Informationssicherheit
Kurzbeschreibung
Informationssicherheit umfasst alle technischen, organisatorischen und personellen Maßnahmen zum Schutz von Informationen vor Verlust, Missbrauch, Manipulation oder unberechtigtem Zugriff.
Sie schützt nicht nur digitale Daten, sondern auch:
- Papierdokumente
- Wissen
- Geschäftsgeheimnisse
- Produktionsdaten
- Kommunikationsinhalte
Grundgedanke:
Informationssicherheit stellt sicher, dass Informationen vertraulich, vollständig und verfügbar bleiben.
Unterschied zwischen Informationssicherheit und Cybersecurity
Die Begriffe werden häufig gleich verwendet, sind aber nicht identisch.
|Informationssicherheit|Cybersecurity|
|-|-|
|Schützt alle Arten von Informationen|Schützt digitale Systeme und Netzwerke|
|Umfasst Technik, Organisation und Menschen|Schwerpunkt auf digitale Bedrohungen|
|Ganzheitlicher Ansatz|Teilbereich der Informationssicherheit|
Zusammenhang:
Informationssicherheit
↓
Cybersecurity
Siehe:
Schutzziele der Informationssicherheit
Die Grundlage bilden die drei klassischen Schutzziele:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese werden häufig als CIA-Schutzziele bezeichnet.
Vertraulichkeit
Informationen dürfen nur von berechtigten Personen eingesehen werden.
Beispiele:
- Zugriffskontrollen
- Berechtigungsverfahren
- Verschlüsselung
Schutz vor:
- Datendiebstahl
- Industriespionage
- unberechtigter Einsicht
Integrität
Informationen müssen korrekt und unverändert bleiben.
Schutz vor:
- Manipulation
- Fehlern
- unbemerkten Änderungen
Beispiele:
- Prüfsummen
- Änderungsprotokolle
- Freigabeprozesse
Verfügbarkeit
Informationen und Systeme müssen bei Bedarf nutzbar sein.
Schutz vor:
- Systemausfällen
- Sabotage
- Schadsoftware
- Datenverlust
Beispiele:
- Backups
- Notfallpläne
- redundante Systeme
Erweiterte Schutzziele
Moderne Informationssicherheit berücksichtigt weitere Ziele.
Authentizität
Sicherstellen, dass Informationen tatsächlich von der angegebenen Quelle stammen.
Beispiel:
- digitale Signaturen
Verbindlichkeit
Nachweisbarkeit von Handlungen.
Beispiel:
- Protokollierung von Änderungen
Datenschutz
Schutz personenbezogener Daten.
Siehe:
Informationssicherheit im Unternehmen
Unternehmen besitzen zahlreiche schützenswerte Informationen:
- Kundendaten
- Beschäftigtendaten
- Produktionsdaten
- Konstruktionsdaten
- Geschäftsgeheimnisse
- Zugangsdaten
Informationssicherheitsmanagementsystem (ISMS)
Ein ISMS ist ein systematischer Ansatz zur Steuerung der Informationssicherheit.
Bestandteile:
- Sicherheitsziele
- Risikoanalyse
- Maßnahmenplanung
- Kontrolle
- Verbesserung
Bekannter Standard:
Risikomanagement
Informationssicherheit beginnt mit der Bewertung von Risiken.
Ablauf:
Information erfassen
↓
Gefährdung erkennen
↓
Risiko bewerten
↓
Schutzmaßnahmen umsetzen
↓
Wirksamkeit prüfen
Typische Bedrohungen
Schadsoftware
Beispiele:
- Viren
- Trojaner
- Ransomware
Phishing
Angriffe durch Täuschung.
Ziele:
- Zugangsdaten
- Unternehmensinformationen
- Zahlungsdaten
Menschliche Fehler
Beispiele:
- falscher E-Mail-Versand
- schwache Passwörter
- Verlust von Geräten
Insider-Risiken
Gefahren durch:
- unberechtigte Zugriffe
- absichtlichen Missbrauch
- Fehlverhalten
Technische Maßnahmen
Beispiele:
- Firewalls
- Verschlüsselung
- Virenschutz
- Zugriffsschutz
- Mehr-Faktor-Authentifizierung
- Backups
- Sicherheitsupdates
Organisatorische Maßnahmen
Beispiele:
- Sicherheitsrichtlinien
- Berechtigungskonzepte
- Schulungen
- Notfallmanagement
- Datenschutzprozesse
Bedeutung der Beschäftigten
Beschäftigte sind ein zentraler Bestandteil der Informationssicherheit.
Wichtig:
- sichere Passwörter verwenden
- verdächtige Nachrichten melden
- vertrauliche Informationen schützen
- Sicherheitsregeln beachten
Technik allein reicht nicht aus.
Informationssicherheit und Datenschutz
Informationssicherheit unterstützt den Datenschutz.
Beispiel:
Personaldaten müssen geschützt werden vor:
- unbefugtem Zugriff
- Verlust
- Manipulation
Zusammenhang:
Informationssicherheit
↓
Schutzmaßnahmen
↓
Datenschutz
Informationssicherheit und Industrie 4.0
Durch:
entstehen neue Anforderungen.
Zu schützen sind:
- Maschinensteuerungen
- Produktionsdaten
- Sensorinformationen
- vernetzte Systeme
Risiken:
- Produktionsausfälle
- Manipulation
- Industriespionage
Informationssicherheit in der Smart Factory
In einer:
müssen geschützt werden:
- automatisierte Anlagen
- Roboter
- Prozessdaten
- digitale Steuerungen
Die Verbindung von Produktion und IT erhöht die Bedeutung der Sicherheit.
Informationssicherheit und mobiles Arbeiten
Bei:
entstehen zusätzliche Risiken:
- unsichere Netzwerke
- verlorene Geräte
- Zugriff außerhalb des Unternehmens
Maßnahmen:
- VPN
- Verschlüsselung
- klare Sicherheitsregeln
Informationssicherheit und Geschäftsgeheimnisse
Unternehmen müssen wichtige Informationen schützen.
Beispiele:
- technische Entwicklungen
- Produktionsverfahren
- Kundeninformationen
Siehe:
Rechtliche Grundlagen
DSGVO
Regelt:
- Schutz personenbezogener Daten
- technische und organisatorische Maßnahmen
- Datenschutzverletzungen
BSI-Gesetz (BSIG)
Regelt Anforderungen an:
- IT-Sicherheit
- kritische Infrastrukturen
- Sicherheitsmaßnahmen
NIS2-Richtlinie
Erhöht Anforderungen an Cybersicherheit bestimmter Unternehmen und Einrichtungen.
Rolle des Betriebsrats
Informationssicherheit betrifft häufig Beschäftigte und Arbeitsorganisation.
Der Betriebsrat hat Beteiligungsrechte bei technischen Systemen.
Grundlage:
§87 Abs. 1 Nr. 6 BetrVG
Mitbestimmung bei:
- technischen Einrichtungen zur Überwachung von Verhalten oder Leistung
Beispiele:
- Protokollierung
- Zugriffskontrolle
- Monitoring-Systeme
§90 BetrVG
Information und Beratung bei:
- technischen Anlagen
- neuen Arbeitsverfahren
Bedeutung für Arbeitgeber
Arbeitgeber müssen:
- Informationen schützen
- Risiken bewerten
- Sicherheitsmaßnahmen einführen
- Beschäftigte sensibilisieren
Bedeutung für Beschäftigte
Beschäftigte müssen:
- Sicherheitsvorgaben beachten
- vertrauliche Informationen schützen
- Vorfälle melden
Typische Fehler
- Informationssicherheit nur als IT-Aufgabe sehen
- Datenschutz und Sicherheit getrennt betrachten
- Beschäftigte nicht schulen
- Zugriffsrechte zu großzügig vergeben
- Backups nicht testen
- Sicherheitsvorfälle nicht dokumentieren
Praxisbeispiel
Ein Unternehmen digitalisiert seine Produktion.
Neue Risiken:
- vernetzte Maschinen
- Produktionsdaten in der Cloud
- Fernwartung
Maßnahmen:
1. Zugriffe werden beschränkt
2. Daten werden verschlüsselt
3. Beschäftigte werden geschult
4. Notfallpläne werden erstellt
5. Betriebsrat wird beteiligt
Ergebnis:
Digitalisierung wird sicher gestaltet.
Verhältnis zu anderen Themen
|Thema|Zusammenhang|
|-|-|
|Cybersecurity|Schutz digitaler Systeme|
|Datenschutz|Schutz personenbezogener Daten|
|Industrie 4.0|Vernetzte Produktion|
|Smart Factory|Digitale Fabrik|
|Digitalisierung|Treiber neuer Sicherheitsanforderungen|
|Betriebsgeheimnis|Schutz vertraulicher Unternehmensinformationen|
|Mobiles Arbeiten|Neue Sicherheitsanforderungen|
|Betriebsrat|Mitbestimmung bei Technik|
|Informationsfreiheit|Gegenpol zur Transparenz|
Merksatz
Informationssicherheit schützt Informationen durch technische, organisatorische und menschliche Maßnahmen und bildet die Grundlage für eine sichere digitale Arbeitswelt.
Bezug zu Knoten
- Cybersecurity
- Datenschutz
- Digitalisierung
- Industrie 4.0
- Smart Factory
- Betriebsgeheimnis
- Mobiles Arbeiten
- Betriebsrat
- Mitbestimmung
- Informationsfreiheit
Praxisrelevanz
Informationssicherheit ist ein Grundpfeiler moderner Unternehmen.
Für AELS besonders relevant:
- Schutz von Beschäftigten- und Unternehmensdaten
- Auswirkungen digitaler Systeme auf Arbeit
- sichere Gestaltung von Industrie 4.0
- Bedeutung von Technik und Organisation
- Mitbestimmung des Betriebsrats bei digitalen Kontrollsystemen
Im Kontext von AELS verbindet Informationssicherheit Datenschutz, Cybersecurity, Digitalisierung, Technik, Arbeitsorganisation und betriebliche Mitbestimmung.