Glossar der Informationssicherheit

Internes Netzwerk

Netzwerksegmente, in dem von IT-Services betriebene Services für den Betrieb der Universität stehen. Dazu zählen Server-Netzwerke, mit Servern die für den WU-Betrieb notwendig sind, sowie Client-Netze. Explizit ausgeschlossen sind Netzwerke in den Studierende (z.B.: Eduroam) sind, sowie unmanaged Netzwerke für Forschungsequipment.

Endgerät

Geräte die von Anwender*innen für den Zugriff auf IT Dienste verwenden. Dazu zählen:

• Laptops

• PCs

• Smartphones und Tablets

Informationseigentümer

Person, die eine Informationen (z.B.: in Form eines Dokuments oder Bild) erstellt und zugänglich macht. Der Informationseigentümer muss die Zugänglichkeit sowie den Umfang und die Art der Autorisierung des Zugriffes definieren.

Betriebshandbuch 

Dokumentation des Betriebs. Die Dokumentation sollte so gestaltet werden, dass sie jederzeit einer IT-Services fremden Person ausgehändigt werden kann und dies das Service jederzeit neu aufbauen oder betreiben kann. Als notwendige Informationen sollten z.B. folgende Elemente dabei sein: Verbindungen, Configs, Berechtigungen, Verantwortlichkeiten, Ausnahmen etc.

NDA/GV

Eine Vertraulichkeitsvereinbarung (auch Geheimhaltungsvereinbarung oder Non Disclosure Agreement, kurz NDA, genannt) ist ein Vertrag, in dem sich idR geschäftlich miteinander in Beziehung stehende Parteien einigen, keine vertraulichen Informationen und Daten an Dritte weiterzugeben. Die Vertraulichkeitsvereinbarung dient im B2B-Bereich insbesondere dem Schutz unternehmensrelevanter Betriebs- und Geschäftsgeheimnisse und soll verhindern, dass Dritte – etwa mögliche Mitbewerber – in den Besitz (wettbewerbs-)sensibler Daten gelangen, wodurch zumindest einer der Vertragsparteien Schaden entstehen könnte.

Ende-zu-Ende Verschlüsselung/End-to-End encryption/E2E

Bei vielen Nachrichtendiensten speichern Dritte die Daten, die nur während der Übertragung verschlüsselt werden. Diese serverseitige Verschlüsselungsmethode schützt die Daten nur vor unbefugten Betrachtern. Diese Methode hat jedoch zur Folge, dass auch der Absender die Informationen einsehen kann, was in Fällen, in denen der Datenschutz an allen Stellen erforderlich ist, unerwünscht sein kann.

Bei der Ende-zu-Ende-Verschlüsselung sind die verschlüsselten Daten nur für Benutzer verfügbar, die über Entschlüsselungsschlüssel verfügen. Mit anderen Worten: Die Ende-zu-Ende-Verschlüsselung (E2EE) verhindert, dass unerwünschte Benutzer (einschließlich Drittparteien) Daten lesen oder ändern können, die nur für berechtigte Leser zugänglich sein sollen.

Quelle und weitere Informationen: IBM end-to-end-encryption

BSI TR-02102-1

Das BSI stellt eine technische Richtlinie bereit, die beschreibt, welche Verschlüsselungs-Methoden, Algorithmen und Schlüssellängen dem Stand-der-Technik entsprechen. Dabei wird der jeweilige Einsatzzweck berücksichtigt.

Quelle: BSI Technische Richtlinie

DIN 66399-2 

Diese DIN-Norm gibt vor, welches Medium in welche Kategorie in welcher Größe geshreddert werden muss (z.B.: P-4 lässt keinen Streifenschnitt mehr zu. Zwar dürfen 10 % der Schnipsel bis zu 480 mm² groß sein, gefordert sind jedoch höchstens 160 mm² pro Partikel. Jeder Partikel darf an einer Seite darüber hinaus höchstens 6 mm breit sein. Das erfordert für ein DIN A4-Blatt eine Zerkleinerung in mindestens 420 Teile. Eine gängige Partikelgröße bei Aktenvernichtern ist 4 × 35 mm, mit welcher die Sicherheitsstufe gut eingehalten wird.)

Ein passender P4 Shredder, der z.B.: bei IT-SERVICES in Verwendung ist wäre: IDEAL Aktenvernichter 4005 CC, 4 x 40 mm Partikelschnitt | Schäfer Shop

Zentrale Authentifizierung 

Benutzerkonten müssen zentral verwaltet und gesteuert werden. Die zentrale Verwaltung der Benutzerkonten wird via IT-SERVICES bereitgestellt. Dazu dienen die Services Active Directory, Azure Active Directory und Shibboleth. Dies ist insofern erkennbar, als das die WU typische Login-Maske präsentiert wird. Um mit dem Teil der WUPOL compliant zu sein, muss das Benutzerkonto via IT-SERVICES verwaltet und via eines der 3 Schnittstellen angebunden werden.

Priviligierte Benutzerkonten

Priviligierte Benutzerkonten sind jene, die über mehr Rechte verfügen als andere. Dies ist meist bei IT-SERVICES der Fall, kann aber auch bei Administratoren einer OE sein. Immer wenn ein Benutzerkonto besondere Rechte hat, muss auch besonderer Schutz angewandt werden.