Sicherheitsniveau

Das Sicherheitsniveau beschreibt, wie hoch der Schutz für die Informationen und IT-Systeme in Ihrem Unternehmen sein soll. Es ist eine strategische Entscheidung der Geschäftsleitung und bestimmt, welche Sicherheitsmaßnahmen mit welchem Aufwand umgesetzt werden.

Genauer erklärt

Das angestrebte Sicherheitsniveau ist eine zentrale Festlegung in der Informationssicherheitsleitlinie. Es beschreibt die Ziele, die eine Organisation in Bezug auf die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit erreichen will. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet in seiner Methodik typischerweise drei Stufen:

• Normal: Ein Schaden hat Beeinträchtigungen für die Organisation zur Folge.
• Hoch: Ein Schaden führt zu erheblichen Beeinträchtigungen oder zur Handlungsunfähigkeit zentraler Bereiche.
• Sehr hoch: Ein Schaden kann den Fortbestand der Organisation gefährden oder hat schwerwiegende Folgen für Dritte.

Die Festlegung des Sicherheitsniveaus ist Aufgabe der Leitungsebene und muss die Geschäftsziele berücksichtigen. Für Unternehmen, die mit der Informationssicherheit beginnen und deren Geschäftsprozesse ein normales Sicherheitsniveau erfordern, eignet sich die Vorgehensweise der Basis-Absicherung nach IT-Grundschutz. Diese setzt voraus, dass keine Werte (Assets) vorhanden sind, deren Verlust einen existenzbedrohenden Schaden bedeuten würde. Eine detaillierte Schutzbedarfsfeststellung ist bei diesem Ansatz nicht erforderlich.

Artikel zum Begriff

• Ein ISMS aufbauenEin ISMS aufbauen, ohne sich zu verzetteln: die Schritte nach BSI-Standard 200-2 von der Entscheidung der Leitung bis zur ersten Überprüfung im Betrieb.
• Leitlinie zur InformationssicherheitWas in eine Leitlinie zur Informationssicherheit gehört, wer sie erstellt und freigibt, wie lang sie sein sollte und wie oft sie nach BSI überprüft wird.
• Grundschutz++ Strukturmodellierung: das Anforderungspaket erstellen (STM)Grundschutz++ Strukturmodellierung erklärt: wie aus Assets und Zielobjektkategorien das Anforderungspaket entsteht und was die Praktik STM verlangt.
• Die IT-Grundschutz-Methodik Schritt für SchrittDie IT-Grundschutz-Methodik nach BSI-Standard 200-2 Schritt für Schritt: von der Leitungsentscheidung über Strukturanalyse und Check bis zur Umsetzung.
• Grundschutz++ Verbesserung: Nicht-Konformitäten und Korrekturen (VRB)Grundschutz++ Verbesserung: was die Praktik VRB zu Nicht-Konformitäten, Ursachenanalyse, Korrekturen und Wirksamkeitsprüfung verlangt, mit Tipps für KMU.
• Grundschutz++ Umsetzung: Umsetzungsplan, Fristen und Ausnahmen (UMS)Grundschutz++ Umsetzung: was die Praktik UMS zu Umsetzungsstatus, Umsetzungsplan, Zuständigen, Fristen und Ausnahmen verlangt, mit Tipps für KMU.