McCumber-Würfel

Der McCumber-Würfel ist ein Modell zur Entwicklung und Bewertung von Informationssicherheitsprogrammen . Dieses Sicherheitsmodell, das 1991 von John McCumber entwickelt wurde, wird als dreidimensionales, einem Zauberwürfel ähnliches Gitter dargestellt.

Das Konzept dieses Modells besagt, dass Organisationen bei der Entwicklung von Informationssicherheitssystemen die Wechselwirkungen aller relevanten Faktoren berücksichtigen müssen. Für ein robustes Informationssicherheitsprogramm müssen neben den Sicherheitszielen (siehe unten) auch deren spezifischer Bezug zu den verschiedenen Zuständen von Informationen im System und den verfügbaren Sicherheitsvorkehrungen im Designprozess betrachtet werden. Das McCumber-Modell hilft dabei, alle wichtigen Designaspekte im Blick zu behalten, ohne sich zu sehr auf einen einzelnen Aspekt zu konzentrieren (d. h. sich ausschließlich auf technische Kontrollen zu verlassen und dabei notwendige Richtlinien und Endbenutzerschulungen zu vernachlässigen).

• Vertraulichkeit : Die Zusicherung, dass sensible Informationen nicht absichtlich oder versehentlich an unbefugte Personen weitergegeben werden.
• Integrität : die Gewissheit, dass Informationen weder absichtlich noch versehentlich so verändert werden, dass ihre Zuverlässigkeit in Frage gestellt wird.
• Verfügbarkeit : Sicherstellen, dass autorisierte Personen bei Bedarf sowohl zeitnah als auch zuverlässig Zugriff auf Daten und andere Ressourcen haben.

• Speicherung: Daten im Ruhezustand (DAR) in einem Informationssystem, wie sie beispielsweise im Arbeitsspeicher oder auf einem Magnetband oder einer Festplatte gespeichert sind.
• Transmission: die Übertragung von Daten zwischen Informationssystemen – auch bekannt als Datenübertragung (Data in Transit , DIT).
• Verarbeitung: Durchführung von Operationen an Daten, um das gewünschte Ziel zu erreichen.

• Richtlinien und Verfahren: Administrative Kontrollen, wie z. B. Managementanweisungen, die die Grundlage dafür bilden, wie Informationssicherheit innerhalb einer Organisation umgesetzt werden soll. (Beispiele: Richtlinien zur akzeptablen Nutzung oder Verfahren zur Reaktion auf Sicherheitsvorfälle) – auch als Betrieb bezeichnet .
• Menschliche Faktoren: Sicherstellen, dass die Nutzer von Informationssystemen ihre Rollen und Verantwortlichkeiten hinsichtlich des Schutzes von Informationssystemen kennen und Standards einhalten können. (Beispiel: Endbenutzerschulungen zur Vermeidung von Computerviren oder zum Erkennen von Social-Engineering-Taktiken) – auch als Personal bezeichnet.
• Technologie : Software- und hardwarebasierte Lösungen zum Schutz von Informationssystemen (Beispiele: Antivirenprogramme, Firewalls, Intrusion-Detection-Systeme usw.).

Laut John McCumbers Website besteht die Idee darin, die Entwicklung von Sicherheit hin zu einer rein formalen Disziplin zurückzudrängen und sie durch eine strukturierte Methodik zu unterstützen, die unabhängig von technologischen Entwicklungen funktioniert. Grundlage dieser Methodik ist das Zusammenspiel von Vertraulichkeit, Integrität und Verfügbarkeit mit Speicherung, Übertragung und Verarbeitung unter Berücksichtigung von Richtlinien, Verfahren, menschlichem Faktor und Technologie.

• CIA-Triade
• Tiefenverteidigung (Informatik)

• Bewertung und Management von Sicherheitsrisiken in IT-Systemen: Eine strukturierte Methodik von John McCumber (Autor) [Verlag: Auerbach Publications; 1. Auflage (15. Juni 2004)]