Glossar
Cybersicherheit | Datenschutz
Das Verständnis der Fachbegriffe aus den Bereichen Cybersicherheit, Informationssicherheit und Datenschutz ist entscheidend, um die damit verbundenen Herausforderungen zu verstehen und gezielt anzugehen. Dieses Glossar bietet einfache und präzise Definitionen der wichtigsten und am häufigsten verwendeten Begriffe.
1. Normen und Zertifizierungen
ISO 27001
Internationale Referenznorm für die Informationssicherheit. Sie definiert bewährte Verfahren, die Organisationen dabei unterstützen, ihre Daten zu schützen, Risiken in Bezug auf die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu verwalten und ein Informationssicherheits-Managementsystem (ISMS) einzuführen. Die ISO-27001-Zertifizierung bestätigt das Engagement einer Organisation für die Informationssicherheit und die Sicherheit ihrer Informationssysteme.ISO 27701
Internationale Norm für den Schutz personenbezogener Daten und das Datenschutzmanagement. Als Ergänzung zur ISO 27001 unterstützt sie Organisationen dabei, Maßnahmen zum Schutz personenbezogener Daten umzusetzen, ihre Konformität mit Datenschutzvorschriften (DSG, DSGVO usw.) zu stärken und ihr Engagement für den Datenschutz nachzuweisen.ISO 42001
Erste internationale Norm für die Governance von künstlicher Intelligenz. ISO 42001 unterstützt Organisationen bei der Einführung von Regeln und Prozessen, um den Einsatz von KI zu steuern, damit verbundene Risiken zu beherrschen und eine verantwortungsvolle, transparente und gesetzeskonforme Nutzung sicherzustellen.Cyber-Safe
Schweizer Cybersicherheitslabel, mit dem Organisationen den Schutz ihrer Informationssysteme und Daten bewerten und verbessern können. Es basiert auf einer Reihe von Kriterien aus den Bereichen Technik, Organisation und Mitarbeitende und ermöglicht es, ein Sicherheitsniveau nachzuweisen, das den aktuellen digitalen Risiken angemessen ist.Gap-Analyse
Die Gap-Analyse (Gap Analysis) besteht darin, die aktuellen Praktiken einer Organisation mit den Anforderungen einer Norm, einer gesetzlichen Regelung oder eines Referenzrahmens zu vergleichen. Sie ermöglicht es, Verbesserungspotenziale und erforderliche Maßnahmen zu identifizieren, um das erwartete Compliance-Niveau zu erreichen. Diese Analyse wird häufig zu Beginn eines Compliance-Projekts oder vor einem Zertifizierungsaudit durchgeführt.2. Datenschutz
DSG
Das Bundesgesetz über den Datenschutz (DSG) ist die Schweizer Gesetzgebung, die die Bearbeitung und den Schutz personenbezogener Daten regelt. Es verpflichtet Organisationen, geeignete Maßnahmen zu ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten und die Privatsphäre der betroffenen Personen zu schützen. Das DSG gilt für alle Organisationen, die in der Schweiz personenbezogene Daten bearbeiten, und legt Regeln für Transparenz, Sicherheit und den Umgang mit Datenschutzverletzungen fest.DSGVO
Die Datenschutz-Grundverordnung (DSGVO) ist die europäische Verordnung zum Schutz der personenbezogenen Daten von Personen mit Wohnsitz in der Europäischen Union. Sie regelt, wie Organisationen diese Daten erheben, verwenden, speichern und weitergeben. Die DSGVO legt Anforderungen fest, um Transparenz, den Schutz der Privatsphäre und die Datensicherheit zu gewährleisten. Sie gilt auch für Organisationen ausserhalb der Europäischen Union, wenn diese Daten von Personen mit Wohnsitz in der EU bearbeiten.Datenschutz-Folgenabschätzung (DSFA)
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine Analyse, mit der die Risiken im Zusammenhang mit der Bearbeitung personenbezogener Daten identifiziert und bewertet werden. Sie unterstützt Organisationen dabei, die erforderlichen Maßnahmen zum Schutz der Privatsphäre der betroffenen Personen umzusetzen. Eine DSFA ist in der Regel erforderlich, wenn eine Bearbeitung ein hohes Risiko für die betroffenen Personen darstellt oder sensible Daten betrifft.Verzeichnis der Bearbeitungstätigkeiten
Das Verzeichnis der Bearbeitungstätigkeiten ist ein Dokument, in dem sämtliche Bearbeitungen personenbezogener Daten innerhalb einer Organisation erfasst werden. Es beschreibt insbesondere, welche Daten erhoben werden, zu welchem Zweck sie bearbeitet werden, wer darauf zugreifen kann und wie lange sie aufbewahrt werden. Dieses Verzeichnis ist ein wichtiges Instrument, um die Konformität mit der DSGVO und dem DSG nachzuweisen, und erleichtert Audits sowie Kontrollen durch die zuständigen Behörden.3. Governance, Risiko & Compliance
GRC
Governance, Risiko & Compliance (GRC) ist ein Ansatz, der Organisationen dabei unterstützt, ihre Aktivitäten effizient zu steuern, Risiken zu beherrschen und geltende Vorschriften einzuhalten. Sie ermöglicht eine bessere Organisation von Prozessen, eine frühzeitige Erkennung von Risiken und fundiertere Entscheidungen. Ein gut umgesetzter GRC-Ansatz stärkt die Sicherheit, Compliance und Gesamtleistung einer Organisation.Risikoanalyse
Die Risikoanalyse dient dazu, Ereignisse zu identifizieren, die sich auf eine Organisation auswirken können, unabhängig davon, ob sie mit Sicherheit, Geschäftsprozessen oder Informationssystemen zusammenhängen. Sie hilft dabei, das jeweilige Risikoniveau zu bewerten und geeignete Maßnahmen zur Vermeidung oder Begrenzung möglicher Auswirkungen festzulegen. Dieser Prozess ist entscheidend, um die Werte einer Organisation zu schützen und fundierte Entscheidungen im Bereich Sicherheit und Risikomanagement zu treffen.Risikokartierung
Die Risikokartierung ermöglicht es, sämtliche innerhalb einer Organisation identifizierten Risiken übersichtlich darzustellen. Risiken werden in der Regel nach ihrer Eintrittswahrscheinlichkeit und ihrem potenziellen Ausmaß klassifiziert. Diese Gesamtübersicht hilft dabei, die wichtigsten Risiken zu erkennen, Maßnahmen zu priorisieren und ihre Entwicklung im Laufe der Zeit zu verfolgen.Compliance-Referenzrahmen
Die Compliance-Referenzrahmen umfassen Normen, gesetzliche Vorschriften und bewährte Verfahren, an denen sich eine Organisation orientieren kann, um ihre Verpflichtungen zu erfüllen und ihr Risikomanagement zu verbessern. Sie definieren Anforderungen in den Bereichen Sicherheit, Datenschutz, Governance und Risikomanagement. Zu den bekanntesten Referenzrahmen gehören ISO 27001, ISO 27701, die DSGVO und das DSG.4. Cybersicherheit
Phishing
Phishing (oder Phishing-Angriffe) ist eine von Cyberkriminellen eingesetzte Methode, um an sensible Informationen wie Passwörter, Bankdaten oder geschäftliche Informationen zu gelangen. Dazu geben sie sich über betrügerische E-Mails, Nachrichten oder Websites als vertrauenswürdige Organisationen aus. Phishing gehört heute zu den häufigsten Cyberbedrohungen und kann sowohl für Organisationen als auch für Privatpersonen erhebliche Folgen haben.
Phishing-Tests
Phishing-Tests sind simulierte E-Mail-Angriffe, mit denen die Aufmerksamkeit von Mitarbeitenden gegenüber Phishing-Versuchen überprüft wird. Durch die Nachbildung realistischer Situationen lassen sich riskante Verhaltensweisen erkennen und die Wirksamkeit von Sensibilisierungsmaßnahmen messen. Diese Übungen helfen Organisationen, sichere Verhaltensweisen zu stärken und die mit menschlichen Fehlern verbundenen Risiken zu reduzieren.
Incident Response
Incident Response umfasst alle Maßnahmen zur Erkennung, Bearbeitung und Behebung eines Cybersicherheitsvorfalls, beispielsweise eines Angriffs, eines Datenlecks oder einer Systemkompromittierung. Ziel ist es, die Auswirkungen auf den Geschäftsbetrieb zu begrenzen, betroffene Dienste schnell wiederherzustellen und zu verhindern, dass sich ein ähnlicher Vorfall wiederholt. Ein klar definierter Incident-Response-Prozess ermöglicht es einer Organisation, effizient auf Cyberbedrohungen zu reagieren und ihre Resilienz zu stärken.
Cybersicherheits-Audit
Ein Cybersicherheits-Audit ist eine Bewertung, mit der das Sicherheitsniveau einer Organisation, ihrer Informationssysteme und ihrer Prozesse beurteilt wird. Es hilft dabei, Schwachstellen, Risiken und mögliche Abweichungen von Sicherheits- oder Compliance-Anforderungen zu identifizieren. Die Ergebnisse des Audits ermöglichen es, konkrete Maßnahmen zur Verbesserung des Schutzes von Daten, Systemen und digitalen Infrastrukturen festzulegen.
Pentest
Ein Pentest (Penetrationstest) ist eine Sicherheitsprüfung, bei der ein Cyberangriff simuliert wird, um Schwachstellen zu identifizieren, die von einem Angreifer ausgenutzt werden könnten. Der Test wird unter kontrollierten Bedingungen durchgeführt und ermöglicht es, die Widerstandsfähigkeit eines Systems, einer Anwendung oder eines Netzwerks gegenüber Cyberbedrohungen zu beurteilen. Die Ergebnisse helfen dabei, Schwachstellen zu beheben und das Sicherheitsniveau der Organisation zu erhöhen.
OSINT
OSINT (Open Source Intelligence) bezeichnet die Sammlung und Analyse öffentlich zugänglicher Informationen, um daraus verwertbare Erkenntnisse zu gewinnen. In der Cybersicherheit ermöglicht diese Methode, im Internet öffentlich zugängliche Informationen zu identifizieren, die digitale Präsenz einer Organisation zu bewerten und potenzielle Risiken im Zusammenhang mit ihrer Online-Präsenz zu erkennen. OSINT hilft somit, Risiken durch die digitale Sichtbarkeit einer Organisation besser zu verstehen und zu reduzieren.
SOC
Ein SOC (Security Operations Center) ist ein Team oder eine Einheit, die für die Überwachung der Sicherheit von Informationssystemen zuständig ist. Seine Aufgabe besteht darin, verdächtige Aktivitäten zu erkennen, Sicherheitswarnungen zu analysieren und bei Sicherheitsvorfällen schnell zu reagieren. Durch die kontinuierliche Überwachung können sich Organisationen besser vor Cyberangriffen schützen und deren Auswirkungen begrenzen.
5. Informationssicherheitsmanagement
ISMS
Das ISMS (Informationssicherheits-Managementsystem) ist ein Rahmenwerk, mit dem eine Organisation ihre Informationen strukturiert und nachhaltig schützen kann. Es umfasst die erforderlichen Regeln, Prozesse und Sicherheitsmaßnahmen, um die Vertraulichkeit, Integrität und Verfügbarkeit von Daten zu gewährleisten. Ein ISMS unterstützt die Organisation dabei, ihre Risiken zu beherrschen, regulatorische Anforderungen zu erfüllen und ihre Cybersicherheitsstrategie kontinuierlich zu verbessern.
Management von Informationswerten
Das Management von Informationswerten umfasst die Identifizierung, Erfassung und den Schutz der für eine Organisation wichtigen Ressourcen, wie Daten, Dokumente, Anwendungen, IT-Systeme oder geschäftliches Know-how. Es ermöglicht, die wichtigsten Informationen zu bestimmen, die damit verbundenen Risiken zu bewerten und geeignete Sicherheitsmaßnahmen umzusetzen. Ein gutes Management der Informationswerte trägt dazu bei, die Sicherheit und Geschäftskontinuität eines Unternehmens zu stärken.
Überwachungsaudit
Ein Überwachungsaudit ist ein Audit, das nach der Erlangung einer Zertifizierung regelmäßig durchgeführt wird, um zu überprüfen, ob eine Organisation die Anforderungen der jeweiligen Norm weiterhin erfüllt. Es stellt sicher, dass die Prozesse wirksam bleiben, bewährte Verfahren angewendet werden und Verbesserungsmaßnahmen kontinuierlich umgesetzt werden. Im Rahmen der ISO 27001 trägt dieses Audit zur Aufrechterhaltung der Zertifizierung und zur kontinuierlichen Verbesserung der Informationssicherheit bei.
6. Rollen in der Cybersicherheit und im Datenschutz
DPO
Der Datenschutzbeauftragte (DPO) ist für die Überwachung der Einhaltung der Datenschutzvorschriften innerhalb einer Organisation zuständig. Er berät die Teams, begleitet Projekte, bei denen personenbezogene Daten bearbeitet werden, sensibilisiert Mitarbeitende und stellt sicher, dass bewährte Datenschutzpraktiken umgesetzt werden. Zudem kann er als Ansprechpartner für Aufsichtsbehörden und betroffene Personen dienen.
CISO
Der CISO (Chief Information Security Officer) ist innerhalb einer Organisation für die Sicherheit der Informationssysteme verantwortlich. Er definiert die Cybersicherheitsstrategie, überwacht das Management von IT-Risiken und sorgt für den Schutz von Daten und Infrastrukturen. Seine Rolle ist sowohl strategischer als auch operativer Natur: Er steuert die Sicherheitsrichtlinien, koordiniert die technischen Teams und stellt die Einhaltung geltender Normen und Vorschriften sicher.
ISMS Manager
Der ISMS Manager ist für die Umsetzung, Überwachung und kontinuierliche Verbesserung des Informationssicherheits-Managementsystems (ISMS) zuständig. Er stellt die Anwendung der Sicherheitsrichtlinien, das Risikomanagement und die Einhaltung der Anforderungen der ISO 27001 sicher. Er spielt eine zentrale Rolle bei der Koordination von Compliance-Maßnahmen, der Vorbereitung von Audits und der Aufrechterhaltung der Wirksamkeit des Sicherheitssystems.
Lead Implementer
Der Lead Implementer ist ein Experte, der Organisationen bei der Umsetzung anerkannter Normen wie ISO 27001, ISO 27701 oder ISO 42001 unterstützt. Er begleitet sie durch alle Phasen des Projekts – von der Organisation der Prozesse bis zur Vorbereitung auf die Zertifizierung. Diese Qualifikation gehört zu den wichtigen Kompetenzen für die erfolgreiche Umsetzung solcher Projekte.
Lead Auditor
Der Lead Auditor ist ein zertifizierter Auditor, der Audits nach anerkannten Normen wie ISO 27001, ISO 27701 oder ISO 42001 vorbereitet, durchführt und überwacht. Seine Aufgabe besteht darin, zu überprüfen, ob eine Organisation die Anforderungen der jeweiligen Norm erfüllt, mögliche Abweichungen zu identifizieren und Verbesserungspotenziale aufzuzeigen. Diese Qualifikation ist insbesondere in den Bereichen Cybersicherheit, Compliance und Risikomanagement anerkannt.