Sicherheit und Schutz der Anwalts-EDV

Transkript

1 Informationssicherheit Sicherheit und Schutz der Anwalts-EDV Carlos Rieder Leiter Informationssicherheit Hochschule für Wirtschaft HSW Luzern Anwaltsverband Luzern, , Carlos Rieder Agenda It happens! Bedarf Anwalts-EDV 10 Punkte Programm Umsetzen 2

2 Sind wir genügend sensibilisiert? Quelle: 3 Viren und Würmer Sobig, Blaster, MyDoom, Bagle, Netsky... Quellen: 4

3 Beispiel Wurm Code Red (2001) Quelle: 5 Beispiel Wurm Slammer (2003) Quelle: 6

4 Menschliche Fehlhandlungen... Quelle: 7 Softwarefehler... Quellen: Broschüre «Verletzliche Informationsgesellschaft», Informatikstrategieorgan Bund; 8

5 Kriminelle Handlungen, technische Ausfälle... Quellen: Februar Aber auch ungewöhnliche Ereignisse... Quellen: Nachrichtensender N24; September

6 oder Umweltkatastrophen Das Schlimmste ist der Verlust des Büros. Alle Kundendaten sind weg! Aug Passiert das wirklich alles? Quelle: KES/Microsoft-Sicherheitsstudie 2004 (Umfrage unter 160 mittelständischen und grossen Unternehmen, v.a. Deutschland) 12

7 Warum wird nicht mehr gemacht? Geld fehlt 62% Bewusstsein bei Mitarbeitenden fehlt 51% Bewusstsein bei Top Management fehlt 45% Bewusstsein bei mittleren Management fehlt 42% Kompetenz fehlt 37% Konzepte, Grundlagen fehlen 31% Quelle: KES/Microsoft-Sicherheitsstudie 2004 (Umfrage unter 160 mittelständischen und grossen Unternehmen, v.a. Deutschland) 13 KMU und IT IT ist auch in KMU ein Schlüsselfaktor 84% aller KMU setzen PCs ein 65% alle KMU sind ans Internet angeschlossen (davon 60% mit ISDN, 20% mit Standleitungen) 70% der KMU-Internet-Nutzer rechnen mit steigendem Umsatz Angaben beziehen sich auf den Stand 2002 Quellen: «Einsatz und Nutzung des Internets in KMU in der Schweiz», seco

8 Wo stecken bei einer KMU Informationen? Arten von Information Geschäftskorrespondenz Verträge Verfahren Buchhaltung, Finanzunterlagen Personalakten Kundenstamm Wie liegen Informationen vor? Papier Mündlich (Telefon, Gespräche etc.) Fax, Telefonbeantworter in den Köpfen der MitarbeiterInnen Informatik (Server, PC, PDA, etc.) 15 Was gefährdet die Informationen? Zufällige Gefährdungen Naturgefahren (Blitz, Hagel und Unwetter ) Ausfall von Strom oder Telekommunikation Technische Pannen oder Fehler von Hard- und Software Bedienerfehler / Fahrlässigkeit der Mitarbeitenden Vorsätzliche Gefährdungen Bösartiger Code (Viren, Würmer, Trojaner) Informationsdiebstahl Angriffe (von Skript-Kiddies bis Hacker) Wirtschaftsspionage ( was die Konkurrenz wissen möchte ) Missbrauch der IT-Infrastrukur 16

9 Spezialfall Anwalts-EDV!? Wie wichtig ist die Vertraulichkeit der vorhandenen Informationen? 1. nicht relevant 2. relevant 3. sehr relevant 4. Verlust kann die Zukunft des Unternehmens in Frage stellen Wie lange kann ohne IT gearbeitet werden? 1. 3 Tage 2. 1 Tag 3. 4 Stunden 4. 2 Stunden Verfügbarkeit Vertraulichkeit 17 Wie vorgehen? Der Bedarf wäre vorhanden, jedoch fehlen die Mittel! Lösungsansatz: Übernahme von Standards Code of Parctice (ISO 17799) Good Privacy (SQS) Sicherheitshandbuch für die Praxis (isec ag) 10 Punkte Programm für die Informationssicherheit (InfoSurance) 18

10 Mehr Informationssicherheit für KMU das 10 Punkte Programm 19 Verein InfoSurance Fachgruppe KMU Der Verein InfoSurance unterstützt kleinere und mittlere Unternehmen (KMU) im Bereich der Informationssicherheit. Dabei soll der praktische Nutzen im Vordergrund stehen. Das Angebot der InfoSurance: 10 Punkte Programm zur Informationssicherheit KMU Roadshow Mitglieder der Arbeitsgruppe: Jürg Altenburger, IBM, Zürich Chris Baur, Trivadis AG, Zürich Marcel Beil, Symantec AG, Bassersdorf Herbert Brun, UPAQ Ltd, Küsnacht Christof Egli, Ernst Basler + Partner AG, Zollikon (Leiter der Fachgruppe) Tiziana Giorgetti, Symantec AG, Bassersdorf Roger Halbheer, Microsoft GmbH, Zürich Peter Kunz, Omnisec, Dällikon Anton Lagger, Bundesamt für Wirtschaftliche Landesversorgung BWL, Bern Andrea Müller, Microsoft GmbH, Zürich Peter Neuhaus, Stiftung KMU Schweiz, Bern Carlos Rieder, Hochschule für Wirtschaft, Luzern Marc Vallotton, InfoGuard, Zug Christian Weber, Staatsekretariat für Wirtschaft SECO, Bern 20

11 Mit wenig bereits viel erreichen! 6 Mobile Computing 7 Passwörter 9 Sensibilisierung 10-Punkte-Programm des Vereins InfoSurance Quelle: 21 Punkt 1 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Verantwortlichkeiten und deren Stellvertretungen festlegen Aufgaben klar regeln (schriftlich) Intern und extern 22

12 Punkt 2 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Alle geschäftsrelevanten Daten regelmässig auf mobiles Medium kopieren Mindestens wöchentlich (besser täglich) Nicht beim Server aufbewahren, sondern ausser Haus 23 Punkt 3 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Anti-Viren-Software ist ein absolutes Must Ohne regelmässige Aktualisierung wertlos (täglich, evt. Wöchentlich)!! Auch mobile Geräte schützen 24

13 Der Entstehungsweg eines Wurmes 1. Juli 16. Juli 25. Juli 11. August Schwachstelle entdeckt / Start der Patchentwicklung Bulletin & Patch Verfügbar Bisher kein Angriff Angriffs-Code wird veröffentlicht Wurm infiziert die Welt Report Schwachstelle in RPC/DDOM aufgedeckt MS startet den höchsten Notfallprozess Level Bulletin MS wir an Kunden ausgeliefert Kontinuierliche Kommunikation mit Analysten, Presse, Community, Partner, Regierungsbehörden Exploit X-focus (Chinesische Security-Spezialisten) veröffentlicht Angriffs- Tool MS maximiert die Anstrengungen, alle Kunden zu informieren Worm Blaster Wurm entdeckt Varianten und andere Viren schlagen gemeinsam zu (z.b. SoBig ) Blaster zeigt das komplexe Zusammenspiel zwischen Sicherheitsforschung, Softwarehersteller und Hackers Quelle: Microsoft Schweiz 25 Punkt 4 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Hardware-Firewall einsetzen Notebooks schützen (Software-Firewall) Standard-Passworte auf Firewall und Router ersetzen 26

14 Punkt 5 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Software braucht auch Wartung!! Betriebssystem aktualisieren Anwendungssoftware aktualisieren 27 Punkt 6 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Starke Passwörter verwenden 8 Stellen Gross, kleine Buchstaben sowie Zahlen Sonderzeichen z.b. eins2drei! Nicht weitergeben Regelmässig wechseln (alle 3 Monate) 28

15 Die grösste Schwäche in der IT? Das Passwort Anwaltsverband Luzern, , Carlos Rieder Woran erkennt der Computer den Benutzer? Benutzer-ID und Passwort 30

16 Ungeeignete Passwörter Was kann passieren? Unberechtigter Zugriff auf Daten Versehentliches Ändern / Löschen / Speichern von Daten Nachvollziehbarkeit nicht gewährleistet Identitätsdiebstahl Systemmanipulationen, unerlaubtes Verwenden von Berechtigungen Please hack me! 31 Passwörter im Test Wie gut sind unsere Passwörter? Demo: Hacking von Windows-Passwörtern Was ist ein gutes Passwort? Einfaches, 5-stelliges Passwort 36 5 = Varianten Komplexes, 8-stelliges Passwort 94 8 = Varianten 32

17 Passwörter die goldenen Regeln Länge: mindestens 8 Zeichen Alle vier Monate ändern Kombination aus Buchstaben, Zahlen und/oder Sonderzeichen Keine leicht zu erratenden Begriffe Nicht weitergeben Nirgends (ungeschützt) aufschreiben Passwort-Tester im Internet: 33 Passwörter wie kann ich mir diese merken? Aufsteller-System Positiver Begriff Fruehling Regel: 5. Stelle mit & ersetzen Danach GROSS weiter Heutiger Tag im Monat anfügen = 11. Resultat: Frue&LING11. Zahlen ein2drei! 24Acht-51-Vier8 34

18 Punkt 7 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Mobile Geräte mit Passwort schützen Sensible Daten verschlüsseln Virensignaturen und Software aktualisieren WirelessLAN und Bluetooth korrekt konfigurieren (Default-Einstellung genügen nicht!) 35 Punkt 8 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Regeln und Sanktionen festlegen Schriftlich definieren Allen Mitarbeitenden kommunizieren Sensibilisieren und Ausbilden 36

19 Punkt 9 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Areal und Zugänge sichern Besucher begleiten Abschliessbare Räume für Server keine Brandlasten, Feuerlöscher installieren Wasserschutz sicherstellen 37 Punkt 10 6 Passwörter 7 Mobile Computing 9 Physischer Schutz Systematische Ablage Platz schaffen, archivieren Vertrauliches korrekt aufbewahren Evtl. Aufräumpflicht einführen 38

20 Umsetzung Schrittweise angehen; jetzt anfangen! Konsequent umsetzten (jeden Monat ein Thema) Absprache mit IT-Supporter Mitarbeiter ausbilden Kontrollen (intern / extern) ausgewogen Was werden Sie ab morgen ändern? Punkte-Programm des Vereins InfoSurance Mit wenig ist viel möglich do it! Wir wünschen viel Erfolg bei der Umsetzung! Quelle: 40

21 41