Schutzziele der Informationssicherheit haben sich schleichend verlagert

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

KUPPINGER COLE + PARTNER

Das Verlangen nach Vertraulichkeit

Vor dem eben erörterten Hintergrund ist das Schutzziel „Vertraulichkeit“ in der Informationssicherheit ein sehr künstliches Ziel. Aber wo kommt das her? Nun, eigentlich kommen die Schutzziele Verfügbarkeit, Integrität und Authentizität nicht aus der Informationssicherheit, sondern aus der IT-Sicherheit. Sie sollen garantieren, dass Computer sich auch so verhalten, wie man es von sich erwartet, also Informationen bereit halten, nicht verändern und nicht preisgeben.

Dies hat sich im Laufe der Zeit auf Prozesse und sogar Rollen ausgeweitet, was sicher nicht immer sinnvoll gewesen ist. Denn letztlich sollen die Schutzziele gewährleisten, dass die Computer nicht mehr machen – oder nicht weniger – als die Benutzer es erwarten, also dass Computer und IT-Umgebungen vertrauenswürdig sind. Es geht nicht darum, den Menschen, der den Computer bedient, in seinen Entscheidungsmöglichkeiten einzuschränken – oder gar Prozesse im Unternehmen damit zu steuern und unflexibel zu machen.

In diesem Sinne ist es besser, die journalistischen Meldungen als das zu belassen, was sie sind: Hinweise, dass die in der jeweiligen Story betroffenen Computer nicht ausreichend sicher sind, um damit vertrauenswürdige, gesellschaftlich relevante Infrastrukturen aufzubauen.

Das soll nicht heißen, dass Computer generell nicht dafür verwendet werden können, wohl aber, dass Vorsicht angebracht ist, wenn man sich denn darauf verlassen muss. Es bedeutet aber auch, dass Computer an sich nicht das Problem sind, sondern dass Menschen bezüglich der Einsatzfähigkeit von Computern für bestimmte Prozesse falsche Entscheidungen getroffen haben.

Vertrauensfragen

Die Fragen „was ist wie vertraulich“ bzw. „was ist wirklich vertraulich“ sind also gar nicht zielführend. Im Gegenteil: die Aktivitäten, Daten nach Schutzbedarf zu klassifizieren, lenken von den eigentlichen Problemen ab – nämlich die IT so verlässlich zu machen, dass sich die Anwender darauf verlassen können. Letztendlich ist es egal, ob weniger oder mehr vertrauliche Daten unbemerkt kopiert wurden: in jedem Fall wird damit das Vertrauen in die IT angegriffen.

Was kann man tun? Nun, als Hersteller sichere Software entwickeln, und als Anwender entsprechende Anforderungen stellen, bzw. die Erwartung vermeiden, die Daten seien „sicher“. Ein Stück weit also Besonnenheit und Konzentration auf maßvollen Einsatz von IT, da wo sie sinnvoll ohne Schaden eingesetzt werden kann,

Es bleibt noch anzumerken, dass das Schutzziel „Vertraulichkeit“ noch relativ einfach auf diese Weise adressiert werden kann. Wenn z.B. Steuerungselemente von „wirklicher“ Infrastruktur (Energie etc.) hinzukommen, ist die Anforderung an „Integrität“ noch deutlich wichtiger – wie das Beispiel Stuxnet gezeigt hat.

Prof. Dr. Sachar Paulus ist Senior Analyst für die Themen SAP-Sicherheit und GRC (Governance, Risk Management, Compliance) beim Analystenunternehmen Kuppinger Cole, das sich mit digitalen Identitäten, Identity und Access Management, GRC und Cloud Computing beschäftigt.

(ID:2052636)