Programm für ein gemeinsames Informationssicherheitsmanagement Der Fachhochschulen NRW

Transkript

1 Kooperative Einführung von an 20 Fachhochschulen des Landes NRW

2 Was ist los?? Fälschung beweiserheblicher Daten Fälschung beweiserheblicher Daten - BKA: Bundeslagebild 2011 Seite 2

3 Was ist los?? Ausspähen/ Abfangen von Daten Die Angriffsszenarien werden vielfältiger: Ausspähen/ Abfangen von Daten - BKA: Bundeslagebild 2011 Diebstahl von Identitäten (Cloud, E- Government, E-Commerce, ) Phishing Digitale Erpressung (digitales Schutzgeld, Rückkauf kompromittierter Daten, Schweigegeldforderung, ) Carding Mobile Cybercrime Seite 3

4 Was ist los?? Cybercrime entdeckte Straftaten Cybercrime - BKA: Bundeslagebild 2011 Seite 4

5 Was ist los?? 80 Schäden in Mio Schäden - BKA: Bundeslagebild 2011 Seite 5

6 Inhaltsverzeichnis 1 Anlass und Ziele einer Kooperation zum Thema Informationssicherheit 2 Einführen von als Kooperationsprojekt 3 Lessons learned Seite 6

7 1 Anlass und Ziele einer Kooperation zum Thema Informationssicherheit Die Aufgabe, sich mit Informationssicherheit zu beschäftigen, trifft alle Hochschulen gleichermaßen. Seite 7

8 Anlass und Ziele der Kooperation Die Prozesse einer Hochschule in Forschung, Lehre und Verwaltung sind immer stärker vom ordnungsgemäßen Funktionieren der Informations- und Kommunikationstechnik abhängig. Gleichzeitig steigt die Zahl potenzieller Bedrohungen sprunghaft an. Gefährdet sind insbesondere die Verfügbarkeit, die Integrität und die Vertraulichkeit von Informationen. Diese Begriffe werden als Grundwerte der IT-Sicherheit verstanden. Und noch ein Grund: von anderen Hochschulen wurde bekannt, dass sich besondere Notwendigkeiten auch im Rahmen der Prüfung des Jahresabschlusses (nach Umstellung auf die kaufmännische Buchführung) gezeigt haben. Dabei wurden auch die IT-Sicherheit umfassend geprüft und Mängel festgestellt. Seite 8

9 Anlass und Ziele der Kooperation Im Juni 2010 haben sich die CIOs und IT-Leiter zu einem Workshop getroffen, um sich dem Thema IT-Sicherheit anzunehmen. Dabei wurde aus Sicht der Präsidien und Rektorate der Fachhochschulen die Notwendigkeit abgeleitet, das Thema anzugehen. Gleichzeitig wurde der unterschiedliche Stand der Realisierung des Themas an den Hochschulen festgestellt. Ein Vorschlag wurde erstellt: Erarbeiten von Fachhochschul-übergreifenden Sicherheitsmaßnahmen und Entwickeln von Best Practices. Da sämtliche Fachhochschulen vor der Aufgabe stehen, sich dem Thema systematisch in gleicher oder ähnlicher Weise zu nähern, soll die Aufgabe als gemeinsames Projekt angegangen werden. Seite 9

10 2 Einführen von als Kooperationsprojekt Die Herausforderung liegt im kommunikativen und organisatorischen Bereich. Seite 10

11 Projekt und Verstetigung heute PRISMA ISKo PRISMA: ISKo: PRojekt für die Einführung eines InformationsSicherheitsMAnagements InformationsSicherheitsmanagement als Kooperation Seite 11

12 Die Projektidee Einführung von als Kooperationsprojekt aller Fachhochschulen und Verstetigung der Fachaufgabe. Das Ziel der Kooperation sind gemeinsame Maßnahmen zur Verbesserung und Harmonisierung der Informationssicherheit an den Hochschulen. Damit schafft die Kooperation Synergieeffekte, die den teilnehmenden Hochschulen zugute kommen. Ein übergreifendes für alle Hochschulen ist nicht geplant. Die Verantwortung für Informationssicherheit muss vielmehr von jeder Hochschule getragen werden. Seite 12

13 Rahmenbedingungen Der Implementierungsstand für Informationssicherheit ist jeweils unterschiedlich. Der Treiber für Informationssicherheit ist jeweils unterschiedlich. Die Ausfinanzierung der Hochschulen ist unterschiedlich. Das Engagement am Projekt mitzuwirken ist jeweils unterschiedlich. Die internen Strukturen der Hochschulen sind unterschiedlich. und etwas ist gemeinsam: mit Inkrafttreten des neuen Hochschulgesetzes vom sind die Hochschulen in die Hochschulfreiheit entlassen worden. Sie tragen daher Unternehmens -Verantwortung mit allem, was damit zusammenhängt, selbst. Seite 13

14 Die Projektorganisation Die Umsetzung des gemeinsamen Projekts wird von drei Referenzhochschulen vorangetrieben. Das aufgebaute Know-How wird an die anderen Hochschulen übertragen. Die CIOs der Referenzhochschulen sind gleichsam auch Projektleiter. Die Projektleitung wechselt in den jeweiligen Projektphasen. Das fachliche Know-How bringt ein externer Partner ein. Seite 14

15 Die Projektorganisation Projektgruppe Projektleitung (intern) Projektleitung (extern) Lenkungsausschuss Kanzler (CFO) 3 CIOs (AC, D, K) Sprecher der RZ-Leiter (MS) Vertreter der Datenschützer (D) IT-SiBe (KR) Berater mit Kompetenz eines IS- Revisors 3 Vertreter (GE, K, KLE) Projektoffice Projektmanager (K) Assistenz extern Seite 15

16 Die Projektphasen Aktivität 02/12 * 05/12 * 08/12 * 11/12 * 02/13 * 05/13 * 08/13 Output AP 100 Projektinitialisierung und Einrichtung eines Steuermanagements AP 200 Initiale Einführung des ISMS an drei Referenzhochschulen AP 300 Sicherheitsanalysen an den Referenzhochschulen AP 400 Review und Transfer des ISMS AP 500 Einführung des ISMS an allen Hochschulen AP 600 Einrichtung des CISO-Teams Projektleitdokumentation IS-Leitlinie, IS-Strategie, IS- Handbuch Lokale SWOT-Analysen Transferkonzept Durchführung des Transfers Geschäftsordnung und Vertrag zur Kooperation AP 900 Projektmanagement AP 700 Einzelmaßnahmen zur Gewährleistung der Informationssicherheit (optional) Seite 16

17 Die Projektphasen Initialisierung AP 200 (Plan) AP 300 (Do) AP 300 / 400 (Check) AP 500 / 600 (Act) AP100 Projektinitialisierung Kick-Off Workshop in 2012 Festlegung der Referenzhochschulen Etablierung eines Steuerungsgremiums AP 200 Initialisierung des ISMS an den Referenz-FHs Erstellung der grundlegenden Dokumente ISKo-Kooperationsvertrag ISKo-IS-Leitlinie Vom Projekt PRISMA zur Kooperation ISKo AP300 Sicherheitsanalysen an den Referenz-FHs Feststellung des Sicherheitsniveaus Identifikation von Gemeinsamkeiten und Besonderheiten Welche formalen Mindestvorgaben benötigt das ISMS an den Hochschulen Vorgaben für den Transferprozess AP400 Vorbereitungen zum Transfer Erstellen des Transferkonzepts Planen der Transferworkshops AP500 Durchführung des Transfers AP600 Einrichtung des IT-Sicherheitsmanagementteams Seite 17

18 Welche Dokumente entstehen im Projekt? Strategische Regelungen Organisatorische Regelungen Informationssicherheitsleitlinie und Auftrag der Fachhochschulleitung Leitlinien mit Anforderungen an Prozesse und Technik der Informationssicherheit Informationssicherheitskonzept IS- Leitlinie IS-Strategie Ergebnis des Projekts: Vorlage Ergebnis des Projekts: Anleitung Mehrwert aus den Referenz-FHs ISMS Umsetzungsvorgaben Spezifikationen zur Umsetzung der Leitlinien geordnet nach Regelungsbereichen Policies und Handlungsanweisungen an den anderen FHs nutzbare Anteile wie z.b. Nutzrichtlinie, Härtung von Servern Dokumentation Dokumentation der Umsetzung von Spezifikationen durch die Organisationseinheiten Dokumentationen technisch / organisatorischer Maßnahmen Arbeitsauftrag an die Kooperation Linientätigkeit Seite 18

19 Im Projekt erarbeitete Dokumente Leitlinie zur Informationssicherheit Kooperationsvertrag Einführung in die Grundbegriffe der Informationssicherheit Vom Projekt PRISMA zur Kooperation ISKo Transferkonzept Enthält den Geltungsbereich, die Ziele und die Organisation Kann durch eigene Ziele und lokale Organisationsstruktur ergänzt werden. Begründet und regelt die Kooperation Grundlegende Definitionen und Informationen zu BSI und zur Informationssicherheit Erläuterungen zum Projekt und zur dauerhaften Kooperation Erläuterungen zu den Dokumenten Beschreibung der Phasen des Transferprozesses: ISMS Chancen und Nutzen ISMS Konzeptionierung Awareness und Vertiefung Seite 19

20 Mehr zur IS-Leitlinie Die IS-Leitlinie legt die Politik zur Informationssicherheit fest. Grundsätzliche Inhalte Bewusstsein für Informationssicherheit schaffen Bekenntnis der Fachhochschulleitung zur Informationssicherheit Festlegung der hochschulübergreifenden Sicherheitsstrategie Definition wichtiger Sicherheitsziele Bestellen des oder der CISO Seite 20

21 3 Lessons learned Der Kooperationsgedanke muss konsequent im Projekt verfolgt werden. Seite 21

22 Lessons learned: Projektnutzen Erhoffter Nutzen vor Projektbeginn: ISMS ist an den Referenzhochschulen eingeführt. Andere Hochschulen sind in der Lage, ISMS einzuführen. Projekt und Verstetigung sind wirtschaftlich. Sicherheitsniveau genügt Anforderungen ISMS kann überprüft werden. Seite 22

23 Lessons learned: Projektrisiken Vermutete Risiken vor Projektbeginn: Unklare Zuständigkeiten Mangelnde Akzeptanz Schlechte Transferergebnisse Unklare Kommunikation Seite 23

24 Lessons learned: Kooperation/ Organisation Der Kooperationsgedanke ist während der Projektumsetzung durchgehend gegenwärtig. Er beeinflusst viele Entscheidungen Die Planung der Kooperation muss gemeinsame Aufgabe der hochschulinternen Verantwortlichen sein. Der externe Projektleiter kann hier kaum etwas ausrichten. Es gibt mehr Kooperationsabsicht als ursprünglich erwartet (17 Teilnehmer am Transfer, zusätzlich eine Universität als Kooperationspartner!) Die Terminfindung für Workshops auf Arbeitsebene ist bei 20 Kooperationspartnern extrem schwierig. Seite 24

25 PRISMA Vielen Dank für Ihre Aufmerksamkeit.