Schutzziele der Informationssicherheit: Die Schutzziele der Informationssicherheit, auch CIA-Triade genannt, umfassen Vertraulichkeit, Integrität und Verfügbarkeit von Informationen; sie bilden die grundlegenden Bewertungskriterien, anhand derer im ISMS nach ISO 27001 jeder Informationswert auf Risiken hin untersucht wird.
Die drei Schutzziele lassen sich wie folgt unterscheiden:
- Vertraulichkeit (Confidentiality): Informationen sind nur befugten Personen zugänglich, ein Verstoß liegt etwa bei unbefugtem Zugriff oder einem Datenleck vor
- Integrität (Integrity): Informationen sind vollständig und unverändert, ein Verstoß liegt etwa bei unbemerkter Manipulation von Daten vor
- Verfügbarkeit (Availability): Informationen und Systeme stehen berechtigten Nutzern bei Bedarf zur Verfügung, ein Verstoß liegt etwa bei einem Systemausfall oder einer erfolgreichen Ransomware-Attacke vor
In der praktischen Risikoanalyse nach ISO 27001 wird jeder identifizierte Informationswert, etwa eine Kundendatenbank oder ein Produktionssystem, gegen alle drei Schutzziele bewertet: Wie schwerwiegend wäre ein Verlust der Vertraulichkeit, der Integrität oder der Verfügbarkeit dieses Werts? Aus dieser Bewertung, kombiniert mit der Eintrittswahrscheinlichkeit einer Bedrohung, ergibt sich das Risikoniveau.
| Schutzziel | Beispiel für Verletzung |
|---|---|
| Vertraulichkeit | Unbefugter Zugriff auf Personaldaten |
| Integrität | Manipulierte Rechnungsdaten |
| Verfügbarkeit | Ausfall des ERP-Systems durch Ransomware |
Manche Rahmenwerke ergänzen die klassische Triade um weitere Ziele wie Authentizität oder Nachvollziehbarkeit, der Kern jeder Risikobewertung nach ISO 27001 bleibt jedoch die klassische CIA-Triade.
In der Praxis hilft eine einfache Einstufung je Schutzziel, etwa niedrig, mittel oder hoch, um Informationswerte vergleichbar zu machen und Ressourcen für Schutzmaßnahmen sinnvoll zu priorisieren. Ein Wert mit hoher Einstufung in allen drei Kategorien, etwa eine zentrale Kundendatenbank, benötigt in der Regel deutlich umfangreichere technische und organisatorische Maßnahmen als ein Wert, der nur in einer Kategorie kritisch eingestuft wird.
Relevanz für die Zertifizierung
Im Zertifizierungsaudit nach ISO 27001 prüfen Auditoren, ob die Risikoanalyse tatsächlich systematisch anhand aller drei Schutzziele durchgeführt wurde und nicht nur oberflächlich auf einen Aspekt, häufig Vertraulichkeit, beschränkt bleibt. Fehlt etwa eine nachvollziehbare Bewertung der Verfügbarkeit für geschäftskritische Systeme, gilt die Risikoanalyse als unvollständig, was direkt die Wirksamkeit des gesamten ISMS infrage stellt.
Häufige Fragen zu Schutzziele der Informationssicherheit
CIA steht für Confidentiality, Integrity, Availability, also Vertraulichkeit, Integrität und Verfügbarkeit. Diese drei Schutzziele bilden die Grundlage jeder Risikoanalyse im ISMS nach ISO 27001 und werden für jeden identifizierten Informationswert einzeln bewertet, unabhängig von dessen Art oder Speicherort.
Die Gewichtung hängt vom konkreten Informationswert ab. Bei Personaldaten steht oft die Vertraulichkeit im Vordergrund, bei einem Produktionssteuerungssystem häufig die Verfügbarkeit. ISO 27001 schreibt keine feste Rangfolge vor, verlangt aber die nachvollziehbare Betrachtung und Bewertung aller drei Ziele je Wert.
Nein. Eine Risikoanalyse, die nur die Vertraulichkeit betrachtet, deckt Risiken durch Systemausfälle oder Datenmanipulation nicht ab und gilt im Audit nach ISO 27001 als unvollständig. Integrität und Verfügbarkeit müssen ebenso systematisch bewertet und mit konkreten, nachvollziehbaren Maßnahmen hinterlegt werden.