GLOSSAR

Begriffe der Informationssicherheit.

Die wichtigsten Begriffe rund um ISMS, ISO/IEC 27001, Risiken und Datenschutz, kurz und verständlich erklärt.

A

Asset(Informationswert, Schutzobjekt): Alles, was für eine Organisation einen Wert hat und geschützt werden muss: Informationen, Geschäftsprozesse, Anwendungen, IT-Systeme, Räume oder Dienstleister. Jedes Asset hat eine verantwortliche Person, den Eigentümer.Mehr dazu
Aufgabentrennung(Segregation of Duties): Grundsatz, dass unvereinbare Aufgaben auf verschiedene Personen verteilt werden, etwa das Vergeben von Rechten und das Freigeben von Risiken. Wo das nicht möglich ist, wird eine begründete Ausnahme festgehalten.
Ausnahme: Eine bewusst genehmigte, befristete Abweichung von einer Vorgabe, wenn diese vorübergehend nicht erfüllt werden kann. Eine Ausnahme ist mit einem Risiko verknüpft, das akzeptiert sein muss.Mehr dazu

BSI IT-Grundschutz: Methodik des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) für Informationssicherheit, beschrieben in den BSI-Standards 200-1 bis 200-4 und im IT-Grundschutz-Kompendium. Sie ist auch ausserhalb Deutschlands als Vorgehensmodell verbreitet.

Datenschutz-Folgenabschätzung(DSFA): Vorgängige Beurteilung der Risiken einer Bearbeitung von Personendaten für die betroffenen Personen. Sie ist nach dem Schweizer DSG (Art. 22) und der DSGVO (Art. 35) nötig, wenn eine Bearbeitung voraussichtlich ein hohes Risiko mit sich bringt.

Eigentümer(Owner, Asset-Eigentümer, Risikoeigentümer): Person, die für ein Asset oder ein Risiko verantwortlich ist. Der Risikoeigentümer entscheidet über die Behandlung und akzeptiert das Restrisiko im Rahmen der festgelegten Kriterien.
Erklärung zur Anwendbarkeit(Statement of Applicability, SoA): Dokument nach ISO/IEC 27001 (6.1.3 d), das die notwendigen Massnahmen nennt, ihre Aufnahme begründet, ihren Umsetzungsstand angibt und den Ausschluss von Massnahmen aus Anhang A begründet.

Feststellung(Finding): Ergebnis einer Prüfung, zum Beispiel aus einem Audit: eine Haupt- oder Nebenabweichung von einer Anforderung, eine Beobachtung oder ein Verbesserungspotenzial. Abweichungen verlangen Ursachenanalyse und Korrekturmassnahmen.

Gefährdung(Bedrohung): Umstand oder Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen beeinträchtigen kann, etwa Feuer, Schadsoftware oder Fehlbedienung. Trifft eine Gefährdung auf eine Schwachstelle, entsteht ein Risiko.
Geltungsbereich(Scope): Abgrenzung, für welche Teile einer Organisation, Standorte, Prozesse und Systeme das ISMS gilt. Er wird nach ISO/IEC 27001 (4.3) festgelegt und dokumentiert.

Informationssicherheit: Schutz von Informationen in jeder Form, digital, auf Papier oder als Wissen von Personen, mit dem Ziel, Vertraulichkeit, Integrität und Verfügbarkeit zu wahren. Sie umfasst mehr als IT-Sicherheit.
Informationssicherheits-Managementsystem(ISMS): Gesamtheit der Regeln, Abläufe, Verantwortlichkeiten und Hilfsmittel, mit denen eine Organisation ihre Informationssicherheit plant, umsetzt, überprüft und laufend verbessert. Die Anforderungen beschreibt ISO/IEC 27001.
Interessierte Parteien: Personen oder Organisationen, die die Informationssicherheit beeinflussen oder von ihr betroffen sind, etwa Kunden, Behörden, Mitarbeitende oder Lieferanten. ISO/IEC 27001 (4.2) verlangt, ihre Anforderungen zu bestimmen.
Interne Kontrolle: Regelmässige Prüfhandlung, mit der eine Organisation überwacht, ob Vorgaben eingehalten werden, zum Beispiel die quartalsweise Überprüfung von Berechtigungen. Jede Durchführung wird mit Ergebnis und Nachweis festgehalten.
Internes Audit: Planmässige, unabhängige Prüfung durch die Organisation selbst, ob das ISMS die eigenen Anforderungen und die der Norm erfüllt und wirksam umgesetzt ist (ISO/IEC 27001, 9.2).Mehr dazu
ISO/IEC 27001: Internationale Norm mit den Anforderungen an ein Informationssicherheits-Managementsystem. Die aktuelle Fassung von 2022 enthält die Kapitel 4 bis 10 und im Anhang A 93 Massnahmen. Organisationen können sich danach zertifizieren lassen.Mehr dazu

Managementbewertung(Management Review): Regelmässige Bewertung des ISMS durch die oberste Leitung anhand festgelegter Eingaben wie Audit-Ergebnissen, Risiken und Zielen, mit Entscheiden zur Verbesserung (ISO/IEC 27001, 9.3).Mehr dazu
Massnahme(Control): Vorkehrung, die ein Risiko verringert oder eine Anforderung erfüllt, zum Beispiel eine Datensicherung, eine Schulung oder eine Zugriffsregel. Massnahmen haben Verantwortliche, Termine und Nachweise.
Maximumprinzip: Regel, nach der ein Asset je Schutzziel den höchsten Schutzbedarf der Informationen erhält, die es verarbeitet. Sie gilt, sofern nicht ein Kumulations- oder Verteilungseffekt begründet ist.

Need-to-know: Grundsatz, dass Personen nur auf die Informationen zugreifen, die sie für ihre Aufgabe brauchen.
NIS2: Richtlinie (EU) 2022/2555 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau. Sie verpflichtet wesentliche und wichtige Einrichtungen in der EU unter anderem zu Risikomanagementmassnahmen (Art. 21) und Meldungen erheblicher Vorfälle (Art. 23).Mehr dazu
NIST Cybersecurity Framework(NIST CSF): Rahmenwerk des US-amerikanischen National Institute of Standards and Technology. Die Fassung 2.0 gliedert Cybersicherheit in sechs Funktionen: Steuern, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.Mehr dazu

Restrisiko: Risiko, das nach der Umsetzung der Massnahmen verbleibt. Es wird bewertet und von der zuständigen Stelle formell akzeptiert oder weiter behandelt.
Risikoakzeptanz: Bewusster, dokumentierter Entscheid, ein Risiko zu tragen. Die Risikoakzeptanzkriterien legen fest, welche Stufen wer akzeptieren darf und welche nicht akzeptierbar sind (ISO/IEC 27001, 6.1.2).

Schutzbedarf: Mass dafür, wie schwer der Schaden wäre, wenn die Vertraulichkeit, Integrität oder Verfügbarkeit einer Information verletzt würde. Nach BSI-Standard 200-2 wird er meist als normal, hoch oder sehr hoch eingestuft.
Schutzziele: Die drei Grundwerte der Informationssicherheit: Vertraulichkeit (nur Berechtigte haben Zugang), Integrität (Informationen sind richtig und vollständig) und Verfügbarkeit (Informationen stehen bei Bedarf zur Verfügung).

Vier-Augen-Prinzip: Grundsatz, dass eine Entscheidung oder Freigabe durch eine zweite, unabhängige Person bestätigt wird. Wer etwas erstellt oder einreicht, gibt es nicht selbst frei.

Sehen Sie es an Ihrem eigenen Beispiel.

In einer persönlichen Demo gehen wir Ihre Fragestellungen durch, unverbindlich. Oder Sie starten sofort mit dem Paket Free.