Das Schutz- und Sicherheitsmodell beschreibt die Eigenschaft von Systemen (Personen, Bauteilen, Gegenständen, Maschinen oder Anlagen), Systemelemente, Funktionen oder Prozeduren zu besitzen, die dem System Schutz und Sicherheit verleihen. Schutz ist Minderung eines Risikos; Sicherheit ist gefühlte oder tatsächliche Freiheit von unvertretbaren Risiken.Guide 51 (TECHNISCHE REGEL, ISO/IEC Guide 51:2014-04, Beuth-Verlag, Berlin); dort: Sicherheit ist Freiheit von unvertretbaren Risiken
Einordnung Dieses Schutz- und Sicherheitsmodell ist ein Kernmodell für die Systembeschreibung.DIN SPEC 40912 „Kernmodelle – Beschreibung und Beispiele“, Oktober 2014
Konzept Schutz und Sicherheit sind bei Entwurf oder Analyse eines Systems gemeinsames Ziel einer Risikobeurteilung.DIN EN ISO 12100:2010 (Sicherheit von Maschinen)DIN EN ISO 12100 Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze – Risikobeurteilung und Risikominderung (ISO 12100:2010); Deutsche Fassung EN ISO 12100:2010 – Teil 8 Ausgangspunkt einer Risikobeurteilung ist die Annahme von Gefahrenquellen. Dabei ist eine Gefahrenquelle der potenzielle oder tatsächliche Ursprung für eine unerwünschte (unfreiwillige und nachteilige) Wechselwirkung eines betrachteten Systems mit seiner Systemumgebung oder innerhalb dieses Systems. Die Berücksichtigung einer solchen Wechselwirkung bei einer Risikobeurteilung macht aus einer Gefahrenquelle eine Schadensquelle. Schaden wiederum ist eine unerwünschte (unfreiwillige und nachteilige) Veränderung des Zustands oder einer oder mehrerer Funktionen eines Systems oder der Systemumgebung, auch Veränderung einer oder mehrerer vorhandener, aber nicht genutzter Funktionalitäten eines oder mehrerer Systemelemente.
Bei einer Risikobeurteilung werden potenzielle oder tatsächliche Schadensquellen (GefährdungenInternationales Elektrotechnisches Wörterbuch: DKE-IEV 351-57-01 „Gefährdung“ oder 903-01-03 „Gefährdung“; s. auch TECHNISCHE REGEL, ISO/IEC Guide 51:2014-04, Beuth-Verlag, Berlin bzw. Schädigungen) mit dem betrachteten System und seiner Systemumgebung in Beziehung gebracht und in Bezug auf potenzielle oder tatsächliche unerwünschte (unfreiwillige und nachteilige) Wechselwirkungen (Gefahren bzw. Schadensereignisse) und ihre potenziellen oder tatsächlichen Auswirkungen (Schäden) hin untersucht und bewertet (Bild 1). mini|Risikobeurteilungkursiv: potenziellfett: tatsächlich
Innerhalb der Risikokette aus Gefährdung und Gefahr – Schutz – sichere Konstruktion (auch sichere Organisation), sichere Prozedur – (Gefühl der) Sicherheit – Schädigung und Schadensereignis – Schaden (Bild 2) sind Schutz und Sicherheit verknüpft mit den bekannten Elementen einer Risikobeurteilung: Grenzrisiko, Risiko, Restrisiko. Das bewusst oder unbewusst akzeptierte Grenzrisiko führt dabei nicht zu Schutzmaßnahmen und wird somit Teil des verbliebenen (akzeptierten oder übersehenen) Restrisikos. Eine Schadensanalyse mit der Feststellung (Bewertung oder Einschätzung) von Umfang oder Ausmaß, Ursache und gegebenenfalls Häufigkeit eines (potenziellen oder tatsächlichen) Schadens ist schließlich Ausgangspunkt für eine (schrittweise oder erforderliche) erneute Risikobeurteilung und Optimierung des betrachteten Systems. In Bild 2 kursiv aufgeführt sind noch beispielhaft einige Sonderfälle der Risikokette. mini|Risikokette
Schutz dient somit zur Minderung eines Risikos durch oder für das betrachtete System (Schutzobjekt), sei es durch die Abwehr einer Gefahr oder die Integration einer oder mehrerer Sicherungen in das System. Schutz kann spontan erfolgen oder geplant sein. Der geplante Schutz wird erreicht durch Schutzmaßnahmen auf der Grundlage eines Sicherheitskonzepts.
Die so erreichte Sicherheit ist für ein betrachtetes System das Gefühl oder die tatsächliche Gegebenheit der Freiheit von unvertretbaren Risiken, d. h., die gefühlte oder tatsächlich vorliegende Abwesenheit, Eindämmung oder Relativierung einer Gefahr für Zustand und Funktion des Systems, die über ein als vertretbar angesehenes oder bewusst oder unbewusst akzeptiertes Grenzrisiko hinausgeht. Die Gefahr mag vermeintlich oder tatsächlich gegeben sein, aktuell bestehen oder erwartet oder befürchtet werden. Zu den Gefahren (bzw. den Schadensereignissen bei Realisierung) zählen Bedrohung, Störung oder Zerstörung von bestehenden oder angestrebten Strukturen oder Prozessen, von Leib und Leben, Hab und Gut oder von erlebten oder angestrebten Umgebungsbedingungen; auch Sabotage an einem System und Missbrauch eines Systems können Gefahren sein. Und letztlich ist auch eine – mehr oder weniger begründete – Sorge zu den Gefahren zu rechnen. (Die Grenze zwischen Gefahr und Schadensereignis kann dabei fließend sein oder unterschiedlich gesehen werden. Zum Beispiel kann für den einen eine Bedrohung noch befürchtet werden, für einen anderen schon eingetreten sein, aber noch keinen Nachteil nach sich gezogen haben; wieder ein anderer mag dieselbe Bedrohung schon als eingetreten und mit für ihn nachteiligen Konsequenzen verknüpft ansehen.)
Da Schutz und Sicherheit als erforderliche Maßnahme und angestrebtes Ergebnis einer Risikobeurteilung eines Systems zusammengehören, werden Schutz und Sicherheit zusammenfassend dargestellt. Dabei sollen auch die vielen verschiedenen AspekteDIN SPEC 40912 „Kernmodelle – Beschreibung und Beispiele“, Oktober 2014 von Sicherheit (Sicherheitsaspekte) nicht differenzierend betrachtet werden. Gesondert angesprochen werden jedoch im Folgenden immer Schutz und Sicherheit innerhalb des betrachteten Systems, Schutz des Systems vor seiner Umwelt (der Systemumgebung) und Schutz der Systemumgebung vor dem System, da unter Schutz- und Sicherheitsgesichtspunkten bei einer Systembetrachtung die Systemumgebung immer einbezogen werden muss (Bild 3). mini|Schutzmaßnahmen und Sicherungen
Anwendungsbereich Sicherheit (von lat. sēcūritās zurückgehend auf sēcūrus „sorglos“, aus sēd „ohne“ und cūra „(Für-)Sorge“) bezeichnet einen Zustand, der als frei von unvertretbaren Risiken angesehen wird, für den also der Betrachter keine Schadensquelle sieht oder in Betracht zieht, die nicht von ihm akzeptiert ist. („Sicher“ kann u. a. bedeuten: ausfall- oder störungssicher, verfügbar (vgl. engl. safe); ziel- oder ergebnissicher (vgl. engl. sure); geschützt, vertraulich, geborgen (vgl. engl. secure); aber auch überprüft, bestätigt, verlässlich, gewiss (vgl. engl. certain); auch selbstsicher und selbstbewusst (vgl. engl. firm).) Mit dieser Definition ist Sicherheit sowohl auf ein einzelnes Individuum als auch auf andere Lebewesen, auf unbelebte reale Objekte oder Systeme und auch auf abstrakte Gegenstände bezogen (vgl. Sicherheit). Mit anderen Worten: Sicherheit und Schutz können reale Systemelemente oder Systeme (Personen, Organisationen, Geräte, Maschinen, Anlagen …) oder virtuelle Systemelemente oder Systeme (Daten, Informationen, Pläne, Wissen …) betreffen. Die folgende Darstellung ist entsprechend möglichst allgemeingültig angelegt, soll also die gefühlte und tatsächliche Sicherheit einer oder mehrerer Personen, Gemeinschaften, Unternehmungen, Organisationen, anderer Lebewesen und technischer, kultureller oder wirtschaftlicher Einrichtungen, Strukturen und Systeme umfassen und dabei private, berufliche, finanzielle, wirtschaftliche und öffentliche Aspekte einschließen. Je nach Anwendungsfall kann Sicherheit gleichbedeutend sein mit Geborgenheit oder Gefahrlosigkeit, Schutz gleichbedeutend sein mit Abwehr, Absicherung, Abwendung, Sicherung oder Verteidigung und – wegen ihrer Doppeldeutigkeit als Maßnahme oder Zustand – Sicherheit und Schutz gleichbedeutend sein mit Nachhaltigkeit, Stabilität, Unveränderbarkeit oder Unverletzlichkeit. Trotz der angestrebten Allgemeinheit liegt der Fokus der Betrachtung auf industriellen und gesamtgesellschaftlichen Aspekten von Sicherheit und Schutz.
Bei Berücksichtigung des Zeitaspekts geht Sicherheit einher mit Vertrauen in die Zuverlässigkeit (der Funktionsfähigkeit und Funktionen) der Systemelemente und der Schutzmaßnahmen eines Systems (oder – insbesondere in Bezug auf Personen – in die Verlässlichkeit der Funktion eines Systems) und insgesamt in die Stabilität einer Beziehung, Gemeinschaft, Struktur oder Umgebung.
Nicht im Zentrum des betrachteten Anwendungsbereichs stehen Begriffe wie Gewissheit, Vorhersagesicherheit, Eintreffenssicherheit, Unfehlbarkeit, Zielsicherheit, Treffsicherheit.
Über den hier betrachteten Anwendungsbereich hinaus reichen Begriffe wie Selbstsicherheit, Selbstgewissheit.
Allgemeine Spezifikation Für ein gegebenes System umfasst Sicherheit die Sicherheit auf Grund der geplanten oder gewollten Gegebenheiten innerhalb des Systems, die Sicherheit der Systemumgebung gegenüber unerwünschten Auswirkungen des Systems auf die Systemumgebung, die Sicherheit gegenüber unerwünschten Einwirkungen auf das System als Ganzes oder auf ein oder mehrere Systemelemente von außerhalb des Systems (vgl. Bild 3) sowie den jeweiligen Schutz gegen ungewollte oder unerwünschte, auch unbeabsichtigte oder unerwartete Nutzungen des Systems oder derartige Veränderungen am oder im System (z. B. durch Missbrauch oder Sabotage).
Einbezogen sind somit Sicherheit und Schutz entlang des Zeitstrahls, also in Bezug auf die betrachtete Gegenwart und in Bezug auf die Sicherheit zu einem beliebigen oder bestimmten zukünftigen Zeitpunkt oder Zeitbereich.
Entsprechend der geforderten Sicherheit hat Schutz drei Richtungen: den Schutz der Systemelemente gegen- und untereinander, den Schutz der Systemumgebung (Außenwelt / Umwelt) vor einem Systemversagen mit Einwirkungen des Systems auf die Umgebung, den Schutz des gesamten Systems vor Einwirkungen der Systemumgebung (Außenwelt / Umwelt) auf das betrachtete System. (Daraus folgt auch, dass alle Systembetrachtungen, -planungen, -entwicklungen, -konstruktionen, – organisationen, -realisierungen und -überwachungen diese drei Aspekte dauerhaft berücksichtigen müssen.)
Der Aufwand für Schutzmaßnahmen (bzw. für Abwehr- oder Verteidigungsmaßnahmen bei einer Sorge oder Bedrohung) hängt ab von der Bewertung oder Einschätzung oder dem Gefühl von Gefährdung, Grenzrisiko, Risiko, Restrisiko und zu erwartendem oder befürchtetem Schaden in Relation zum Wert des zu schützenden Systems oder Systemelements, soweit dies jeweils möglich ist.
All diese Aspekte sind bei Systemauswahl, -planung und -realisierung zu beachten und während der Lebenszeit des Systems zu überwachen und sicherzustellen; denn nur so kann ein Schutz „mit Sicherheit“ ungewünschte Veränderungen im und am System und in und an der Umgebung des Systems verhindern: Vor einer Höhle nützt der beste Sichtschutz gegen einen äußeren Feind nichts, wenn die Höhle zusammenbricht. Die ausgiebigste nachträgliche Diskussion von Daten- und Informationssicherheit nützt wenig, wenn die Software Lücken oder Fehler aufweist oder eine unpassende Architektur hat.
Ein vollständiger „Rundum-Sorglos-Schutz“ mit umfassender Sicherheit ohne Restrisiko ist als Illusion anzusehen. Das Bedürfnis nach möglichst großer Sicherheit im Innern eines Systems wie gegenüber der Außenwelt kann die Gestaltungs- und Bewegungsfreiheit eines Systems unerwünscht einschränken. Eine für ein System erforderliche Flexibilität der einzelnen Systemelemente, der Systemelemente untereinander oder des Gesamtsystems kann dadurch bis zur Starrheit verringert werden und damit eine bisher nicht vorhandene Gefährdung erst verursachen und ein an sich nicht beabsichtigtes Risiko erst herbeiführen.
Formale Spezifikation Ein System und seine Umgebung können jeweils Teile sein der übergeordneten Bereiche Person (sowohl als Mensch allgemein oder als Individuum als auch als juristische Person) samt seinem materiellen und immateriellen Eigentum Umgebung und Natur jenseits des betrachteten Systems Gemeinschaft mitsamt ihren gesellschaftlichen, kulturellen, organisatorischen, wirtschaftlichen und staatlichen Einrichtungen und Aspekten