it sicherheit wirtschaftsinformatiker richard roth september 2008
TRANSCRIPT
Der rote Faden
1. Ziele
Der / die Studierende
•kennt die wichtigsten Massnahmen zur Sicherstellung der IT-Sicherheit
•kann, basierend auf einer Risiko-Analyse, ein Sicherheitskonzept erstellen
•kennt die Voraussetzungen für ein Information Security Management System (ISMS)
2. Inhalte
• Schutzbedarf, Sicherheitsanforderungen an IT-Systeme
•Risk Management Prozess
•Bedrohungsarten (z.B. Viren, organisatorische Mängel)
•Abwehrmechanismen (z.B. Firewalls, Access Control)
•IT Security Compliance
•Aufgaben und rechtliche Bedingungen des Datenschutzes
•Security Management System (ISMS)
•Policies, Richtlinien, Weisungswesen
2
Halb-tag
Inhalt Kapitel Aufgaben Bewer-tung
1 Einführung in die IT Sicherheit, Klassifikation, ISO-Norm 27002, Grundschutzhandbuch
Schutzbedarfsfeststellung Risk Management
1-5 Schutzbedarf / Risk Management
2 / 3 Selbständige Auseinandersetzung mit Sicherheits-Massnahmen
Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint)
Pro Studierende(r) 1 Thema
4 / 5 Präsentation der Sicherheits-Massnahmen Ja
5 Rechtliche Aspekte, Compliance 6
6 IT Security Management IT Security Management System (ISMS) IT Security Governance
7 Implementation Security-Strukturen in einem Unternehmen (Gruppenarbeit)
Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint)
8 Präsentation Gruppenarbeiten Zusammenfassung / Rückblick / Feedbackrunde Abschluss
Ja
3
5
Übersicht IT Sicherheit
DatenDaten
ApplikationenApplikationen
OS / NetzOS / Netz
HardwareHardware
Gesetze
Business
Risiken
Sicherheits-MassnahmenNormen / Grundschutz-Katalog
Schutzbedarf / Sicherheitsziele Risiko-Analyse
ProzesseProzesse
6
Grundwerte der IT-Sicherheit
Informations-Sicherheit [ISO/IEC 17799:2000]:
Sicherstellen der Vertraulichkeit, Integrität und Verfügbarkeit der Informationen
IT SicherheitIT Sicherheit
Gewährleistung
Vertraulichkeit
Gewährleistung
Vertraulichkeit
Gewährleistung
Verfügbarkeit
Gewährleistung
Verfügbarkeit
Gewährleistung
Integrität
Gewährleistung
Integrität
Gewährleistung
Verbindlichkeit
Gewährleistung
Verbindlichkeit
• Nur autorisierten Benutzern zugänglich• Nur autorisierten Benutzern zugänglich
• Zugang zu Informationen bei Bedarf• Zugang zu Informationen bei Bedarf
• Richtige und vollständige Informationen
• Korrekte, originale Programme
• Richtige und vollständige Informationen
• Korrekte, originale Programme
• Juristische Akzeptanz eines elektronisch abgewickelten Geschäftes
• Juristische Akzeptanz eines elektronisch abgewickelten Geschäftes
7
Begriff: Vertraulichkeit
Sicherstellen, dass Informationen nur für autorisierte Benutzer zugänglich sind [ISO/IEC 17799:2000]
Die Vertraulichkeit ist gewährleistet,
▪ wenn nur berechtigten Subjekte ( Mensch, System oder Funktion)
▪ auf schutzwürdig definierte Objekte (System, Funktion oder Datenbestände) zugreifen.
8
Begriff: Integrität
Sicherung der Richtigkeit und Vollständigkeit der Informationen und ihrer Verarbeitungsmethoden [ISO/IEC 17799:2000]
•Aktualität
•Richtigkeit
•Gültigkeit
•Korrekt
9
Begriff: Verfügbarkeit
Sicherstellen, dass autorisierte Benutzer bei Bedarf jederzeit Zugang zu Informationen und verbundenen Informationswerten haben [ISO/IEC 17799:2000]
Verfügbarkeit ist gewährleistet,
▪ wenn die berechtigten Subjekte dauernd innerhalb der gemeinsam als notwendig definierten Frist
▪ auf die zur Durchführung ihrer Aufgaben benötigten Objekte zugreifen können.
10
Begriff: Verbindlichkeit
Nachweis von Kommunikationsvorgängen (EDI)
▪ dass kommuniziert wurde
▪ Inhalt
Juristische Akzeptanz von Rechtsgeschäften
11
Begriff: Risiko
Ein Risiko ist eine wahrscheinliche Gefahr auf ein Objekt
Eine Kombination aus Bedrohung (threat) und Verletzbarkeit (Vulnerability).
Eine Kombination aus Eintretens-Wahrscheinlichkeit eines gefährdenden Ereignisses und dem daraus resultierenden Schadenshöhe pro Jahr (Zeiteinheit).
12
Business-ImpactDurch fehlende-Vertraulichkeit- Verfügbarkeit
- Integrität
Risiko
Risiko
Wahrscheinlichkeit Schaden
Bedrohung Objekt jährlich SFR.
13
Risiko-Wahrscheinlichkeit
Höhere Gewalt
Technisches Versagen
Menschliche Fehlhandlungen
Vorsätzliche Handlungen
Organisatorische Mängel
Infrastruktur (Bau)
Netzwerk / Kommunikation
Hardware und Software
Applikationen
Daten / Informationen
Bedrohung Objekt
14
Business-Impact
Auswirkungen auf das KerngeschäftAuswirkungen auf das Kerngeschäft wegen
▪ Verstoss gegen Gesetze und Verträge
▪ Beeinträchtigung der informationellen Selbstbestimmung
▪ Beeinträchtigung der Aufgabenerfüllung
▪ Negative Auswirkungen im Ansehen oder Vertrauen
▪ Finanzelle Auswirkungen
aus BSI: Schutzbedarfsfeststellung
16
Definition „Klassifikation“
Eine Klassifikation oder Systematik ist eine planmässige Darstellung von Klassen, Kategorien oder anderen abstrakten Konzepten, die nach bestimmten Ordnungsprinzipien gestaltet ist.
In diesem Zusammenhang verstehen wir IT Objekte, die zu einer bestimmten Kategorie innerhalb der Vertraulichkeits-, Integritäts-, Verfügbarkeits- oder anderer Abstufungen, gehören.
17
ZielsetzungenKlassifikation (ISO 17799)
Zielsetzung:
Ziel ist die Sicherstellung eines angemessenen Schutzniveaus für Informationswerte.
Informationen sollten eingestuft werden, um Bedarf, Prioritäten und Umfang des Schutzes angeben zu können.
Zur Definition eines angemessenen Schutzniveaus und zur Vermittlung der Notwendigkeit besonderer Behandlungsmassnahmen sollte ein System für die Klassifizierung von Informationen verwendet werden.
18
Beispiel einer solchen Systematik
Kla
ssi
fika
tio
ns-
Ab
stu
fun
g
Kla
ssi
fika
tio
ns-
Ab
stu
fun
g
VertraulichkeitVertraulichkeit VerfügbarkeitVerfügbarkeitIntegritätIntegrität
Stufe SEHR HOCH
Stufe SEHR HOCH
Stufe HOCHStufe
HOCH
Stufe MITTELStufe
MITTEL
Streng vertraulichStreng vertraulich
VertraulichVertraulich
Nur für internen Gebrauch
Nur für internen Gebrauch
Absolut richtig, gültig, korrekt
Absolut richtig, gültig, korrekt
Normale IntegritätNormale Integrität
Kein Ausfall erlaubt (non-stop)
Kein Ausfall erlaubt (non-stop)
Wenige, kurze Ausfälle toleriert (< 1
Std)
Wenige, kurze Ausfälle toleriert (< 1
Std)
Ausfälle sind toleriert (max. 1 Tag)
Ausfälle sind toleriert (max. 1 Tag)
Öffentlich zugänglichÖffentlich zugänglich Ausfälle sind toleriert (> 1 Tag)
Ausfälle sind toleriert (> 1 Tag)
Stufe TIEFStufe TIEF
19
Klassifikation von Applikationen
Grundbuch
Abrechnung Stromverbrauch
DSG Katastrophen-Vorsorge
Einwohnerkontrolle JaNein, da ein Ausfall von 3-5 Tagen in Kauf genommen werden kann. Max.
Datenverlust von 1 Tag ist tolerierbar.
Haupt-Applikation Sicherheitsziele
Mittlerer Schutzgrad, da Ausfall des Informatiksystems oder der -anwendung oder
der Verlust oder das unbefugte Bearbeiten von Daten zu grösseren, aber überblickbaren
Schäden führt, Persönlichkeitsrechte gefährdet sind, ….
Das Inventar der bewerteten Applikationen zeigt die erforderlichen Sicherheitsziele bzw. die Sicherheits-Anforderungen an die Informatik. Sie geben Hinweise bez. Backup-Konzept,
Schutz der Daten vor Einsicht, Parallelsysteme, Netzverschlüsselung, Katastrophenvorsorge, Auskunftsverhalten, Schulung, etc.
VertraulichkeitVerfügbarkeit
Integrität
20
Problemlösungsprozess
Klassifizierung• Systeme• Netze• Applikationen • Räume / Infrastruktur
Klassifizierung• Systeme• Netze• Applikationen • Räume / Infrastruktur
Bedrohungen• Höhere Gewalt• Technologie• Menschliche Fehler• Organisation• Vorsätzliche Handlung
Bedrohungen• Höhere Gewalt• Technologie• Menschliche Fehler• Organisation• Vorsätzliche Handlung
Realisierung der Sicherheit• Massnahmen Infrastruktur • Massnahmen Organisation• Massnahmen Personal• Massnahmen Hardware / Software• Massnahmen Kommunikation• Massnahmen Notfallvorsorge
Realisierung der Sicherheit• Massnahmen Infrastruktur • Massnahmen Organisation• Massnahmen Personal• Massnahmen Hardware / Software• Massnahmen Kommunikation• Massnahmen Notfallvorsorge
Business-Anforderungen
Zusammenfassung zur Klassifikation
• Einordnung (Schubladisierung nach WENN - DANN)
• Business Anforderung an seine Applikationen
• Vererbung an die Datenbanken, Daten, Systemen, Räume
• Keine Schadens-Ableitung möglich
21
ISO Normen
ISO 27001
Norm zum Aufbau und zur Auditierung eines ISMS
•Q-Elemente analog ISO 9001
•Si-Elemente analog ISO 27002
ISO 27002
Norm zum Aubau der IT Sicherheit in einem Betrieb
•11 Bereiche
•Allgemein einsetzbar
23
26
IT Sicherheitsprozess
Initiierung des IT SicherheitsprozessesInitiierung des IT Sicherheitsprozesses
IT SicherheitskonzeptionIT Sicherheitskonzeption
Aufrechterhaltung und VerbesserungAufrechterhaltung und Verbesserung
Verantwortung der LeitungsebeneVerantwortung der Leitungsebene
Konzeption und PlanungKonzeption und Planung
Aufbau IT SicherheitsorganisationAufbau IT Sicherheitsorganisation
Erstellung IT SicherheitspolicyErstellung IT Sicherheitspolicy
Bereitstellung von Ressourcen für IT SicherheitBereitstellung von Ressourcen für IT Sicherheit
27
Sicherheits-Prozess
Struktur-Analyse (IST-Aufnahme)
NetzNetz IT-SystemeIT-Systeme IT-ApplikationenIT-Applikationen
Schutzbedarfs-feststellung
(Klassifizierung)NetzNetzIT-SystemeIT-SystemeIT-ApplikationenIT-Applikationen IT-RäumeIT-Räume
Aufbau
IT Grundschutz
Ergänzende Sicherheits-A.
Erhöhter Schutzbedarf
Erhöhter Schutzbedarf
Basis-Sicherheits-
check
Basis-Sicherheits-
check
ModellierungModellierung
IT-RäumeIT-Räume
Realisierung
29
CISCOSYSTEMS
Com3
BuchhaltungLagerbewirtschaftungDruckbewirtschaftungBestellwesenRedaktionssystem
S1 / S2Unix
N1Switch
N3Router
LohnPersonal
File-Server
S3Win2000
S4 / S5Win2000
Arbeits-Plätze
CISCOSYSTEMS
Com3
Abonnenten-VerwaltungKunden- / Inserenten-Pflege
S6 / S7Unix
N2Switch
N4Router
File-Server
S8 / S9Win2000
Arbeits-Plätze
CISCOSYSTEMS
N5RAS
Home-Office C5: Home
C1: BuchhaltungC2: PersonalC3: übrige Arbeitsplätze
C4: DirektionC3: übrige
Muster Netzplan mit den Systemen
30
Strukturanalyse: Erhebung IT-Systeme
Nr. Beschreibung Plattform Anz. Ort Status Anwender/Admin.
S1 Server fürPersonal-verwaltung
Windows NTServer
1 Bonn,R 1.01
inBetrieb
Personal-referat
S2 PrimärerDomänen-Controller
Windows NTServer
1 Bonn,R 3.10
inBetrieb
alleIT-Anwender
C6 Gruppe derLaptops für denStandort Berlin
Laptop unterWindows 95
2 Berlin,R 2.01
inBetrieb
alleIT-Anwenderin Berlin
N1 Router zumInternet-Zugang
Router 1 Bonn,R 3.09
inBetrieb
alleIT-Anwender
T1 TK-Anlage fürBonn
ISDN-TK-Anlage
1 Bonn,B.02
inBetrieb
alle Mitarb.in Bonn
31
IT-Strukturanalyse:Erfassung der IT-Anwendungen
Beschreibung der IT-Anwendungen IT-Systeme
Anw.-Nr.
IT-Anwendung/Informationen
Pers.-bez.
Daten
S1 S2 S3 S4 S5 S6 S7
A1 Personaldaten-verarbeitung
X X
A4 Benutzer-Authentisierung
X X X
A5 Systemmanagement X
A7 zentraleDokumentenverwaltung
X
Copyright by Richard Roth32
Schutzbedarfs-Feststellung
IT Anwendungen
IT Systeme
Kommunikation
IT Räume
33
Schutzbedarfs-Feststellung [Security Requirements]
Struktur-Analyse (IST-Aufnahme)
NetzNetz IT-SystemeIT-Systeme IT-ApplikationenIT-Applikationen
Schutzbedarfs-feststellung
(Klassifizierung)NetzNetzIT-SystemeIT-SystemeIT-ApplikationenIT-Applikationen IT-RäumeIT-Räume
IT-RäumeIT-Räume
34
Schutzbedarfs-Feststellung
Die Schutzbedarfs-Feststellung klassifiziert die Objekte aus der Struktur-Analyse (IST-Aufnahme).
Sie legt die Sicherheits-Bedürfnisse bzw. den Schutzbedarf fest.
35
Schutzbedarfs-FeststellungIT-Anwendungen
Schritt 1
▪ Definition der Schutzbedarfs-Kategorien
Schritt 2
▪ Betrachtung von Schadens-Szenarien
▪ Was wäre, wenn .....?
Schritt 3
▪ Dokumentation der Ergebnisse
36
Schutzbedarfs-FeststellungSchutzbedarfs-Kategorien
Das IT-Grundschutzhandbuch unterscheidet drei Schutzbedarfskategorien anhand der maximalen Schäden und Folgeschäden bei Verlust der Vertraulichkeit, der Integrität und der Verfügbarkeit:
niedrig bis mittel
▪ begrenzte und überschaubare Schäden
hoch
▪ beträchtliche Schäden möglich
sehr hoch
▪ existentiell bedrohliche, katastrophale Schäden möglich
37
Schutzbedarfskategorien
AuswirkungenAuswirkungen GSHBGSHB Variante2
Variante2
Variante1
Variante1
Variante3
Variante3
Existenziell bedrohlichExistenziell bedrohlich Sehr hochSehr hoch CC33 HochHoch
Beträchtliche Schäden
Beträchtliche Schäden hochhoch BB22 MittelMittel
Begrenzte Schäden
Begrenzte Schäden
Niedrig bis mittel
Niedrig bis mittel AA11 TiefTief
38
Schutzbedarfs-Feststellung WAS WÄRE WENN .....
Schadens-SzenarienSchadens-Szenarien
•Gesetze / Vorschriften / Verträge
•Informationelle Selbstbestimmung
•Beeinträchtigung der persönlichen Unversehrtheit
•Beeinträchtigung der Aufgabenerfüllung
•Negative Aussenwirkungen
•Finanzielle Auswirkungen
39
Schutzbedarfs-Feststellung: Applikationen / Dokumentation
IT-Anwendung Schutzbedarfs-Feststellung
Nr.
Bezeichnung pers.
Dat.
Grund-wert
Schutz-bedarf
Begründung
A1 Personaldaten-verarbeitung
X Vertrau-lichkeit
hoch Personaldaten sind besonders schutz-bedürftige personenbezogene Daten, deren Bekanntwerden die Betroffenen erheblich beeinträchtigen können.
Integrität mittel Der Schutzbedarf ist nur mittel, da Fehler rasch erkannt und die Daten nachträglich korrigiert werden können.
Verfüg-barkeit
mittel Ausfälle bis zu einer Woche können mittels manueller Verfahren überbrückt werden.
A2 Beihilfeabwicklung X Vertrau-lichkeit
hoch Beihilfedaten sind besonders schutz-bedürftige personenbezogene Daten, die z. T. auch Hinweise auf Erkrankungen und ärztliche Befunde enthalten. Ein Bekannt werden kann die Betroffenen erheblich beeinträchtigen.
40
Schutzbedarfs-FeststellungIT-Systeme
Unter IT-Systemen versteht man alle Komponenten aus der Struktur-Analyse „Erhebung der IT-Systeme“, wie
▪ Server
▪ Clients
▪ Netzknoten
41
Schutzbedarfs-Feststellung: IT-Systeme
IT-System Schutzbedarfsfeststellung
Nr.
Beschreibung Grundwert Schutz-bedarf
Begründung
S1 Server für Personalverwaltung
Vertraul. hoch Maximumprinzip.
Integrität mittel Maximumprinzip.
Verfügbar. mittel Maximumprinzip.
S2 Primärer Domänen-Controller
Vertraul. mittel Maximumprinzip.
Integrität hoch Maximumprinzip.
Verfügbar-keit
mittel Gemäß der Schutzbedarfsfeststellung für Anwendung A4 ist von einem hohen Schutzbedarf für diesen Grundwert auszugehen. Zu berücksichtigen ist aber, dass diese Anwendung auf zwei Rechnersysteme verteilt ist. Eine Authentisierung über den Backup Domänen-Controller in Berlin ist für die Mitarbeiter des Bonner Standortes ebenfalls möglich. Ein Ausfall des Primären Domänen-Controllers kann bis zu 72 Stunden hingenommen werden. Der Schutzbedarf ist aufgrund dieses Verteilungseffekts daher "mittel".
43
Schutzbedarfs-FeststellungIT-Räume
Erstellen einer Übersicht über
▪ Server-Räume
▪ TK Anlagen
▪ Datenträger-Archiv
▪ Technikräume
▪ Heim-Arbeitsplatz
▪ Büros
Schutzbedarf leitet sich von den installierten IT-Systemen ab
▪ Maximum-Prinzip
▪ Kumulationseffekt
45
Aufgabe Schutzbedarfs-Festlegung
• Beurteilung eines Dateninventars
• Erheben der Informationen
• Schutzbedarf definieren
• Arbeiten Sie zu zweit
• Lösung wird in der Klasse besprochen
MODELLIERUNG, BASIS-SICHERHEITS-CHECK UND REALISIERUNGS-PLANUNG
Die Umsetzungsschritte
46Copyright by Richard Roth
47
Der Prozess
Struktur-Analyse (IST-Aufnahme)
NetzNetz IT-SystemeIT-Systeme IT-ApplikationenIT-Applikationen
Schutzbedarfs-feststellung
(Klassifizierung)NetzNetzIT-SystemeIT-SystemeIT-ApplikationenIT-Applikationen IT-RäumeIT-Räume
Aufbau
IT Grundschutz
Ergänzende Sicherheits-A.
Erhöhter Schutzbedarf
Erhöhter Schutzbedarf
Basis-
Sicherheits-check
Basis-
Sicherheits-check
ModellierungModellierung
IT-RäumeIT-Räume
Realisierung
48
Modellierung nach Schichten des IT-Grundschutzes
Schicht 1:
Schicht 2:
Schicht 3:
Schicht 4:
Schicht 5:
Übergreifende Aspekte
Infrastruktur
IT-Systeme
Netze
IT-Anwendungen
49
Modellierung eines IT-Verbundes
Nr.
Titel des Bausteins
Zielobjekt/Zielgruppe
Ansprech-partner
Hinweise
3.1 Organisation Standort Bonn
Der Baustein Organisation muss für die Standorte Bonn und Berlin separat bearbeitet werde, da in Berlin eigene organisatorische Regelungen gelten.3.1 Organisation Standort
Berlin
3.2 Personal gesamtes BOV
Die Personalverwaltung des BOV erfolgt zentral in Bonn.
4.3.3
Datenträger-archiv
R U.02 (Bonn)
In diesem Raum werden die Backup-Datenträger aufbewahrt
5.3 Tragbarer PC C5 Die Laptops in Bonn bzw. Berlin werden jeweils in eine Gruppe zusammengefasst.
5.3 Tragbarer PC C6
7.5 WWW-Server S5 S5 dient als Server für das Intranet.
9.2 Datenbanken S5 Auf dem Server S5 kommt eine Datenbank zum Einsatz
50
Basis-Sicherheitscheck
Soll-/Ist-Vergleich
Switch
Router Stand-leitung
Router
Switch
Kommunikations- Server
(Unix)Exchange-Server(Windows NT)
File-Server(NovellNetware)
PrimärerDomänen-Controller(Windows NT)
Server fürPersonalverwaltung (Windows NT)
15 Client-Computer(Windows NT)
75 Client-Computer(Windows NT)
Switch
Internet
Router
Firewall
BackupDomänen-Controller(Windows NT)
40 Client-Computer(Windows NT)Liegenschaft
BonnLiegenschaftBerlin
IP IP
IT-Grundschutz-Modell
SollSoll--/Ist/Ist--VergleichVergleichMassnahmen-empfehlungen
RealisierteMassnahmen
IT-Sicherheitskonzept: defizitäre Massnahmen
RISIKO-ANALYSE
51
Struktur-Analyse (IST-Aufnahme)
Netz IT-Systeme IT-Applikationen
Schutzbedarfs-feststellung
(Klassifizierung)NetzIT-SystemeIT-Applikationen IT-Räume
Aufbau
IT Grundschutz
Ergänzende Sicherheits-A.
Erhöhter Schutzbedarf
Basis-
Sicherheits-check
Modellierung
IT-Räume
Realisierung
Risk ManagementÜbersicht
Auslöser !
neueErkenntnisse
erkannteGefahren
Auftrag d. Mgmts
unerkannte Gefahren
iterativerProzess
MassnahmenErarbeitung
RisikoBewertung
RisikoIdentifikation
vor Massnahmen
RisikoÜberwachung
"Restrisiko"= reduzierte Risiken+ Massnahmen-Kosten+ nicht erkannte Risik.
Sch
aden
ausm
ass
Eintrittswahrsch.
nach Massnahmen
Sch
aden
ausm
ass
Eintrittswahrsch.
52
Begriffe
Risiko Ein Risiko ist die kalkulierte Prognose eines möglichen Schadens bzw. Verlustes im negativen Fall Ein Risiko ist bezüglich Wahrscheinlichkeit und Schadensausmass bewertet.
Risiko Management Systematischer Umgang / Bearbeitung von Risiken
Risiko Identifikation Identifikation von Assets, deren Bedrohung und Schwachstellen
Risiko AnalyseRisiko Bewertung
Aussage über Eintrittswahrscheinlichkeit und Schadenshöhe möglicher Risiken
Risk Assessment Risiko-Identifikation und –Analyse
RisikobehandlungMassnahmen
Risiko-Minderung durch MassnahmenRisiko-Transfer auf andere (outsourcing)Risiko-Akzeptanz (Restrisiko)
53
Risiko IdentifikationAsset Identifikation
Asset Identifikation von materiellen und immateriellen Vermögenswerten und sind•Hardware•Software•Mitarbeitende•Services•Ansehen / Ruf•Dokumentation
Für die Wert-Einschätzung stellt sich die Frage „was kostet deren Ersatz“ und umfasst •Beschaffungs- oder Erstellungs-Kosten•Mögliche Haftungsschäden bei Kompromittierung•Produktionskosten ohne Asset•Was für einen Wert hat Asset für die Konkurrenz / Behörde?•Wie kritisch ist das Asset und was bedeutet deren Verlust für die Firma?
54
Risiko IdentifikationQuellen zur Erfragung von möglichen Risiken
Zur Identifikation von Risiken können verschiedenste Quellen erfragt werden:
•Business Owner
•Rechtsberater
•Personal Leitung
•IS Auditor
•Netzwerk Administrator
•Security Administrator
•Operation
•CERT
55
Risiko IdentifikationBedrohungen und Schwachstellen
Bedrohungen werden hervorgerufen durch
•Umwelt
•Technik
•Durch Personen
•Durch mangelnde Organisation
•Durch kriminelle Vorkommnisse
Die Einflüsse erfolgen sowohl von innen wie aussen
Definition der BedrohungenBedrohungen auf diese Assets. Möglich sind dabei
▪ 1 Bedrohung auf 1 Asset
▪ N Bedrohungen auf 1 Asset
▪ N Bedrohungen auf N Assets Die 1:1 Beziehung ist die Aufwändigste aber auch die Genauste
56
Risiko IdentifikationBedrohungen und Schwachstellen
In IT-Systemen sind Schwachstellen die Ursache für Sicherheitslücken.
Im Normalfall sind Schwachstellen unbeabsichtigt (keine Sollbruchstelle).
Definition der SchwachstellenSchwachstellen
Warum wird es möglich, dass die Bedrohung erfolgreich ist?
Gib der Bedrohung eine Chance!
Beispiele von Schwachstellen:
•Ungenügendes Wissen / Können
•Schwache / Falsche Sicherheitsmassnahmen
•Falsche Passwortwahl
•Ungetestete Technologie
•Netz-Übertragung bietet keine Verschlüsselung
57
Risiko IdentifikationKonsequenzen
Eine Bedrohung zusammen mit einer Schwachstelle führt zu Verlusten bezüglich
•Finanzieller Verlust
•Verlust von Ruf / Ansehen
•Gefährdung von Mitarbeitenden / Kunden
•Verlust von Business
•Vertrauensverlust
•Nichterfüllung von Gesetzen und Verträgen
58
Risiko-Analyse Quantitative Risikoanalyse
Wahrscheinlichkeit
Tritt ein mindestens alle 3 Monate
Tritt ein mindestens jährlich
Tritt ein mindestens einmal pro 5 Jahre
Tritt ein mindestens einmal pro 20 Jahre
Tritt ein weniger als einmal pro 20 Jahre
Diese Einstufung muss jede Firma für sich definieren, ebenso wie viele Stufen sie definieren will.
Schadensausmass
Kritisch▪ Konkursgefährdung
Hoch▪ Gewinngefährdung
Mittel▪ Budget-Gefährdung
Tief▪ Wird über eigenes Budget
bezahlt
Vernachlässigbar▪ Kleiner Betrag
59
Risiko-BewertungRisiko-Matrix
Eintrittswahrscheinlichkeit
sehr
hoc
hho
chm
erkl
ich
gerin
gse
hr g
erin
g
Sch
ad
en
gering merklich hoch sehr hoch
Geringer Risiko-Level
Mittlerer Risiko-Level
Hoher Risiko-Level
Geringer
Risiko-Level
abcd
E
D
C
B
A
1
2 5 2
6151
11 7
Wahrscheinlichkeit * Schadenshöhe = Risiko-Level
60
Zusammenfassung
Auslöser ScopeAuftrag
Risiko-Identifikation
Risiko-Analyse
Risiko-Bewertung
SchwereBusiness Impact
WahrscheinlichkeitMöglicher Schaden
AssetBedrohung / Schwachstelle
Personal / ProzesseTechnik / Organisation
RapportierungUmsetzungEntscheidung bez.Minderung, Verlagerung, Akzeptieren
MonitoringSecurity Incident ManagementÜberwachung
61
62
Aufgabe Risiko-Analyse
• Vgl. Aufgabenstellung im Script
• Weiterbearbeitung Schutzbedarfs-Aufgabe
• Bedrohungen vgl. Script im Anhang:
• Wählen Sie hier Bedrohungen, die im Kontext zur Aufgabenstellung stehen
• Wählen Sie min. 6 Bedrohungen
• Definieren Sie die Risiken
• Bewerten Sie die Risiken
• Beantworten Sie die Fragen
64
Übungsaufgabe
• Ein grosser Teil der IT Sicherheit befasst sich mit Sicherheits-Massnahmen
• Sie erhalten die Möglichkeit, selbständig ein Thema aufzuarbeiten
• Wählen Sie aus der Liste aus nach folgenden Kriterien
• NEU
• INTERESSANT
• Entscheiden Sie, ob Sie die Aufgabe alleine oder zu zweit machen wollen
• Resultate:
• Präsentation des Themas
• Abgabe eines kleinen Scripts zum Thema