Sicherheitsklassifizierung (CIA / BIV)¶

Organisationen verlangen beim onboarding oft eine Klassifizierung deines Workloads. Sie legt fest, wie streng die Kontrollen sein müssen. Das Modell heißt CIA; in niederländischen Organisationen BIV.

Aspekt	Frage
Vertraulichkeit (Confidentiality, niederländisch: Vertrouwelijkheid)	Was passiert, wenn Unbefugte dies lesen?
Integrität (Integrity, niederländisch: Integriteit)	Was passiert, wenn Daten verändert oder beschädigt werden?
Verfügbarkeit (Availability, niederländisch: Beschikbaarheid)	Wie lange darf das System ausfallen? Gibt es direkte Auswirkungen auf den Primärprozess?

Jeder Aspekt erhält eine Stufe:

Stufe	Bedeutung	Typische Beispiele
Niedrig	Ein Incident hat keine nennenswerten Auswirkungen	Öffentliche Informationen, Test und Entwicklung ohne Produktionsdaten
Mittel	Begrenzte Auswirkungen	Interne Geschäftsinformationen, nicht kritische Anwendungen
Hoch	Große Auswirkungen	Kerngeschäftssysteme, medizinische oder finanzielle Daten, Personaldaten

Verwendete Skalen¶

Drei Stufen sind am einfachsten. Manche Organisationen verwenden pro Aspekt eine feinere Skala, zum Beispiel 0 bis 3, wobei 0 öffentlich oder keine Auswirkung bedeutet und 3 die höchste Stufe. Verwende die Skala deiner Organisation und wende sie auf alle drei Aspekte an. Die Bedeutung jeder Stufe in deinen eigenen Worten gehört in deine Klassifizierungs-Policy.

Wiederherstellungsziele¶

Die Klassifizierung fließt auch in die Wiederherstellungsziele ein. Stimme diese mit dem Business ab und halte sie für den Workload fest:

Begriff	Bedeutung
RPO (Recovery Point Objective)	Der Zeitpunkt, bis zu dem Daten wiederhergestellt werden müssen, damit die Tätigkeit fortgesetzt werden kann. In der Praxis: wie viel Datenverlust akzeptabel ist.
RTO (Recovery Time Objective)	Die Zeit nach einer Störung, in der die Tätigkeit oder der Service wiederhergestellt oder wieder aufgenommen sein muss
MTPD (Maximum Tolerable Period of Disruption)	Die längste Zeit, die eine Tätigkeit gestört sein darf, bevor die Auswirkungen inakzeptabel werden

Das RTO muss innerhalb des MTPD liegen. Nutze sie, um Backup-Häufigkeit, Redundanz und Failover-Tests festzulegen (Workload betreiben).

Wo du die Klassifizierung festhältst¶

Halte die Klassifizierung am Workload fest, damit sie sichtbar ist und Kontrollen steuern kann. Manche Plattformen verwenden Tags für die drei Aspekte, die Wiederherstellungsziele, die Business Criticality und eine Service Class, die den Workload mit einem Supportlevel verknüpft (Erweiterter Tag-Satz). Die Klassifizierung kann auch Zugriffskontrollen steuern: zum Beispiel eine strengere Conditional-Access-Policy für den Zugriff auf Produktionsdaten einer höheren Stufe (Entwicklerzugriff mit Point-to-Site-VPN).

Zusammenhang mit der Plattform¶

Die Baseline der Plattform (private endpoints, Verschlüsselung, zentrales Logging, Policies, Netzwerksegmentierung, Entra ID RBAC) soll für Workloads der Stufe Niedrig und oft auch Mittel ausreichen.
Hoch erfordert typischerweise zusätzliche Maßnahmen pro Dienst, zum Beispiel Customer-managed Keys, höhere Redundanz, strengere Netzwerkregeln, zusätzliches Logging oder Tests. Das sind deine Entscheidungen und deine Aufgabe, mit Beratung durch das Plattform-Team.
Die Klassifizierung bestimmt außerdem den Tag pii, die Wahl der Umgebung für Produktionsdaten (nur prd) und die management group (corp oder online).

Siehe Workload betreiben für Entscheidungen zu Resilienz, Verschlüsselung und Backup sowie Onboarding dazu, wo die Klassifizierung abgefragt wird.

Referenz

Einige Kundenplattformen führen eine detaillierte Tabelle der Kontrollen pro Azure-Dienst und Stufe (Niedrig, Mittel, Hoch). Eine solche Tabelle ist kundenspezifisch und nicht Teil des MCP-Produkts. Frag deinen Security Officer nach dem Äquivalent deiner Organisation. Externe Referenzen: NIST SP 800-60, ISO 27001, NEN 7510 (niederländisches Gesundheitswesen), GDPR/AVG, NIS2.