Was ist die CIA-Triade (Vertraulichkeit, Integrität, Verfügbarkeit)?

Übersicht

Die CIA-Triade - Vertraulichkeit, Integrität und Verfügbarkeit - repräsentiert die drei grundlegenden Ziele der Informationssicherheit. Diese Kernprinzipien leiten die Auswahl von Sicherheitskontrollen, Risikobewertungen und die Bewertung von Vorfallauswirkungen in ISO 27001 und allen Informationssicherheits-Frameworks.

Was es in der Praxis bedeutet

Jede Sicherheitskontrolle, die Sie implementieren, schützt einen oder mehrere Aspekte der CIA-Triade. Bei der Risikobewertung bewerten Sie potenzielle Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Wenn Vorfälle auftreten, messen Sie den Schaden in CIA-Begriffen.

Vertraulichkeit

Definition

Vertraulichkeit stellt sicher, dass Informationen nicht an unbefugte Personen, Entitäten oder Prozesse weitergegeben werden. Nur diejenigen mit berechtigtem Bedarf und entsprechender Autorisierung können auf sensible Informationen zugreifen.

Was Vertraulichkeit schützt

• Personenbezogene Daten: Kundeninformationen, Mitarbeiterakten, Gesundheitsdaten
• Geschäftsgeheimnisse: Betriebsgeheimnisse, strategische Pläne, Preismodelle
• Finanzinformationen: Bankdaten, Zahlungskartendaten, Finanzberichte
• Geistiges Eigentum: Quellcode, Patente, proprietäre Forschung
• Vertrauliche Kommunikation: Private E-Mails, rechtlicher Schriftverkehr

Bedrohungen für die Vertraulichkeit

• Datenlecks und unbefugter Zugriff
• Insider-Bedrohungen (böswillige oder versehentliche Offenlegung)
• Social Engineering und Phishing-Angriffe
• Schwache Zugriffskontrollen oder Authentifizierung
• Unverschlüsselte Datenübertragung oder -speicherung
• Unsachgemäße Entsorgung physischer Dokumente oder Medien
• Fehlverhalten Dritter im Umgang mit Daten

ISO 27001-Kontrollen zum Schutz der Vertraulichkeit

• A.5.12 - Klassifizierung von Informationen: Daten nach Sensibilität kennzeichnen
• A.5.15 - Zugriffskontrolle: Zugriff auf autorisierte Benutzer beschränken
• A.5.17 - Authentifizierungsinformationen: Passwörter und Anmeldedaten sichern
• A.8.5 - Sichere Authentifizierung: Multi-Faktor-Authentifizierung
• A.8.24 - Einsatz von Kryptographie: Sensible Daten verschlüsseln
• A.6.6 - Vertraulichkeitsvereinbarungen: Rechtlicher Schutz durch NDAs
• A.5.14 - Informationsübermittlung: Sichere Übertragungsmethoden

Messung der Auswirkungen auf die Vertraulichkeit

Bei der Bewertung des Risikoeinflusses auf die Vertraulichkeit sind folgende Aspekte zu berücksichtigen:

• Rechtlich/regulatorisch: GDPR-Bußgelder, regulatorische Strafen
• Rufschädigend: Verlust des Kundenvertrauens, Imageschaden
• Wettbewerbsbezogen: Offenlegung von Betriebsgeheimnissen gegenüber Wettbewerbern
• Finanziell: Identitätsdiebstahl, Betrugsverluste, Benachrichtigungskosten

Integrität

Definition

Integrität stellt sicher, dass Informationen genau, vollständig und unverändert bleiben, außer durch autorisierte Prozesse. Sie schützt vor unbefugter Änderung, Löschung oder Beschädigung von Daten.

Was Integrität schützt

• Datenrichtigkeit: Finanzunterlagen, Transaktionsprotokolle, Kundendatenbanken
• Systemkonfigurationen: Sicherheitseinstellungen, Zugriffsregeln, Netzwerkkonfigurationen
• Quellcode: Softwareanwendungen, Skripte, Automatisierungscode
• Prüfpfade: Protokolle, die für die Compliance manipulationssicher sein müssen
• Rechtsdokumente: Verträge, Vereinbarungen, regulatorische Einreichungen

Bedrohungen für die Integrität

• Malware, die Dateien verändert oder beschädigt
• Unbefugte Änderungen durch Insider oder Angreifer
• Softwarefehler, die Fehler verursachen
• Hardwareausfälle, die zu Datenbeschädigung führen
• Menschliches Versagen (versehentliches Löschen oder Ändern)
• Man-in-the-Middle-Angriffe, die Daten während der Übertragung verändern
• Datenbank-Injektionsangriffe

ISO 27001-Kontrollen zum Schutz der Integrität

• A.8.13 - Datensicherung: Wiederherstellung von Daten in einen bekannten guten Zustand
• A.8.16 - Überwachung von Aktivitäten: Erkennung unbefugter Änderungen
• A.8.24 - Einsatz von Kryptographie: Hash-Funktionen zur Überprüfung, ob Daten unverändert sind
• A.5.3 - Funktionstrennung: Verhinderung unbefugter Änderungen durch duale Kontrolle
• A.8.32 - Änderungsmanagement: Steuerung von Systemmodifikationen
• A.8.29 - Sicherheitstests in der Entwicklung: Vermeidung von Integritätsproblemen im Code
• A.5.33 - Schutz von Aufzeichnungen: Aufrechterhaltung der Integrität von Aufzeichnungen

Messung der Auswirkungen auf die Integrität

Bei der Bewertung des Risikoeinflusses auf die Integrität sind folgende Aspekte zu berücksichtigen:

• Operativ: Falsche Daten führen zu falschen Geschäftsentscheidungen
• Finanziell: Betrügerische Transaktionen, Buchhaltungsfehler
• Rechtlich: Verträge oder Aufzeichnungen wurden verändert, Prüfpfad kompromittiert
• Sicherheit: Kritische Systemkonfigurationen wurden geändert (Gesundheitswesen, industrielle Steuerung)

Verfügbarkeit

Definition

Verfügbarkeit stellt sicher, dass Informationen und Informationssysteme für autorisierte Benutzer bei Bedarf zugänglich und nutzbar sind. Systeme müssen zuverlässig, widerstandsfähig und wiederherstellbar sein.

Was Verfügbarkeit schützt

• Geschäftsabläufe: Kritische Anwendungen, kundenorientierte Dienste
• Umsatzgenerierung: E-Commerce-Plattformen, Zahlungsabwicklung
• Kommunikationssysteme: E-Mail, Kollaborationstools, Telefonsysteme
• Datenzugriff: Datenbanken, Dateiserver, Cloud-Speicher
• Infrastruktur: Netzwerke, Server, Arbeitsstationen

Bedrohungen für die Verfügbarkeit

• Distributed Denial of Service (DDoS)-Angriffe
• Ransomware, die kritische Daten verschlüsselt
• Hardwareausfälle und Kapazitätsengpässe
• Stromausfälle und Umweltkatastrophen
• Netzwerkausfälle und Bandbreitenüberlastung
• Softwareabstürze und Fehlkonfigurationen
• Böswilliges Löschen von Daten oder Systemen

ISO 27001-Kontrollen zum Schutz der Verfügbarkeit

• A.8.13 - Datensicherung: Wiederherstellung nach Datenverlust
• A.5.29 - Informationssicherheit während einer Störung: Aufrechterhaltung des Betriebs während Vorfällen
• A.5.30 - ICT-Bereitschaft für die Geschäftskontinuität: Notfallwiederherstellungsplanung
• A.8.6 - Kapazitätsmanagement: Sicherstellung ausreichender Systemressourcen
• A.8.14 - Redundanz von Informationsverarbeitungsanlagen: Beseitigung von Single Points of Failure
• A.7.12 - Gerätewartung: Präventive Wartung zur Vermeidung von Ausfällen
• A.8.7 - Schutz vor Malware: Verhinderung von Ransomware-Störungen

Messung der Auswirkungen auf die Verfügbarkeit

Bei der Bewertung des Risikoeinflusses auf die Verfügbarkeit sind folgende Aspekte zu berücksichtigen:

• Finanziell: Umsatzverlust während der Ausfallzeit, SLA-Strafen
• Operativ: Produktivitätsverlust, verpasste Fristen
• Rufschädigend: Kundenunzufriedenheit, Nichteinhaltung von Servicelevels
• Rechtlich/regulatorisch: Compliance-Verstöße, Vertragsbrüche

Verfügbarkeitsmetriken

• Recovery Time Objective (RTO): Maximal akzeptable Ausfallzeit
• Recovery Point Objective (RPO): Maximal akzeptabler Datenverlust
• Mean Time Between Failures (MTBF): Maß für die Systemzuverlässigkeit
• Mean Time To Repair (MTTR): Wie schnell der Service wiederhergestellt wird
• Verfügbarkeitsprozentsatz: 99,9 % (8,76 Stunden/Jahr Ausfallzeit), 99,99 % (52,6 Minuten/Jahr)

Abwägung der CIA-Triade

Kompromisse zwischen den Prinzipien

Sicherheitskontrollen erfordern oft eine Abwägung zwischen den CIA-Prinzipien:

• Vertraulichkeit vs. Verfügbarkeit: Starke Verschlüsselung schützt die Vertraulichkeit, kann jedoch die Systemleistung verlangsamen oder die Wiederherstellung erschweren, wenn Verschlüsselungsschlüssel verloren gehen
• Integrität vs. Verfügbarkeit: Umfangreiche Änderungssteuerungs- und Genehmigungsprozesse schützen die Integrität, können jedoch dringende Systemaktualisierungen verzögern, die für die Verfügbarkeit benötigt werden
• Verfügbarkeit vs. Vertraulichkeit: Hohe Verfügbarkeit erfordert oft die Replikation von Daten über mehrere Standorte, was das Vertraulichkeitsrisiko durch mehrere Speicherpunkte erhöht

Kontextspezifische Priorisierung

Verschiedene Organisationen und Informationstypen priorisieren die CIA unterschiedlich:

• Gesundheitswesen: Verfügbarkeit ist kritisch (die Patientenversorgung hängt vom Systemzugriff ab), aber Vertraulichkeit ist gesetzlich vorgeschrieben (HIPAA)
• Finanzdienstleistungen: Integrität ist von größter Bedeutung (Transaktionsgenauigkeit) mit starker Vertraulichkeit und hoher Verfügbarkeit
• Öffentliche Websites: Verfügbarkeit ist kritisch (Rufschädigung), Integrität wichtig (Verhinderung von Defacement), Vertraulichkeit weniger relevant für öffentliche Daten
• Forschungsdaten: Integrität ist essenziell (Datenrichtigkeit), Vertraulichkeit variiert je nach Sensibilität, Verfügbarkeit kann einige Verzögerungen tolerieren

CIA-Triade in ISO 27001-Prozessen

Informationsklassifizierung

Bei der Klassifizierung von Assets (A.5.12) ist zu berücksichtigen, welche CIA-Prinzipien geschützt werden müssen:

• Öffentlich: Geringe CIA-Anforderungen
• Intern: Mittlere Vertraulichkeit, mittlere Integrität, mittlere Verfügbarkeit
• Vertraulich: Hohe Vertraulichkeit, hohe Integrität, variable Verfügbarkeit
• Kritisch: Hoch in allen drei CIA-Dimensionen

Auswirkungenbewertung in der Risikoanalyse

ISO 27001-Risikobewertungen bewerten die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit separat und kombinieren oder priorisieren sie dann basierend auf dem organisatorischen Kontext.

Kontrollauswahl

Kontrolltypen den CIA-Bedrohungen zuordnen:

• Präventive Kontrollen: Verhindern CIA-Verletzungen, bevor sie auftreten (Zugriffskontrollen, Verschlüsselung)
• Detektivische Kontrollen: Identifizieren CIA-Verletzungen, wenn sie auftreten (Überwachung, Protokollierung)
• Korrektive Kontrollen: Stellen CIA nach Verletzungen wieder her (Backups, Incident Response)

Über die CIA-Triade hinaus

Erweiterte Modelle

Einige Frameworks fügen zusätzliche Sicherheitsprinzipien hinzu:

• Authentizität: Überprüfung, dass Daten oder Benutzer echt sind (abgedeckt durch Authentifizierungskontrollen)
• Nichtabstreitbarkeit: Nachweis, dass Handlungen nicht geleugnet werden können (Prüfpfade, digitale Signaturen)
• Verantwortlichkeit: Rückverfolgbarkeit von Handlungen zu Personen (Protokollierung, Zugriffskontrollen)

ISO 27001 behandelt diese implizit durch Kontrollen, konzentriert sich jedoch hauptsächlich auf die CIA.

CIA-Triade im Incident Response

Vorfallklassifizierung

Sicherheitsvorfälle nach dem verletzten CIA-Prinzip kategorisieren:

• Vertraulichkeitsvorfälle: Datenlecks, unbefugter Zugriff, Informationsweitergabe
• Integritätsvorfälle: Unbefugte Änderungen, Datenbeschädigung, Defacement
• Verfügbarkeitsvorfälle: DDoS-Angriffe, Ransomware, Systemausfälle

Priorisierung der Reaktion

Die Schwere hängt davon ab, welches CIA-Prinzip betroffen ist und wie wichtig es für Ihr Unternehmen ist. Ein Vertraulichkeitsverstoß bei personenbezogenen Kundendaten kann schwerwiegender sein als die vorübergehende Nichtverfügbarkeit eines internen Tools.

Verwandte Konzepte

• Risk Assessment - Bewertet Bedrohungen für die CIA
• Asset - Elemente, die CIA-Schutz benötigen
• Control - Maßnahmen zum Schutz der CIA
• Information Classification - Kategorisierung von Daten nach CIA-Anforderungen
• Incident Response - Behandlung von CIA-Verletzungen

Hilfe erhalten

Nutzen Sie ISMS Copilot, um zu bewerten, welche CIA-Prinzipien für Ihre Assets am kritischsten sind, Kontrollen angemessen auszuwählen und die Auswirkungen auf die CIA in Ihren Risikobewertungen zu dokumentieren.