Die Präsentation wird geladen. Bitte warten

Die Präsentation wird geladen. Bitte warten

IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008.

Ähnliche Präsentationen


Präsentation zum Thema: "IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008."—  Präsentation transkript:

1 IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008

2 Der rote Faden 1. Ziele Der / die Studierende kennt die wichtigsten Massnahmen zur Sicherstellung der IT-Sicherheit kann, basierend auf einer Risiko-Analyse, ein Sicherheitskonzept erstellen kennt die Voraussetzungen für ein Information Security Management System (ISMS) 2. Inhalte Schutzbedarf, Sicherheitsanforderungen an IT-Systeme Risk Management Prozess Bedrohungsarten (z.B. Viren, organisatorische Mängel) Abwehrmechanismen (z.B. Firewalls, Access Control) IT Security Compliance Aufgaben und rechtliche Bedingungen des Datenschutzes Security Management System (ISMS) Policies, Richtlinien, Weisungswesen 2

3 Halb- tag InhaltKapitelAufgaben Bewer- tung 1 Einführung in die IT Sicherheit, Klassifikation, ISO-Norm 27002, Grundschutzhandbuch Schutzbedarfsfeststellung Risk Management 1-5 Schutzbedarf / Risk Management 2 / 3 Selbständige Auseinandersetzung mit Sicherheits- Massnahmen Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint) Pro Studierende(r) 1 Thema 4 / 5Präsentation der Sicherheits-MassnahmenJa 5Rechtliche Aspekte, Compliance6 6 IT Security Management IT Security Management System (ISMS) IT Security Governance 7 Implementation Security-Strukturen in einem Unternehmen (Gruppenarbeit) Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint) 8 Präsentation Gruppenarbeiten Zusammenfassung / Rückblick / Feedbackrunde Abschluss Ja 3

4 ÜBERSICHT BEGRIFFE 4

5 5 Übersicht IT Sicherheit Daten Applikationen OS / Netz Hardware Gesetze Business Risiken Sicherheits-Massnahmen Normen / Grundschutz-Katalog Schutzbedarf / SicherheitszieleRisiko-Analyse Prozesse

6 6 Grundwerte der IT-Sicherheit Informations-Sicherheit [ISO/IEC 17799:2000]: Sicherstellen der Vertraulichkeit, Integrität und Verfügbarkeit der Informationen IT Sicherheit Gewährleistung Vertraulichkeit Gewährleistung Verfügbarkeit Gewährleistung Integrität Gewährleistung Verbindlichkeit Nur autorisierten Benutzern zugänglich Zugang zu Informationen bei Bedarf Richtige und vollständige Informationen Korrekte, originale Programme Juristische Akzeptanz eines elektronisch abgewickelten Geschäftes

7 7 Begriff: Vertraulichkeit Sicherstellen, dass Informationen nur für autorisierte Benutzer zugänglich sind [ISO/IEC 17799:2000] Die Vertraulichkeit ist gewährleistet, wenn nur berechtigten Subjekte ( Mensch, System oder Funktion) auf schutzwürdig definierte Objekte (System, Funktion oder Datenbestände) zugreifen.

8 8 Begriff: Integrität Sicherung der Richtigkeit und Vollständigkeit der Informationen und ihrer Verarbeitungsmethoden [ISO/IEC 17799:2000] Aktualität Richtigkeit Gültigkeit Korrekt

9 9 Begriff: Verfügbarkeit Sicherstellen, dass autorisierte Benutzer bei Bedarf jederzeit Zugang zu Informationen und verbundenen Informationswerten haben [ISO/IEC 17799:2000] Verfügbarkeit ist gewährleistet, wenn die berechtigten Subjekte dauernd innerhalb der gemeinsam als notwendig definierten Frist auf die zur Durchführung ihrer Aufgaben benötigten Objekte zugreifen können.

10 10 Begriff: Verbindlichkeit Nachweis von Kommunikationsvorgängen (EDI) dass kommuniziert wurde Inhalt Juristische Akzeptanz von Rechtsgeschäften

11 11 Begriff: Risiko Ein Risiko ist eine wahrscheinliche Gefahr auf ein Objekt Eine Kombination aus Bedrohung (threat) und Verletzbarkeit (Vulnerability). Eine Kombination aus Eintretens- Wahrscheinlichkeit eines gefährdenden Ereignisses und dem daraus resultierenden Schadenshöhe pro Jahr (Zeiteinheit).

12 12 Business-Impact Durch fehlende -Vertraulichkeit - Verfügbarkeit - Integrität Risiko WahrscheinlichkeitSchaden Bedrohung Objekt jährlichSFR.

13 13 Risiko-Wahrscheinlichkeit Höhere Gewalt Technisches Versagen Menschliche Fehlhandlungen Vorsätzliche Handlungen Organisatorische Mängel Infrastruktur (Bau) Netzwerk / Kommunikation Hardware und Software Applikationen Daten / Informationen BedrohungObjekt

14 14 Business-Impact Auswirkungen auf das Kerngeschäft Auswirkungen auf das Kerngeschäft wegen Verstoss gegen Gesetze und Verträge Beeinträchtigung der informationellen Selbstbestimmung Beeinträchtigung der Aufgabenerfüllung Negative Auswirkungen im Ansehen oder Vertrauen Finanzelle Auswirkungen aus BSI: Schutzbedarfsfeststellung

15 KLASSIFIKATION 15

16 16 Definition Klassifikation Eine Klassifikation oder Systematik ist eine planmässige Darstellung von Klassen, Kategorien oder anderen abstrakten Konzepten, die nach bestimmten Ordnungsprinzipien gestaltet ist. In diesem Zusammenhang verstehen wir IT Objekte, die zu einer bestimmten Kategorie innerhalb der Vertraulichkeits-, Integritäts-, Verfügbarkeits- oder anderer Abstufungen, gehören.

17 17 Zielsetzungen Klassifikation (ISO 17799) Zielsetzung: Ziel ist die Sicherstellung eines angemessenen Schutzniveaus für Informationswerte. Informationen sollten eingestuft werden, um Bedarf, Prioritäten und Umfang des Schutzes angeben zu können. Zur Definition eines angemessenen Schutzniveaus und zur Vermittlung der Notwendigkeit besonderer Behandlungsmassnahmen sollte ein System für die Klassifizierung von Informationen verwendet werden.

18 18 Beispiel einer solchen Systematik Klassifikations- Abstufung VertraulichkeitVerfügbarkeitIntegrität Stufe SEHR HOCH Stufe HOCH Stufe MITTEL Streng vertraulich Vertraulich Nur für internen Gebrauch Absolut richtig, gültig, korrekt Normale Integrität Kein Ausfall erlaubt (non-stop) Wenige, kurze Ausfälle toleriert (< 1 Std) Ausfälle sind toleriert (max. 1 Tag) Öffentlich zugänglich Ausfälle sind toleriert (> 1 Tag) Stufe TIEF

19 19 Klassifikation von Applikationen Grundbuch Abrechnung Stromverbrauch DSG Katastrophen-Vorsorge Einwohnerkontrolle Ja Nein, da ein Ausfall von 3-5 Tagen in Kauf genommen werden kann. Max. Datenverlust von 1 Tag ist tolerierbar. Haupt-ApplikationSicherheitsziele Mittlerer Schutzgrad, da Ausfall des Informatiksystems oder der -anwendung oder der Verlust oder das unbefugte Bearbeiten von Daten zu grösseren, aber überblickbaren Schäden führt, Persönlichkeitsrechte gefährdet sind, …. Das Inventar der bewerteten Applikationen zeigt die erforderlichen Sicherheitsziele bzw. die Sicherheits-Anforderungen an die Informatik. Sie geben Hinweise bez. Backup-Konzept, Schutz der Daten vor Einsicht, Parallelsysteme, Netzverschlüsselung, Katastrophenvorsorge, Auskunftsverhalten, Schulung, etc. Vertraulichkeit Verfügbarkeit Integrität

20 20 Problemlösungsprozess Klassifizierung Systeme Netze Applikationen Räume / Infrastruktur Bedrohungen Höhere Gewalt Technologie Menschliche Fehler Organisation Vorsätzliche Handlung Realisierung der Sicherheit Massnahmen Infrastruktur Massnahmen Organisation Massnahmen Personal Massnahmen Hardware / Software Massnahmen Kommunikation Massnahmen Notfallvorsorge Business-Anforderungen

21 Zusammenfassung zur Klassifikation Einordnung (Schubladisierung nach WENN - DANN) Business Anforderung an seine Applikationen Vererbung an die Datenbanken, Daten, Systemen, Räume Keine Schadens-Ableitung möglich 21

22 NORMEN DER IT SICHERHEIT ISO Normen (27xxx), weitere NIST, IEEE, weitere 22

23 ISO Normen ISO Norm zum Aufbau und zur Auditierung eines ISMS Q-Elemente analog ISO 9001 Si-Elemente analog ISO ISO Norm zum Aubau der IT Sicherheit in einem Betrieb 11 Bereiche Allgemein einsetzbar 23

24 ISO Norm

25 DAS GRUNDSCHUTZ- HANDBUCH Standard 102 IT Grundschutz Vorgehensweise 25 Copyright by Richard Roth

26 26 IT Sicherheitsprozess Initiierung des IT Sicherheitsprozesses IT Sicherheitskonzeption Aufrechterhaltung und Verbesserung Verantwortung der Leitungsebene Konzeption und Planung Aufbau IT Sicherheitsorganisation Erstellung IT Sicherheitspolicy Bereitstellung von Ressourcen für IT Sicherheit

27 27 Sicherheits-Prozess Struktur-Analyse (IST-Aufnahme) NetzIT-SystemeIT-Applikationen Schutzbedarfs- feststellung (Klassifizierung) NetzIT-SystemeIT-ApplikationenIT-Räume Aufbau IT Grundschutz Ergänzende Sicherheits-A. Erhöhter Schutzbedarf Basis- Sicherheits- check Modellierung IT-Räume Realisierung

28 Copyright by Richard Roth 28 Struktur-Analyse Netz-Plan IT Systeme Applikationen

29 29 Muster Netzplan mit den Systemen

30 30 Strukturanalyse: Erhebung IT-Systeme

31 31 IT-Strukturanalyse: Erfassung der IT-Anwendungen

32 Copyright by Richard Roth 32 Schutzbedarfs-Feststellung IT Anwendungen IT Systeme Kommunikation IT Räume

33 33 Schutzbedarfs-Feststellung [Security Requirements] Struktur-Analyse (IST-Aufnahme) NetzIT-SystemeIT-Applikationen Schutzbedarfs- feststellung (Klassifizierung) NetzIT-SystemeIT-ApplikationenIT-Räume

34 34 Schutzbedarfs-Feststellung Die Schutzbedarfs-Feststellung klassifiziert die Objekte aus der Struktur- Analyse (IST-Aufnahme). Sie legt die Sicherheits-Bedürfnisse bzw. den Schutzbedarf fest.

35 35 Schutzbedarfs-Feststellung IT-Anwendungen Schritt 1 Definition der Schutzbedarfs-Kategorien Schritt 2 Betrachtung von Schadens-Szenarien Was wäre, wenn.....? Schritt 3 Dokumentation der Ergebnisse

36 36 Schutzbedarfs-Feststellung Schutzbedarfs-Kategorien Das IT-Grundschutzhandbuch unterscheidet drei Schutzbedarfskategorien anhand der maximalen Schäden und Folgeschäden bei Verlust der Vertraulichkeit, der Integrität und der Verfügbarkeit: niedrig bis mittel begrenzte und überschaubare Schäden hoch beträchtliche Schäden möglich sehr hoch existentiell bedrohliche, katastrophale Schäden möglich

37 37 Schutzbedarfskategorien AuswirkungenGSHB Variante 2 Variante 1 Variante 3 Existenziell bedrohlich Sehr hochC3Hoch Beträchtliche Schäden hochB2Mittel Begrenzte Schäden Niedrig bis mittel A1Tief

38 38 Schutzbedarfs-Feststellung WAS WÄRE WENN..... Schadens-Szenarien Gesetze / Vorschriften / Verträge Informationelle Selbstbestimmung Beeinträchtigung der persönlichen Unversehrtheit Beeinträchtigung der Aufgabenerfüllung Negative Aussenwirkungen Finanzielle Auswirkungen

39 39 Schutzbedarfs-Feststellung: Applikationen / Dokumentation IT-AnwendungSchutzbedarfs-Feststellung Nr.Bezeichnungpers. Dat. Grund- wert Schutz- bedarf Begründung A1Personaldaten- verarbeitung XVertrau- lichkeit hoch Personaldaten sind besonders schutz- bedürftige personenbezogene Daten, deren Bekanntwerden die Betroffenen erheblich beeinträchtigen können. Integritätmittel Der Schutzbedarf ist nur mittel, da Fehler rasch erkannt und die Daten nachträglich korrigiert werden können. Verfüg- barkeit mittel Ausfälle bis zu einer Woche können mittels manueller Verfahren überbrückt werden. A2BeihilfeabwicklungXVertrau- lichkeit hoch Beihilfedaten sind besonders schutz- bedürftige personenbezogene Daten, die z. T. auch Hinweise auf Erkrankungen und ärztliche Befunde enthalten. Ein Bekannt werden kann die Betroffenen erheblich beeinträchtigen.

40 40 Schutzbedarfs-Feststellung IT-Systeme Unter IT-Systemen versteht man alle Komponenten aus der Struktur- Analyse Erhebung der IT-Systeme, wie Server Clients Netzknoten

41 41 Schutzbedarfs-Feststellung: IT-Systeme

42 42 Verbindungsanalyse

43 43 Schutzbedarfs-Feststellung IT-Räume Erstellen einer Übersicht über Server-Räume TK Anlagen Datenträger-Archiv Technikräume Heim-Arbeitsplatz Büros Schutzbedarf leitet sich von den installierten IT-Systemen ab Maximum-Prinzip Kumulationseffekt

44 Schutzbedarfsfeststellung für IT-Räume 44

45 45 Aufgabe Schutzbedarfs-Festlegung Beurteilung eines Dateninventars Erheben der Informationen Schutzbedarf definieren Arbeiten Sie zu zweit Lösung wird in der Klasse besprochen

46 MODELLIERUNG, BASIS- SICHERHEITS-CHECK UND REALISIERUNGS-PLANUNG Die Umsetzungsschritte 46 Copyright by Richard Roth

47 47 Der Prozess Struktur-Analyse (IST-Aufnahme) NetzIT-SystemeIT-Applikationen Schutzbedarfs- feststellung (Klassifizierung) NetzIT-SystemeIT-ApplikationenIT-Räume Aufbau IT Grundschutz Ergänzende Sicherheits-A. Erhöhter Schutzbedarf Basis- Sicherheits- check Modellierung IT-Räume Realisierung

48 48 Modellierung nach Schichten des IT- Grundschutzes

49 49 Modellierung eines IT-Verbundes Nr. Titel des Bausteins Zielobjekt/ Zielgrupp e Anspre ch- partner Hinweise 3.1OrganisationStandort Bonn Der Baustein Organisation muss für die Standorte Bonn und Berlin separat bearbeitet werde, da in Berlin eigene organisatorische Regelungen gelten. 3.1OrganisationStandort Berlin 3.2Personalgesamtes BOV Die Personalverwaltung des BOV erfolgt zentral in Bonn Datenträger- archiv R U.02 (Bonn) In diesem Raum werden die Backup- Datenträger aufbewahrt 5.3Tragbarer PCC5 Die Laptops in Bonn bzw. Berlin werden jeweils in eine Gruppe zusammengefasst. 5.3Tragbarer PCC6 7.5WWW-ServerS5 S5 dient als Server für das Intranet. 9.2DatenbankenS5 Auf dem Server S5 kommt eine Datenbank zum Einsatz

50 50 Basis-Sicherheitscheck Soll-/Ist-Vergleich

51 RISIKO-ANALYSE 51

52 Risk Management Übersicht 52

53 Begriffe RisikoEin Risiko ist die kalkulierte Prognose eines möglichen Schadens bzw. Verlustes im negativen Fall Ein Risiko ist bezüglich Wahrscheinlichkeit und Schadensausmass bewertet. Risiko ManagementSystematischer Umgang / Bearbeitung von Risiken Risiko IdentifikationIdentifikation von Assets, deren Bedrohung und Schwachstellen Risiko Analyse Risiko Bewertung Aussage über Eintrittswahrscheinlichkeit und Schadenshöhe möglicher Risiken Risk AssessmentRisiko-Identifikation und –Analyse Risikobehandlung Massnahmen Risiko-Minderung durch Massnahmen Risiko-Transfer auf andere (outsourcing) Risiko-Akzeptanz (Restrisiko) 53

54 Risiko Identifikation Asset Identifikation Asset Identifikation von materiellen und immateriellen Vermögenswerten und sind Hardware Software Mitarbeitende Services Ansehen / Ruf Dokumentation Für die Wert-Einschätzung stellt sich die Frage was kostet deren Ersatz und umfasst Beschaffungs- oder Erstellungs-Kosten Mögliche Haftungsschäden bei Kompromittierung Produktionskosten ohne Asset Was für einen Wert hat Asset für die Konkurrenz / Behörde? Wie kritisch ist das Asset und was bedeutet deren Verlust für die Firma? 54

55 Risiko Identifikation Quellen zur Erfragung von möglichen Risiken Zur Identifikation von Risiken können verschiedenste Quellen erfragt werden: Business Owner Rechtsberater Personal Leitung IS Auditor Netzwerk Administrator Security Administrator Operation CERT 55

56 Risiko Identifikation Bedrohungen und Schwachstellen Bedrohungen werden hervorgerufen durch Umwelt Technik Durch Personen Durch mangelnde Organisation Durch kriminelle Vorkommnisse Die Einflüsse erfolgen sowohl von innen wie aussen Bedrohungen Definition der Bedrohungen auf diese Assets. Möglich sind dabei 1 Bedrohung auf 1 Asset N Bedrohungen auf 1 Asset N Bedrohungen auf N Assets Die 1:1 Beziehung ist die Aufwändigste aber auch die Genauste 56

57 Risiko Identifikation Bedrohungen und Schwachstellen In IT-Systemen sind Schwachstellen die Ursache für Sicherheitslücken. Im Normalfall sind Schwachstellen unbeabsichtigt (keine Sollbruchstelle). Schwachstellen Definition der Schwachstellen Warum wird es möglich, dass die Bedrohung erfolgreich ist? Gib der Bedrohung eine Chance! Beispiele von Schwachstellen: Ungenügendes Wissen / Können Schwache / Falsche Sicherheitsmassnahmen Falsche Passwortwahl Ungetestete Technologie Netz-Übertragung bietet keine Verschlüsselung 57

58 Risiko Identifikation Konsequenzen Eine Bedrohung zusammen mit einer Schwachstelle führt zu Verlusten bezüglich Finanzieller Verlust Verlust von Ruf / Ansehen Gefährdung von Mitarbeitenden / Kunden Verlust von Business Vertrauensverlust Nichterfüllung von Gesetzen und Verträgen 58

59 Risiko-Analyse Quantitative Risikoanalyse Wahrscheinlichkeit Tritt ein mindestens alle 3 Monate Tritt ein mindestens jährlich Tritt ein mindestens einmal pro 5 Jahre Tritt ein mindestens einmal pro 20 Jahre Tritt ein weniger als einmal pro 20 Jahre Diese Einstufung muss jede Firma für sich definieren, ebenso wie viele Stufen sie definieren will. Schadensausmass Kritisch Konkursgefährdung Hoch Gewinngefährdung Mittel Budget-Gefährdung Tief Wird über eigenes Budget bezahlt Vernachlässigbar Kleiner Betrag 59

60 Risiko-Bewertung Risiko-Matrix Eintrittswahrscheinlichkeit sehr hoch hoch merklich gering sehr gering Schaden geringmerklichhochsehr hoch Geringer Risiko- Level Mittlerer Risiko- Level Hoher Risiko- Level Geringer Risiko-Level abcd E D C B A Wahrscheinlichkeit * Schadenshöhe = Risiko-Level 60

61 Zusammenfassung 61

62 62 Aufgabe Risiko-Analyse Vgl. Aufgabenstellung im Script Weiterbearbeitung Schutzbedarfs-Aufgabe Bedrohungen vgl. Script im Anhang: Wählen Sie hier Bedrohungen, die im Kontext zur Aufgabenstellung stehen Wählen Sie min. 6 Bedrohungen Definieren Sie die Risiken Bewerten Sie die Risiken Beantworten Sie die Fragen

63 SICHERHEITS-MASSNAHMEN 63

64 64 Übungsaufgabe Ein grosser Teil der IT Sicherheit befasst sich mit Sicherheits- Massnahmen Sie erhalten die Möglichkeit, selbständig ein Thema aufzuarbeiten Wählen Sie aus der Liste aus nach folgenden Kriterien NEU INTERESSANT Entscheiden Sie, ob Sie die Aufgabe alleine oder zu zweit machen wollen Resultate: Präsentation des Themas Abgabe eines kleinen Scripts zum Thema

65


Herunterladen ppt "IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008."

Ähnliche Präsentationen


Google-Anzeigen