Vertraulichkeit, Integrität und Verfügbarkeit: von IT Schutzzielen zu konkreten Maßnahmen

BSI Grundschutz Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab?Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab?

Was bedeuten die Schutzziele der Informationssicherheit und welche IT-Security Maßnahmen leiten sich daraus ab? Ob Unternehmens-, Personen- oder andere sensible Daten: Sie alle sind wichtige Güter von Unternehmen und müssen vor Verlust, unberechtigtem Zugriff oder Manipulation geschützt werden.

A. 3 Schutzziele der Informationssicherheit[1]

Die Aufgabe der Informationssicherheit ist der angemessene Schutz der Grundwerte

• Vertraulichkeit
• Integrität (Unverfälschtheit) und
• Verfügbarkeit[2].

Diese Schutzziele gelten für Daten und Systeme.

Gefährdungen benennen den Grund bzw. die Bedrohungen, warum Daten geschützt werden müssen.

B. IT-Grundschutz: Welche Gefährdungen gibt es?

Das BSI hat eine Liste aller elementaren Gefährdungen, welche die Schutzziele von Unternehmensdaten bedrohen, im IT Grundschutz-Kompendium veröffentlicht. Von diesen 47 Gefährdungen konzentrieren wir uns nun auf eine Auswahl [3]:

• Datenverlust (G 0.45)
• Missbrauch von Berechtigungen (G 0.32)
• Diebstahl von Geräten und Datenträgern (G 0.16)
• Verlust von Geräten und Datenträgern (G 0.17)
• Offenlegung schützenswerter Informationen (G 0.19)
• Verstoß gegen Gesetze oder Regelungen (G 0.29)
• Manipulation von Informationen (G 0.22)

Gehen wir nun in die konkrete Praxis: Im ersten Schritt ordnen wir Schutzzielen den Schutzbedarf zu. Diesen gilt es im nächsten Schritt mit Maßnahmen zu befriedigen.

C. Schritt 1: Feststellung der Schutzbedarfe

 
„Ziel der Schutzbedarfsfeststellung ist es, für die zu behandelnden Daten zu entscheiden, welcher Grad an Schutz sie bezüglich der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit benötigen.“

Dieser Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen Anwendungen und damit der jeweiligen Geschäftsprozesse verbunden sind. [4] In unserem Fall erfolgt diese Feststellung speziell für IT-Systeme. Den zu schützenden Daten müssen Schutzbedarfe zugeordnet werden.

Da der Schutzbedarf meist nicht quantifizierbar ist, beschränkt sich der BSI IT-Grundschutz somit auf eine qualitative Aussage, indem er Schutzbedarf in drei Kategorien unterteilt.

• • normal | Die Schadensauswirkungen sind begrenzt und überschaubar.
  • hoch | Die Schadensauswirkungen können beträchtlich sein.
  • sehr hoch | Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.

Um die Schutzbedarfskategorien normal, hoch und sehr hoch voneinander abgrenzen zu können, bietet es sich an, die Grenzen für die einzelnen Schadensszenarien zu bestimmen. Es kann auch sinnvoll sein, feinere Kategorien zu wählen, wenn die o.g. drei Kategorien nicht granular genug sind.

Sie möchten es sich besser vorstellen? Hier zwei Beispiele:

Telefonnummern im Telefonbuch:

• Vertraulichkeit: normaler Schutzbedarf. Daten stehen im Telefonbuch öffentlich zur Verfügung
• Integrität: Hoher Schutzbedarf. Nummern dürfen nicht verändert werden
• Verfügbarkeit: Normal. Auch ohne Telefonbuch ist es möglich, eine Nummer herauszufinden (Auskunft, Internet)

Kreditkartendaten in einem eCommerce-Portal:

• Vertraulichkeit: hoher bis sehr hoher Schutzbedarf
• Integrität: sehr hoher Schutzbedarf. Nummern dürfen nicht verändert werden. Schäden können bei missbräuchlicher Verwendung sehr hoch werden, je nach Limit der Karte.
  

D. Schritt 2: BSI Grundschutz-Anforderungen

Nun werden den Schutzzielen mit deren spezifischem Grad (Schutzbedarf) die Anforderungen zugeordnet. Im BSI-Grundschutz-Baustein SYS werden die Anforderungen für IT-Systeme behandelt. Unter dem Gesichtspunkt der Endpoint Protection sind dies vor allem die Folgenden [5] :

• SYS.2.1 Allgemeiner Client
• SYS.2.2.3 Clients unter Windows 10
• SYS.3.1 Laptops
• SYS.4.5 Wechseldatenträger

Anhand von Kreuzreferenztabellen lässt sich ermitteln, welche Anforderungen dazu geeignet sind, die genannten elementaren Gefährdungen abzudecken. Dabei wird auch angezeigt, welches Schutzziel (C = Vertraulichkeit, I = Integrität, A - Verfügbarkeit) durch die Anforderung vorrangig erfüllt wird.

Ein Beispiel aus den Anforderungen für allgemeine Clients:

• Anforderung:
  Verschlüsselung der Clients (SYS.2.1.A28)
• Elementare Gefährdung, die abgedeckt wird:
  u.a. Offenlegung schützenswerter Informationen (G 0.19)
• vorangig erfülltes Schutzziel
  Vertraulichkeit (C)
• Schutzbedarf
  hoch

Konkrete Sicherheitsmaßnahmen, die sich aus der Anforderung ableiten, wirken der genannten elementaren Gefährdung entgegen. Für das gerade genannte Beispiel ergibt sich daraus:

• Maßnahme:
  Festplattenverschlüsselung.

Betrachten wir nun einige Anforderungen an Clients, Laptops und Wechseldatenträger wie USB, die aus Sicht der Cybersicherheit durch geeignete Software mit der Möglichkeit der Einführung zentraler Sicherheitsrichtlinien umgesetzt werden können..

Der IT-Grundschutz unterscheidet dabei zwischen Basis-Anforderungen (B), Standard-Anforderungen (S) und Anforderungen bei erhöhtem Schutzbedarf (H).

1. Anforderungen für allg. Clients (SYS 2.1 Allg. Client [6])

Für Clients im Allgemeinen, also Endgeräte wie PCs, gibt es folgende Standard-Anforderungen, die als SOLL-Vorgaben zu interpretieren sind.

SYS.2.1.A9 Festlegung einer Sicherheitsrichtlinie für Clients

Von der allgemeinen Sicherheitsrichtlinie ausgehend werden Unternehmen aufgefordert, die Anforderungen an allgemeine Clients zu konkretisieren. Die Umsetzung der in der Richtlinie geforderten Inhalte soll regelmäßig überprüft und die Ergebnisse sinnvoll dokumentiert werden.

SYS.2.1.A24 Umgang mit externen Medien und Wechseldatenträgern

Sinngemäß fordert das BSI Maßnahmen zu ergreifen, damit nicht unkontrolliert Software auf den Clients über Wechsellaufwerke oder externe Schnittstellen installiert werden kann oder unberechtigt Daten von den Clients kopiert werden können. Auf externe Schnittstellen sollte nur restriktiv zugegriffen werden können. Generell sollte verhindert werden, dass von den Clients auf Daten oder Wechseldatenträger aus nicht vertrauenswürdigen Quellen zugegriffen wird.

Anforderungen bei erhöhtem Schutzbedarf sind beispielweise:

SYS.2.1.A28 Verschlüsselung der Clients

Das BSI empfiehlt als SOLL-Vorgabe, im Falle von vertraulichen Informationen auf den Clients mindestens die schutzbedürftigen Dateien und ausgewählte Dateisystembereiche, im Idealfall die gesamte Festplatte zu verschlüsseln.

SYS.2.1.A33 Application Whitelisting

Es wird der Einsatz von Application Whitelisting empfohlen, um sicherzustellen, dass nur erlaubte Programme und Skripte ausgeführt werden können. Die Regeln sollten so eng wie möglich gefasst werden. Falls Pfade und Hashes nicht explizit angegeben werden können, sollten alternativ auch zertifikatsbasierte oder Pfad-Regeln genutzt werden.

2. Anforderungen für Clients unter Windows 10 (SYS.2.2.3 [7])

Ergänzend zu den Anforderungen zu allgemeinen Clients nennt das BSI als Basisanforderungen (MUSS-Vorgaben):

SYS.2.2.3.A5 Schutz vor Schadsoftware unter Windows 10

Sofern nicht gleich- oder höherwertige Maßnahmen zum Schutz des IT-Systems vor einer Infektion mit Schadsoftware getroffen wurden, muss der Einsatz einer spezialisierten Komponente zum Schutz vor Schadsoftware auf Windows 10-Clients umgesetzt sein.

Standardanforderungen (SOLL-Vorgaben):

SYS.2.2.3.A8 Zentrale Verwaltung der Sicherheitsrichtlinien von Clients

Alle Einstellungen des Windows 10-Clients sollten durch ein zentrales Management verwaltet und entsprechend dem ermittelten Schutzbedarf sowie auf den internen Richtlinien basierend konfiguriert sein. Technisch nicht umsetzbare Konfigurationsparameter sind zu dokumentieren, zu begründen und mit dem Sicherheitsmanagement abzustimmen.

3. Anforderungen für Labtops (SYS 3.1 Labtops [8])

Standardanforderungen (SOLL-Vorgaben):

SYS.3.1.A13 Verschlüsselung von Laptops

Das BSI empfiehlt eine Festplattenverschlüsselung, für die ein sicherer Verschlüsselungsalgorithmus eingesetzt werden sollte. Die Schlüssel sollten zufällig erzeugt werden und geeignet aufbewahrt werden können.

4. Anforderungen für Wechseldatenträger (SYS 4.5 Wechseldatenträger [9])

Die Basisanforderungen (MUSS-Vorgaben) sind u.a.:

SYS.4.5.A1 Sensibilisierung der Mitarbeiter zum sicheren Umgang mit Wechseldatenträgern

Das IT Grundschutz-Kompendium fordert dazu auf, alle Mitarbeiter für den sicheren Umgang mit Wechseldatenträgern zu sensibilisieren, d.h. die Mitarbeiter MÜSSEN insbesondere darauf hingewiesen werden, wie sie mit den Wechseldatenträgern umgehen sollten, um Verlust oder Diebstahl vorzubeugen und eine lange Lebensdauer zu gewährleisten.

SYS.4.5.A12 Schutz vor Schadsoftware

Es dürfen nur Daten auf Wechseldatenträger übertragen werden, die auf Schadsoftware überprüft worden sind. 

Standardanforderungen (SOLL-Vorgaben) sind:

SYS.4.5.A7 Sicheres Löschen der Datenträger vor und nach der Verwendung

Wiederbeschreibbare Datenträger sollten mit dafür geeigneter Software gelöscht werden, bevor sie weitergegeben, wiederverwendet oder ausgesondert werden.

Anforderungen bei erhöhtem Schutzbedarf (SOLL-Vorgaben):

SYS.4.5.A10 Datenträgerverschlüsselung

Für Wechseldatenträger wird empfohlen, diese mit einem sicheren Verschlüsselungsverfahren vollständig zu verschlüsseln.

E. Wie helfen Lösungen von DriveLock, die BSI-Grundschutz Empfehlungen umzusetzen?

Mit den DriveLock-Modulen Applikationskontrolle, Gerätekontrolle und Verschlüsselung gelingt es, die oben genannten Anforderungen zu erfüllen. Beispielsweise lässt sich die Integrität von Windows Systemen (im weitesten Sinn Richtung Unversehrtheit) mit Hilfe der DriveLock Applikationskontrolle erreichen. 

Quellenverzeichnis:

[1] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6
[2] Quelle: https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_006.pdf?__blob=publicationFile&v=1
[3] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6,  ,elementare Gefährdungen, Seite.7 ff
[4] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/IT_Grundschutz_Kompendium_Edition2021.pdf?__blob=publicationFile&v=6 , Schutzbedarfsfeststellung, S. 37
[5] Quelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Kompendium/IT-Grundschutz-Bausteine/Bausteine_Download_Edition_node.html, SYS: IT-Systeme
[6] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_2_1_Allgemeiner_Client_Edition_2021.pdf?__blob=publicationFile&v=2
[7] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_2_2_3_Clients_unter_Windows_10_Edition_2021.pdf?__blob=publicationFile&v=2
[8] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_3_1_Laptops_Edition_2021.pdf?__blob=publicationFile&v=2
[9] Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_4_5_Wechseldatentraeger_Edition_2021.pdf?__blob=publicationFile&v=2