Sicherer Erfolg dank ISDS-Konzept: Erfahrung, Erkenntnisse und Umsetzungsempfehlungen für kantonale Polizeiorganisationen

Größe: px

Ab Seite anzeigen:

Download "Sicherer Erfolg dank ISDS-Konzept: Erfahrung, Erkenntnisse und Umsetzungsempfehlungen für kantonale Polizeiorganisationen"

Katja Bösch
vor 5 Jahren
Abrufe

1 Sicherer Erfolg dank ISDS-Konzept: Erfahrung, Erkenntnisse und Umsetzungsempfehlungen für kantonale Polizeiorganisationen SPIK 2018, 22. März 2018 Marcel Schönbächler, Senior Consultant

2 Themen Die Erstellung eines polizeilichen ISDS-Konzeptes praxisnah erläutern. Der nur indirekte bestehende Zusammenhang zwischen kantonalen Vorgaben und Risiko aufzeigen. Das systematische Ableiten von Risiken auf Basis von Risikoszenarien anhand von Beispielen erklären.

3 Realisierung Konzept Initialisierung Erarbeitung / Überprüfung / Ergänzung ISDS Konzepte ISDS Konzept Schutzbedarfsanalyse Identifikation Schutzobjekte Anforderungen, Vorgaben an Informations- und Datenschutz Risikoanalyse Identifikation Schutzbedarf Best Practices wie z.b. ISO-27001, kantonale Vorgaben Schutzmassnahmen z.b. mit IT-Sicherheitsarchitektur, Organisationskonzept, Betriebskonzept, Notfallkonzept Restrisiken Einhaltung / Prüfung der Schutzmassnahmen 3

4 Konzept Von der Sicherheitsbeurteilung zum ISDS-Konzept Vorbedingung: Erarbeiten ISDS-Konzept Anwendung besitzt erhöhten Schutzbedarf = Resultat der Schutzbedarfsanalyse System sicherheitsrelevant beschreiben Risikoszenarien beschreiben Einhaltung der kantonale Vorgaben prüfen Bestehende Schutzmassnahmen identifizieren Schwachstellen identifizieren Involvierte Schutzmassnahmen / Schwachstellen erkennen Schadensausmass und Wahrscheinlichkeit beurteilen Nicht oder ungenügend reduzierte Risiken = Restrisiken Weitere Schutzmassnahmen für Risikoreduktion erarbeiten Kosten / Nutzen-Abwägung Abweichungen zu kantonalen Vorgaben verhandeln Management Summary schreiben 4

5 System sicherheitsrelevant beschreiben Vorgehen Systemgrenzen bestimmen (In-Scope / Out-of-Scope) Einzelne relevante Interessensdimensionen beschreiben Interessensdimensionen Solution Integrity PKI Availability / Utilization Performance Encryption Signing / Hash Security Levels Backup / Restore Business Continuity Mgmt Secure System Management Time Service ICAM Identification Identity Management Credential Management Access Management Audit Security Event Detection Audit Trail Management Accounting Management Access Control Authentication Authorization Informationsfluss Kommunikationsfluss Komm. Protokolle Netzwerkzonen Praxisbeispiel: "mobile unpersönliche Geräte (ipad) in Einsatzfahrzeugen" Resultat der Schutzbedarfsanalyse besonders schützenswerte Daten Begründung: Patientendaten Aktuelle Einsatzorte Systemgrenzen: Rettungsdienst Notrufzentrale 5

6 Einhaltung der kantonalen Vorgaben prüfen Vorgehen 1. Relevante Vorgaben identifizieren Welche relevanten Weisungen gibt es? 2. Einhaltung dieser Vorgaben prüfen Sind die Compliance-Anforderungen eingehalten? 3. Klären, ob dadurch Schwachstellen bestehen Praxisbeispiel 1. Relevante Vorgaben 1019-Übergeordnete Sicherheitsbestimmungen 1124-Weisung Sicherheit Smartphones 2. Einhaltung dieser Vorgaben Verwendung unpersönliche Benutzerkonten, weil ipad dem Fahrzeug und nicht einem Rettungsteam zugewiesen ist. 3. Schwachstellen? Keine weitere Schwachstelle, weil im Einsatzleitsystem die Dienstpläne historisiert sind. Die Nachvollziehbarkeit ist gegeben. 6

7 Bestehende Schutzmassnahmen und Schwachstellen identifizieren Vorgehen Schwachstellen identifizieren Über welche bestehenden Schwachstellen könnten Verfügbarkeit, Vertraulichkeit, Integrität oder Nachvollziehbarkeit gefährdet sein? Bestehende Schutzmassnahmen identifizieren Welche Massnahmen wurden speziell getroffen und bereits umgesetzt, um das System sicherer zu machen? Zum Beispiel IT-Sicherheitsarchitektur Organisationskonzept Betriebskonzept Notfallkonzept Praxisbeispiel Schwachstelle Patientendaten sind auf dem mobilen ipad sichtbar. Schutzmassnahmen IT-Sicherheitsarchitektur: Es befinden sich nur Daten des aktuellen Einsatzes auf dem ipad. Betriebskonzept: Das ipad kann vom IT-Helpdesk aus der Ferne gelöscht werden. 7

8 Risikoszenarien beschreiben Vorgehen Mögliche Risikoszenarien beschreiben Schadensablauf anhand von generischen Beispielen Zentrale Frage: Welche Risikoursachen bestehen? Die Risikoszenarien sind den vier "Säulen" der Informatiksicherheit zu zuweisen: Verfügbarkeit Vertraulichkeit Integrität Nachvollziehbarkeit von Informationen und Daten Welche Schwachstellen und Schutzmassnahmen sind involviert? Praxisbeispiel Risikoszenario für "Vertraulichkeit" "Zugang zu Patientendaten aufgrund eines Verlustes eines ipads während eines Einsatzes" Involvierte Schwachstellen Patientendaten sind auf dem ipad sichtbar. Involvierte Schutzmassnahmen Es befinden sich nur Daten des aktuellen Einsatzes auf dem ipad. Das ipad kann vom IT-Helpdesk aus der Ferne gelöscht werden. 8

9 Schadensausmass und Wahrscheinlichkeit der Risikoszenarien beurteilen Vorgehen Eintretenswahrscheinlichkeit des Risikoszenarios Wie wahrscheinlich ist es, dass das Risikoszenario eintritt? Schadensausmass beim Eintreten dieses Risikoszenarios Was ist das erwartete Schadensausmass? Risikohöhe ableiten Die Risikomatrix ist in der Regel von der Organisation vorgegeben. Praxisbeispiel "Zugang zu Patientendaten aufgrund eines Verlustes eines ipads während eines Einsatzes" Eintretenswahrscheinlichkeit Ziemlich wahrscheinlich Schadensausmass spürbar = Risiko Mittleres Risiko 9

10 sehr unwahrscheinlich < 2% unwahrscheinlich 2% - 10% Eintretenswahrscheinlichkeit wenig wahrscheinlich 10% - 20% ziemlich wahrscheinlich 20% - 50% sehr wahrscheinlich > 50% Restrisiken erkennen Die Restrisiken können aus der Risikomatrix abgeleitet werden. Geringe Risiken (grün) Mittlere Risiken (gelb) Hohe Risiken (rot) Als Restrisiken sind die mittleren und hohen Risiken auszuweisen. unbedeutend spürbar Beträchtlich kritisch katastrophal Schadensausmass 10

Kosten W'keit Schaden Weitere Massnahmen für Risikoreduktion erarbeiten Regelmässige Absprachen mit Datenherr: Zentrale Frage: Welche Restrisiken ist der Datenherr bereit zu tragen?

11 Kosten W'keit Schaden Weitere Massnahmen für Risikoreduktion erarbeiten Regelmässige Absprachen mit Datenherr: Zentrale Frage: Welche Restrisiken ist der Datenherr bereit zu tragen? Bei Bedarf sind weitere Schutzmassnahmen dem Projekt vorzuschlagen, welche die Restrisiken weiter reduzieren zu können. Bei "Genehmigung" einer Schutzmassnahme nach Kosten/Nutzenabwägung: Iteration über Systembeschreibung notwendig Fiktives Praxisbeispiel Auf ipad sind alle Patientendaten aller aktuellen vergangenen Einsätze enthalten. Das ipad ist nicht geschützt. Mögliche Schutzmassnahmen: Massnahme PIN anfordern Fingerprint hinterlegen + Sperrzeit: 5 Minuten + Nur aktueller Einsatz auf ipad ++ o Mittlerer Einfluss Hoher Einfluss 11

12 Management Summary schreiben Zweck eines ISDS-Konzepts: Der Risikoträger wird vollständig, in einer ihm verständlichen Form, über alle Risiken informiert Die Erfüllung der Vorgaben ist eindeutig deklariert. Der Erfüllungsgrad der Informationssicherheits-Anforderungen ist eindeutig ersichtlich. Im Management Summary muss festgehalten werden, welche Restrisiken die Risikoträger (Datenherr / Geschäftsprozessverantwortlicher) übernehmen müssen. Nutzen eines ISDS-Konzepts: Es werden nur Massnahmen umgesetzt, welche Mehrwert bringen und mit dem Management abgestimmt sind. Gewissheit, dass Restrisiken auch vom Management getragen werden. 12

13 Take-Aways Mit einem systematischen Vorgehen und regelmässigen Absprachen mit dem Datenherr können ISDS-Konzepte effizient und schlank erstellt werden. Iterationen bei der Erarbeitung sind wichtig für Verbesserungen! In Projekten ermöglicht eine frühzeitige Erarbeitung der Schutzmassnahmen einen "Security by Design"-Ansatz und verhindert, dass viele Risiken mit unbequemen und wenig kontrollierbaren organisatorischen Weisungen reduziert werden müssen. 13

14 Fragen 14

Ähnliche Dokumente

Weisungen des Bundesrates über die IKT-Sicherheit in der Bundesverwaltung

Weisungen des Bundesrates über die IKT-Sicherheit in der Bundesverwaltung vom 1. Juli 2015 Der Schweizerische Bundesrat erlässt folgende Weisungen: 1 Allgemeine Bestimmungen 1.1 Gegenstand Diese Weisungen