LF4 · Informieren
LF4.1 – Informationssicherheit, Sicherheitsleitlinie und Schutzziele einordnen
Den eigenen Arbeitsbereich abgrenzen, betriebliche Sicherheitsvorgaben einordnen und Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden.
Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen
Curriculum-Faden
Diese Teilkompetenz bauen Sie hier auf
Handlungsphase: Informieren
Informationssicherheit im eigenen Arbeitsbereich einordnen, eine bestehende Sicherheitsleitlinie als betriebliche Vorgabe nutzen und Vertraulichkeit, Integrität und Verfügbarkeit als Schutzziele unterscheiden.
LF3 hat die Client-Integration vollständig bewertet und reflektiert.
LF4.2 ordnet konkrete rechtliche und betriebliche Sicherheitsvorgaben für den Arbeitsbereich ein.
Bewusste Abgrenzung dieser Lektion
Informations- und Scope-Grundlage; noch keine Schutzbedarfsfeststellung, Schadensklassifikation, Bedrohungsgewichtung oder Maßnahmenumsetzung.
Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4
Berufliche Ausgangssituation
Im fiktiven K-27 Medienbüro ist die Client-Integration aus Lernfeld 3 abgeschlossen.
Nun soll für einen abgegrenzten Arbeitsbereich untersucht werden, welche Informationen und IT-Funktionen Schutz benötigen.
Dafür existiert bereits eine fiktive betriebliche Sicherheitsleitlinie.
Zuerst müssen Scope, Vorgaben und Schutzziele verstanden werden.
Was verlangt Lernfeld 4?
Lernfeld 4 führt zur Schutzbedarfsanalyse im eigenen Arbeitsbereich. LF4.1 schafft dafür zunächst die Informations- und Scope-Grundlage.
- Arbeitsbereich bestimmen,
- bestehende Sicherheitsleitlinie kennen,
- Schutzziele verstehen,
- Vorgaben und Quellenarten unterscheiden,
- spätere Analyse vorbereiten.
Informationssicherheit als Schutzaufgabe
Informationssicherheit betrachtet, welche Informationen und unterstützenden Systeme für einen Arbeitsprozess angemessen geschützt werden müssen.
Sie reduziert sich nicht auf Antivirensoftware, Passwörter, Firewalls, Datenschutz oder ein einzelnes technisches Produkt.
Die konkrete Bewertung des Schutzbedarfs folgt erst in späteren LF4-Lernetappen.
Den eigenen Arbeitsbereich abgrenzen
Dazu gehören im Lernfall eingesetzte Clients, freigegebene Konfigurationsinformationen, technische Betriebsdokumentation, vorgesehene Netzwerkfunktionen, Arbeitsabläufe und zuständige Rollen.
Nicht automatisch Bestandteil sind alle Systeme, Standorte und Sicherheitsprozesse des gesamten Unternehmens.
Die bestehende Sicherheitsleitlinie
LF4 entwickelt nicht aus dem Nichts eine vollständige Sicherheitsstrategie. Im Lernfall liegt bereits eine betriebliche Sicherheitsleitlinie vor.
Sie ist weder automatisch eine Rechtsnorm noch bereits die fertige Schutzbedarfsanalyse.
Fiktive K-27-Sicherheitsleitlinie
- Betriebliche Informationen dürfen nur im vorgesehenen Nutzungskontext zugänglich sein.
- Technische und organisatorische Informationen sollen vor unbemerkter oder unbefugter Veränderung geschützt werden.
- Benötigte Systeme und Informationen sollen im vorgesehenen Betriebszeitraum nutzbar sein.
- Sicherheitsauffälligkeiten werden dokumentiert und an die zuständige betriebliche Stelle weitergegeben.
- Mitarbeitende handeln nur innerhalb ihrer Zuständigkeit.
Die K-27-Sicherheitsleitlinie ist ein eigenständig entwickeltes SemaTrain-Lernartefakt. Sie ist keine BSI-Mustervorlage und keine Rechtsnorm.
Drei grundlegende Schutzziele
Vertraulichkeit
Informationen sollen nicht Personen oder Stellen zugänglich werden, für die der Zugriff nicht vorgesehen ist.
Integrität
Informationen und Systeme sollen nicht unbemerkt oder unbefugt verfälscht oder verändert werden.
Verfügbarkeit
Benötigte Informationen und Systeme sollen zum vorgesehenen Zeitpunkt nutzbar beziehungsweise erreichbar sein.
Schutzziele im K-27-Fall
| Situation | Schutzbezug |
|---|---|
| Interne Netzwerkdokumentation wird einer nicht vorgesehenen Person gezeigt. | Vertraulichkeit |
| Freigegebene Konfigurationswerte werden unbemerkt verändert. | Integrität |
| Ein benötigtes Dokumentationssystem ist nicht erreichbar. | Verfügbarkeit |
| Eine Datei wird unbefugt verändert und anschließend nicht mehr bereitgestellt. | Integrität und Verfügbarkeit |
Ein einzelnes Ereignis kann mehrere Schutzziele gleichzeitig betreffen. LF4.1 ordnet zunächst den Schutzbezug ein; die spätere Schutzbedarfsbewertung folgt erst danach.
Informationssicherheit ist nicht Datenschutz
Datenschutz und Informationssicherheit können sich überschneiden, sind aber nicht identisch.
Informationssicherheit
Betrachtet den angemessenen Schutz relevanter Informationen und Systeme im Sicherheitskontext.
Datenschutz
Bezieht sich auf personenbezogene Daten und die dafür geltenden rechtlichen Anforderungen.
Konkrete rechtliche Regelungen werden in LF4.2 mit geeigneten Primärquellen eingeordnet.
Quellenebenen unterscheiden
| Ebene | Funktion |
|---|---|
| KMK-Rahmenlehrplan | Curriculum und Kompetenzstruktur |
| BSI-Publikation | offizielle Fachquelle |
| konkrete Rechtsquelle | Beleg für eine konkrete Rechtsaussage |
| K-27-Sicherheitsleitlinie | fiktive betriebliche Vorgabe |
Was LF4.1 bewusst noch nicht macht
- keine finale Schutzbedarfskategorie,
- keine vollständige Schadensklassifikation,
- keine Bedrohungsgewichtung,
- keine vollständige Risikoanalyse,
- keinen Maßnahmenkatalog,
- keine technische Härtung,
- kein Penetration Testing,
- kein Red Teaming,
- keine vollständige BSI-Grundschutzmodellierung,
- keine vollständige Einführung eines ISMS.
PRAXISAUFGABE
Praktische Lernaufgabe
- Interne Betriebsdokumentation gelangt an eine nicht vorgesehene externe Person.
- Eine freigegebene Clientkonfiguration wird unbemerkt verändert.
- Das Dokumentationssystem steht während eines geplanten Rollouts nicht zur Verfügung.
- Eine technische Information ist verfügbar, aber nach einer Änderung nicht mehr verlässlich.
Ordnen Sie jeweils betroffenes Schutzziel, beobachtbare Situation, noch fehlende Informationen und den späteren Bewertungsschritt ein.
Selbsttest LF4.1 – Informationssicherheit und Schutzziele
Prüfen Sie, ob Sie Informationssicherheit, den eigenen Arbeitsbereich, eine bestehende Sicherheitsleitlinie sowie Vertraulichkeit, Integrität und Verfügbarkeit sauber einordnen können.
Alle Fragen und Antwortmöglichkeiten dieses Selbsttests wurden für SemaTrain eigenständig entwickelt.
Praxisauftrag
Selbsttraining – keine Abgabe erforderlich.
Entwerfen Sie einen vollständig fiktiven, klar abgegrenzten IT-Arbeitsbereich.
- Name und Zweck des Arbeitsbereichs,
- mindestens vier relevante Informationen oder Systeme,
- zuständige Rollen,
- eine kurze fiktive Sicherheitsleitlinie mit mindestens vier Grundsätzen,
- je zwei Beispiele für Vertraulichkeit, Integrität und Verfügbarkeit,
- mindestens einen Fall mit mehreren betroffenen Schutzzielen,
- mindestens drei offene Informationen für spätere LF4-Schritte.
Bestimmen Sie noch keine finale Schutzbedarfskategorie. Gewichten Sie noch keine Bedrohungen und erstellen Sie noch keinen Maßnahmenkatalog.
SELBSTKONTROLLE
Selbstkontrolle
- Kann ich meinen Arbeitsbereich eindeutig abgrenzen?
- Kann ich eine Sicherheitsleitlinie als betriebliche Vorgabe einordnen?
- Kann ich Vertraulichkeit, Integrität und Verfügbarkeit erklären?
- Erkenne ich Mehrfachbetroffenheit der Schutzziele?
- Trenne ich Fachquelle, Rechtsquelle und betriebliche Vorgabe?
- Setze ich Datenschutz nicht mit Informationssicherheit gleich?
- Vermeide ich eine vorzeitige Schutzbedarfsklassifikation?
REFLEXION
Reflexion
- Warum muss der Arbeitsbereich zuerst abgegrenzt sein?
- Warum ist eine Sicherheitsleitlinie keine Rechtsnorm?
- Warum können mehrere Schutzziele gleichzeitig betroffen sein?
- Warum ist Datenschutz nicht deckungsgleich mit Informationssicherheit?
- Warum wäre eine finale Schutzbedarfskategorie in LF4.1 zu früh?
- Welche Informationen benötigt LF4.2 als nächsten Schritt?
Quellen & Einordnung
Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.
Offizielle Fachquelle:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-1 – Managementsysteme für Informationssicherheit (ISMS), Version 1.0, Oktober 2017.
Methodischer Ausblick:
BSI-Standard 200-2 – IT-Grundschutz-Methodik, Version 1.0, Oktober 2017. Er wird in den folgenden LF4-Schritten für die methodische Konkretisierung herangezogen.
Rechtsquellen:
LF4.1 verwendet bewusst keine künstliche Rechtsquelle. Konkrete rechtliche Regelungen werden in LF4.2 anhand des Lernfalls und geeigneter Primärquellen eingeordnet.
Clean Room:
Die K-27-Sicherheitsleitlinie, Beispiele, Tabellen, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. BSI- und KMK-Texte werden nicht reproduziert.
Curriculare Abgrenzung:
LF4.1 schafft den Informations- und Scope-Unterbau. Schutzbedarfsfeststellung, Schadensklassifikation, Bedrohungsgewichtung und Maßnahmenumsetzung folgen später.