Taktiken zum Qualitätsmerkmal Sicherheit.
Vertraulichkeit
Verschlüsselung
Daten bei Übertragung und Speicherung verschlüsseln
Taktiken zum Qualitätsmerkmal Sicherheit.
Vertraulichkeit
Daten bei Übertragung und Speicherung verschlüsseln
Authentizität
Identität von Benutzern und Systemen überprüfen
Authentizität, Integrität
Identität über zwei unabhängige Faktoren nachweisen
Integrität, Vertraulichkeit
Zugriff auf Ressourcen anhand von Berechtigungen steuern
Vertraulichkeit
Fördert auch: Integrität, Analysierbarkeit
Zugriff auf kritische Daten und Funktionen definieren
Vertraulichkeit
Fördert auch: Analysierbarkeit
Zugriff auf Anwendungsteile basierend auf Rollen steuern
Integrität
Fördert auch: Verfügbarkeit
Benutzer und Prozesse nur mit minimal notwendigen Rechten ausstatten
Verantwortlichkeit
Sicherheitsrelevante Ereignisse protokollieren und überwachen
Integrität
Alle Eingaben von Benutzern und externen Systemen validieren
Authentizität, Integrität
Sessions auf Basis von zufälligen, zeitlich begrenzten IDs verwalten
Integrität
Fördert auch: Verfügbarkeit
Systeme mit sicheren Standardeinstellungen ausliefern und betreiben
Vertraulichkeit
Sicheren Softwareentwurf durch den Austausch mit Experten und Gleichgesinnten fördern
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Verbindliche Regeln für die sichere Anwendungsnutzung definieren
Integrität
Fördert auch: Verfügbarkeit
Verbindliche Regeln für die sichere Entwicklung von Software definieren
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Mitarbeiter für Sicherheitsthemen sensibilisieren und weiterbilden
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Mitarbeiter und Benutzer für Sicherheitsthemen sensibilisieren und schulen
Integrität
Fördert auch: Verfügbarkeit
Netzwerk in Sicherheitszonen mit getrennten Vertrauensstufen aufteilen
Integrität
Fördert auch: Verfügbarkeit
Sicherheit als integralen Bestandteil des Entwicklungsprozesses etablieren
Integrität
Fördert auch: Verfügbarkeit
Sicherheit bereits im Entwurf der Architektur und des Designs berücksichtigen
Vertraulichkeit, Integrität
Strukturierte Ansätze zur Identifizierung und Minderung von Sicherheitsrisiken nutzen
Vertraulichkeit, Integrität
Strukturierten Rahmen zur Bewertung und Verbesserung der Sicherheitspraktiken einführen
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Systeme und Prozesse regelmäßig auf Sicherheit prüfen
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Risiken identifizieren, bewerten und behandeln
Integrität, Verantwortlichkeit
Fördert auch: Verfügbarkeit
Prozesse und Werkzeuge für die Reaktion auf Sicherheitsvorfälle etablieren
Integrität
Fördert auch: Verfügbarkeit
Daten regelmäßig sichern und wiederherstellbar machen
Integrität, Authentizität
Fördert auch: Verfügbarkeit
Nur sichere und aktuelle Versionen von Netzwerkprotokollen verwenden
Vertraulichkeit
Fördert auch: Angemessenheit, Korrektheit, Zeitverhalten
Nur die personenbezogenen Daten erheben und speichern, die für den Zweck erforderlich sind
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Sicherheitseigenschaften durch spezielle Testverfahren überprüfen
Integrität
Fördert auch: Verfügbarkeit
Aktuelle Bedrohungen und Angriffsmethoden sammeln und auswerten
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Umfassende und realistische Angriffe auf die eigenen Systeme durchführen
Integrität
Fördert auch: Verfügbarkeit
Architektur und Design auf konzeptionelle Sicherheitslücken untersuchen
Nachweisbarkeit
Methoden zur Untersuchung von Sicherheitsvorfällen und Straftaten etablieren
Integrität
Fördert auch: Verfügbarkeit
Angreifer mit speziell gesicherten Systemen ködern
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Messgrößen definieren, erheben und auswerten, um den Sicherheitsstatus zu quantifizieren
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Systematisch Bedrohungen, Angreifer und Schutzmaßnahmen analysieren
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Unerwünschte Anwendungsfälle aus Sicht von Angreifern beschreiben
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Spezifische Anforderungen an die Informationssicherheit erheben und dokumentieren
Integrität
Fördert auch: Verfügbarkeit
Standardeinstellungen und Auslieferungszustand auf maximale Sicherheit ausrichten
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Grenzen zwischen Systemen und Komponenten mit unterschiedlichen Vertrauensstufen definieren
Integrität, Vertraulichkeit
Datenflüsse zwischen Komponenten und Systemen kontrollieren und filtern
Vertraulichkeit, Integrität, Authentizität
Bewährte und standardisierte Algorithmen und Protokolle für kryptografische Funktionen einsetzen
Vertraulichkeit, Integrität, Authentizität
Abläufe für die sichere Erzeugung, Verteilung und Speicherung von kryptografischen Schlüsseln etablieren
Integrität
Fördert auch: Verfügbarkeit
Verbindliche Regeln und Best Practices für die sichere Programmierung definieren
Integrität
Fördert auch: Verfügbarkeit
Quelltexte automatisiert auf Programmierfehler und Sicherheitslücken prüfen
Integrität
Fördert auch: Verfügbarkeit
Sicherheitseigenschaften durch Ausführung und Beobachtung des Programmverhaltens prüfen
Integrität
Fördert auch: Verfügbarkeit
Bibliotheken und Frameworks mit Sicherheitsfunktionen verwenden
Integrität
Fördert auch: Verfügbarkeit
Parametrisierte Abfragen verwenden, um SQL-Injection zu verhindern
Integrität
Fördert auch: Verfügbarkeit
Ausgaben maskieren, um Injection-Angriffe zu verhindern
Integrität
Fördert auch: Verfügbarkeit
Eingabedaten in eine kanonische Darstellung überführen
Integrität
Fördert auch: Verfügbarkeit
Mit zufallsgenerierten Eingabedaten testen, um unerwartetes Verhalten aufzudecken
Integrität
Fördert auch: Verfügbarkeit
Bewusst ungültige Eingaben und Grenzfälle testen, um Fehlerbehandlung zu prüfen
Integrität
Fördert auch: Vertraulichkeit, Nachweisbarkeit
Bereits behobene Sicherheitslücken erneut testen, um deren Wiederauftreten zu verhindern
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Unabhängige Sicherheitsexperten mit dem Testen der Anwendung beauftragen
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Sicherheitslücken durch simulierte Angriffe aufdecken
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Auslieferungszustand von Systemen und Komponenten sicherheitstechnisch verbessern
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Sicherheitsupdates und Patches zeitnah einspielen
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Sicherheitsmechanismen in mehreren Schichten und Ebenen implementieren
Integrität
Fördert auch: Verfügbarkeit
Schadsoftware durch technische Maßnahmen erkennen und abwehren
Verantwortlichkeit
Fördert auch: Verfügbarkeit
Sicherheitsrelevante Ereignisse und Daten kontinuierlich erfassen und auswerten
Integrität
Fördert auch: Nachweisbarkeit, Authentizität
Endgeräte kontinuierlich in Echtzeit auf Bedrohungen überwachen
Integrität
Fördert auch: Verfügbarkeit
Systeme und Anwendungen regelmäßig auf bekannte Schwachstellen prüfen
Integrität
Fördert auch: Verfügbarkeit
Abhängigkeiten zu fremder Software regelmäßig überprüfen
Integrität, Verantwortlichkeit
Fördert auch: Verfügbarkeit
Sicherheitsrelevante Einstellungen dokumentieren und regelmäßig prüfen
Integrität
Fördert auch: Verfügbarkeit
Verhalten bei Sicherheitsvorfällen trainieren und Notfallprozesse erproben
Vertraulichkeit
Fördert auch: Verfügbarkeit
Zutritts- und Zugangsschutz für IT-Infrastruktur durch bauliche und organisatorische Maßnahmen gewährleisten
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
Sicherheit als gemeinsamen Wert im Unternehmen verankern
Vertraulichkeit, Authentizität
Fördert auch: Integrität
Jede Anfrage unabhängig vom Netzwerkstandort verifizieren — niemals implizit vertrauen
Vertraulichkeit, Integrität
Fördert auch: Authentizität
APIs durch Ratenbegrenzung, Schemavalidierung, Gateways und tokenbasierte Authentifizierung absichern
Vertraulichkeit, Integrität
Anwendungsgeheimnisse sicher in dedizierten Tresoren verwalten und regelmäßig rotieren
Authentizität, Integrität
Fördert auch: Nachweisbarkeit
X.509-Zertifikatslebenszyklen einschließlich PKI, Widerruf und Pinning verwalten
Nachweisbarkeit, Integrität
Fördert auch: Authentizität
Kryptographische Signaturen für Codesignierung, Dokumentenverifizierung und Urheberschaftsnachweis einsetzen
Authentizität
Fördert auch: Verantwortlichkeit
Authentifizierung an vertrauenswürdige externe Identitätsanbieter delegieren
Vertraulichkeit
Fördert auch: Verantwortlichkeit
Datenschutz von Beginn an als Architekturprinzip verankern
Integrität, Vertraulichkeit
Fördert auch: Verfügbarkeit
HTTP-Verkehr auf Anwendungsschicht gegen Webangriffe filtern
Integrität, Authentizität
Software-Lieferkette durch SBOMs und Herkunftsverifizierung absichern
Nachweisbarkeit, Verantwortlichkeit
Manipulationssichere, kryptografisch verkettete Audit-Datensätze für Compliance pflegen