Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 7.2 Tec ... / 2.2 Schutzziele und zugehörige IKT-Risikokategorien

Rz. 25

Die IT-Systeme (Hardware- und Software-Komponenten), die zugehörigen IT-Prozesse und die sonstigen Bestandteile des Informationsverbundes müssen die "Integrität", die "Verfügbarkeit", die "Authentizität" sowie die "Vertraulichkeit" der Daten sicherstellen. Gemäß Tz. 4.7 BAIT handelt es sich dabei um die sogenannten "Schutzziele" bzw. im Sprachgebrauch des Bundesamtes für Sicherheit in der Informationstechnik (BSI) "Grundwerte der Informationssicherheit".

Rz. 26

Als klassische Schutzziele gelten in erster Linie die sogenannten "CIA-Ziele", d. h. "Vertraulichkeit" ("confidentiality"), "Integrität" ("integrity") und "Verfügbarkeit" ("availability"). Ergänzend dazu gibt es neben der "Authentizität" ("authenticity"), die teilweise als Element der Integrität angesehen wird, noch weitere Schutzziele, die ab und zu ebenfalls Verwendung finden. Genannt seien an dieser Stelle die "Revisionsfähigkeit" ("auditability"), die "Rückverfolgbarkeit" ("trace­ability"), die "Nichtabstreitbarkeit" ("non repudiation") und die "Zurechenbarkeit" ("accountability"), auf die später noch eingegangen wird.

Rz. 27

Auch das BSI nennt als "Grundwerte der Informationssicherheit" nur Vertraulichkeit, Integrität und Verfügbarkeit. Allerdings weist das BSI darauf hin, dass viele Anwender in ihre Betrachtungen weitere Grundwerte (Schutzziele) einbeziehen. Insbesondere steht es jedem Anwender des IT-Grundschutzes frei, bei der "Schutzbedarfsfeststellung"^[1] weitere Grundwerte zu betrachten, wenn dies in seinem individuellen Anwendungsfall hilfreich erscheint. Zu weiteren generischen Oberbegriffen der Informationssicherheit zählt das BSI neben Authentizität und Nichtabstreitbarkeit noch "Verbindlichkeit" und "Zuverlässigkeit".^[2]

Rz. 28

Im Hinblick auf seine Anforderungen an die Risikodatenaggregation ...