Anforderungen für Daten
Schützenswerte Informationen, die automatisiert verarbeitet werden oder in einem Dateisystem gespeichert sind.
Auch genannt: dokumentierte Informationen.
Beispiele: Aktenordner, Kundendaten.
Teil von Informationen.
36 Anforderungen gelten für ein Asset dieser Kategorie: 31 direkt zugeordnet, 5 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 400. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (31)
Abschnitt betitelt „Direkt zugeordnet (31)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| ASST.2.1.1 Informationsverantwortung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.4 Klassifizierung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.2 Entfernung nicht erforderlicher Rest- oder Zusatzdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.10 Autorisierung von Datenlokationen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.11 Autorisierung von Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.11.1 Autorisierung von Peripheriegeräten | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.12 Autorisierung von Personen oder Institutionen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.4.2 Vertraulichkeit und Integrität beim Transport | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.4.5 Vereinbarungen zum Austausch | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.2 Aufbewahrungs- und Löschfristen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.3 Geregeltes Löschen oder Vernichten | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.3.1 Standardisierte Vernichtung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.3.2 Löschverfahren | SOLLTE | Standard-SicherheitsstufeStandard |
| DLS.2.2 Transportverschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.4 Automatische Datensicherung | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.5 Archivierung langfristig benötigter Daten | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.5.1 Zum Archiv gehörende Assets | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.5.2 Zum Archiv gehörende Dokumentation | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.14 Offline-Kopie | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.16 Test der Datensicherung | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.16.1 Test der Wiederherstellung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.5 Tainting | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.3.9 Aktualisierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.4.1 Autorisierung von Schnittstellen | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.4.4 Nachweis des Zugangs | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.7.2.1 Langfristige Archivierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.7.3.3 Zugelassene Löschanwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.7.4 Wiederherstelltest | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.12 Datenverarbeitungen | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.6 Unbestreitbarkeit | KANN | Erhöhte SicherheitsstufeErhöht |
| DLS.2.3 Vollverschlüsselung | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Informationen (5)
Abschnitt betitelt „Geerbt von Informationen (5)“Gilt für ein Asset dieser Kategorie, weil Daten unter Informationen steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| SENS.5.2 Weitergabe von Informationen (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.7.20 Authentifzierung von Gesprächspartnern (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.6 Verifikation | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.3.7 Pseudonymisierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.3.8 Anonymisierung | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (9)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (9)“Diese Anforderungen nennen 9 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Arbeitsanweisung | 16 | 0 |
| Datensicherungskonzept | 7 | 0 |
| IT-Betriebskonzept | 4 | 0 |
| Audit Log | 2 | 0 |
| Inventar Informationen | 2 | 0 |
| Konfigurationshistorie | 2 | 0 |
| Detektions-Konzept | 1 | 0 |
| Schulungsplan | 1 | 0 |
| Verträge | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).