IT-Sicherheit mit System

Frontmatter

1. Ausgangssituation und Zielsetzung

Zusammenfassung

Aufgrund der zunehmenden Vernetzung, der Globalisierung, des technologischen Fortschritts und des breiteren Allgemeinwissens steigen die Bedrohungen kontinuierlich an. Die IT, früher eine Wissenschaft für sich und wenigen Experten vorbehalten, gehört heute zum Schul- und Arbeitsalltag. Die Einstiegsbarriere für potenzielle Angreifer ist dementsprechend gering: Ein gebrauchter Computer, eine Anbindung an das Internet und entsprechendes Know-how und schon kann von fast jedem Punkt der Erde ein Angriff gefahren werden. Der Reiz mag darin liegen, dass jeder „David“ einen „Goliath“ zu Fall oder zumindest ins Stolpern oder Wanken bringen kann. Und Anlässe gibt es genug: (politische) Meinungsverschiedenheiten, (vermeintlich oder tatsächlich) „ungerechte“ Behandlung etc.

Klaus-Rainer Müller

2. Kurzfassung und Überblick für Eilige

Zusammenfassung

Vorhandene Sicherheitskonzepte und —maßnahmen sind oft Insellösungen oder Ad-hoc-Maßnahmen mit unterschiedlichem Sicherheitsniveau. Hieraus ergibt sich eine latente Bedrohung für die Existenz, die Handlungsfähigkeit und das Image eines Unternehmens. Darüber hinaus bestehen oftmals hohe Abhängigkeiten vom Know-how der Mitarbeiter.

Klaus-Rainer Müller

3. Definitionen zum Sicherheitsmanagement

Zusammenfassung

Begriffen werden oftmals unterschiedliche Bedeutungen zugeordnet. Um ein gemeinsames Verständnis zu den hier verwendeten spezifischen Fachbegriffen zu schaffen, enthalten die folgenden Unterkapitel diesbezügliche Erläuterungen. Im Kapitel Glossar finden Sie darüber hinaus weitere Erklärungen.

Klaus-Rainer Müller

4. Die Sicherheitspyramide — Strategie und Vorgehensmodell

Zusammenfassung

Vorhandene Sicherheitskonzepte und -maßnahmen sind oft Insellösungen oder Ad-hoc-Maßnahmen mit unterschiedlichem Sicherheitsniveau. Hieraus ergibt sich eine latente Bedrohung für die Handlungsfähigkeit und das Image eines Unternehmens. Hinzu kommen oftmals hohe Abhängigkeiten vom Know-how einzelner Mitarbeiter.

Klaus-Rainer Müller

5. Sicherheitspolitik

Zusammenfassung

Die Kosten für Sicherheit sind ein immer wiederkehrendes leidiges Thema. Argumentationen laufen oftmals ins Leere, weil keine Transparenz über den Nutzen der Investitionen in die Sicherheit vorhanden ist und die aktuellen und zukünftigen Anforderungen des Unternehmens nicht bekannt sind. Diese sind jedoch die Basis für Kosten-/Nutzenbetrachtungen.

Klaus-Rainer Müller

6. Sicherheitsziele

Zusammenfassung

Die generellen Anforderungen und die Ausrichtung des Unternehmens im Hinblick auf Sicherheit wurden in der Sicherheitspolitik des vorangegangenen Kapitels festgelegt. Nun gilt es, diese Anforderungen zu konkretisieren, um sie später in Form von Richtlinien, Konzepten und Maßnahmen umsetzen zu können.

Klaus-Rainer Müller

7. Sicherheitstransformation

Zusammenfassung

Die Sicherheitsanforderungen eines Unternehmens sind über die Sicherheitspolitik und die Sicherheitsziele definiert. Diese Anforderungen müssen auf die IuK übertragen werden, sodass die Prozesse, Technologien, die Organisation und das Personal darauf ausgerichtet sind sowie Kosten-/Nutzenaspekte berücksichtigt werden.

Klaus-Rainer Müller

8. Sicherheitsarchitektur

Zusammenfassung

In der Sicherheitspolitik und in den Sicherheitszielen wurden Sicherheitsanforderungen festgelegt. Über die Sicherheitstransformation wurden aus diesen Anforderungen Sicherheitscharakteristika abgeleitet.

Klaus-Rainer Müller

9. Sicherheitsrichtlinien /-standards- Generische Sicherheitskonzepte

Zusammenfassung

In der zuvor beschriebenen Sicherheitsarchitektur wurden die Sicherheitselemente festgelegt, mit denen die Sicherheitsziele erreicht werden sollen.

Klaus-Rainer Müller

10. Spezifische Sicherheitskonzepte

Zusammenfassung

Spezifische Sicherheitskonzepte sind in Unternehmen häufig anzutreffen. Sie beschreiben z. B. welche Sicherheitseinstellungen für ein bestimmtes Betriebssystem getroffen werden sollen. Doch erfüllen diese Sicherheitskonzepte die gestellten Anforderungen? — Und wenn ja, ist dies angemessen und nachvollziehbar?

Klaus-Rainer Müller

11. Sicherheitsmaßnahmen

Zusammenfassung

Die erstellten Sicherheitskonzepte müssen in den jeweiligen IuK-Systemen implementiert werden. Hierzu werden die in den Konzepten beschriebenen Maßnahmen durchgeführt und protokolliert. So kann z. B. die Konfiguration, die Parametrisierung und die Löschung von Standardbenutzern in den Informations-systemen nachvollziehbar dokumentiert werden. Alternativ hierzu können Ausdrucke der jeweiligen Systemeinstellungen als Dokumentation verwendet werden.

Klaus-Rainer Müller

12. Systemlebenszyklus

Zusammenfassung

Der Fokus der IuK-Sicherheit in Unternehmen liegt häufig auf dem sicheren Betrieb der Informationssysteme. Sicherheitsdefizite im Betrieb oder bei der Einführung in den Betrieb haben jedoch oftmals Ursachen, die in früheren Phasen des Systemlebenszyklus zu suchen sind.

Klaus-Rainer Müller

13. Sicherheitsregelkreis

Zusammenfassung

Alles fließt (παντα ρει, Heraklit), d. h. alles verändert sich: Bedrohungen, Angriffsmöglichkeiten, Schutzbedarf, Prozesse, Organisation, Technologie und last, but not least, das Personal. Dementsprechend müssen alle Elemente der Sicherheitspyramide einer kontinuierlichen Veränderung und Weiterentwicklung unterliegen. Diese sollte gezielt gesteuert und nachvollziehbar gestaltet werden. Hierbei spielen die Perspektiven Finanzen, Kunden, Prozesse sowie Lernen und Entwicklung, wie sie aus der Balanced Scorecard (BSC) [46] bekannt sind, eine wesentliche Rolle. Die IT-Sicherheits-BSC (ISi-BSC) des Autors zusammen mit dem Controlling-Regelkreis liefern das “Handwerkszeug” hierzu. Diese Themen werden in den folgenden Unterkapiteln beschrieben:

1.

Sicherheitsprüfungen

 

2.

Sicherheitscontrolling

 

3.

Berichtswesen

 

4.

Safety-/Security-Benchmarks

 

5.

Hilfsmittel

 

6.

Zusammenfassung

 

Klaus-Rainer Müller

14. Reifegradmodell des Sicherheitsmanagements — Safety/Security Management Maturity Model

Zusammenfassung

Häufig stellt sich in Unternehmen die Frage, welches Niveau das Sicherheitsmanagement erreicht hat. Welche Kriterien können hier zu Rate gezogen werden? — In diesen Fällen hilft ein Reifegradmodell des Sicherheitsmanagements (Safety/Security Management Maturity Model).

Klaus-Rainer Müller

Backmatter