Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001 — schnel­le Umsetzung

Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001 — schnel­le Umsetzung

Unter­neh­men, die sich nach ISO 27001 zer­ti­fi­zie­ren, oder ein ISMS nach 27001 auf­bau­en möch­ten, haben die Her­aus­for­de­run­gen die Maß­nah­men der Klas­si­fi­zie­rung von Infor­ma­tio­nen A.5.12 des Anhang A umzu­set­zen. Zusam­men­ge­fasst sind die­se Anfor­de­run­gen, dass:

  1. Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau ent­spre­chend Ihrer Wer­tig­keit erhalten;
  2. Infor­ma­tio­nen gemäß exter­nen und inter­nen Anfor­de­run­gen klas­si­fi­ziert werden;
  3. Infor­ma­tio­nen ent­spre­chend einem Klas­si­fi­zie­rungs­sche­ma gekenn­zeich­net werden;
  4. es Ver­fah­ren für die Hand­ha­bung gemäß dem Klas­si­fi­zie­rungs­sche­ma gibt.

Refe­renz Eng­lisch: A.5.12 Clas­si­fi­ca­ti­on of infor­ma­ti­on, A.5.13 Label­ling of infor­ma­ti­on, A.5.10 Hand­ling of assets

Refe­renz Deutsch: A.5.12 Klas­si­fi­zie­rung von Infor­ma­tio­nen, A.5.13 Kenn­zeich­nung von Infor­ma­tio­nen, A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Infor­ma­tio­nen.

Die Klas­si­fi­zie­rung von Informationen

Die Ver­gan­gen­heit hat uns gezeigt, dass das klas­si­sche Klas­si­fi­zie­rungs­sche­ma „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ in der Pra­xis schlecht funk­tio­niert, hier ein Über­blick über das Schema.

Öffent­lich Intern Ver­trau­lich Streng Ver­trau­lich
Daten sind für jeder­mann, auch außer­halb der Fir­ma, zugänglich. Inter­ne Daten wer­den ledig­lich den eige­nen Mit­ar­bei­tern zugäng­lich gemacht. Ver­trau­lich defi­nier­te Daten sind ledig­lich einer begrenz­ten Anzahl an Mit­ar­bei­tern zugäng­lich, z.B. Per­so­nal­da­ten, Kun­den­lis­ten, Kalkulationen. Streng ver­trau­li­che Daten sind punk­tu­ell und aus­schließ­lich bestimm­ten defi­nier­ten Per­so­nen zugäng­lich. Eine Wei­ter­ga­be kann das Unter­neh­men nach­hal­tig schädigen.

Die Schwä­chen des klas­si­schen Klas­si­fi­zie­rungs­sche­mas sind:

  1. Mit­ar­bei­te­rIn­nen sind mit der Kenn­zeich­nung aller Doku­men­te über­for­dert, bei einem Audit fin­det der Audi­tor ton­nen­wei­se unge­kenn­zeich­ne­te „Inter­ne“ Informationen.
  2. Mit­ar­bei­te­rIn­nen ver­ste­hen den Unter­schied zwi­schen „Öffent­lich“ und „Intern“ nicht.
  3. Durch die Kenn­zeich­nung “Intern” wird signa­li­siert, dass eine Infor­ma­ti­on die­ser Schutz­klas­se nur inner­halb des Unter­neh­mens aus­ge­tauscht wer­den darf, was nicht stimmt.
  4. Beson­ders flei­ßi­ge Mit­ar­bei­te­rIn­nen erken­nen in Ihren Arbeits­do­ku­men­ten schnell „Ver­trau­li­che“ oder sogar „Streng Ver­trau­li­che“ Infor­ma­tio­nen und ver­ur­sa­chen so hohen Auf­wand und hohe Kos­ten beim Informationshandling.

Anwen­dung einer Informationsklassifizierung

Das Ziel der fol­gen­den drei Kon­trol­len ist die Anfor­de­rung, dass Unter­neh­men ihren Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau bie­ten müs­sen. Dabei ist zu berück­sich­ti­gen, dass unter­schied­li­che Infor­ma­tio­nen ver­schie­de­ne Wer­tig­kei­ten für das Unter­neh­men haben. So sind Mit­ar­bei­ter­da­ten, Kun­den­da­ten und Ent­wick­lungs­da­ten typi­scher­wei­se bes­ser zu schüt­zen als Produktinformationen.

Erklä­rung zu A.5.12 Klas­si­fi­zie­rung von Informationen

Mit der Maß­nah­me möch­te die Norm errei­chen, dass Infor­ma­tio­nen zu jeder Zeit klas­si­fi­ziert sind, wobei die Klas­si­fi­zie­rungs­stu­fe aus gesetz­li­chen Anfor­de­run­gen, der Anfor­de­rung von inter­es­sier­ten Par­tei­en oder dem Wert bzw. der Kri­ti­k­ali­tät gemäß der drei Schutz­zie­le Ver­trau­lich­keit, Inte­gri­tät, Ver­füg­bar­keit abge­lei­tet wer­den müssen.

Erklä­rung zu A.5.13 Kenn­zeich­nung von Informationen

Über die Kenn­zeich­nung von Infor­ma­tio­nen soll erreicht wer­den, dass Benut­ze­rIn­nen ein­fach erken­nen kön­nen wel­che Infor­ma­ti­ons­klas­si­fi­zie­rungs­stu­fe die jewei­li­gen Daten/Informationen tra­gen. Die­se Kenn­zeich­nung muss sowohl elek­tro­nisch gespei­cher­te Infor­ma­tio­nen abde­cken, als auch aus­ge­druck­te und archi­vier­te Informationen.

Erklä­rung zu A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Werten

Zu der Kenn­zeich­nung der Infor­ma­tio­nen gemäß dem Infor­ma­ti­ons­klas­si­fi­zie­rungs­sche­ma benö­ti­gen die Benut­ze­rIn­nen ver­ständ­li­che Anwei­sun­gen für die Hand­ha­bung der Infor­ma­tio­nen. Hier hat sich eine Matrix bewährt mit den wich­tigs­ten Arten wie mit Infor­ma­tio­nen umge­gan­gen bzw. wo die­se gespei­chert wer­den können:

  1. Wie ist zu kennzeichnen?
  2. Wo dür­fen die Infor­ma­tio­nen gespei­chert wer­den? (am Cli­ent, auf wel­chen Servern)
  3. Dür­fen die Infor­ma­tio­nen in der Cloud gespei­chert wer­den? (wenn ja, in wel­chen Clouds)
  4. Ist die Spei­che­rung auf mobi­len Daten­trä­gern oder dem Smart­phone erlaubt?
  5. Dür­fen Mit­ar­bei­ter klas­si­fi­zier­te Infor­ma­tio­nen per Email ver­sen­den, wenn ja mit wel­chen zusätz­li­chen Schutzmethoden?
  6. An wen und mit wel­chen Vor­aus­set­zun­gen dür­fen klas­si­fi­zier­te Infor­ma­tio­nen wei­ter­ge­ge­ben wer­den? (sowohl elek­tro­nisch als auch in Papierform)
  7. Dür­fen Infor­ma­tio­nen der ein­zel­nen Schutz­klas­sen phy­sisch ver­sandt wer­den? Wenn ja, mit wel­chen zusätz­li­chen Schutzmethoden?
  8. Wie müs­sen Infor­ma­tio­nen ent­sorgt bzw. ver­nich­tet wer­den? Spe­zi­ell gilt das auch für Papier­do­ku­men­te und Speichermedien.

Alle die­se Punk­te kön­nen in eine Matrix zum zuläs­si­gen Umgang mit klas­si­fi­zier­ten Infor­ma­tio­nen zusam­men­ge­fasst wer­den. Wir emp­feh­len hier aus­sa­ge­kräf­ti­ge Pik­to­gram­me zu nut­zen und stel­len ger­ne die von SEC4YOU ent­wi­ckel­ten Gra­fi­ken zur Verfügung.

In der Zuord­nungs­ta­bel­le — Zuord­nung ISO/IEC 27001 zum IT-Grund­schutz vom deut­schen BSI fin­det man auf Sei­te 8 und 9 eine Refe­renz zum BSI-Stan­dard 200–2, Kapi­tel 5.1 Klas­si­fi­zie­rung von Infor­ma­tio­nen und Kapi­tel 8.2 Schutz­be­darfs­fest­stel­lung und IT-Grund­schutz Bau­stein ISMS.1.A10 Erstel­lung eines Sicherheitskonzepts:

Zuordnungstabelle - Zuordnung ISO_IEC 27001 zum IT-Grundschutz

Die­se Schutz­be­darfs­fest­stel­lung im BSI Stan­dard 200–2 ver­ein­facht das Klas­si­fi­zie­rungs­sche­ma deut­lich, indem es auf die Klas­sen „Öffent­lich“ und „Intern“ ver­zich­tet und statt­des­sen nur drei Kate­go­rien „nor­mal“ sowie „hoch“ und „sehr hoch“ empfiehlt.

nor­mal hoch sehr hoch
Die Scha­dens­aus­wir­kun­gen sind begrenzt und überschaubar. Die Scha­dens­aus­wir­kun­gen kön­nen beträcht­lich sein. Die Scha­dens­aus­wir­kun­gen kön­nen ein exis­ten­zi­ell bedroh­li­ches, kata­stro­pha­les Aus­maß erreichen.

Fol­gen­de Vor­tei­le erge­ben sich aus den BSI Kategorien:

  1. Die oft fal­sche Nut­zung der Klas­si­fi­zie­rung „Intern“ entfällt.
  2. Die weni­gen Infor­ma­tio­nen die tat­säch­lich „Öffent­lich“ sind wer­den nicht berück­sich­tigt und ver­ein­fa­chen die Richtlinie.
  3. Durch die Nen­nung von kata­stro­pha­lem Aus­maß bei der Kate­go­rie „sehr hoch“ gibt es in der Regel nur weni­ge Infor­ma­ti­ons­wer­te die­ser Schutz­ka­te­go­rie. Dies senkt Kos­ten für teu­re tech­ni­sche Maßnahmen.

Die Kenn­zeich­nung von Informationen

Spe­zi­ell bei dem klas­si­sche Klas­si­fi­zie­rungs­sche­ma mit „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ ist die Kenn­zeich­nung aller vier Kate­go­rien eine sehr auf­wen­di­ge Auf­ga­be, spe­zi­ell da Infor­ma­tio­nen oft auch in Nicht-Office Doku­men­ten z.B. Gra­fi­ken, Text­da­tei­en, Daten­ban­ken gespei­chert werden.

Bei­spiel einer Richt­li­nie für die Kenn­zeich­nung von Informationen:

Klassifizierungsschema klassisch kurz

Die SEC4YOU Emp­feh­lung für ISO 27001 und TISAX®

Durch die SEC4YOU Emp­feh­lung, die auf dem BSI Stan­dard 200–2 auf­baut, kann die die­se Richt­li­nie deut­lich ein­fa­cher for­mu­liert werden:

Klassifizierungsschema modern kurz

In den letz­ten Jah­ren hat sich das Traf­fic Light Pro­to­koll (TLP) der FIRST.org als Kenn­zeich­nung für Infor­ma­tio­nen durch­ge­setzt. Hier­zu wur­den vier TLP Labels defi­niert: TLP:RED, TLP:AMBER, TLP:GREEN, and TLP:CLEAR

Die Kenn­zeich­nun­gen nach TLP 2.0 eig­nen sich her­vor­ra­gend für ein gemein­sa­mes Ver­ständ­nis bezüg­lich der erlaub­ten Wei­ter­ga­be der gekenn­zeich­ne­ten Infor­ma­tio­nen inner­halb von Orga­ni­sa­ti­on, aber auch mit exter­nen Kom­mu­ni­ka­ti­ons­part­ner wie Kun­den und Lieferanten.

Ein TLP 2.0 Ein­satz für die vier Schutz­klas­sen eines moder­nen ISMS  ist jedoch nur ein­ge­schränkt mög­lich, da:

  • TLP:GREEN nicht exakt zu der Schutz­klas­se “INTERN” bzw. “RESTRICTED”  passt.
  • TLP:RED die Anfor­de­run­gen der Schutz­klas­sen “CONFIDENTIAL” und “STRICTLY CONFIDENTIAL” nicht gleich­zei­tig erfüllt.

Daher emp­feh­len wir zusätz­lich TLP:AMBER+STRICT für “CONFIDENTIAL” zu nut­zen, jedoch mit der Ver­pflich­tung, dass exter­ne Emp­fän­ger die­se Infor­ma­ti­on nur inner­halb der eige­nen Orga­ni­sa­ti­on wei­ter­ge­ben dürfen.

Ein Bei­spiel für “CONFIDENTIAL — TLP:AMBER+STRICT” ist eine tech­ni­sche Kon­struk­ti­ons­zeich­nung, die an einen Ansprech­part­ner eines Lie­fe­ran­ten mit Fir­men NDA wei­ter­ge­be­nen wird. Die­ser Ansprech­part­ner darf die Zeich­nung jedoch nur inner­halb des eige­nen Unter­neh­mens zur Erfül­lung des Auf­tra­ges weitergeben.

Ein Bei­spiel für “STRICTLY CONFIDENTIAL — TLP:RED” hin­ge­gen ist ein hoch­sen­si­bler Über­nah­me­ver­trag der mit einer Per­son eines Wirt­schafts­prü­fers geteilt wird. Die Per­son hat einen per­sön­li­chen NDA unter­schrie­ben. Die­se Per­son darf ohne Ein­wil­li­gung des Auf­trag­ge­bers den hoch­sen­si­blen Ver­trag nicht mit wei­te­ren Mit­ar­bei­te­rIn­nen des eige­nen Unter­neh­mens teilen.

SEC4YOU emp­fiehlt dafür das fol­gen­de TLP 2.0 Schema:

PUBLIC
 TLP:CLEAR 		 RESTRICTED
 TLP:AMBER 		 CONFIDENTIAL
 TLP:AMBER+STRICT 		 STRICTLY CONFIDENTIAL
 TLP:RED 
Die­se Infor­ma­tio­nen sind öffent­lich und kön­nen ohne Ein­schrän­kun­gen frei zugäng­lich gemacht sowie wei­ter­ge­ge­ben wer­den. Es gibt kei­ne Beschrän­kung hin­sicht­lich des Zugrif­fes oder der Ver­brei­tung die­ser Informationen. Die­se Infor­ma­tio­nen sind für den ein­ge­schränk­ten orga­ni­sa­ti­ons­über­grei­fen­den und inter­nen Gebrauch bestimmt. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an auto­ri­sier­te Per­so­nen in ihrer eige­nen Orga­ni­sa­ti­on sowie bedarfs­ori­en­tiert an Geschäfts­part­ner weitergeben. Die­se Infor­ma­tio­nen sind ver­trau­lich und bedür­fen eines beson­de­ren Schut­zes. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an legi­ti­mier­te Per­so­nen wei­ter­ge­ben. Eine Offen­le­gung der Infor­ma­tio­nen außer­halb des defi­nier­ten Emp­fän­ger­krei­ses bedarf einer dedi­zier­ten Frei­ga­be durch den Eig­ner der Informationen. Die Infor­ma­tio­nen sind äußerst sen­si­bel. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an auto­ri­sier­te Per­so­nen nach schrift­li­cher Frei­ga­be durch ein Mit­glied der Unter­neh­mens­lei­tung wei­ter­ge­ben. Jeg­li­che Ver­brei­tung außer­halb des fest­ge­leg­ten Per­so­nen­krei­ses ist strengs­tens untersagt.

Geeig­ne­te Klas­si­fi­zie­rung von Infor­ma­ti­ons­wer­ten für eine TISAX Zertifizierung

Wie man in der Gra­fik erken­nen kann, ist die BSI Emp­feh­lung ident mit der VDA ISA Emp­feh­lung für die Infor­ma­ti­ons­si­cher­heit in der Auto­mo­bil­bran­che. Der Ver­band der Auto­mo­bil­in­dus­trie (VDA) bie­tet im Doku­ment Har­mo­ni­sie­rung der Klas­si­fi­zie­rungs­stu­fen, abhän­gig vom poten­zi­el­len Scha­den, für Unter­neh­men fol­gen­de all­ge­mei­ne Schutz­klas­sen: „nor­mal“, „hoch“ und „sehr hoch“. Auto­mo­bil­zu­lie­fe­rer, die eine TISAX Zer­ti­fi­zie­run­gen anstre­ben, sind gut bera­ten die BSI = VDA ISA Schutz­klas­sen einzuführen.

Wich­tig bei der Umset­zung der ISO 27001 ist jedoch bei den Klas­si­fi­zie­run­gen „Ver­trau­lich“ sowie „Streng Ver­trau­lich“ (oder nach BSI „hoch“ sowie „sehr hoch“) eine Kenn­zeich­nung aller klas­si­fi­zier­ten Doku­men­te. Dies kann mit fol­gen­den Maß­nah­men erreicht werden:

  • Schu­len Sie Ihre Mit­ar­bei­te­rIn­nen bezüg­lich der Erstel­lung von ver­trau­li­chen Dokumenten.
  • Spe­zi­el­len gekenn­zeich­ne­ten Berei­chen im Intra­net mit strik­ter Benutzereinschränkung
  • Word, Excel und Power­Point Vor­la­gen für ver­trau­li­che und streng ver­trau­li­che Daten (bzw. „hoch“ und „sehr hoch“) auf der die Klas­si­fi­zie­rung auf jeder Doku­men­ten­sei­te deut­lich sicht­bar ist.
  • Bei der Klas­se „streng ver­trau­lich“ bzw. BSI „sehr hoch“ müs­sen die erlaub­ten Emp­fän­ger am Anfang des Doku­men­tes auf­ge­lis­tet sein.

Nut­zung der Micro­soft 365 Sen­si­ti­vi­ty Labels für Doku­ment und E‑Mail

Die Micro­soft 365 Sen­si­ti­vi­ty Labels sind Teil von Micro­soft Pur­view und erlau­ben eine effi­zi­en­te Kenn­zeich­nung von Word, Excel und Power­Point Doku­men­ten, sowie E‑Mail mit Out­look. Sie wer­den sowohl von den Desk­top Apps als auch von den Web-Apps auf Win­dows, macOS, iOS und Android unter­stützt. Bit­te prü­fen Sie Ihre M365 Lizenz, ob Pur­view mit den Sen­si­ti­vi­ty Labels für Sie ein­setz­bar ist.

Bei den Sen­si­ti­vi­ty Labels han­delt es sich um eine inter­ne Kenn­zeich­nung der Doku­men­te, die für exter­ne Emp­fän­ger nicht sicht­bar ist. Nur die oben ange­führ­ten Doku­ment­ty­pen und E‑Mail selbst kön­nen so gekenn­zeich­net wer­den, wobei es nach der Akti­vie­rung der Sen­si­ti­vi­ty Labels immer einen Stan­dard­wert für neue Doku­men­te und E‑Mail gibt.

M365 Sensitivity Labels

Wir emp­feh­len die Sen­si­ti­vi­ty Labels ent­spre­chend der Klas­si­fi­zie­rungs­schutz­klas­sen zu benen­nen: PUBLIC TLP-CLEAR, RESTRICTED TLP-AMBER, CONFIDENTIAL TLP-AMBER-STRICT, STRICTLY CONFIDENTIAL TLP-RED. Die Micro­soft Labels unter­stüt­zen eine Far­be die in dem Schild neben dem Label­na­men visua­li­siert wird. Lei­der unter­stüt­zen Sen­si­ti­vi­ty Labels kei­ne Son­der­zei­chen wie : oder +, somit konn­ten wir die TLP 2.0 Kon­ven­tio­nen nicht exakt umset­zen und aus TLP:AMBER+STRICT wur­de bei­spiels­wei­se TLP-AMBER-STRICT.

Bei teu­re­ren Micro­soft Abos kön­nen die Sen­si­ti­vi­ty Labels um Ver­schlüs­se­lung und DLP Ein­schrän­kun­gen erwei­tert wer­den. Aber Ach­tung, Ihren exter­nen Kom­mu­ni­ka­ti­ons­part­ner wird es nicht unbe­dingt gefal­len, wenn Sie E‑Mails nicht mehr wei­ter­lei­ten kön­nen, die­se sich nach einer defi­nier­ten Zeit auto­ma­tisch löschen, Doku­men­te sich nicht dru­cken las­sen, oder Tex­te noch aus Doku­men­ten kopiert wer­den können.

Kenn­zeich­nung von inter­nen und exter­nen E‑Mails

Bei der Kenn­zeich­nung von E‑Mails kön­nen Sie ange­pass­te Signa­tu­ren nut­zen. Hier ein Bei­spiel einer Signa­tur mit dem Label CONFIDENTIAL TLP:AMBER.

Sie kön­nen ent­we­der einen eige­nen Link zur Erklä­rung der Labels benen­nen, oder direkt auf den TLP Stan­dard ver­wei­se. Wir haben uns ent­schlos­sen auf eine eige­ne Erklä­rung auf unse­rer Web­sei­te in drei Spra­chen zu ver­lin­ken:  https://www.sec4you.com/classification/

Die E‑Mail-Signa­tur lässt sich her­vor­ra­gen­de for­ma­tie­ren, somit gelingt auch die exak­te Dar­stel­lung der TLP 2.0 Vor­ga­ben mit schwar­zem Hin­ter­grund und dem rich­ti­gen RGB Farb­code. Stel­len Sie die Stan­dard-Signa­tur auf RESTRICTED TLP:AMBER ein und las­sen Sie die Benut­ze­rIn­nen je nach Sen­si­bi­li­tät der Infor­ma­tio­nen eine ande­re Signa­tur z.B. für CONFIDENTIAL TLP:AMBER+STRICT aus­wäh­len. Der Ein­satz einer E‑Mail Dis­clai­mer Lösung kann hier noch wei­te­re Vor­tei­le bringen.

E-Mail Signatur mit Klassifizierungskennzeichnung

Geeig­ne­te Klas­si­fi­zie­rung für NIS2

Die NIS2 EU-Richt­li­nie 2022/2555 sowie das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz NISG 2024 for­dert die Umset­zung eines Risi­ko­ma­nage­ments für Unter­neh­mens­wer­te, hier­zu zäh­len nach gän­gi­ger Pra­xis auch die Klas­si­fi­zie­rung von Infor­ma­tio­nen.

Wie emp­feh­len allen NIS2 betrof­fe­nen Unter­neh­men die Umset­zung eines ISMS nach ISO 27001:2022 in Anleh­nung an die Emp­feh­lun­gen der ISO 27002. Dies umfasst voll­um­fäng­lich die ISO 27001 Con­trols A.5.10, A.5.12 und A.5.13.

NIS2 Entscheidungsbaum Beitragsbild V1.0

Die Hand­ha­bung von Werten

Die ISO 27001 ist ver­gleichs­wei­se unkon­kret bei der Hand­ha­bung von Infor­ma­ti­ons­wer­ten, sie for­dert jedoch:

„Es soll­ten Regeln für die zuläs­si­ge Nut­zung und Ver­fah­ren für den Umgang mit Infor­ma­tio­nen und ande­ren zuge­hö­ri­gen Ver­mö­gens­wer­ten fest­ge­legt, doku­men­tiert und umge­setzt werden.“

In der Pra­xis wer­den von Unter­neh­men Richt­li­ni­en für die fol­gen­den Hand­ha­bungs­me­tho­den doku­men­tiert und die Mit­ar­bei­ter dar­in geschult:

  1. Kenn­zeich­nung
  2. Spei­che­rung
  3. Spei­che­rung in der Cloud
  4. Nut­zung von mobi­len Gerä­ten und Datenträgern
  5. Email­nut­zung
  6. Wei­ter­ga­be
  7. Phy­si­scher Versand
  8. Daten­ver­nich­tung

Hier ein Bei­spiel einer Richt­li­nie für die Hand­ha­bung von Infor­ma­ti­ons­wer­ten im klas­si­schen Klassifizierungsschema:

Klassifizierungsschema klassisch komplett

Über­sicht­li­cher ist die Hand­ha­bung für Benut­zer beim Ein­satz einer eige­nen Klas­si­fi­zie­rung “RESTRICTED” (auf Deutsch “EINGESCHRÄNKT”) und der BSI/TISAX® Schutzklassen:

Klassifizierungsschema modern komplett

In unse­rem ISMS Blog: ISO 27001 — VDA ISA / TISAX fin­den Sie die ver­wen­de­ten Pik­to­gram­me zur frei­en Ver­wen­dung sowie wei­te­re Tipps für Ihr ISMS.

Bei Fra­gen ste­hen wir über unser Kon­takt­for­mu­lar ger­ne jeder­zeit zur Verfügung.

Wei­te­re Bei­trä­ge aus dem ISMS Blog

Jedes Unter­neh­men soll­te auf­grund der rasant stei­gen­den Gefah­ren für einen IT-Betrieb die rele­van­ten IT-Gefähr­dun­gen in Bezug auf die Infor­ma­ti­ons­si­cher­heit erhe­ben und bewer­ten. Jedoch ist die Aus­wahl der Gefähr­dun­gen (Thre­ats) für die pri­mä­ren Info­Sec Schutz­zie­le Ver­trau­lich­keit, Inte­gri­tät und Ver­füg­ba­reit sehr auf­wen­dig, weil es spe­zi­ell für klei­ne und mit­tel­stän­di­sche Unter­neh­men kei­ne ein­fa­chen Bedro­hungs­lis­ten gibt. Die­ser Auf­ga­be hat sich SEC4YOU ange­nom­men und die SEC4YOU Infor­ma­ti­ons­si­cher­heits-Bedro­hungs­lis­te 2024 erstellt.

Im Zuge der NIS2 Über­ar­bei­tung der SEC4YOU ISMS Richt­li­ni­en haben wir auch die belieb­ten Pik­to­gram­me bezüg­lich der zuläs­si­gen Ver­wen­dung klas­si­fi­zier­ter Infor­ma­ti­ons­wer­te über­ar­bei­tet und stel­len die­se ger­ne kos­ten­frei zur Verfügung.

Unter­neh­men, die ein ISMS nach 27001 auf­bau­en möch­ten, müs­sen die Klas­si­fi­zie­rung von Infor­ma­tio­nen gemäß A.5.12 des Anhang A umzu­set­zen. In die­sem Arti­kel zei­gen wir den bewähr­ten SEC4YOU Ansatz.

Seit vie­len Jah­ren nut­zen wir bei unse­ren ISMS Pro­jek­ten, sowohl ISO 27001:2013, als auch ISO 27001:2022 und beim Auf­bau eines ISMS nach VDA ISA für TISAX Zer­ti­fi­zie­run­gen sowie zukünf­tig DORA und NIS2 ein selbst ent­wi­ckel­tes ISMS-Tool auf Basis von Micro­soft Excel. Das Tool deckt alle tabel­la­ri­schen Doku­men­ta­tio­nen eines Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tems ab und erfor­dert kei­ne Daten­bank. Wir stel­len unser Tool vor.

Alle Unter­neh­men, die eine ISO 27001 Zer­ti­fi­zie­rung anstre­ben, möch­ten wir ger­ne wert­vol­le Tipps für die Umset­zung geben. Die Norm ISO 27001 beschreibt die Anfor­de­run­gen eines Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tems (ISMS) zu dem auch gehört, dass es einen Ver­ant­wort­li­chen für die Infor­ma­ti­ons­si­cher­heit gibt. Die­ser Ver­ant­wort­li­che wird oft Infor­ma­ti­ons­si­cher­heits­be­auf­trag­ter oder Chief-Infor­ma­ti­on-Secu­ri­ty-Offi­cer (CISO) genannt. Die erar­bei­te­ten Pra­xis­tipps stam­men aus unse­ren Erfah­run­gen von 27001 Zer­ti­fi­zie­run­gen der ver­gan­gen Jah­re, die SEC4YOU beglei­ten durf­te. Die Tipps sol­len spe­zi­ell klei­ne­ren Unter­neh­men hel­fen, mög­lichst schnell und kos­ten­ef­fi­zi­ent eine ISO 27001 Zer­ti­fi­zie­rung zu erlangen.

Anläss­lich des SEC4YOU Anwen­der­tref­fens im Juni 2021 haben wir[…]

“Schred­der Sicher­heits­stu­fe P5 — Akten­ver­nich­ter” — für Ihr ISMS stellen[…]

“Schred­der mit Kon­trol­le — Akten­ver­nich­ter” — für Ihr ISMS stellen[…]

“Schred­der — Akten­ver­nich­ter” — für Ihr ISMS stel­len wir gerne[…]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger ver­schlüs­selt” — für Ihr ISMS stel­len wir[…]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger” — für Ihr ISMS stel­len wir gerne[…]

“Lie­fe­rung ver­schlüs­selt oder ver­sperrt mit Kon­trol­le” — für Ihr ISMS[…]

“Lie­fe­rung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie[…]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Kenn­zeich­nung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie[…]

“Ent­sor­gung mit Kon­trol­le” — “Kon­trol­lier­te Ent­sor­gung” — “Ent­sor­gung mit Nachweis”[…]

“Ent­sor­gung geschützt und ver­schlos­sen” — für Ihr ISMS stel­len wir[…]

“Ent­sor­gung geschützt” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Ent­sor­gung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie[…]

“Email Ver­schlüs­se­lung und Kon­trol­le” — für Ihr ISMS stel­len wir[…]

“Email Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Email Trans­port Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir gerne[…]

“Email Kon­trol­le” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Email Emp­fän­ger Prü­fung” — für Ihr ISMS stel­len wir gerne[…]

“Zwei-Fak­to­ren Authen­ti­sie­rung — 2FA” — für Ihr ISMS stel­len wir[…]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Data-Owner” — für Ihr ISMS stel­len wir gerne[…]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Daten-Ein­gen­tü­mer” — für Ihr ISMS stel­len wir gerne[…]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA per­sön­lich” — für Ihr ISMS stel­len wir[…]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA mit Fir­ma” — für Ihr ISMS stellen[…]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA” — für Ihr ISMS stel­len wir gerne[…]

“Ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie[…]

“Cloud ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Cloud Kon­trol­le” oder “kon­trol­lier­te Cloud” — für Ihr ISMS stellen[…]

“Cloud erlaubt mit 2FA” — für Ihr ISMS stel­len wir[…]

“Cloud erlaubt” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Cloud mit 2FA” — für Ihr ISMS stel­len wir gerne[…]

“Spei­che­rung Ser­ver ver­schlüs­selt mit 2FA” — für Ihr ISMS stellen[…]

“Cloud” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie[…]

“Spei­che­rung Ser­ver” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt mit 2FA” — für[…]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver ver­schlüs­selt” — für Ihr ISMS[…]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt” — für Ihr ISMS[…]

“Erlaub­te Ver­ar­bei­tung” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Kenn­zeich­nung Intern” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Kenn­zeich­nung Ein­ge­schränkt” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Kenn­zeich­nung sehr hoch” — für Ihr ISMS stel­len wir gerne[…]

“Kenn­zeich­nung hoch” — für Ihr ISMS stel­len wir ger­ne unsere[…]

Kenn­zeich­nung “Con­fi­den­ti­al” — für Ihr ISMS stel­len wir ger­ne unsere[…]

“Ohne Kenn­zeich­nung” — “ohne Klas­si­fi­zie­rung” — für Ihr ISMS stellen[…]

Kenn­zeich­nung “Streng Ver­trau­lich” — für Ihr ISMS stel­len wir gerne[…]

Kenn­zei­chung “Ver­trau­lich” — für Ihr ISMS stel­len wir ger­ne unsere[…]

Das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz — NISG (sie­he Ver­öf­fent­li­chung) betrifft[…]

Mit der ISO 27001 erhal­ten Unter­neh­men die Mög­lich­keit Ihre[…]

Von |2024-07-12T07:51:53+02:0002.05.2024|Blog, ISMS Tools, Tipps|

Share This Story, Choose Your Platform!

FacebookXRedditLinkedInTumblrPinterestVkE-Mail

Über den Autor:

Als Experte für Informationssicherheit / Informationssicherheits-Managementsysteme (ISMS), IT-Sicherheit, Authentifizierung, sowie PKI und Verschlüsselung verfügt er über mehr als 20 Jahre technische Erfahrung in Serverinfrastruktur sowie Unternehmensnetzwerkarchitektur. Seine ausgezeichneten Kenntnisse in ISO 27001 und ISA 6 / TISAX ermöglichen es ihm, Kunden in NIS2 Umsetzungen und bei InfoSec Zertifizierungsprozessen effektiv zu unterstützen. Zudem ist er hervorragend mit europäischen Zertifizierungsstellen vernetzt.

Ähnliche Beiträge

KI als Angreifer - Beitragsbild
Was bedeutet Authentizität
Beitragsbild Coaching Termin buchen
Nachlese Webinar Einführung in IT-Risikomanagement
Beitragsbild Risikomanagement

10 Kommentare

  1. Michael aus Deutschland 11. Juli 2024 um 7:28 Uhr

    Hal­lo,
    ich habe mir die Tage Euer Web­i­nar „Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001“ ange­schaut und mir auch die Foli­en angeschaut.
    An die­ser Stel­le erst mal ein ganz gro­ßes Dan­ke­schön und Kom­pli­ment für das Web­i­nar, die Foli­en, ein­fach die Empfehlungen.
    Fin­de ich ein­fach klasse.

    Mir sind beim Anschau­en und Lesen ein paar Fra­gen gekommen.
    Viel­leicht kön­nen Sie/ könnt ihr mir weiterhelfen?

    Wenn ich es rich­tig ver­ste­he, ist die M365 Labe­l­ing die Umset­zung einer ISMS-Richt­li­nie (CISO Ver­ant­wort­lich) durch die IT (CIO bzw. IT verantwortlich)?
    Oder sehe ich das falsch? (CISO macht Vor­ga­ben durch Rege­lun­gen und über­wacht die­se stich­pro­ben­ar­tig. Die tech­ni­sche Ein­füh­run­gen, das Bbe­trei­ben, etc. macht die IT.

  2. Andreas Schuster | SEC4YOU 11. Juli 2024 um 9:21 Uhr

    Hal­lo Michael,

    vie­len Dank für das Lob!

    Zu Dei­nen Fragen:

    Wenn ich es rich­tig ver­ste­he, ist die M365 Labe­l­ing die Umset­zung einer ISMS-Richt­li­nie (CISO Ver­ant­wort­lich) durch die IT (CIO bzw. IT verantwortlich)?

    Genau. Der CISO defi­niert in der Infor­ma­ti­ons­si­cher­heits-Richt­li­nie die Vor­ga­ben für das Unter­neh­men, wie in die­sem Fall, dass sen­si­ble Infor­ma­tio­nen gekenn­zeich­net wer­den müssen.
    Auch wel­che Schutz­klas­sen es gibt und wie die Namen der Kenn­zeich­nun­gen sind.
    Die IT über­legt dann, wie die­se Kenn­zeich­nung (das soge­nann­te Labe­l­ing) umge­setzt wer­den kann. In der Regel sind das Vor­la­gen für Word, Excel, Power­Point oder ande­re For­ma­te, aber auch Sys­te­me wer­den ange­passt z.B. das Ange­bots­sys­tem, damit die gene­rier­ten Ange­bo­te gleich eine Ver­trau­lich­keits­kenn­zeich­nung erfah­ren. Die Ent­schei­dung zu M365-Labe­l­ing ist aber in der Regel eine gemein­sa­me Ent­schei­dung zwi­schen CISO und IT, weil man sich über die Fol­gen und Mög­lich­kei­ten der Sen­si­ti­vi­ty-Labels natür­lich aus­führ­lich Gedan­ken machen wird.

    Oder sehe ich das falsch? (CISO macht Vor­ga­ben durch Rege­lun­gen und über­wacht die­se stich­pro­ben­ar­tig. Die tech­ni­sche Ein­füh­run­gen, das Bbe­trei­ben, etc. macht die IT.

    Das ist voll­kom­men rich­tig. Der CISO über­legt sich anhand von Best-Prac­ti­ces umsetz­ba­re Maß­nah­men und defi­niert die­se in Regelungen/Richtlinien oder doku­men­tier­ten Pro­zes­sen. Im opti­ma­len Fall stimmt der die Rege­lun­gen natür­lich vor der Ver­öf­fent­li­chung mit den Fach­be­rei­chen wie der IT ab. Dann steht der CISO natür­lich als Info­Sec Exper­te den Fach­be­rei­chen (IT, HR, Faci­li­ty, Ein­kauf, Com­pli­ance, etc.) bera­tend zur Sei­te und unter­stützt die Fach­be­rei­che bei der Umset­zung der Rege­lun­gen. Nach einer gewis­sen Zeit z.B. nach 6 Mona­ten ist es erfor­der­lich, dass der CISO die Umset­zung der Richt­li­ni­en über­prüft und stich­pro­ben­ar­tig Nach­wei­se der Ein­hal­tung einfordert.

  3. Anonymer User aus Deutschland 11. Juli 2024 um 11:11 Uhr

    Wenn man in M365 labelt, wer­den dann auch Daten in den Lauf­wer­ken / Ver­zeich­nis­se gelabelt?

  4. Andreas Schuster | SEC4YOU 11. Juli 2024 um 12:45 Uhr

    Das ist lei­der nicht mög­lich. Es gibt ein Stan­dard-Label mit dem neue Doku­men­te und Emails gekenn­zeich­net wer­den, aber Verzeichnisse/Laufwerke selbst haben die­se Kenn­zeich­nung lei­der nicht. Hier wür­de ich eine Text Datei oder ein Word Doku­ment z.B. mit dem Namen „KLASSIFIZIERUNG.docx“ able­gen und in dem Doku­ment einen kur­zen Ver­merk machen, dass alle Doku­men­te in die­ses Ver­zeich­nis als z.B. „CONFIDENTIAL TLP:AMBER“ gel­ten. Das muss man oft auch machen, den­ken Sie an auto­ma­tisch gene­rier­te Log-Daten die in einem Ver­zeich­nis auf­lau­fen, oder auch an Source Code den man nicht ein­fach kenn­zeich­nen kann.

  5. Anonymer User 11. Juli 2024 um 14:39 Uhr

    Wer­den alle Daten, auch nicht Office-Doku­men­te, gelabelt?

  6. Andreas Schuster | SEC4YOU 11. Juli 2024 um 15:59 Uhr

    Das ist sehr schwie­rig, weil es für sehr vie­le Datei­for­ma­te kei­ne ein­fa­che Mög­lich­keit gibt die­se zu kenn­zeich­nen. Das beginnt schon bei PDF Scan Doku­men­ten die man mit einem PDF-Edi­tor bear­bei­ten müss­te und an einer pas­sen­den Stel­le ein Label ein­fü­gen müss­te. Aber auch Bil­der oder Vide­os kann man nicht ein­fach kenn­zeich­nen. Ich habe Lösun­gen gese­hen die erstel­len einen soge­nann­ten Alter­na­te Data Stream (Erklä­rung sie­he hier: https://it-forensik.fiw.hs-wismar.de/index.php/Alternative_Data_Stream_(ADS)) also eine ver­ste­cke Datei wo man das Label hin­ein­schrei­ben kann, aber dazu benö­tigt man eine spe­zi­el­le Cli­ent-Soft­ware um das wie­der anzei­gen zu las­sen. Der Nach­teil von Alter­na­te Data Streams ist auch, dass die­se Metho­de nur auf NTFS File­sys­te­men funk­tio­niert und nicht in der Cloud.
    Lager Rede kur­zer Sinn: ja es funk­tio­nie­ren nur aus­ge­wähl­te Office Datei­en für das M365 Sen­si­ti­vi­ty Label.

  7. Anonymer User 11. Juli 2024 um 16:23 Uhr

    Was ist mit ande­ren IT-Sys­te­men? (Busi­ness Appli­ka­tio­nen, Cloud-Diens­te, usw.), wie wür­de man das die Infor­ma­ti­ons­klas­si­fi­zie­rung tech­nisch umsetzen?

  8. Andreas Schuster | SEC4YOU 11. Juli 2024 um 17:44 Uhr

    Das ist ver­gleichs­wei­se ein­fach: der CISO defi­niert eine Lis­te der IT-Ser­vices (inkl. der ver­wen­de­ten Cloud-Diens­te) und defi­niert in die­ser Lis­te wel­che Infor­ma­tio­nen in den IT-Ser­vices ver­ar­bei­tet wer­den dür­fen, z.B. ein Finanz-Sys­tem mit Finanz­da­ten wobei die Ver­trau­lich­keit mit „CONFIDENTIAL TLP:AMBER“ fest­ge­legt ist. Eine Kenn­zeich­nung die­ser Daten­bank­an­wen­dun­gen oder exter­nen Cloud-Diens­te ist natür­lich nicht mög­lich, aber nun ist klar, dass maxi­mal ver­trau­li­che Infro­ma­tio­nen in dem jewei­li­gen Sys­tem abge­legt wer­den dürfen.
    Zusätz­lich zur Kenn­zeich­nung gibt es aber die tech­ni­schen Maß­nah­men die man sich zum Schutz der ver­trau­li­chen Infor­ma­tio­nen über­legt, das kön­nen z.B. Red­un­dan­zen sein, oder häu­fi­ge­re Back­ups, oder MFA-Schutz bis hin zu ver­schlüs­sel­ten Daten­ban­ken und Trans­ak­ti­ons-Logs sein. Bei der Infor­ma­ti­ons­klas­si­fi­zie­rung geht es ja nicht nur um die Kenn­zeich­nung, son­dern auch ob die Infor­ma­tio­nen mit aus­rei­chend Schutz­maß­nah­men geschützt sind.

  9. Anonymer User 12. Juli 2024 um 7:11 Uhr

    Dar­über hin­aus haben wir immer wie­der die Fra­ge, ob wir auch ana­log Labeln (Akten, Akten­ord­ner) sollen.
    Aktu­ell hat unser Manage­ment die Ent­schei­dung getrof­fen, ana­lo­ge Daten nicht zu labeln.
    Aber: Sen­si­ble Daten auf jeden Fall sicher (abschließ­ba­re Büros, Schrän­ke, usw.) aufzubewahren.

  10. Andreas Schuster | SEC4YOU 12. Juli 2024 um 7:50 Uhr

    Ja, aber bit­te nur für neue Doku­men­te! Einen Affen zu enga­gie­ren der mit einem Stem­pel alle Doku­men­te in Ihrem Papier­ar­chiv nach­s­tem­pelt, macht für nie­man­den Sinn. 😉
    Wenn man das Labe­l­ing aber für neue Vor­la­gen und gene­rier­te Doku­men­te umsetzt, dann sind die Labels natür­lich auch auf Papier­aus­dru­cken zu sehen und ver­hin­dert gemein­sam mit einer Benut­ze­rIn­nen-Schu­lung, dass Mit­ar­bei­te­rIn­nen acht­los mit sen­si­blen Papier­do­ku­men­ten umgehen.
    Mit sinn­vol­len Maß­nah­men soll genau das ver­mie­den wer­den: https://de.euronews.com/2022/08/23/300-geheime-dokumente-in-seiner-villa-trump-will-fbi-ausbremsen

    So gene­rell wür­de ich die Ent­schei­dung nicht tref­fen und sehr wohl zwi­schen bestehen­den ana­lo­gen Daten zu unter­schei­den und neu gene­rier­ten Dokumenten.
    Wenn neu gene­rier­te Doku­men­te auto­ma­tisch ein Label haben, dann bleibt das ja auch auf einem Aus­druck vor­han­den. Ich den­ke da z.B. an Kon­struk­ti­ons­zeich­nun­gen, aber auch an Per­so­nal­da­ten und Finanz­da­ten die aus einem Sys­tem aus­ge­druckt werden.

Die Kommentarfunktion wurde geschlossen.

CIS Zertifikat

Nach oben