Sicherheit in Information und Kommunikation

Das Thema Sicherheit im Bereich Information und Kommunikation (IK) ist durch die folgenden drei Anforderungen geprägt:

Verfügbarkeit ("Availability")
Informationen sowie Dienste müssen immer dann verfügbar sein, wenn sie benötigt werden und zwar in einer zumutbaren Zeitspanne.

Integrität ("Integrity")
Informationen sowie Dienste müssen "richtig", das heißt unverfälscht zur Verfügung stehen.

Vertraulichkeit ("Confidentiality")
Informationen sowie Dienste dürfen nur von entsprechend autorisierten Entitäten (Menschen oder Maschinen) genutzt werden.

Alle drei Anforderungen sind für die betrieblichen Prozesse richtig, wie auch für die, hoffentlich gut adaptierten, Prozesse der IK. Daher beginnt jede Sicherheitsplanung im IT-Bereich eigentlich mit einer Sicherheitsanalyse im Bereich der Betriebsprozesse, wo zunächst über eine Risikoanalyse festgestellt werden muss, ob Prozesse richtig aufgesetzt sind, nirgends zu viel Autorisierung besteht, die richtigen Daten verwendet werden und für all dies auch die notwendigen Kontrollen installiert sind ("Enterprise Risk Management"). Stark beeinflusst sind diese Fragen durch den Themenkomplex "Corporate Governance", der internationale, nationale, sowie betriebsabhängige (meist freiwillige) Regeln enthält, wie ein Betrieb zu einer transparenten Darstellung seines finanziellen und wirtschaftliche Zustands kommt.
Dieselben drei Anforderungen, Verfügbarkeit, Integrität und Vertraulichkeit, sind auch für die in der Informationswirtschaft eingesetzten Prozesse und Infrastrukturen gültig und müssen, wie bereits bemerkt, den Zielen der betrieblichen Prozesse angepasst sein. Der Erfüllungsgrad der Anforderungen kann durch Analysen nach dem Vorgehensmodell des Sicherheitsmanagement, wie in ISO/IEC 27001 beschrieben, beurteilt werden. Wenn notwendig, können aus dem Ergebnis, das von der physikalischen Sicherheit bis zur Mitarbeiterschulung zum Thema Sicherheit, alle Bereiche umfasst, auch entsprechende Maßnahmen abgeleitet werden.