CIA

Schutzziele der Datensicherheit

Schutzziel	Praktisches Beispiel	Passende Schutzmaßnahme
Vertraulichkeit	Eine Person ohne Berechtigung könnte Personalakten lesen.	Die Akten nur für die Personalabteilung per Berechtigung freigeben.
Integrität	Ein Rechnungsbetrag wird unbemerkt verändert.	Änderungen protokollieren und nur berechtigten Personen das Bearbeiten erlauben.
Verfügbarkeit	Der Dateiserver fällt aus und Mitarbeitende können nicht auf ihre Dokumente zugreifen.	Einen Ersatzserver bereitstellen, der bei einem Ausfall übernimmt.

Technische und organisatorische Maßnahmen (TOMs)

Maßnahme	Praktisches Beispiel: Was soll verhindert werden?	Eine passende Maßnahme
Zutrittskontrolle	Eine fremde Person betritt den Serverraum.	Serverraum mit einer elektronischen Schließanlage sichern.
Zugangskontrolle	Jemand meldet sich mit einem gestohlenen Passwort am Firmennetz an.	Anmeldung mit einem zweiten Faktor absichern.
Zugriffskontrolle	Ein Mitarbeiter ist angemeldet, liest aber Personalakten, die er für seine Arbeit nicht benötigt.	Leserechte nur der Personalabteilung zuweisen.
Weitergabekontrolle	Eine Datei mit Kundendaten wird während der Übertragung von Unbefugten mitgelesen.	Datei über eine verschlüsselte Verbindung übertragen.
Eingabekontrolle	Ein Datensatz wird geändert und später ist unklar, wer die Änderung vorgenommen hat.	Änderungen mit Benutzerkennung und Zeitpunkt protokollieren.
Auftragskontrolle	Ein externer Dienstleister nutzt Kundendaten für eigene Zwecke.	Die Verarbeitung durch einen Auftragsverarbeitungsvertrag und dokumentierte Weisungen festlegen.
Verfügbarkeitskontrolle	Nach einem Festplattenausfall fehlen wichtige Dateien.	Regelmäßige Backups erstellen und ihre Wiederherstellung testen.
Trennung von Daten	Daten verschiedener Kunden oder Verarbeitungszwecke werden vermischt.	Getrennte Datenbereiche mit passend eingerichteten Berechtigungen verwenden.

Merke: Zutritt betrifft Räume, Zugang die Anmeldung am System und Zugriff die Berechtigung auf bestimmte Daten. Verfügbarkeit bedeutet, dass Systeme wie vorgesehen nutzbar sind; eine ausnahmslos jederzeitige Verfügbarkeit ist damit nicht gemeint.

CIA-Schutzziele – Beispiele für Server, Serverraum und Haus

Bereich	Schutzziel	Praktisches Beispiel	Schutzmaßnahme
Server	Vertraulichkeit	Unbefugte könnten Kundendaten auf dem Server lesen.	Zugriffsrechte auf berechtigte Benutzer beschränken.
Server	Integrität	Jemand verändert unbemerkt Einträge in einer Datenbank.	Änderungen protokollieren und Schreibrechte begrenzen.
Server	Verfügbarkeit	Eine defekte Festplatte legt den Serverdienst lahm.	Redundante Festplatten einsetzen.
Serverraum	Vertraulichkeit	Ein Besucher könnte an einem offenen Serverschrank Daten von Datenträgern entnehmen.	Serverschränke abschließen.
Serverraum	Integrität	Jemand steckt Netzwerkkabel um und verändert dadurch die Verbindungen.	Zutritt zum Serverraum auf Berechtigte beschränken.
Serverraum	Verfügbarkeit	Die Klimaanlage fällt aus; Server überhitzen und schalten sich ab.	Temperatur überwachen und bei Überhitzung alarmieren.
Haus/Gebäude	Vertraulichkeit	Eine fremde Person betritt ein Büro und liest vertrauliche Unterlagen.	Gebäudezutritt mit Schlüsselkarten kontrollieren.
Haus/Gebäude	Integrität	Jemand verändert unbefugt die Einstellungen der zentralen Stromversorgung.	Technikräume abschließen.
Haus/Gebäude	Verfügbarkeit	Ein Stromausfall im Gebäude unterbricht sämtliche IT-Dienste.	Eine unterbrechungsfreie Stromversorgung (USV) einsetzen.