DAX-ISP-104 Informationssicherheit Planungs-/Klassifizierungsrisiko RAG und Wissenssysteme Kritisch medium

Nicht systematische Berücksichtigung von Schutzbedarfsklassifizierung bei der Planung von RAG- und Wissenssystemen

Im Planungsprozess von RAG- und Wissenssystemen fehlt die konsekutive Schutzbedarfsermittlung auf Basis eingespeister und verarbeiteter Daten, womit Schutzziele und regulatorische Anforderungen nicht angemessen bewertet werden.

Kontext

Branche: Branchenübergreifend
Prozess: Planung und Klassifizierung
Schutzgut: Vertraulichkeit Integrität

Ursachen

Mangelnde Einbindung von Informationssicherheitsverantwortlichen bei der initialen Klassifikation und Unterbewertung sensibler/anwendungsbezogener Daten.

Auswirkungen

Fehlende Sicherheitsmaßnahmen
Verletzung gesetzlicher Vorgaben
erhöhte Angriffsrisiken und mögliche Datenverluste.

Praxisbeispiel

Unternehmensinterne Wissensdatenbanken werden ohne Schutzbedarfsklassifizierung für das RAG bereitgestellt; sensible Kunden- und Produktdaten sind damit nicht ausreichend geschützt.

Stakeholder

Informationssicherheitsbeauftragte
Systemverantwortliche
Projektleitung
Data Owner

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

Einbindung der Informationssicherheitsfunktion in die Klassifikation aller Datenquellen und -flüsse
Verpflichtende Schutzbedarfsermittlung vor Projektfreigabe

Detektive Maßnahmen

Review der Planungsunterlagen auf formale Schutzbedarfsfeststellung
Audit von Datenklassifikationen im Projektverlauf

Korrektive Maßnahmen

Nachträgliche Schutzbedarfsermittlung und Anpassung bestehender Sicherheitsmaßnahmen

Pruefziele

Sicherstellung
dass Schutzbedarf systematisch vor Integration von Datenquellen in RAG-/Wissenssysteme erhoben und dokumentiert wurde.

Auditfragen

Wurde für jede relevante Datenquelle eine Schutzbedarfsklassifikation vorgenommen?
Gibt es dokumentierte Freigaben durch die Informationssicherheitsfunktion?

Normbezüge

ISO/IEC 27001 A.5.12
A.8.2 ISO/IEC 42001 Kapitel 5
8.2 NIST AI RMF 1.0 Funktion MAP

Normhinweise

ISO/IEC 27001: Schutzbedarf unmittelbar nach Systemdefinition und vor Produktivsetzung feststellen
ISO/IEC 42001: Eindeutige Festlegung von Schutzzielen und Datenklassifikation für KI-Projekte verpflichtend

Nachweise

Klassifikationsdokumente
Schutzbedarfsfeststellungen
Prüfprotokolle

Nachweistypen

Prozessnachweis
Auditbericht
Freigabeprotokoll

Kontrollen

Verpflichtende Schutzbedarfsfeststellung
Freigabe durch Informationssicherheitsfunktion