderungen, die implementiert sind.^[318] Dies wird durch Planung, Peer -Review, Dokumentation und Kommunikation erreicht.^[319]

ISO/IEC 20000, Das sichtbare Ops -Handbuch: Implementierung von ITIL in 4 praktischen und praktischen Schritten^[320] (Vollständige Buchzusammenfassung),^[321] und Itil Alle bieten wertvolle Anleitungen zur Implementierung einer effizienten und effektiven Sicherheit des Änderungsmanagementprogramms.^[322]

Geschäftskontinuität

Wirtschaftskontinuitätsmanagement (BCM) Bedenken Vereinbarungen, die darauf abzielen, die kritischen Geschäftsfunktionen eines Unternehmens vor Unterbrechungen aufgrund von Vorfällen zu schützen oder zumindest die Auswirkungen zu minimieren.^[323][324] BCM ist für jede Organisation von wesentlicher Bedeutung, um Technologie und Geschäft mit den aktuellen Bedrohungen für die Fortsetzung des Geschäfts wie gewohnt zu halten.^[325] Das BCM sollte in eine Organisation aufgenommen werden Risikoanalyse Planen Sie sicherzustellen, dass alle erforderlichen Geschäftsfunktionen das, was sie benötigen, um im Falle einer Bedrohung für jede Geschäftsfunktion weiterzumachen.^[326]

Es umfasst:

• Analyse der Anforderungen, z. B. Identifizierung kritischer Geschäftsfunktionen, Abhängigkeiten und potenziellen Misserfolgspunkte, potenziellen Bedrohungen und damit Vorfällen oder Besorgnisrisiken für die Organisation;^[327][328]
• Spezifikation, z. B. maximale tolerierbare Ausfallperioden; Erholungspunktziele (maximal akzeptable Zeiträume des Datenverlusts);^[329]
• Architektur und Design, z. B. eine geeignete Kombination von Ansätzen, einschließlich Belastbarkeit (z. B. technische IT -Systeme und -prozesse für die hohe Verfügbarkeit,^[330] Vermeidung oder Verhinderung von Situationen, die das Geschäft unterbrechen können), Vorfälle und Notfallmanagement (z. B. Evakuierung von Räumlichkeiten, Rufen der Notdienste, Triage/Situation^[331] Bewertung und Aufrufen von Wiederherstellungsplänen), Wiederherstellung (z. B. Wiederaufbau) und Notfallmanagement (generische Fähigkeiten, um sich positiv mit dem zu tun, was mit den verfügbaren Ressourcen auftritt);^[332]
• Implementierung, z. B. Konfigurieren und Planung von Backups, Datenübertragungen usw., kritische Elemente duplizieren und stärken; Vertrag mit Service- und Ausrüstungslieferanten;
• Testen, z. B. Geschäftskontinuitätsübungen verschiedener Arten, Kosten und Sicherheit;^[333]
• Management, z. B. Strategien definieren, Ziele und Ziele festlegen; Planung und Regie der Arbeit; Zuweisung von Mitteln, Menschen und anderen Ressourcen; Priorisierung im Vergleich zu anderen Aktivitäten; Teambildung, Führung, Kontrolle, Motivation und Koordination mit anderen Geschäftsfunktionen und Aktivitäten^[334] (z. B. IT, Einrichtungen, Humanressourcen, Risikomanagement, Informationsrisiko und Sicherheit, Operationen); Überwachung der Situation, Überprüfung und Aktualisierung der Arrangements, wenn sich die Dinge ändern; Auszug des Ansatzes durch kontinuierliche Verbesserung, Lernen und angemessene Investitionen;
• Zuverlässigkeit, z. B. Tests gegen bestimmte Anforderungen; Messung, Analyse und Berichterstattung wichtige Parameter; Durchführung zusätzlicher Tests, Bewertungen und Audits, um mehr Vertrauen zu erhalten, dass die Vereinbarungen für den Plan erfolgen, wenn er aufgerufen wird.^[335]

Während BCM einen umfassenden Ansatz zur Minimierung von katastrophenbedingten Risiken verfolgt, indem sowohl die Wahrscheinlichkeit als auch die Schwere der Vorfälle reduziert werden, a Katastrophenerholungsplan (DRP) konzentriert sich speziell auf die Wiederaufnahme der Geschäftsabläufe nach einer Katastrophe.^[336] Ein Katastrophenwiederherstellungsplan, der kurz nach einer Katastrophe aufgerufen wird Informations-und Kommunikationstechnologie (IKT) Infrastruktur.^[337] Die Planung der Disaster Recovery umfasst die Einrichtung einer Planungsgruppe, die Durchführung der Risikobewertung, die Festlegung von Prioritäten, die Entwicklung von Wiederherstellungsstrategien, die Vorbereitung von Beständen und die Dokumentation des Plans, die Entwicklung von Überprüfungskriterien und -verfahren und letztendlich die Umsetzung des Plans.^[338]

Gesetze und Richtlinien

Privacy International 2007 Datenschutzranking
Grün: Schutz und Schutzmaßnahmen
Rot: Endemische Überwachungsgesellschaften

Im Folgenden finden Sie eine teilweise Auflistung der staatlichen Gesetze und Vorschriften in verschiedenen Teilen der Welt, die einen erheblichen Effekt auf die Datenverarbeitung und Informationssicherheit hatten oder haben.^[339][340] Es wurden auch wichtige Vorschriften des Branchensektors aufgenommen, wenn sie erhebliche Auswirkungen auf die Informationssicherheit haben.^[339]

• Das Vereinigte Königreich Datenschutzgesetz 1998 Erstellt neue Bestimmungen für die Regulierung der Verarbeitung von Informationen in Bezug auf Einzelpersonen, einschließlich der Erlangung, Haltung, Verwendung oder Offenlegung solcher Informationen.^[341][342] Die Datenschutzrichtlinie der Europäischen Union (EUDPD) verlangt, dass alle E.U. Mitglieder nehmen nationale Vorschriften an, um den Schutz von zu standardisieren Datenprivatsphäre Für Bürger in der gesamten E.U.^[343][344]
• Das Computermissbrauchsgesetz 1990 ist ein Akt der UK Parlament Computerkriminalität (z. B. Hacking) zu einer Straftat machen.^[345] Das Gesetz ist zu einem Modell geworden, auf dem mehrere andere Länder,^[346] einschließlich Kanada und die Irische Republik, haben inspiriert, wenn sie anschließend ihre eigenen Gesetze zur Informationssicherheit entwerfen.^[347][348]
• Die E.U.'s Datenbindungsrichtlinie (Annulled) Erforderte Internetdienstanbieter und Telefonunternehmen, Daten zu jeder gesendeten elektronischen Nachricht und Telefonanruf für sechs Monate und zwei Jahre zu führen.^[349]
• Das Familienbildungsrechte und Datenschutzgesetze (Ferpa) (20 U.S.C. § 1232 g; 34 CFR Teil 99) ist ein US -Bundesgesetz, das die Privatsphäre der Aufzeichnungen über die Bildung von Studenten schützt.^[350] Das Gesetz gilt für alle Schulen, die Mittel im Rahmen eines anwendbaren Programms der erhalten US -Bildungsministerium.^[351] Im Allgemeinen müssen die Schulen die Erlaubnis des Elternteils oder der berechtigten Schüler schriftlich haben^[351][352] Um Informationen aus dem Bildungsaufzeichnung eines Schülers zu veröffentlichen.^[353]
• Das Federal Financial Institutions PrüfungsratDie Sicherheitsrichtlinien für Wirtschaftsprüfer (FFIEC) sind Anforderungen für das Online -Banking -Sicherheit an.^[354]
• Das Gesundheitsversicherung und Rechenschaftspflichtgesetz (HIPAA) von 1996 erfordert die Einführung nationaler Standards für elektronische Gesundheitstransaktionen und nationale Identifikatoren für Anbieter, Krankenversicherungspläne und Arbeitgeber.^[355] Darüber hinaus müssen Gesundheitsdienstleister, Versicherer und Arbeitgeber die Sicherheit und Privatsphäre von Gesundheitsdaten schützen.^[356]
• Das Gramm -Leach -Bliley -Akt von 1999 (GLBA), auch als Financial Services Modernization Act von 1999 bekannt, schützt die Privatsphäre und Sicherheit privater Finanzinformationen, die Finanzinstitute sammeln, halten und verarbeiten.^[357]
• Abschnitt 404 der Sarbanes -Oxley Act von 2002 (SOX) Fordert börsennotierte Unternehmen die Effektivität ihrer internen Kontrollen für die Finanzberichterstattung in Jahresberichten, die sie zum Ende jedes Geschäftsjahres einreichen.^[358] Chief Information Officers sind für die Sicherheit, Genauigkeit und die Zuverlässigkeit der Systeme verantwortlich, die die Finanzdaten verwalten und melden.^[359] Das Gesetz verpflichtet auch börsennotierte Unternehmen, sich mit unabhängigen Wirtschaftsprüfern zu beschäftigen, die die Gültigkeit ihrer Bewertungen bestätigen und darüber berichten müssen.^[360]
• Das Zahlungskartenindustrie Datensicherheitsstandard (PCI DSS) Erstellt umfassende Anforderungen für die Verbesserung der Sicherheit des Zahlungskontos.^[361] Es wurde von den Gründungszahlungsmarken des PCI Security Standards Council entwickelt - einschließlich American Express, Finanzdienstleistungen entdecken, JCB, MasterCard weltweit,^[362] und Visa International - Erleichterung der umfassenden Einführung konsistenter Datensicherheit misstrauen auf globaler Basis.^[363] Das PCI DSS ist ein vielfältiger Sicherheitsstandard, der Anforderungen für Sicherheitsmanagement, Richtlinien, Verfahren und umfasst Netzwerkarchitektur, Softwaredesign und andere kritische Schutzmaßnahmen.^[364]
• Bundesland Benachrichtigungsgesetze für Sicherheitsverletzungen (Kalifornien und viele andere) verlangen Unternehmen, gemeinnützige Organisationen und staatliche Institutionen, Verbraucher zu benachrichtigen, wenn unverschlüsselte "persönliche Daten" möglicherweise beeinträchtigt, verloren oder gestohlen wurden.^[365]
• Das Gesetz über persönliche Informationen und Elektronik -Dokumenten (Dokument (ElektronikPIPEDA) von Kanada unterstützt und fördert den elektronischen Handel, indem personenbezogene Daten geschützt, die unter bestimmten Umständen gesammelt, verwendet oder offengelegt werden.^[366][367] Durch Bereitstellung der Verwendung elektronischer Mittel zur Kommunikation oder Aufzeichnung von Informationen oder Transaktionen und durch Änderung des Canada Evidence Act, das Gesetz über gesetzliche Instrumente und das Gesetz über die Gesetz über Revision.^{[368][369][370]}
• Griechenlands hellenische Behörde für Kommunikationssicherheit und Privatsphäre (ADAE) (Gesetz 165/2011) legt die Mindestkontrollen für Informationssicherheit fest, die von jedem Unternehmen eingesetzt werden sollten, das elektronische Kommunikationsnetzwerke und/oder Dienstleistungen in Griechenland anbietet, um die Vertraulichkeit der Kunden zu schützen .^[371] Dazu gehören sowohl Management- als auch technische Kontrollen (z. B. sollten Protokolldatensätze für zwei Jahre gespeichert werden).^[372]
• Griechenlands hellenische Behörde für Kommunikationssicherheit und Datenschutz (ADAE) (Gesetz 205/2013) konzentriert sich auf den Schutz der Integrität und Verfügbarkeit der von griechischen Telekommunikationsunternehmen angebotenen Dienste und Daten.^[373] Das Gesetz zwingt diese und andere verwandte Unternehmen, geeignete Geschäftskontinuitätspläne und redundante Infrastrukturen aufzubauen, einzusetzen und zu testen.^[374]

Kultur

Die Informationssicherheitskultur ist die Ideen, Bräuche und soziale Verhaltensweisen einer Organisation, die die Informationssicherheit auf positive und negative Weise beeinflusst, mehr als nur, wie sich die Kultur der Informationssicherheit bewusst ist.^[375] Kulturelle Konzepte können unterschiedlichen Segmenten der Organisation effektiv arbeiten oder gegen die Wirksamkeit der Informationssicherheit innerhalb einer Organisation arbeiten. Die Art und Weise, wie Mitarbeiter über Sicherheit und die von ihnen ergriffenen Maßnahmen denken und fühlen können einen großen Einfluss auf die Informationssicherheit in Organisationen haben. Roer & Petric (2017) identifizieren sieben Kerndimensionen der Informationssicherheitskultur in Organisationen:^[376]

• Einstellungen: Gefühle und Emotionen der Mitarbeiter zu den verschiedenen Aktivitäten, die sich auf die organisatorische Informationssicherheit beziehen.^[377]
• Verhaltensweisen: Tatsächliche oder beabsichtigte Aktivitäten und Risikobereitungen von Mitarbeitern, die direkte oder indirekte Auswirkungen auf die Informationssicherheit haben.
• Wahrnehmung: Bewusstsein der Mitarbeiter, überprüfbares Wissen und Überzeugungen in Bezug auf Praktiken, Aktivitäten und Selbstwirksamkeit Beziehung, die sich auf die Informationssicherheit beziehen.
• Kommunikation: Wie Mitarbeiter miteinander kommunizieren, Zugehörigkeitsgefühl, Unterstützung für Sicherheitsprobleme und Vorfälle berichten.
• Compliance: Einhaltung der organisatorischen Sicherheitspolitik, Bewusstsein für die Existenz solcher Richtlinien und die Fähigkeit, die Substanz solcher Richtlinien zu erinnern.
• Normen: Wahrnehmung von Sicherheitsbezogener organisatorisches Verhalten und Praktiken, die von Mitarbeitern und ihren Kollegen, z. Versteckte Erwartungen in Bezug auf Sicherheitsverhalten und ungeschriebene Regeln zur Verwendung von Informationskommunikationstechnologien.
• Verantwortlichkeiten: Verständnis der Mitarbeiter für die Rollen und Verantwortlichkeiten, die sie als entscheidender Faktor für die Aufrechterhaltung oder gefährdeter Informationssicherheit und damit die Organisation haben.

Andersson und Reimers (2014) stellten fest, dass Mitarbeiter sich oft nicht als Teil der "Aufwand" der Organisation Information Security "sehen und häufig Maßnahmen ergreifen, die die Interessen der Organisationsinformationen ignorieren.^[378] Die Forschung zeigt, dass die Kultur der Informationssicherheit kontinuierlich verbessert werden muss. Im Informationssicherheitskultur von der Analyse zu VeränderungenDie Autoren kommentierten: "Es handelt sich um einen nie Endprozess, ein Zyklus der Bewertung und Änderung oder Wartung." Um die Informationssicherheitskultur zu verwalten, sollten fünf Schritte unternommen werden: Vorbewertung, strategische Planung, Operationsplanung, Implementierung und Nachbewertung.^[379]

• Vorbewertung: Ermittlung des Bewusstseins für die Informationssicherheit innerhalb der Mitarbeiter und die Analyse der aktuellen Sicherheitsrichtlinien
• Strategische Planung: Um ein besseres Bewusstseinsprogramm zu erreichen, müssen wir klare Ziele festlegen. Menschen zu gruppieren ist hilfreich, um es zu erreichen
• Operative Planung: Erstellen Sie eine gute Sicherheitskultur, die auf interner Kommunikation, Management-Buy-In, Sicherheitsbewusstsein und Schulungsprogrammen basiert
• Implementierung: Sollte das Engagement des Managements, die Kommunikation mit Organisationsmitgliedern, Kurse für alle Organisationsmitglieder und das Engagement der Mitarbeiter vorliegen^[379]
• Nachbewertung: Um die Wirksamkeit der früheren Schritte besser einzuschätzen und auf kontinuierlicher Verbesserung aufzubauen

Standards für Standards

Das Internationale Standardisierungsorganisation (ISO) ist eine internationale Standardorganisation, die als Konsortium der nationalen Standardinstitutionen aus 167 Ländern organisiert ist und durch ein Sekretariat in Genf, Schweiz, koordiniert wird. ISO ist der weltweit größte Entwickler internationaler Standards. Das Internationale Elektrotechnische Kommission (IEC) ist eine internationale Standardorganisation, die sich mit Electrotechnologie befasst und eng mit ISO zusammenarbeitet. ISO/IEC 15443: "Informationstechnologie - Sicherheitstechniken - Ein Rahmen für die IT -Sicherheitssicherung", ISO/IEC 27002: "Informationstechnologie - Sicherheitstechniken - Praxiskodex für Informationssicherheitsmanagement", ISO/IEC 20000: "Informationstechnologie - Service Management" und ISO/IEC 27001: "Informationstechnologie - Sicherheitstechniken - Informationssicherheitsmanagementsysteme - Anforderungen" sind für Informationssicherheitsfachleute von besonderem Interesse.

Die USA Nationales Institut für Standards und Technologie (NIST) ist eine nicht regulatorische Bundesbehörde innerhalb der US -Handelsministerium. Die NIST Computer Security Division entwickelt Standards, Metriken, Tests und Validierungsprogramme sowie Standards und Richtlinien zur Erhöhung der sicheren IT -Planung, -verwaltung, -verwaltung und -betrieb. NIST ist auch der Verwalter der USA Bundesverarbeitungsstandard für Informationsverarbeitung Veröffentlichungen (FIPS).

Die Internet Society ist eine professionelle Mitgliedergesellschaft mit mehr als 100 Organisationen und über 20.000 Einzelmitgliedern in über 180 Ländern. Es bietet Führungsqualitäten bei der Beantwortung von Fragen, die sich der Zukunft des Internets konfrontieren, und es ist das Organisationshaus für die Gruppen, die für Internet -Infrastrukturstandards verantwortlich sind, einschließlich der Internettechnik-Arbeitsgruppe (Ietf) und die Internet Architecture Board (IAB). Die ISOC hostet die Anfragen nach Kommentaren (RFCs), die die offiziellen Internet-Protokollstandards und die RFC-2196 enthalten Website -Sicherheitshandbuch.

Das Informationssicherheitsforum (ISF) ist eine globale gemeinnützige Organisation von mehreren hundert führenden Organisationen in Finanzdienstleistungen, Fertigung, Telekommunikation, Konsumgütern, Regierung und anderen Bereichen. Es führt Forschungen zu Informationssicherheitspraktiken durch und bietet Beratung in seinem halbjährlichen Standard der guten Praxis und detailliertere Ratschläge für Mitglieder.

Das Fachleute des Instituts für Informationssicherheit (IISP) ist eine unabhängige, gemeinnützige Organisation, die seinen Mitgliedern regiert, mit dem Hauptziel, die Professionalität der Informationssicherheitspraktiker und damit die Professionalität der gesamten Branche voranzutreiben. Das Institut entwickelte den IISP -Skills -Framework. Dieser Rahmen beschreibt das Angebot der Kompetenzen, die von Informationssicherheit und Fachleuten für Informationssicherheit bei der effektiven Leistung ihrer Rollen erwartet werden. Es wurde durch Zusammenarbeit zwischen Organisationen des privaten und öffentlichen Sektors, weltbekannten Akademikern und Sicherheitsleitern entwickelt.^[380]

Das Deutsch Bundesamt zur Informationssicherheit (auf Deutsch Bundesamt für Sicherheit in der InformationStechnik (BSI)) BSI-Standards 100–1 bis 100-4 sind eine Reihe von Empfehlungen, darunter "Methoden, Prozesse, Verfahren, Ansätze und Maßnahmen zur Informationssicherheit".^[381] Der BSI-Standard 100-2 IT-Grundschutz-Methodik Beschreibt, wie Informationssicherheitsmanagement implementiert und betrieben werden kann. Der Standard umfasst eine sehr spezifische Anleitung, die IT-Basisschutzkataloge (auch als IT-Grundschutz-Kataloge bezeichnet). Vor 2005 waren die Kataloge früher als "bekannt"Es Basisschutz Handbuch ". Die Kataloge sind eine Sammlung von Dokumenten, die zur Erkennung und Bekämpfung von Sicherheitsrelevanten in der IT-Umgebung (IT-Cluster) nützlich sind. Die Sammlung umfasst ab September 2013 über 4.400 Seiten mit Einführung und Katalogen. ist mit der ISO/IEC 2700X -Familie ausgerichtet.

Das Europäische Telekommunikationsstandards Institut standardisiert einen Katalog von Informationssicherheitsindikatoren, geleitet von der Industrial Specification Group (ISG) ISI.

Siehe auch

Verweise

Weitere Lektüre

Externe Links

• DOD IA -Richtlinienkarte Archiviert 2011-09-06 bei der Wayback -Maschine Auf der Website des DOD Information Assurance Technology Analysis Center.
• Muster & Practices Security Engineering erläutert
• Öffnen Sie die Sicherheitsarchitektur- Steuerelemente und Muster zur Sicherung von IT-Systemen
• IWS - Informationssicherheit Kapitel Archiviert 2019-11-08 bei der Wayback -Maschine
• Ross Andersons Buch "Security Engineering"