6 Teil 6: V-Modell-Referenz Aktivitäten

6.3 Aktivitäten

6.3.7 Anforderungen und Analysen

6.3.7.7 Informationssicherheitskonzept erstellen

Sinn und Zweck

Ziel der Aktivität ist es, ein projektbezogenes »Informationssicherheitskonzept zu erstellen und fortzuschreiben. Im Einzelnen werden beispielsweise Aussagen zu folgenden sicherheitsrelevanten Aspekten festgehalten:

• Einsatzumgebung
• Schutzbedarf
• Vorgaben / Anforderungen aus anderen Projekten
• Informationssicherheitsanforderungen
• Informationssicherheitsmaßnahmen
• Verbleibende Risiken
• Notfallplanung
• Vorgaben für andere Projekte / Dienststelle

6.3.7.7.1 Einsatzzweck beschreiben

Das Projekt, für das das Informationssicherheitskonzept erstellt wird, ist zu identifizieren. Zur Projektidentifikation zählen Informationen zur Identifizierung des Projekts (z.B. DV-Ident-Nummer) sowie allgemeine Informationen zum Projekt (z.B. Projektverantwortliche, Einstufung, Beziehungen zu und Abhängigkeiten von anderen Projekten).

Einsatzzweck und Einsatzumgebung sind grob zu beschreiben.

6.3.7.7.2 Schutzbedarf analysieren

Die Informationsstruktur der verarbeiteten bzw. übermittelten Informationen ist zu ermitteln. Dabei ist der Schutzbedarf bezüglich Vertraulichkeit (anhand der Einstufung der Informationen), Integrität, Verbindlichkeit und Verfügbarkeit festzulegen.

6.3.7.7.3 Systemarchitektur darstellen

Die Systemarchitektur der ausgewählten Lösung ist aus Sicht der »Informationssicherheit zu beschreiben. Dabei sind die Betriebsarten (dedicated, system high, compartment und multi-level) zu berücksichtigen.

6.3.7.7.4 Informationssicherheitsanforderungen festlegen

Die »Informationssicherheitsanforderungen sind festzulegen. Sie sind zu unterteilen in technische, organisatorische, personelle und materielle Informationssicherheitsanforderungen.

6.3.7.7.5 Informationssicherheitsmaßnahmen festlegen

Zur Umsetzung der »Informationssicherheitsanforderungen sind entsprechende Informationssicherheitsmaßnahmen festzulegen. Die Informationssicherheitsmaßnahmen sind in technische, organisatorische, personelle und materielle Informationssicherheitsmaßnahmen zu unterteilen. Für die Realisierung der Informationssicherheitsmaßnahmen vorgesehene Produkte sind anzugeben.

Die vorgeschlagenen Informationssicherheitsmaßnahmen sind mit dem Auftraggeber abzustimmen. Weiterhin sind die Informationsicherheitsmaßnahmen mit den Risikominde-rungsmaßnahmen im Produkt „Gefährdungs- und Risikoanalyse Funktionssicherheit“ abzugleichen (z.B. hinsichtlich Redundanz, Widersprüchlichkeit).

6.3.7.7.6 Analyse verbleibender Risiken durchführen

Es ist darzustellen, welche Informationssicherheitsanforderungen durch welche Informationssicherheitsmaßnahmen erfüllt werden.

Sofern Informationssicherheitsanforderungen nicht vollständig durch Informationssicherheitsmaßnahmen abgedeckt sind, werden Gefährdungen hinsichtlich Verfügbarkeit, Integrität, Verbindlichkeit und Vertraulichkeit identifiziert und klassifiziert.

Für jedes sich daraus ergebende Risiko ist anzugeben, ob es toleriert werden kann oder nicht.

Für jedes als nicht tolerierbar eingestufte Risiko ist zu prüfen, ob es durch eine Stärkung der Maßnahmenseite soweit vermindert werden kann, dass es tolerier-bar wird.

Für die als nicht tolerierbar eingestuften Risiken, die nicht durch eine Stärkung der Maßnahmenseite behoben werden können, ist zu einer auch unter wirtschaftlichen Gesichtspunkten tragfähigen Lösung zu kommen (z.B. Festlegung von Übergangsmaßnahmen, Änderung der Funktionalität, Verzicht auf den Einsatz der IT).

Die vollständige Analyse wird als projektspezifische Gefährdungs- und Risikoanalyse Informationssicherheit in den Anhang des Informationssicherheitskonzepts übernommen. Die Hauptaussagen der Analyse werden im Thema Verbleibende Risiken dokumentiert.

6.3.7.7.7 Notfallplanung durchführen

Die erforderlichen Notfallmaßnahmen aus Sicht des Projekts sind zu erarbeiten. Hierzu gehört insbesondere die detaillierte Beschreibung der Vorgehensweise zur Wiederherstellung der Systemfunktionalität nach einem Teil- oder Totalausfall des Systems.

6.3.7.7.8 Vorgaben zur Überprüfung der Wirksamkeit der Maßnahmen erstellen

Diese Teilaktivität dient der kontinuierlichen Verbesserung und Optimierung des IT-Sicherheitskonzepts. Vorgaben zur Überprüfung der Wirksamkeit der Maßnahmen und zur Aufrechterhaltung der IT-Sicherheit sind festzuschreiben. Erforderliche Schulungs- und Sensibilisierungsmaßnahmen sind festzulegen.