Sicherheit in Rechnernetzen - Professur Datenschutz und ...

1 Einführung
Charakteristisch für fast alle Anwendungen mit Verfügbarkeitsanforderungen ist, daß richtige
Ergebnisse nicht irgendwann in der Zukunft, sondern zu realen Zeitpunkten (nächste notwendige
Therapiemaßnahme im obigen Beispiel) benötigt werden. Zugespitzt sorgen Maßnahmen zur
Sicherung der Integrität dafür, daß das Richtige geschieht und Maßnahmen zur Sicherung der
Verfügbarkeit, daß es rechtzeitig geschieht [Hopk_89]. Der Nachweis der totalen Korrektheit
allein reicht also im allgemeinen als Nachweis für Verfügbarkeit nicht aus. Zusätzlich müssen
mindestens noch die benötigten Betriebsmittel analysiert und ihr ausreichendes verfügbar sein
nachgewiesen werden. Also gilt:
Integrität und Verfügbarkeit ≈ totale Korrektheit und ausreichend Betriebsmittel verfügbar
Ein paar Anmerkungen zur obigen Einteilung von Bedrohungen und Schutzzielen sind angebracht:
Der in [ZSI_89, ITSEC2d_91] verwendete Begriff unbefugt muß sehr weit verstanden werden,
denn sonst sind die obigen drei Bedrohungen unvollständig: Der Ausfall beispielsweise
eines Transistors kann durchaus Informationen modifizieren oder die Funktionalität beeinträchtigen,
ja sogar einen Verlust der Vertraulichkeit bewirken. Ob er aber nach allgemeinem Sprachgebrauch
ein unbefugtes Ereignis mit unbefugten Folgen darstellt, ist unklar. Denn Befugnisse
werden im allgemeinen nur Instanzen mit Verantwortung, also Menschen, übertragen. Instanzen
ohne Verantwortung können dann nicht unbefugt handeln, also auch nichts Unbefugtes bewirken.
Die Beeinträchtigung der Funktionalität muß auf die berechtigten Nutzer bezogen werden.
Andernfalls wäre, wenn ein IT-System von Unbefugten intensiv genutzt wird, seine Funktionalität
zwar nicht beeinträchtigt, denn es funktioniert ja. Aber je nach Auslastung des IT-Systems
durch die Unbefugten wäre die Funktionalität des IT-Systems den berechtigten Nutzern entzogen
[Stel_90].
In [Stel_90] wird moniert, daß in [ZSI_89] das Schutzziel (rechtliche) Verbindlichkeit nicht
aufgeführt ist. Ein ähnliches Schutzziel Zurechenbarkeit (accountability)wird später in den Kanadischen
Sicherheitsbewertungskriterien [CTCPEC_92] als zusätzliches viertes eingeführt. Man
kann damit manche Schutzziele prägnanter beschreiben, vgl. §1.3. Da man aber solche Bedrohungen
bzw. Schutzziele auch unter Integrität fassen kann und mit möglichst wenig Bedrohungstypen
auskommen sollte, bleibe ich bei der üblichen Dreiteilung.
Positiv und möglichst kurz formuliert lauten die drei Schutzziele also:
Vertraulichkeit = Informationen werden nur Berechtigten bekannt.
Integrität = Informationen sind richtig, vollständig und aktuell
oder aber dies ist erkennbar nicht der Fall.
Verfügbarkeit = Informationen sind dort und dann zugänglich,
wo und wann sie von Berechtigten gebraucht werden.
Hierbei ist „Information“ jeweils in einem weiten und umfassenden Sinn gemeint, so daß Daten
und Programme, aber auch Hardwarestrukturen 3 subsumiert werden.
28
3 Da Abläufe - sprich Funktionalität - statt durch Programme auch durch Hardwarestrukturen beschrieben werden
können, ist dies nötig.