Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001 — schnel­le Umsetzung

Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001 — schnel­le Umsetzung

Unter­neh­men, die sich nach ISO 27001 zer­ti­fi­zie­ren, oder ein ISMS nach 27001 auf­bau­en möch­ten, haben die Her­aus­for­de­run­gen die Maß­nah­men der Klas­si­fi­zie­rung von Infor­ma­tio­nen A.5.12 des Anhang A umzu­set­zen. Zusam­men­ge­fasst sind die­se Anfor­de­run­gen, dass:

  1. Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau ent­spre­chend Ihrer Wer­tig­keit erhalten;
  2. Infor­ma­tio­nen gemäß exter­nen und inter­nen Anfor­de­run­gen klas­si­fi­ziert werden;
  3. Infor­ma­tio­nen ent­spre­chend einem Klas­si­fi­zie­rungs­sche­ma gekenn­zeich­net werden;
  4. es Ver­fah­ren für die Hand­ha­bung gemäß dem Klas­si­fi­zie­rungs­sche­ma gibt.

Refe­renz Eng­lisch: A.5.12 Clas­si­fi­ca­ti­on of infor­ma­ti­on, A.5.13 Label­ling of infor­ma­ti­on, A.5.10 Hand­ling of assets

Refe­renz Deutsch: A.5.12 Klas­si­fi­zie­rung von Infor­ma­tio­nen, A.5.13 Kenn­zeich­nung von Infor­ma­tio­nen, A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Infor­ma­tio­nen.

Die Klas­si­fi­zie­rung von Informationen

Die Ver­gan­gen­heit hat uns gezeigt, dass das klas­si­sche Klas­si­fi­zie­rungs­sche­ma „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ in der Pra­xis schlecht funk­tio­niert, hier ein Über­blick über das Schema.

Öffent­lich Intern Ver­trau­lich Streng Ver­trau­lich
Daten sind für jeder­mann, auch außer­halb der Fir­ma, zugänglich. Inter­ne Daten wer­den ledig­lich den eige­nen Mit­ar­bei­tern zugäng­lich gemacht. Ver­trau­lich defi­nier­te Daten sind ledig­lich einer begrenz­ten Anzahl an Mit­ar­bei­tern zugäng­lich, z.B. Per­so­nal­da­ten, Kun­den­lis­ten, Kalkulationen. Streng ver­trau­li­che Daten sind punk­tu­ell und aus­schließ­lich bestimm­ten defi­nier­ten Per­so­nen zugäng­lich. Eine Wei­ter­ga­be kann das Unter­neh­men nach­hal­tig schädigen.

Die Schwä­chen des klas­si­schen Klas­si­fi­zie­rungs­sche­mas sind:

  1. Mit­ar­bei­te­rIn­nen sind mit der Kenn­zeich­nung aller Doku­men­te über­for­dert, bei einem Audit fin­det der Audi­tor ton­nen­wei­se unge­kenn­zeich­ne­te „Inter­ne“ Informationen.
  2. Mit­ar­bei­te­rIn­nen ver­ste­hen den Unter­schied zwi­schen „Öffent­lich“ und „Intern“ nicht.
  3. Durch die Kenn­zeich­nung “Intern” wird signa­li­siert, dass eine Infor­ma­ti­on die­ser Schutz­klas­se nur inner­halb des Unter­neh­mens aus­ge­tauscht wer­den darf, was nicht stimmt.
  4. Beson­ders flei­ßi­ge Mit­ar­bei­te­rIn­nen erken­nen in Ihren Arbeits­do­ku­men­ten schnell „Ver­trau­li­che“ oder sogar „Streng Ver­trau­li­che“ Infor­ma­tio­nen und ver­ur­sa­chen so hohen Auf­wand und hohe Kos­ten beim Informationshandling.

Anwen­dung einer Informationsklassifizierung

Das Ziel der fol­gen­den drei Kon­trol­len ist die Anfor­de­rung, dass Unter­neh­men ihren Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau bie­ten müs­sen. Dabei ist zu berück­sich­ti­gen, dass unter­schied­li­che Infor­ma­tio­nen ver­schie­de­ne Wer­tig­kei­ten für das Unter­neh­men haben. So sind Mit­ar­bei­ter­da­ten, Kun­den­da­ten und Ent­wick­lungs­da­ten typi­scher­wei­se bes­ser zu schüt­zen als Produktinformationen.

Erklä­rung zu A.5.12 Klas­si­fi­zie­rung von Informationen

Mit der Maß­nah­me möch­te die Norm errei­chen, dass Infor­ma­tio­nen zu jeder Zeit klas­si­fi­ziert sind, wobei die Klas­si­fi­zie­rungs­stu­fe aus gesetz­li­chen Anfor­de­run­gen, der Anfor­de­rung von inter­es­sier­ten Par­tei­en oder dem Wert bzw. der Kri­ti­k­ali­tät gemäß der drei Schutz­zie­le Ver­trau­lich­keit, Inte­gri­tät, Ver­füg­bar­keit abge­lei­tet wer­den müssen.

Erklä­rung zu A.5.13 Kenn­zeich­nung von Informationen

Über die Kenn­zeich­nung von Infor­ma­tio­nen soll erreicht wer­den, dass Benut­ze­rIn­nen ein­fach erken­nen kön­nen wel­che Infor­ma­ti­ons­klas­si­fi­zie­rungs­stu­fe die jewei­li­gen Daten/Informationen tra­gen. Die­se Kenn­zeich­nung muss sowohl elek­tro­nisch gespei­cher­te Infor­ma­tio­nen abde­cken, als auch aus­ge­druck­te und archi­vier­te Informationen.

Erklä­rung zu A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Werten

Zu der Kenn­zeich­nung der Infor­ma­tio­nen gemäß dem Infor­ma­ti­ons­klas­si­fi­zie­rungs­sche­ma benö­ti­gen die Benut­ze­rIn­nen ver­ständ­li­che Anwei­sun­gen für die Hand­ha­bung der Infor­ma­tio­nen. Hier hat sich eine Matrix bewährt mit den wich­tigs­ten Arten wie mit Infor­ma­tio­nen umge­gan­gen bzw. wo die­se gespei­chert wer­den können:

  1. Wie ist zu kennzeichnen?
  2. Wo dür­fen die Infor­ma­tio­nen gespei­chert wer­den? (am Cli­ent, auf wel­chen Servern)
  3. Dür­fen die Infor­ma­tio­nen in der Cloud gespei­chert wer­den? (wenn ja, in wel­chen Clouds)
  4. Ist die Spei­che­rung auf mobi­len Daten­trä­gern oder dem Smart­phone erlaubt?
  5. Dür­fen Mit­ar­bei­ter klas­si­fi­zier­te Infor­ma­tio­nen per Email ver­sen­den, wenn ja mit wel­chen zusätz­li­chen Schutzmethoden?
  6. An wen und mit wel­chen Vor­aus­set­zun­gen dür­fen klas­si­fi­zier­te Infor­ma­tio­nen wei­ter­ge­ge­ben wer­den? (sowohl elek­tro­nisch als auch in Papierform)
  7. Dür­fen Infor­ma­tio­nen der ein­zel­nen Schutz­klas­sen phy­sisch ver­sandt wer­den? Wenn ja, mit wel­chen zusätz­li­chen Schutzmethoden?
  8. Wie müs­sen Infor­ma­tio­nen ent­sorgt bzw. ver­nich­tet wer­den? Spe­zi­ell gilt das auch für Papier­do­ku­men­te und Speichermedien.

Alle die­se Punk­te kön­nen in eine Matrix zum zuläs­si­gen Umgang mit klas­si­fi­zier­ten Infor­ma­tio­nen zusam­men­ge­fasst wer­den. Wir emp­feh­len hier aus­sa­ge­kräf­ti­ge Pik­to­gram­me zu nut­zen und stel­len ger­ne die von SEC4YOU ent­wi­ckel­ten Gra­fi­ken zur Verfügung.

In der Zuord­nungs­ta­bel­le — Zuord­nung ISO/IEC 27001 zum IT-Grund­schutz vom deut­schen BSI fin­det man auf Sei­te 8 und 9 eine Refe­renz zum BSI-Stan­dard 200–2, Kapi­tel 5.1 Klas­si­fi­zie­rung von Infor­ma­tio­nen und Kapi­tel 8.2 Schutz­be­darfs­fest­stel­lung und IT-Grund­schutz Bau­stein ISMS.1.A10 Erstel­lung eines Sicherheitskonzepts:

Zuordnungstabelle - Zuordnung ISO_IEC 27001 zum IT-Grundschutz

Die­se Schutz­be­darfs­fest­stel­lung im BSI Stan­dard 200–2 ver­ein­facht das Klas­si­fi­zie­rungs­sche­ma deut­lich, indem es auf die Klas­sen „Öffent­lich“ und „Intern“ ver­zich­tet und statt­des­sen nur drei Kate­go­rien „nor­mal“ sowie „hoch“ und „sehr hoch“ empfiehlt.

nor­mal hoch sehr hoch
Die Scha­dens­aus­wir­kun­gen sind begrenzt und überschaubar. Die Scha­dens­aus­wir­kun­gen kön­nen beträcht­lich sein. Die Scha­dens­aus­wir­kun­gen kön­nen ein exis­ten­zi­ell bedroh­li­ches, kata­stro­pha­les Aus­maß erreichen.

Fol­gen­de Vor­tei­le erge­ben sich aus den BSI Kategorien:

  1. Die oft fal­sche Nut­zung der Klas­si­fi­zie­rung „Intern“ entfällt.
  2. Die weni­gen Infor­ma­tio­nen die tat­säch­lich „Öffent­lich“ sind wer­den nicht berück­sich­tigt und ver­ein­fa­chen die Richtlinie.
  3. Durch die Nen­nung von kata­stro­pha­lem Aus­maß bei der Kate­go­rie „sehr hoch“ gibt es in der Regel nur weni­ge Infor­ma­ti­ons­wer­te die­ser Schutz­ka­te­go­rie. Dies senkt Kos­ten für teu­re tech­ni­sche Maßnahmen.

Die Kenn­zeich­nung von Informationen

Spe­zi­ell bei dem klas­si­sche Klas­si­fi­zie­rungs­sche­ma mit „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ ist die Kenn­zeich­nung aller vier Kate­go­rien eine sehr auf­wen­di­ge Auf­ga­be, spe­zi­ell da Infor­ma­tio­nen oft auch in Nicht-Office Doku­men­ten z.B. Gra­fi­ken, Text­da­tei­en, Daten­ban­ken gespei­chert werden.

Bei­spiel einer Richt­li­nie für die Kenn­zeich­nung von Informationen:

Klassifizierungsschema klassisch kurz

Die SEC4YOU Emp­feh­lung für ISO 27001 und TISAX®

Durch die SEC4YOU Emp­feh­lung, die auf dem BSI Stan­dard 200–2 auf­baut, kann die die­se Richt­li­nie deut­lich ein­fa­cher for­mu­liert werden:

Klassifizierungsschema modern kurz

In den letz­ten Jah­ren hat sich das Traf­fic Light Pro­to­koll (TLP) der FIRST.org als Kenn­zeich­nung für Infor­ma­tio­nen durch­ge­setzt. Hier­zu wur­den vier TLP Labels defi­niert: TLP:RED, TLP:AMBER, TLP:GREEN, and TLP:CLEAR

Die Kenn­zeich­nun­gen nach TLP 2.0 eig­nen sich her­vor­ra­gend für ein gemein­sa­mes Ver­ständ­nis bezüg­lich der erlaub­ten Wei­ter­ga­be der gekenn­zeich­ne­ten Infor­ma­tio­nen inner­halb von Orga­ni­sa­ti­on, aber auch mit exter­nen Kom­mu­ni­ka­ti­ons­part­ner wie Kun­den und Lieferanten.

Ein TLP 2.0 Ein­satz für die vier Schutz­klas­sen eines moder­nen ISMS  ist jedoch nur ein­ge­schränkt mög­lich, da:

  • TLP:GREEN nicht exakt zu der Schutz­klas­se “INTERN” bzw. “RESTRICTED”  passt.
  • TLP:RED die Anfor­de­run­gen der Schutz­klas­sen “CONFIDENTIAL” und “STRICTLY CONFIDENTIAL” nicht gleich­zei­tig erfüllt.

Daher emp­feh­len wir zusätz­lich TLP:AMBER+STRICT für “CONFIDENTIAL” zu nut­zen, jedoch mit der Ver­pflich­tung, dass exter­ne Emp­fän­ger die­se Infor­ma­ti­on nur inner­halb der eige­nen Orga­ni­sa­ti­on wei­ter­ge­ben dürfen.

Ein Bei­spiel für “CONFIDENTIAL — TLP:AMBER+STRICT” ist eine tech­ni­sche Kon­struk­ti­ons­zeich­nung, die an einen Ansprech­part­ner eines Lie­fe­ran­ten mit Fir­men NDA wei­ter­ge­be­nen wird. Die­ser Ansprech­part­ner darf die Zeich­nung jedoch nur inner­halb des eige­nen Unter­neh­mens zur Erfül­lung des Auf­tra­ges weitergeben.

Ein Bei­spiel für “STRICTLY CONFIDENTIAL — TLP:RED” hin­ge­gen ist ein hoch­sen­si­bler Über­nah­me­ver­trag der mit einer Per­son eines Wirt­schafts­prü­fers geteilt wird. Die Per­son hat einen per­sön­li­chen NDA unter­schrie­ben. Die­se Per­son darf ohne Ein­wil­li­gung des Auf­trag­ge­bers den hoch­sen­si­blen Ver­trag nicht mit wei­te­ren Mit­ar­bei­te­rIn­nen des eige­nen Unter­neh­mens teilen.

SEC4YOU emp­fiehlt dafür das fol­gen­de TLP 2.0 Schema:

PUBLIC
 TLP:CLEAR 		 RESTRICTED
 TLP:AMBER 		 CONFIDENTIAL
 TLP:AMBER+STRICT 		 STRICTLY CONFIDENTIAL
 TLP:RED 
Die­se Infor­ma­tio­nen sind öffent­lich und kön­nen ohne Ein­schrän­kun­gen frei zugäng­lich gemacht sowie wei­ter­ge­ge­ben wer­den. Es gibt kei­ne Beschrän­kung hin­sicht­lich des Zugrif­fes oder der Ver­brei­tung die­ser Informationen. Die­se Infor­ma­tio­nen sind für den ein­ge­schränk­ten orga­ni­sa­ti­ons­über­grei­fen­den und inter­nen Gebrauch bestimmt. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an auto­ri­sier­te Per­so­nen in ihrer eige­nen Orga­ni­sa­ti­on sowie bedarfs­ori­en­tiert an Geschäfts­part­ner weitergeben. Die­se Infor­ma­tio­nen sind ver­trau­lich und bedür­fen eines beson­de­ren Schut­zes. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an legi­ti­mier­te Per­so­nen wei­ter­ge­ben. Eine Offen­le­gung der Infor­ma­tio­nen außer­halb des defi­nier­ten Emp­fän­ger­krei­ses bedarf einer dedi­zier­ten Frei­ga­be durch den Eig­ner der Informationen. Die Infor­ma­tio­nen sind äußerst sen­si­bel. Emp­fän­ger dür­fen die­se Infor­ma­tio­nen nur an auto­ri­sier­te Per­so­nen nach schrift­li­cher Frei­ga­be durch ein Mit­glied der Unter­neh­mens­lei­tung wei­ter­ge­ben. Jeg­li­che Ver­brei­tung außer­halb des fest­ge­leg­ten Per­so­nen­krei­ses ist strengs­tens untersagt.

Geeig­ne­te Klas­si­fi­zie­rung von Infor­ma­ti­ons­wer­ten für eine TISAX Zertifizierung

Wie man in der Gra­fik erken­nen kann, ist die BSI Emp­feh­lung ident mit der VDA ISA Emp­feh­lung für die Infor­ma­ti­ons­si­cher­heit in der Auto­mo­bil­bran­che. Der Ver­band der Auto­mo­bil­in­dus­trie (VDA) bie­tet im Doku­ment Har­mo­ni­sie­rung der Klas­si­fi­zie­rungs­stu­fen, abhän­gig vom poten­zi­el­len Scha­den, für Unter­neh­men fol­gen­de all­ge­mei­ne Schutz­klas­sen: „nor­mal“, „hoch“ und „sehr hoch“. Auto­mo­bil­zu­lie­fe­rer, die eine TISAX Zer­ti­fi­zie­run­gen anstre­ben, sind gut bera­ten die BSI = VDA ISA Schutz­klas­sen einzuführen.

Wich­tig bei der Umset­zung der ISO 27001 ist jedoch bei den Klas­si­fi­zie­run­gen „Ver­trau­lich“ sowie „Streng Ver­trau­lich“ (oder nach BSI „hoch“ sowie „sehr hoch“) eine Kenn­zeich­nung aller klas­si­fi­zier­ten Doku­men­te. Dies kann mit fol­gen­den Maß­nah­men erreicht werden:

  • Schu­len Sie Ihre Mit­ar­bei­te­rIn­nen bezüg­lich der Erstel­lung von ver­trau­li­chen Dokumenten.
  • Spe­zi­el­len gekenn­zeich­ne­ten Berei­chen im Intra­net mit strik­ter Benutzereinschränkung
  • Word, Excel und Power­Point Vor­la­gen für ver­trau­li­che und streng ver­trau­li­che Daten (bzw. „hoch“ und „sehr hoch“) auf der die Klas­si­fi­zie­rung auf jeder Doku­men­ten­sei­te deut­lich sicht­bar ist.
  • Bei der Klas­se „streng ver­trau­lich“ bzw. BSI „sehr hoch“ müs­sen die erlaub­ten Emp­fän­ger am Anfang des Doku­men­tes auf­ge­lis­tet sein.

Nut­zung der Micro­soft 365 Sen­si­ti­vi­ty Labels für Doku­ment und E‑Mail

Die Micro­soft 365 Sen­si­ti­vi­ty Labels sind Teil von Micro­soft Pur­view und erlau­ben eine effi­zi­en­te Kenn­zeich­nung von Word, Excel und Power­Point Doku­men­ten, sowie E‑Mail mit Out­look. Sie wer­den sowohl von den Desk­top Apps als auch von den Web-Apps auf Win­dows, macOS, iOS und Android unter­stützt. Bit­te prü­fen Sie Ihre M365 Lizenz, ob Pur­view mit den Sen­si­ti­vi­ty Labels für Sie ein­setz­bar ist.

Bei den Sen­si­ti­vi­ty Labels han­delt es sich um eine inter­ne Kenn­zeich­nung der Doku­men­te, die für exter­ne Emp­fän­ger nicht sicht­bar ist. Nur die oben ange­führ­ten Doku­ment­ty­pen und E‑Mail selbst kön­nen so gekenn­zeich­net wer­den, wobei es nach der Akti­vie­rung der Sen­si­ti­vi­ty Labels immer einen Stan­dard­wert für neue Doku­men­te und E‑Mail gibt.

M365 Sensitivity Labels

Wir emp­feh­len die Sen­si­ti­vi­ty Labels ent­spre­chend der Klas­si­fi­zie­rungs­schutz­klas­sen zu benen­nen: PUBLIC TLP-CLEAR, RESTRICTED TLP-AMBER, CONFIDENTIAL TLP-AMBER-STRICT, STRICTLY CONFIDENTIAL TLP-RED. Die Micro­soft Labels unter­stüt­zen eine Far­be die in dem Schild neben dem Label­na­men visua­li­siert wird. Lei­der unter­stüt­zen Sen­si­ti­vi­ty Labels kei­ne Son­der­zei­chen wie : oder +, somit konn­ten wir die TLP 2.0 Kon­ven­tio­nen nicht exakt umset­zen und aus TLP:AMBER+STRICT wur­de bei­spiels­wei­se TLP-AMBER-STRICT.

Bei teu­re­ren Micro­soft Abos kön­nen die Sen­si­ti­vi­ty Labels um Ver­schlüs­se­lung und DLP Ein­schrän­kun­gen erwei­tert wer­den. Aber Ach­tung, Ihren exter­nen Kom­mu­ni­ka­ti­ons­part­ner wird es nicht unbe­dingt gefal­len, wenn Sie E‑Mails nicht mehr wei­ter­lei­ten kön­nen, die­se sich nach einer defi­nier­ten Zeit auto­ma­tisch löschen, Doku­men­te sich nicht dru­cken las­sen, oder Tex­te noch aus Doku­men­ten kopiert wer­den können.

Kenn­zeich­nung von inter­nen und exter­nen E‑Mails

Bei der Kenn­zeich­nung von E‑Mails kön­nen Sie ange­pass­te Signa­tu­ren nut­zen. Hier ein Bei­spiel einer Signa­tur mit dem Label CONFIDENTIAL TLP:AMBER.

Sie kön­nen ent­we­der einen eige­nen Link zur Erklä­rung der Labels benen­nen, oder direkt auf den TLP Stan­dard ver­wei­se. Wir haben uns ent­schlos­sen auf eine eige­ne Erklä­rung auf unse­rer Web­sei­te in drei Spra­chen zu ver­lin­ken:  https://www.sec4you.com/classification/

Die E‑Mail-Signa­tur lässt sich her­vor­ra­gen­de for­ma­tie­ren, somit gelingt auch die exak­te Dar­stel­lung der TLP 2.0 Vor­ga­ben mit schwar­zem Hin­ter­grund und dem rich­ti­gen RGB Farb­code. Stel­len Sie die Stan­dard-Signa­tur auf RESTRICTED TLP:AMBER ein und las­sen Sie die Benut­ze­rIn­nen je nach Sen­si­bi­li­tät der Infor­ma­tio­nen eine ande­re Signa­tur z.B. für CONFIDENTIAL TLP:AMBER+STRICT aus­wäh­len. Der Ein­satz einer E‑Mail Dis­clai­mer Lösung kann hier noch wei­te­re Vor­tei­le bringen.

E-Mail Signatur mit Klassifizierungskennzeichnung

Geeig­ne­te Klas­si­fi­zie­rung für NIS2

Die NIS2 EU-Richt­li­nie 2022/2555 sowie das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz NISG 2024 for­dert die Umset­zung eines Risi­ko­ma­nage­ments für Unter­neh­mens­wer­te, hier­zu zäh­len nach gän­gi­ger Pra­xis auch die Klas­si­fi­zie­rung von Infor­ma­tio­nen.

Wie emp­feh­len allen NIS2 betrof­fe­nen Unter­neh­men die Umset­zung eines ISMS nach ISO 27001:2022 in Anleh­nung an die Emp­feh­lun­gen der ISO 27002. Dies umfasst voll­um­fäng­lich die ISO 27001 Con­trols A.5.10, A.5.12 und A.5.13.

NIS2 Entscheidungsbaum Beitragsbild V1.0

Die Hand­ha­bung von Werten

Die ISO 27001 ist ver­gleichs­wei­se unkon­kret bei der Hand­ha­bung von Infor­ma­ti­ons­wer­ten, sie for­dert jedoch:

„Es soll­ten Regeln für die zuläs­si­ge Nut­zung und Ver­fah­ren für den Umgang mit Infor­ma­tio­nen und ande­ren zuge­hö­ri­gen Ver­mö­gens­wer­ten fest­ge­legt, doku­men­tiert und umge­setzt werden.“

In der Pra­xis wer­den von Unter­neh­men Richt­li­ni­en für die fol­gen­den Hand­ha­bungs­me­tho­den doku­men­tiert und die Mit­ar­bei­ter dar­in geschult:

  1. Kenn­zeich­nung
  2. Spei­che­rung
  3. Spei­che­rung in der Cloud
  4. Nut­zung von mobi­len Gerä­ten und Datenträgern
  5. Email­nut­zung
  6. Wei­ter­ga­be
  7. Phy­si­scher Versand
  8. Daten­ver­nich­tung

Hier ein Bei­spiel einer Richt­li­nie für die Hand­ha­bung von Infor­ma­ti­ons­wer­ten im klas­si­schen Klassifizierungsschema:

Klassifizierungsschema klassisch komplett

Über­sicht­li­cher ist die Hand­ha­bung für Benut­zer beim Ein­satz einer eige­nen Klas­si­fi­zie­rung “RESTRICTED” (auf Deutsch “EINGESCHRÄNKT”) und der BSI/TISAX® Schutzklassen:

Klassifizierungsschema modern komplett

In unse­rem ISMS Blog: ISO 27001 — VDA ISA / TISAX fin­den Sie die ver­wen­de­ten Pik­to­gram­me zur frei­en Ver­wen­dung sowie wei­te­re Tipps für Ihr ISMS.

Bei Fra­gen ste­hen wir über unser Kon­takt­for­mu­lar ger­ne jeder­zeit zur Verfügung.

Wei­te­re Bei­trä­ge aus dem ISMS Blog

Unter­neh­men, die ein ISMS nach 27001 auf­bau­en möch­ten, müs­sen die Klas­si­fi­zie­rung von Infor­ma­tio­nen gemäß A.5.12 des Anhang A umzu­set­zen. In die­sem Arti­kel zei­gen wir den bewähr­ten SEC4YOU Ansatz.

Jedes Unter­neh­men soll­te auf­grund der rasant stei­gen­den Gefah­ren für […]

Alle Unter­neh­men, die eine ISO 27001 Zer­ti­fi­zie­rung anstre­ben, möchten […]

Anläss­lich des SEC4YOU Anwen­der­tref­fens im Juni 2021 haben wir […]

“Schred­der Sicher­heits­stu­fe P5 — Akten­ver­nich­ter” — für Ihr ISMS stellen […]

“Schred­der mit Kon­trol­le — Akten­ver­nich­ter” — für Ihr ISMS stellen […]

“Schred­der — Akten­ver­nich­ter” — für Ihr ISMS stel­len wir gerne […]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger ver­schlüs­selt” — für Ihr ISMS stel­len wir […]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger” — für Ihr ISMS stel­len wir gerne […]

“Lie­fe­rung ver­schlüs­selt oder ver­sperrt mit Kon­trol­le” — für Ihr ISMS […]

“Lie­fe­rung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Ent­sor­gung mit Kon­trol­le” — “Kon­trol­lier­te Ent­sor­gung” — “Ent­sor­gung mit Nachweis” […]

“Ent­sor­gung geschützt und ver­schlos­sen” — für Ihr ISMS stel­len wir […]

“Ent­sor­gung geschützt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Ent­sor­gung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Email Ver­schlüs­se­lung und Kon­trol­le” — für Ihr ISMS stel­len wir […]

“Email Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Email Trans­port Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir gerne […]

“Email Kon­trol­le” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Email Emp­fän­ger Prü­fung” — für Ihr ISMS stel­len wir gerne […]

“Zwei-Fak­to­ren Authen­ti­sie­rung — 2FA” — für Ihr ISMS stel­len wir […]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Data-Owner” — für Ihr ISMS stel­len wir gerne […]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Daten-Ein­gen­tü­mer” — für Ihr ISMS stel­len wir gerne […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA per­sön­lich” — für Ihr ISMS stel­len wir […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA mit Fir­ma” — für Ihr ISMS stellen […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA” — für Ihr ISMS stel­len wir gerne […]

“Ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Cloud ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Cloud Kon­trol­le” oder “kon­trol­lier­te Cloud” — für Ihr ISMS stellen […]

“Cloud erlaubt mit 2FA” — für Ihr ISMS stel­len wir […]

“Cloud erlaubt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Cloud mit 2FA” — für Ihr ISMS stel­len wir gerne […]

“Spei­che­rung Ser­ver ver­schlüs­selt mit 2FA” — für Ihr ISMS stellen […]

“Cloud” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Spei­che­rung Ser­ver” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt mit 2FA” — für […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver ver­schlüs­selt” — für Ihr ISMS […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt” — für Ihr ISMS […]

“Erlaub­te Ver­ar­bei­tung” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Intern” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Ein­ge­schränkt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung sehr hoch” — für Ihr ISMS stel­len wir gerne […]

“Kenn­zeich­nung hoch” — für Ihr ISMS stel­len wir ger­ne unsere […]

Kenn­zeich­nung “Con­fi­den­ti­al” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Ohne Kenn­zeich­nung” — “ohne Klas­si­fi­zie­rung” — für Ihr ISMS stellen […]

Kenn­zeich­nung “Streng Ver­trau­lich” — für Ihr ISMS stel­len wir gerne […]

Orga­niza­ti­ons that wish to cer­ti­fy to ISO/IEC 27001, or […]

Kenn­zei­chung “Ver­trau­lich” — für Ihr ISMS stel­len wir ger­ne unsere […]

Das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz — NISG (sie­he Ver­öf­fent­li­chung) betrifft […]

Mit der ISO 27001 erhal­ten Unter­neh­men die Mög­lich­keit Ihre […]

Von |2024-07-12T07:51:53+02:0002.05.2024|Blog, ISMS Tools, Tipps|

Du findest das gut? Dann teile es und wähle die entsprechende Plattform.

FacebookLinkedInXingE-Mail

Über den Autor:

Andreas Schuster wohnt in Baden bei Wien und hat vor über 20 Jahren sein Hobby die IT zum Beruf gemacht und arbeitete vielen Jahren in der Crypto-Branche. Seit 2015 unterstützt er das SEC4YOU Team im Bereich ISO 27001, TISAX und NIS2 Beratung als Senior Manager. Sein technisches Interesse an allem das ein Kabel hat (exklusive Weißwaren...) bringt immer wieder spannende Blog-Inhalte. Besuchen Sie auch seinen Blog zu Verschlüsselung & IoT unter https://verschlüsselt.IT

Ähnliche Artikel

Lieferantenbewertung nach ISO 27001:2022
NIS2 Vortrag Risikomanagementmaßnahmen
Security Forum 2024 Hagenberg

10 Kommentare

  1. Michael aus Deutschland 11. Juli 2024 um 7:28 Uhr

    Hal­lo,
    ich habe mir die Tage Euer Web­i­nar „Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001“ ange­schaut und mir auch die Foli­en angeschaut.
    An die­ser Stel­le erst mal ein ganz gro­ßes Dan­ke­schön und Kom­pli­ment für das Web­i­nar, die Foli­en, ein­fach die Empfehlungen.
    Fin­de ich ein­fach klasse.

    Mir sind beim Anschau­en und Lesen ein paar Fra­gen gekommen.
    Viel­leicht kön­nen Sie/ könnt ihr mir weiterhelfen?

    Wenn ich es rich­tig ver­ste­he, ist die M365 Labe­l­ing die Umset­zung einer ISMS-Richt­li­nie (CISO Ver­ant­wort­lich) durch die IT (CIO bzw. IT verantwortlich)?
    Oder sehe ich das falsch? (CISO macht Vor­ga­ben durch Rege­lun­gen und über­wacht die­se stich­pro­ben­ar­tig. Die tech­ni­sche Ein­füh­run­gen, das Bbe­trei­ben, etc. macht die IT.

  2. Andreas Schuster | SEC4YOU 11. Juli 2024 um 9:21 Uhr

    Hal­lo Michael,

    vie­len Dank für das Lob!

    Zu Dei­nen Fragen:

    Wenn ich es rich­tig ver­ste­he, ist die M365 Labe­l­ing die Umset­zung einer ISMS-Richt­li­nie (CISO Ver­ant­wort­lich) durch die IT (CIO bzw. IT verantwortlich)?

    Genau. Der CISO defi­niert in der Infor­ma­ti­ons­si­cher­heits-Richt­li­nie die Vor­ga­ben für das Unter­neh­men, wie in die­sem Fall, dass sen­si­ble Infor­ma­tio­nen gekenn­zeich­net wer­den müssen.
    Auch wel­che Schutz­klas­sen es gibt und wie die Namen der Kenn­zeich­nun­gen sind.
    Die IT über­legt dann, wie die­se Kenn­zeich­nung (das soge­nann­te Labe­l­ing) umge­setzt wer­den kann. In der Regel sind das Vor­la­gen für Word, Excel, Power­Point oder ande­re For­ma­te, aber auch Sys­te­me wer­den ange­passt z.B. das Ange­bots­sys­tem, damit die gene­rier­ten Ange­bo­te gleich eine Ver­trau­lich­keits­kenn­zeich­nung erfah­ren. Die Ent­schei­dung zu M365-Labe­l­ing ist aber in der Regel eine gemein­sa­me Ent­schei­dung zwi­schen CISO und IT, weil man sich über die Fol­gen und Mög­lich­kei­ten der Sen­si­ti­vi­ty-Labels natür­lich aus­führ­lich Gedan­ken machen wird.

    Oder sehe ich das falsch? (CISO macht Vor­ga­ben durch Rege­lun­gen und über­wacht die­se stich­pro­ben­ar­tig. Die tech­ni­sche Ein­füh­run­gen, das Bbe­trei­ben, etc. macht die IT.

    Das ist voll­kom­men rich­tig. Der CISO über­legt sich anhand von Best-Prac­ti­ces umsetz­ba­re Maß­nah­men und defi­niert die­se in Regelungen/Richtlinien oder doku­men­tier­ten Pro­zes­sen. Im opti­ma­len Fall stimmt der die Rege­lun­gen natür­lich vor der Ver­öf­fent­li­chung mit den Fach­be­rei­chen wie der IT ab. Dann steht der CISO natür­lich als Info­Sec Exper­te den Fach­be­rei­chen (IT, HR, Faci­li­ty, Ein­kauf, Com­pli­ance, etc.) bera­tend zur Sei­te und unter­stützt die Fach­be­rei­che bei der Umset­zung der Rege­lun­gen. Nach einer gewis­sen Zeit z.B. nach 6 Mona­ten ist es erfor­der­lich, dass der CISO die Umset­zung der Richt­li­ni­en über­prüft und stich­pro­ben­ar­tig Nach­wei­se der Ein­hal­tung einfordert.

  3. Anonymer User aus Deutschland 11. Juli 2024 um 11:11 Uhr

    Wenn man in M365 labelt, wer­den dann auch Daten in den Lauf­wer­ken / Ver­zeich­nis­se gelabelt?

  4. Andreas Schuster | SEC4YOU 11. Juli 2024 um 12:45 Uhr

    Das ist lei­der nicht mög­lich. Es gibt ein Stan­dard-Label mit dem neue Doku­men­te und Emails gekenn­zeich­net wer­den, aber Verzeichnisse/Laufwerke selbst haben die­se Kenn­zeich­nung lei­der nicht. Hier wür­de ich eine Text Datei oder ein Word Doku­ment z.B. mit dem Namen „KLASSIFIZIERUNG.docx“ able­gen und in dem Doku­ment einen kur­zen Ver­merk machen, dass alle Doku­men­te in die­ses Ver­zeich­nis als z.B. „CONFIDENTIAL TLP:AMBER“ gel­ten. Das muss man oft auch machen, den­ken Sie an auto­ma­tisch gene­rier­te Log-Daten die in einem Ver­zeich­nis auf­lau­fen, oder auch an Source Code den man nicht ein­fach kenn­zeich­nen kann.

  5. Anonymer User 11. Juli 2024 um 14:39 Uhr

    Wer­den alle Daten, auch nicht Office-Doku­men­te, gelabelt?

  6. Andreas Schuster | SEC4YOU 11. Juli 2024 um 15:59 Uhr

    Das ist sehr schwie­rig, weil es für sehr vie­le Datei­for­ma­te kei­ne ein­fa­che Mög­lich­keit gibt die­se zu kenn­zeich­nen. Das beginnt schon bei PDF Scan Doku­men­ten die man mit einem PDF-Edi­tor bear­bei­ten müss­te und an einer pas­sen­den Stel­le ein Label ein­fü­gen müss­te. Aber auch Bil­der oder Vide­os kann man nicht ein­fach kenn­zeich­nen. Ich habe Lösun­gen gese­hen die erstel­len einen soge­nann­ten Alter­na­te Data Stream (Erklä­rung sie­he hier: https://it-forensik.fiw.hs-wismar.de/index.php/Alternative_Data_Stream_(ADS)) also eine ver­ste­cke Datei wo man das Label hin­ein­schrei­ben kann, aber dazu benö­tigt man eine spe­zi­el­le Cli­ent-Soft­ware um das wie­der anzei­gen zu las­sen. Der Nach­teil von Alter­na­te Data Streams ist auch, dass die­se Metho­de nur auf NTFS File­sys­te­men funk­tio­niert und nicht in der Cloud.
    Lager Rede kur­zer Sinn: ja es funk­tio­nie­ren nur aus­ge­wähl­te Office Datei­en für das M365 Sen­si­ti­vi­ty Label.

  7. Anonymer User 11. Juli 2024 um 16:23 Uhr

    Was ist mit ande­ren IT-Sys­te­men? (Busi­ness Appli­ka­tio­nen, Cloud-Diens­te, usw.), wie wür­de man das die Infor­ma­ti­ons­klas­si­fi­zie­rung tech­nisch umsetzen?

  8. Andreas Schuster | SEC4YOU 11. Juli 2024 um 17:44 Uhr

    Das ist ver­gleichs­wei­se ein­fach: der CISO defi­niert eine Lis­te der IT-Ser­vices (inkl. der ver­wen­de­ten Cloud-Diens­te) und defi­niert in die­ser Lis­te wel­che Infor­ma­tio­nen in den IT-Ser­vices ver­ar­bei­tet wer­den dür­fen, z.B. ein Finanz-Sys­tem mit Finanz­da­ten wobei die Ver­trau­lich­keit mit „CONFIDENTIAL TLP:AMBER“ fest­ge­legt ist. Eine Kenn­zeich­nung die­ser Daten­bank­an­wen­dun­gen oder exter­nen Cloud-Diens­te ist natür­lich nicht mög­lich, aber nun ist klar, dass maxi­mal ver­trau­li­che Infro­ma­tio­nen in dem jewei­li­gen Sys­tem abge­legt wer­den dürfen.
    Zusätz­lich zur Kenn­zeich­nung gibt es aber die tech­ni­schen Maß­nah­men die man sich zum Schutz der ver­trau­li­chen Infor­ma­tio­nen über­legt, das kön­nen z.B. Red­un­dan­zen sein, oder häu­fi­ge­re Back­ups, oder MFA-Schutz bis hin zu ver­schlüs­sel­ten Daten­ban­ken und Trans­ak­ti­ons-Logs sein. Bei der Infor­ma­ti­ons­klas­si­fi­zie­rung geht es ja nicht nur um die Kenn­zeich­nung, son­dern auch ob die Infor­ma­tio­nen mit aus­rei­chend Schutz­maß­nah­men geschützt sind.

  9. Anonymer User 12. Juli 2024 um 7:11 Uhr

    Dar­über hin­aus haben wir immer wie­der die Fra­ge, ob wir auch ana­log Labeln (Akten, Akten­ord­ner) sollen.
    Aktu­ell hat unser Manage­ment die Ent­schei­dung getrof­fen, ana­lo­ge Daten nicht zu labeln.
    Aber: Sen­si­ble Daten auf jeden Fall sicher (abschließ­ba­re Büros, Schrän­ke, usw.) aufzubewahren.

  10. Andreas Schuster | SEC4YOU 12. Juli 2024 um 7:50 Uhr

    Ja, aber bit­te nur für neue Doku­men­te! Einen Affen zu enga­gie­ren der mit einem Stem­pel alle Doku­men­te in Ihrem Papier­ar­chiv nach­s­tem­pelt, macht für nie­man­den Sinn. 😉
    Wenn man das Labe­l­ing aber für neue Vor­la­gen und gene­rier­te Doku­men­te umsetzt, dann sind die Labels natür­lich auch auf Papier­aus­dru­cken zu sehen und ver­hin­dert gemein­sam mit einer Benut­ze­rIn­nen-Schu­lung, dass Mit­ar­bei­te­rIn­nen acht­los mit sen­si­blen Papier­do­ku­men­ten umgehen.
    Mit sinn­vol­len Maß­nah­men soll genau das ver­mie­den wer­den: https://de.euronews.com/2022/08/23/300-geheime-dokumente-in-seiner-villa-trump-will-fbi-ausbremsen

    So gene­rell wür­de ich die Ent­schei­dung nicht tref­fen und sehr wohl zwi­schen bestehen­den ana­lo­gen Daten zu unter­schei­den und neu gene­rier­ten Dokumenten.
    Wenn neu gene­rier­te Doku­men­te auto­ma­tisch ein Label haben, dann bleibt das ja auch auf einem Aus­druck vor­han­den. Ich den­ke da z.B. an Kon­struk­ti­ons­zeich­nun­gen, aber auch an Per­so­nal­da­ten und Finanz­da­ten die aus einem Sys­tem aus­ge­druckt werden.

Die Kommentarfunktion wurde geschlossen.

Titel

Nach oben