02 20 PSL ISMS Informationswerte

Zweck

TISAX erfordert die Erfassung aller Informationswerte (Verband der Automobilindustrie e.V. (VDA), 2020). Im Bereich 1.3 Asset Management werden folgende Fragen gestellt:

1. Inwieweit werden Informationswerte (Assets) identifiziert und erfasst?
2. Inwieweit werden Informationswerte hinsichtlich ihres Schutzbedarfs klassifiziert und gemanagt?

Dieses Dokument beschreibt die dazugehörigen Richtlinien bei der Parasol Island GmbH.

Die dritte Frage aus diesem Bereich

1. Inwieweit wird sichergestellt, dass nur evaluierte und freigegebene organisationsfremde IT-Dienste zum Verarbeiten von Informationswerten der Organisation eingesetzt werden?

wird in (ISMS, 02_27) beantwortet.

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Inventarisierung von Informationswerten

„Für jede Organisation ist es wichtig, die Informationen zu kennen, die einen Wert für sie darstellen (z. B. Geschäftsgeheimisse, kritische Geschäftsprozesse, Know-how, Patente). Diese werden als Informationswerte bezeichnet. Durch eine Inventarisierung wird sichergestellt, dass die Organisation einen Überblick über ihre Informationswerte erhält. Darüber hinaus ist es wichtig, die Informationsträger (z. B. IT-Systeme, Services/IT-Dienste, Mitarbeiter) zu kennen, welche diese Informationswerte verarbeiten. (1.3.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Man unterscheidet zwischen primären und sekundären Informationswerten. Die primären Informationswerte stellen die eigentlichen Informationen dar, z.B. Projektergebnisse, Personalstammdaten, Unternehmensgeheimnisse. Bei den sekundären Informationswerten handelt es sich um die Informationsträger, auf denen die primären Informationswerte verarbeitet werden. Um diese Unterscheidung klar auszudrücken, werden primäre Informationswerte im Folgenden als „Informationswerte“ bezeichnet und sekundäre Informationswerte als „Informationsträger“.

Informationswerte

Parasol Island führt ein Verzeichnis aller (relevanten) Informationswerte. Darin enthalten ist neben einer Beschreibung des Wertes auch derjenige Mitarbeiter, der für diesen Wert zuständig ist. Verantwortlich für die Bestimmung relevanter Informationswerte ist die Geschäftsführung.

Informationsträger

Alle physischen Entitäten, die Informationen verarbeiten, werden als Informationsträger oder auch unterstützende (Informations-)Werte bezeichnet. Dies können z.B. IT-Systeme, Datenträger, Mitarbeiter oder auch Aktenschränke sein.

Alle Informationsträger sind zu erfassen. Dies darf dezentral erfolgen. So darf beispielsweise die IT ein Verzeichnis aller Server und Clients führen, während die Personalabteilung ein Verzeichnis aller Mitarbeiter führt. Werden Systeme für die Verwendung innerhalb eines Teams eingeführt und diese werden auch von diesem Team verwaltet, so obliegt es dem Team, ein Verzeichnis über diese zu führen. Dabei ist zu beachten, dass a) alle Richtlinien, die IT-Systeme und -Prozesse betreffen, sowohl für die zentrale IT als auch für solch dezentrale IT gelten und b) die Führung eines Gesamtverzeichnisses die Organisation vereinfachen könnte.

Klassifikation von Informationswerten

"Die Zielsetzung der Klassifizierung von Informationswerten ist eine konsistente Ermittlung des Schutzbedarfs. Dabei wird der Wert der Information für die Organisation auf Basis der relevanten Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) ermittelt. Dies ermöglicht der Organisation die Anwendung von angemessenen Schutzmaßnahmen.“ (1.3.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Alle Informationen müssen anhand ihres Schutzbedarfs klassifiziert werden. Die Schutzbedarfskategorien werden vom Informationssicherheitsbeauftragten zusammen mit den Abteilungsleitern definiert und von der Geschäftsführung verabschiedet.

Der Klassifikation liegen die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit zugrunde. Ziel ist es, Informationen entsprechend ihrem Schutzbedarf zu verarbeiten. Aus dem Schutzbedarf der Informationen leitet sich auch der Schutzbedarf der IT-Systeme ab, auf denen die Informationen verarbeitet werden.

Eine besondere Rolle spielt dabei das Schutzziel der Vertraulichkeit, da dieses den Umgang mit Informationen maßgeblich bestimmt.

Alle Daten und Dokumente müssen vom Informationseigentümer einer dieser Stufen zugeordnet werden. Die Zuordnung muss gut lesbar und für jeden offensichtlich aus den jeweiligen Daten bzw. Dokumenten hervorgehen. Eine Standardstufe für nicht gekennzeichnete Informationen ist unternehmensweit zu definieren.

Basierend auf der Schutzbedarfskategorie des (primären) Informationswertes hat auch der verarbeitende Informationsträger eine zugeordnete Schutzbedarfskategorie.

Für jeden Informationsträger ist ein Mitarbeiter zuständig. Verlässt die zuständige Person das Unternehmen oder beendet ihre Zusammenarbeit mit Parasol Island, so hat sie alle Informationsträger an einen Nachfolger zu übergeben. Falls ein Mitarbeiter als Informationsträger die Parasol Island verlässt, den Aufgabenbereich wechselt oder die Zusammenarbeit beendet, ist eine angemessene Zeit für den Wissenstransfer freizugeben.

Schutzziele

Die drei für Parasol Island wichtigen Schutzziele werden im Folgenden kurz erläutert.

Vertraulichkeit

Unter Vertraulichkeit versteht man die Tatsache, dass Informationen nur von denjenigen Personen eingesehen und verarbeitet werden dürfen, die dazu auch berechtigt sind. Der Zugriff durch unbefugte Personen darf nicht möglich sein.

Integrität

Das Schutzziel Integrität umfasst die Korrektheit der Daten (Datenintegrität). Dabei geht es insbesondere darum, dass diese nicht unbefugt geändert werden können, bzw. dass Änderungen als solche zu erkennen sind. Hierbei sollte auch der Verursacher erfasst werden, um unbefugte Änderungen erkennen zu können.

Verfügbarkeit

Als drittes Schutzziel geht es bei der Verfügbarkeit um den möglichen Zugriff auf die Informationen. Dieser sollte zu jeder Zeit verfügbar sein. Ist die Verfügbarkeit nicht gegeben, so stellt dies einen (temporären) Verlust der Daten dar.

Sicherheitsanforderungen und Schutzmaßnahmen

Für Informationswerte und Informationsträger sind in Abhängigkeit vom Schutzbedarf Sicherheitsanforderungen und geeignete Schutzmaßnahmen zu bestimmen. Dazu gehört auch, den angemessenen Umgang mit diesen festzulegen. Die Festlegung darf per Kategorie von Informationsträgern oder Informationswerten erfolgen und sollte alle Schutzziele abdecken.

Beispielsweise können die folgenden Kategorien von Informationsträgern betrachtet werden:

• Cloud-Dienste
• Lokale Server / IT-Dienste
• Client Computer
• Mobilgeräte
• Mitarbeiter & Mitarbeiterinnen
• Ext. Dienstleister
• Freelancer
• Physische Aufbewahrungsorte (z.B. Aktenordner, -schränke, Sicherheitszonen)

Für jeden Informationsträger muss die Kategorie hinterlegt werden. So mag die IT alle IT-Geräte verwalten. In diesem Inventar muss dann klar ersichtlich sein, ob es sich bei einem Gerät um einen lokalen Server, einen Client-Computer oder ein Mobilgerät handelt.

In Abhängigkeit des Schutzbedarfs sind Anforderungen an die Informationsträger festzulegen. So kann beispielsweise festgelegt werden, dass ein Cloud-Dienst je nach Schutzbedarf für das Schutzziel Verfügbarkeit eine vertraglich zugesicherte Verfügbarkeit von 99,99% (hoher Schutzbedarf) oder nur von 95% (geringer Schutzbedarf) hat.

Lebenszyklus von Informationsträgern

„Informationsträger unterliegen während ihres Lebenszyklus (z. B. Nutzung, Entsorgung) einem Risiko unter anderem in Bezug auf Verlust, Diebstahl oder der unberechtigten Einsichtnahme.“ (3.1.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Für alle Informationsträger (insbesondere solche, die Informationen speichern) sind Regeln für den Gebrauch, die Kennzeichnung und insbesondere die Rückgabe zu erstellen. Dabei ist zu beachten, dass über den gesamten Lebenszyklus eines Informationsträgers alle Anforderungen der Informationssicherheit in Abhängigkeit der Schutzbedarfsklassifikation erfüllt sind. Außerdem sollte jederzeit bekannt sein, in welchen Verantwortungsbereich der Informationsträger fällt.

Kontrolle und Dokumentation

Aus den Anforderungen für die Sicherheitsziele erwächst die Notwendigkeit der Kontrolle.

Die Daten und IT-Systeme müssen entsprechend ihrer Klassifikationen Maßnahmen unterworfen werden, die einen sachgemäßen Umgang gewährleisten. Die Einhaltung der Maßnahmen muss kontrolliert werden und Änderungen müssen nachvollziehbar sein.