Inhaltsverzeichnis. Informationssicherheits-Management nach ISACA

Transkript

1 Inhaltsverzeichnis 1 Einleitung und Motivation Der Wert von Informationen Informationssicherheit und IT-Sicherheit Informationssicherheit, Daten- und Geheimschutz Standards zur Informationssicherheit Datenschutz Geheimschutz Schutzkonzepte und staatliche Vorsorge Wichtige Prinzipien Weitere Kapitel und Literaturempfehlungen Fazit Literatur Teil I Informationssicherheits-Management nach ISACA 2 Informationssicherheits-Governance Grundlagen der Information Security Governance Die Idee des Managementprozesses Die Rolle des IS-Managers IS-Governance im Überblick Wichtige Sicherheitskonzepte Die Policy-Pyramide Aufbau und Aufrechterhaltung einer IS-Strategie Aufbau und Aufrechterhaltung eines IS-Governance Frameworks Integration der IS-Governance in die Corporate Governance Aufbau und Fortschreibung eines IS-Policy Frameworks Business Cases Entwicklung von praxisnahen Beispielen Berücksichtigung von internen und externen Faktoren Einholen der Unterstützung des Managements Festlegen von Rollen und Verantwortlichkeiten XVII

2 XVIII Inhaltsverzeichnis 2.11 Grundlagen für die Kommunikation mit dem Management Die Leitsätze des Managements Zwischenfazit Literatur Informationssicherheits-Risikomanagement Grundlagen des Risikomanagements Teilschritte des Risikomanagements NIST als Beispiel Menschen und Risiken Weitere Gliederung des Kapitels Prozess zur Klassifizierung der Informationswerte Rechtliche und regulatorische Randbedingungen Regelmäßiges Risikoassessment Möglichkeiten der Risikominimierung die 4-T-Maßnahmen Kontrollen im Bereich Informationssicherheit Der Prozess des Risikomanagements Einbindung in die Betriebsprozesse der Organisation Monitoring von Risiken Bericht von Compliance-Verletzungen Zwischenfazit Literatur Umsetzung des Informationssicherheits-Programms Grundlagen zum Informationssicherheits-Programm Weitere Gliederung des Kapitels Ausrichtung des IS-Programms an den sonstigen Prozessen der Organisation Bestimmung von internen und externen Ressourcen Sicherheitsarchitektur Standards, Arbeitsanweisungen und Handlungsempfehlungen Security Awareness und Security Training Integration in die Geschäftsprozesse Berücksichtigung von Verträgen Aufbau eines Monitoring- und Reportingsystems unter Nutzung von Metriken Zwischenfazit Literatur Informationssicherheits-Vorfallsmanagement Grundlagen des Incident-Response-Management Festlegung des Sicherheitsvorfalls

3 Inhaltsverzeichnis XIX 5.3 Entwicklung eines Incident-Response-Plans Aufbau eines Prozesses zur Erkennung von Sicherheitsvorfällen Aufbau eines Prozesses zur Untersuchung von Sicherheitsvorfällen Aufbau eines Prozesses zur Eskalation und Kommunikation von Vorfällen Aufbau und Training der Incident-Response-Teams Erfolg durch praktische Übungen Aufbau von Kommunikationsprozessen Durchführen von Nachvorfallsbehandlungen Integration in Desaster-Recovery- und Business-Continuity-Prozesse Zwischenfazit Fazit und Ausblick Literatur Teil II Vorgehensweise nach BSI IT-Grundschutz 6 Vorgehensweise nach BSI IT-Grundschutz Inhaltliche Übersicht Einführung in das Vorgehen nach IT-GS Initiierung des Informationssicherheitsprozesses Übernahme der Verantwortung durch die Leitungsebene Konzeption und Planung des IS-Prozesses Erstellung einer Leitlinie Die Organisation des IS-Prozesses Bereitstellung der Ressourcen für die IS Einbindung aller Mitarbeiter in den IS-Prozess Erstellung einer Sicherheitskonzeption Definition des Informationsverbunds Strukturanalyse Schutzbedarfsfeststellung Modellierung des IT-Verbunds Basis-Sicherheitscheck Ergänzende Sicherheits- und Risikoanalyse Umsetzung der Sicherheitskonzeption Sichtung der Ergebnisse Kosten-Aufwand-Abschätzung Umsetzungsreihenfolge festlegen Festlegung von Aufgaben und Verantwortung Begleitende Maßnahmen Aufrechterhaltung und Verbesserung Überprüfung des IS-Prozesses

4 XX Inhaltsverzeichnis Informationsfluss im IS-Prozess Zertifizierung Fazit Literatur Teil III Praxisbeispiele 7 Bausteine für einen sicheren IT-Betrieb Von der Anforderung zum sicheren Betrieb Anforderungsanalyse Absicherung der Lieferkette Dokumentenlandkarte Pseudonymisierung IT-Sicherheitsgesetz (ITSiG) Fazit Literatur Praxisbausteine zum IT-Grundschutz Modellierung nach BSI IT-Grundschutz Basis-Sicherheitscheck nach IT-Grundschutz Risikoanalyse nach BSI IT-Grundschutz Auswahlkriterien für ein IT-Grundschutz-Tool Fazit Literatur Zur Abgrenzung eines Informationsverbundes Einführung IV-Abgrenzung mittels dem Regelsatz der Beherrschung Risikoorientierte Schnittstellenbetrachtung des IV Fazit Literatur Glossar Sachverzeichnis

5