IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Schutzbedarfsanalyse
3. Schutzbedarfsanalyse
Die eingesetzte Informationstechnik ist nicht
aus sich heraus, sondern vielmehr wegen
ihres Wertes für die Anwender schützenswert.
Der Wert der Daten und Funktionen,
die die IT bereitstellt, ist in der Regel um ein
vielfaches höher als der Wert der Technik
selbst. Daher sind IT-Sicherheitsmaßnahmen
aus den Sicherheitsanforderungen der IT-
Verfahren bzw. IT-Arbeitsprozesse abzuleiten.
Die Untersuchung eines IT-Verfahrens bzw.
eines IT-Arbeitsprozesses hat daher mit der
Analyse seines Schutzbedarfes zu beginnen.
Die an der teilnehmenden Institutionen geltenden
Regelungen zur Ermittlung des jeweils
passenden Schutzbedarfes wurden
nach BSI-Standard 100-2 „IT-Grundschutz-
Vorgehensweise“ Kapitel 4.3 und an die
einschlägigen Empfehlungen der Koordinierungs-
und Beratungsstelle der Bundesregierung
für Informationstechnik in der Bundesverwaltung
(KBSt) aufgestellt und abgestimmt (Tabelle 1: Bewertungsmaßstab für
den Schutzbedarf von IT-Verfahren).
Der Bewertungsmaßstab klassifiziert den Schutzbedarf in drei Werte (Schutzklassen) „normal“,
„hoch“ und „sehr hoch“ und beschreibt die Bedeutung dieser Werte in Hinblick auf 6
Schadensszenarien bezüglich Vertraulichkeit, Integrität und Verfügbarkeit von Daten. Für
jedes IT-Verfahren bzw. jeden IT-Arbeitsprozess ist ein Mindestmaß an Sicherheit zu gewährleisten,
daher sind die Regeln des IT-Grundschutzes (Kapitel 2 „Definition des Grundschutzes“)
in allen IT-Verfahren/IT-Arbeitsprozesse verpflichtend einzuhalten. Aufgrund
des Ergebnisses der Schutzbedarfsanalyse können sich weitere Anforderungen ergeben.
Der Schutzbedarf wird über die Abschätzung der schlimmsten denkbaren Folgen des Verlustes
von Vertraulichkeit, Integrität und Verfügbarkeit ermittelt. Die Abschätzung hat gesondert
für folgende Schadensszenarien zu erfolgen:
1. Beeinträchtigung des informationellen Selbstbestimmungsrechts
2. Verstoß gegen Gesetze, Vorschriften und Verträge,
3. Beeinträchtigung der persönlichen Unversehrtheit
4. Beeinträchtigung der Aufgabenerfüllung
5. Negative Außenwirkung
6. Finanzielle Auswirkungen
53 von 75