IT-Sicherheit vs. Informationssicherheit - Was ist der Unterschied?

INHALT

• IT-Sicherheit vs. Informationssicherheit
• Schutzziele der Informationssicherheit
• IT-Sicherheit laut Definition
• Informationssicherheit = IT-Sicherheit plus X
• IT-Sicherheit per Gesetz
• ISO 27001 – Die Norm für Informationssicherheit
• Informationssicherheit oft analoger als gedacht
• IT-Sicherheit vs. Informationssicherheit – Fazit
• Was Sie von uns erwarten können

IT-Sicherheit vs. Informationssicherheit

Informationssicherheit ist mehr als nur IT-Sicherheit. Sie legt den Fokus auf das gesamte Unternehmen. Denn die Sicherheit vertraulicher Informationen zielt eben nicht nur auf Daten, die mit elektronischen Systemen verarbeitet werden. Informationssicherheit umfasst alle zu schützenden Unternehmenswerte, auch auf analogen Datenträgern, wie beispielsweise Papier.

Schutzziele der Informationssicherheit

Die drei wesentlichen Schutzziele der Informationssicherheit – Vertraulichkeit, Verfügbarkeit und Integrität – gelten also auch für einen Brief mit wichtigen Vertragsunterlagen, der gänzlich analog, aber dennoch pünktlich, zuverlässig und unversehrt von einem Kurier transportiert bei seinem Empfänger ankommen muss. Und diese Schutzziele gelten gleichermaßen für ein DIN A4-Blatt, das vertrauliche Informationen enthält, aber für jedermann einsehbar auf einem unbeaufsichtigten Schreibtisch liegt oder im Kopierer frei zugänglich auf unbefugten Zugriff wartet.

Somit greift Informationssicherheit weiter als IT-Sicherheit. Die IT-Sicherheit hingegen bezieht sich „nur“ auf den Schutz von Informationen auf IT- Systemen.

IT-Sicherheit laut Definition

Was sagen offizielle Stellen? IT-Sicherheit ist „ein Zustand, in dem die Risiken, die beim Einsatz von Informationstechnik aufgrund von Bedrohungen und Schwachstellen vorhanden sind, durch angemessene Maßnahmen auf ein tragbares Maß reduziert sind. IT-Sicherheit ist also der Zustand, in dem Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Informationstechnik durch angemessene Maßnahmen geschützt sind.“ So das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Informationssicherheit = IT-Sicherheit plus x

In der Praxis wird bisweilen ein anderer Ansatz verfolgt, und zwar mit der Faustformel „Informationssicherheit = IT-Sicherheit + Datenschutz“. Diese als Gleichung notierte Aussage ist allerdings recht plakativ. Zwar geht es beim Thema Datenschutz gemäß DSGVO um den Schutz der Privatsphäre, der von Verarbeitern personenbezogener Daten sowohl eine sichere IT als auch z.B. eine sichere Gebäudeumgebung verlangt – und damit ein physischer Zugriff auf Kundendatensätze ausgeschlossen ist. Jedoch bleiben dabei wichtige analoge Daten, die keinen personenbezogenen Schutz verlangen, außen vor. Beispielsweise Konstruktionspläne von Unternehmen und vieles mehr.

Der Begriff Informationssicherheit enthält grundlegende Kriterien, die über reine IT-Aspekte hinausgehen, diese aber immer einschließen. So werden vergleichsweise auch einfache technische bzw. organisatorische Maßnahmen im Rahmen der IT-Sicherheit immer vor dem Hintergrund angemessener Informationssicherheit ergriffen. Beispiele dafür können sein:

• Sicherung der Stromversorgung der Hardware
• Maßnahmen gegen Überhitzung der Hardware
• Viren-Scans und sichere Programme
• Organisation von Ordnerstrukturen
• Einrichtung und Aktualisierung von Firewalls
• Schulung von Mitarbeitern etc.

Es liegt auf der Hand, dass Rechner und komplette IT-Systeme für sich selbst genommen nicht geschützt werden müssten. Denn ohne Informationen, die man digital verarbeiten oder transportieren wollte, werden Hard- und Software sinnlos.

IT-Sicherheit per Gesetz

Thema KRITIS: Das IT-Sicherheitsgesetz hat kritische Infrastrukturen aus verschiedenen Sektoren im Blick, wie zum Beispiel Strom-, Gas- und Wasserversorgung, Transport, Finanzen, Ernährung oder Gesundheit. Hier geht es vor allem um den Schutz der IT-Infrastruktur vor Cyber-Kriminalität, um die Verfügbarkeit und die Sicherheit von IT-Systemen aufrechtzuerhalten. Insbesondere die heute digital gesteuerten fernwirktechnischen Anlagen müssen geschützt werden.

Diese Schutzziele stehen dabei im Vordergrund (Auszug):

• Betrachten von IT-Sicherheitsrisiken
• Erstellen von IT-Sicherheitskonzepten
• Erstellen von Notfallplänen
• Treffen allgemeiner Sicherheitsvorkehrungen
• Kontrolle der Internet-Sicherheit
• Verwendung kryptografischer Methoden etc.

ISO 27001 – Die Norm für Informationssicherheit

Was sagt ISO 27001? Die weltweit anerkannte Norm für ein Informationssicherheits-Managementsystem (ISMS), mit ihren Derivaten ISO 27019, ISO 27017 und ISO 27701, heißt in der aktuellen deutschen Fassung:

Der Titel dieser bedeutenden Norm macht deutlich, dass IT-Sicherheit heute eine große Rolle für die Informationssicherheit spielt und künftig weiter an Bedeutung gewinnen wird. Die Anforderungen, die in ISO 27001 gestellt werden, zielen aber nicht nur auf digitale IT-Systeme. Im Gegenteil: