Mit der Schutzbedarfsanalyse stellen Sie fest, wie schützenswert eine Information oder ein Prozess ist, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit (nach BSI-Standard 200-2 die Schutzbedarfsfeststellung). Systeme übernehmen den Schutzbedarf der Informationen, die sie verarbeiten. Dieser Artikel richtet sich an Asset-Eigentümer, Freigabestellen und ISMS-Verantwortliche.

Bevor Sie beginnen

  • Die Schutzbedarfsanalyse ist in jeder Organisation aktiv und lässt sich nicht abschalten.
  • Ohne Freigabeweg kann niemand eine Analyse einreichen. Ihn legen die ISMS-Verantwortlichen unter ISMS-Einstellungen › Assets › Schutzbedarfsanalyse fest: welche Fachrollen in welcher Stufe freigeben. Einen vorgegebenen Weg gibt es nicht.
  • Für Informationen mit Personendaten und für Systeme, die solche Informationen verarbeiten, braucht es zusätzlich die Stelle Bestätigung durch den Datenschutz. Sie wird auf derselben Seite festgelegt (bei neuen Organisationen ist die Fachrolle Datenschutzberater/in vorbelegt, Sie können eine eigene wählen) und kommt als letzte Stufe nach dem Freigabeweg dazu. Ist dafür keine Fachrolle festgelegt, lassen sich solche Analysen nicht einreichen.
  • Auf derselben Seite stehen die Kontrollfragen & Schadensausmass (Schadensausmass ist nicht dasselbe wie die Schadensauswirkung eines Risikos), die Gültigkeit bzw. das Überprüfungsintervall, die Untergrenzen je Datenkategorie und die spezialrechtlichen Anforderungen Ihrer Organisation.
  • Die Analyse führt der Eigentümer des Assets durch oder wer das Recht dazu hat.

Welche Assets eine Analyse brauchen

  • Informationen und Prozesse (Oberkategorie mit der Einstellung „Enthält Informationen und Prozesse“): mit Kontrollfragen je Schutzziel.
  • Systeme, Anwendungen, Gebäude, Dienstleister mit Sicherheitsverfahren: erst, wenn eine Information mit ihnen verknüpft ist, direkt oder über ein anderes Asset (z. B. erreicht eine Information über die Anwendung auch den Server, auf dem sie läuft). Der Schutzbedarf ergibt sich aus diesen Informationen.
  • Asset Ihrer Organisation: Keine
  1. EigentümerDatenschutz

    Welche Personendaten enthält die Information?

  2. EigentümerKontrollfragen je Schutzziel

    Bei Ja das schlimmstenfalls zu erwartende Schadensausmass, ein Nein ergibt „normal“.

  3. Ergebnis je Schutzziel

    Normal, hoch oder sehr hoch; Untergrenzen und spezialrechtliche Anforderungen heben es an.

  4. FreigabestellenFreigeben

    Stufe für Stufe, bei Personendaten zuletzt die Bestätigung durch den Datenschutz.

  5. Gültig

    Der höchste Schutzbedarf erscheint als Kritikalität und geht über die Verknüpfungen weiter.

Zurückgewiesen

Der Eigentümer erhält die Pendenz „Schutzbedarfsanalyse überarbeiten“; seine Angaben sind vorausgefüllt.

Von den Kontrollfragen zum gültigen Schutzbedarf

Für eine Information gibt der Eigentümer zuerst an, welche Personendaten sie enthält. Dann beantwortet er die Kontrollfragen je Schutzziel; bei Ja schätzt er das Schadensausmass ein, ein Nein ergibt normal. Daraus folgt der Schutzbedarf normal, hoch oder sehr hoch je Schutzziel, angehoben durch Untergrenzen und spezialrechtliche Anforderungen. Die Freigabestellen geben Stufe für Stufe frei, bei Personendaten zuletzt die Bestätigung durch den Datenschutz. Erst dann gilt das Ergebnis, erscheint als Kritikalität und wird über die Verknüpfungen weitergegeben. Bei einer Zurückweisung überarbeitet der Eigentümer die Analyse.

So gehen Sie vor: Informationen und Prozesse

  1. Öffnen Sie das Asset und wechseln Sie in den Reiter Workflows. Oder öffnen Sie die Pendenz Schutzbedarfsanalyse durchführen unter Meine Pendenzen.
  2. Klicken Sie auf Schutzbedarfsanalyse durchführen.
  3. Schritt 1. Datenschutz: Geben Sie an, welche Personendaten die Information enthält.
  4. Schritt 2. Kontrollfragen: Beantworten Sie jede Frage je Schutzziel mit Ja oder Nein. Bei Ja schätzen Sie das schlimmstenfalls zu erwartende Schadensausmass ein; vorbelegt sind drei Stufen von „Geringfügiger Schaden“ (normal) über „Schaden erheblich, aber nicht existenzbedrohend“ (hoch) bis „Schaden ist existenzbedrohend“ (sehr hoch). Ein Nein ergibt „normal“. Mit Antworten übernehmen von (optional) übernehmen Sie die Antworten eines ähnlichen Assets und passen sie an.
  5. Schritt 3. Spezialrecht & Ergebnis: Kreuzen Sie an, welche spezialrechtlichen Anforderungen gelten, und prüfen Sie das Ergebnis (normal, hoch oder sehr hoch je Schutzziel).
  6. Klicken Sie auf Zur Freigabe einreichen.

Enthält eine Information eine Datenkategorie, für die Ihre Organisation eine Untergrenze festgelegt hat (vorbelegt bei besonders schützenswerten Personendaten), gilt je Schutzziel mindestens diese Untergrenze. Spezialrechtliche Anforderungen heben ihre Schutzziele auf die Untergrenze, die bei der Anforderung steht (meist „hoch“, teils „sehr hoch“).

So gehen Sie vor: Systeme

  1. Verknüpfen Sie im Asset-Formular unter Verknüpfte Assets die Informationen, die das System verarbeitet.
  2. Sobald die Analysen aller verknüpften Informationen genehmigt sind, erhält der Eigentümer des Systems die Pendenz Schutzbedarfsanalyse durchführen.
  3. Der Dialog zeigt die verarbeiteten Informationen, auch die über andere Assets erreichten. Je Schutzziel gilt der höchste Schutzbedarf dieser Informationen (Maximumprinzip).
  4. Verarbeitet das System Personendaten mit hohem Schutzbedarf, folgt eine Risikovorprüfung. Daraus ergibt sich nach den Kriterien Ihrer Organisation, ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist.
  5. Gelten für eine Information spezialrechtliche Anforderungen, legen Sie dafür je eine Massnahme des Systems fest. Umgesetzt sein muss sie zum Einreichen noch nicht.
  6. Reichen Sie die Analyse mit Zur Freigabe einreichen ein.

Was danach passiert

  • Die Freigabestellen der ersten Stufe erhalten die Pendenz Schutzbedarfsanalyse freigeben. Jede Stufe gibt nacheinander frei.
  • Wer eingereicht hat, kann nicht selbst freigeben (Vier-Augen-Prinzip). Ist ausser Ihnen niemand in einer Stelle, ist das Einreichen gesperrt, bis die Fachrolle mit einer weiteren Person besetzt ist.
  • Weist eine Stelle mit Begründung zurück, erhalten Sie die Pendenz Schutzbedarfsanalyse überarbeiten. Ihre Angaben sind vorausgefüllt.
  • Erst mit der letzten Freigabe gilt das Ergebnis. Der höchste Schutzbedarf über alle Schutzziele erscheint beim Asset als Kritikalität. Varmo vererbt den Schutzbedarf über die Verknüpfungen an Anwendungen, IT-Systeme, Räume und Dienstleister, je nach Stellung in der Abhängigkeitskette. Danach beginnt bei Systemen das Sicherheitsverfahren.
  • Wird eine Information neu verknüpft oder entfernt, braucht das System eine neue Analyse. Wird die Analyse einer verarbeiteten Information neu genehmigt, startet der Eigentümer des Systems mit Überprüfung starten eine Überprüfung.
  • Nach Ablauf des Überprüfungsintervalls erhält der Eigentümer die Pendenz Schutzbedarfsanalyse überprüfen.

Häufige Fragen

Warum kann ich die Analyse eines Systems noch nicht einreichen?

Das System wartet, bis die Analysen aller verknüpften Informationen genehmigt sind. Ohne verknüpfte Information braucht es keine Analyse. Entfernen Sie die letzte verknüpfte Information, braucht es dagegen eine neue Analyse: Mit ihrer Freigabe gilt für das System kein erhöhter Schutzbedarf mehr.

Wer gibt die Analyse frei?

Die Fachrollen im Freigabeweg Ihrer Organisation, bei Personendaten zusätzlich der Datenschutz. Siehe Freigaben regeln mit dem Vier-Augen-Prinzip.

Kann ich die Fragen anpassen?

Ja. Die ISMS-Verantwortlichen pflegen Kontrollfragen und Schadensausmass unter ISMS-Einstellungen › Assets › Schutzbedarfsanalyse. Änderungen gelten für künftige Analysen.