Die Informationssicherheit ist der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit und somit der Schutz vor Gefahren z.B. unbefugten Zugriff oder Manipulation von Informationen. Dabei können die Informationen in unterschiedlichen Formen vorliegen. Informationssicherheit beschränkt sich nicht nur auf IT-Systeme technischer Art. Ziel der Informationssicherheit ist, vor Gefahren und Bedrohungen zu schützen, um wirtschaftlichen und Image Schäden zu verhindern.
Computer, Netzwerke und Datenträger decken nur einen Teilbereich der Informationssicherheit ab. Weitere Teilbereiche ist das ganze Umfeld der Netzwerksicherheit und nicht nur seit 2018 der Datenschutz von personenbezogenen Daten.
Unterschied zwischen IT-Sicherheit und Informationssicherheit
Während sich die IT-Sicherheit überwiegend dem Schutz von digital gespeicherten Daten annimmt, beschränkt sich die Informationssicherheit nur auf Informationen, die nicht elektronisch gespeichert werden. Und hier kommen die Grundsätze Vertraulichkeit, Integrität und Verfügbarkeit ins Spiel. Die Informationssicherheit ist die Sicherstellung, dass Vertraulichkeit, Integrität und Verfügbarkeit im Bezug auf Informationen aufrechterhalten werden.
Vertraulichkeit von Informationen
Das Schutzziel Vertraulichkeit (engl. Confidentiality) soll Informationen vor unbefugten Zugriff Dritter schützen. D.h., Wenn ein unbefugter Dritter mitlesen kann, so ist das ein Verstoß gegen die Vertraulichkeit.
Integrität von Informationen
Das Schutzziel Integrität (engl. Integrity) soll Informationen vor unbefugter Änderung durch Dritte schützen. D.h., Wenn ein unbefugter Dritter die Nachricht ändert, so ist das ein Verstoß gegen die Integrität.
Verfügbarkeit von Informationen
Das Schutzziel Verfügbarkeit (engl. Availability) soll die Nachrichtenübermittlung vor unbefugten Dritter schützen. D.h., Wenn ein unbefugter die Nachrichtenübermittlung verhindert, so ist das ein Verstoß gegen die Verfügbarkeit.
Maßnahmen zur Informationssicherheit
Die vier wichtigsten Maßnahmen der Informationssicherheit sind:
ISO/IEC 27001
Das wohlbekannteste Informationssicherheitsmanagementsystem ISMS ist die ISO/IEC 27001:2013 bzw. 2017 (deutsche Version). Der Fokus der ISO/IEC 27001 ist der Schutz der Informationen vor Bedrohungen und Gefahren. Deshalb ist als zentrales Element der Norm die Risikoeinschätzung und Risikobehandlung zu sehen. Diese befasst sich mit den Werten (Assets) und bewertet diese anhand seiner Auswirkungen und Eintrittswahrscheinlichkeiten. Im Gegensatz zu anderen ISO Normen muss bei der ISO/IEC 27001 ein Risikobehandlungsplan erstellt werden, wie die Maßnahmen umgesetzt werden müssen.
