Die IT-Sicherheitskriterien

Bundesamt für Sicherheit in der Informationstechnik (BSI)

• IT-Sicherheitskriterien,
• IT-Evalutionshandbuch,
• IT-Sicherheitshandbuch,
• …

Sinn eines Kriterienkatalogs:

• Vertrauenswürdigkeit von Datenverarbeitungssystemen definieren (Datenschutz, sichere Informationsverarbeitung).
• Standards für Systemhersteller setzen; allgemeine Hebung des Sicherheitsstandards.
• Beurteilungsmaßstäbe für Betreiber und Anwender zur Verfügung stellen; Hilfe bei der Erstellung von Ausschreibungen.
• Prüfrichtlinien für offizielle Bewertungsstellen. (»objektive Vertrauensbildung« durch »neutrale und vertrauenswürdige Institution«).

Bewertung von Mechanismen der IT-Sicherheit

• ungeeignet (wirkt nicht)
• schwach (verhindert unbeabsichtigte Verstöße)
• mittelstark (überwindbar nur mit Systemkenntnissen und mittelhohem Aufwand)
• stark (überwindbar nur mit großem Aufwand und aufwendigen Hilfsmitteln)
• sehr stark (nach dem Stand der Technik nur mit äußerstem Aufwand zu überwinden)
• nicht überwindbar

Funktionalitätsklassen

Qualitätsstufen

(Im Gegensatz zum amerikanischen `Orange Book' werden die Kriterien auf zwei Dimensionen verteilt - Funktionalität und Qualität)

Anwendung der IT-Kriterien

Installation eines angemessen sicheren Datenverarbeitungssystems - angestrebtes Verfahren nach dem IT-Sicherheitshandbuch:

1. Risikoanalyse
   • organisatorisches Umfeld
   • Datenmodell
   • einzusetzende DV-Verfahren
2. Anforderungsdefinition: Funktionalitäts- und Qualitätsanforderungen nach den Maßstäben des Kriterienkatalogs
3. Auswahl eines entsprechend klassifizierten Systems.

Es gibt es wenig klassifizierte Systeme. Das Verfahren ist langsam, der Markt ändert sich schnell.

Weiterführende Literatur

• Common Criteria - Gemeinsame Kriterien für die Prüfung und Bewertung der Sicherheit von Informationstechnik.
• Zertifizierung von IT-Komponenten und IT-Systemen unter dem Aspekt der IT-Sicherheit von Dieter Schönwald (BSI).
• Informationen zur Zertifizierung (BSI).
• Das BSI-Sicherheitszertifikat.
• BSI 7148 (Liste zertifizierter Produkte).
• Trusted Product Evaluation Program.
• Die »Regenbogenserie« (The Rainbow Series) der NSA.