Michael Claaßen IT-SECURITY BEST PRACTICES. Der pragmatische Ansatz für effiziente IT-Sicherheit. Das Raber+Märcker headtechnology Prinzip!

Transkript

1 IT-SECURITY BEST PRACTICES Der pragmatische Ansatz für effiziente IT-Sicherheit. Das Raber+Märcker headtechnology Prinzip! Michael Claaßen Consultant Zertifizierter Ext. DSB

2 IT- Sicherheit Wofür braucht man IT-Sicherheit? Unsere Daten sind nicht sensibel? Persönliche Daten? Kunden / Mitarbeiter? Konstruktionsdaten? Wie setze ich dies um? Keine Einschränkungen der Mitarbeiter? Administrationsaufwand?

3 Standards und Vorgaben IT-Grundschutz-Kataloge Eine Sammlung (vor 2005: IT-Grundschutzhandbuch) von Dokumenten des deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI), die der Erkennung und Bekämpfung sicherheitsrelevanter Schwachstellen in IT-Umgebungen (IT Verbund) dienen. DIN ISO/IEC Die Norm spezifiziert Anforderungen für die Implementierung von geeigneten Sicherheitsmechanismen zum Schutz sämtlicher Werte in den Wertschöpfungsketten DIN ISO/IEC Eine Sammlung von Erfahrungen, verfahren und Methoden aus der Praxis für diverse Kontrollmechanismen in der Informationssicherheit. Best-Practice -Ansatz. PCI-DSS Ein Regelwerk im Zahlungsverkehr, das sich auf die Abwicklung von Kreditkartentransaktionen bezieht und von allen wichtigen Kreditkartenorganisationen unterstützt wird.

4 Meistgehörte Prioritäten der CIOs Information ist unser Kerngeschäft und wir müssen sie sicher zur Verfügung stellen. Wir müssen ALWAYS ON sein. Die Schlüsselworte sind: Vereinfachung, Beschleunigung, Innovation und Informationssicherheit. (UK-based financial services group) (Global automotive related manufacturer)

5 TOP 10 CIO-Aktivitäten 2013/ Das Medium ist die Botschaft. (Marshall McLuhan) Wie ist das User-Interface im Sinne des Business-Nutzen zu optimieren? 9. Jede Software wird so aussehen wie Facebook." (Mark Benioff, CEO von Salesforce) Wie verändert sich die Rolle des CIO, wenn Software selbsterklärend bzw. intuitiv erfassbar ist? 8. Das Sammeln von Daten ist kein seltsames Hobby. Es ist ein Geschäftsmodell und wir sind nicht der Kunde. Wir sind das Produkt." (Senator Al Franken) Was bedeutet BigData für Ihre Branche und die Art, wie Sie Geschäfte machen?

6 TOP 10 CIO-Aktivitäten 2013/ Die Einfachheit ist die Komplexität." (Leonardo da Vinci) Welchen Balast werden Sie nächstes Jahr abwerfen? 6. Das Ganze ist größer als die Summe seiner Teile." (Aristoteles) Wie werden Sie Cloud-Technologien und mobile Zugangsgeräte integrieren, um neue Türen für Ihr Unternehmen aufzustoßen? 5. Ein Ergebnis, dass unsere Herzen höher schlagen lässt, erreicht man nur durch die Paarung der Technologie mit Kreativität und Menschlichkeit." (Steve Jobs) Gutes Design ist Oberfläche, die in die Tiefe geht. Was tragen Sie als CIO dazu bei?

7 TOP 10 CIO-Aktivitäten 2013/ Widerstand gegen Veränderung ist oft nur ein Mangel an Klarheit." (Business Autor Dan Heath) Wie bringen Sie Ihre Mannschaft auf Kurs und machen Ihre IT zum Inkubator für das Neue? 3. Verwechsele nie Dein Tun mit dem Ziel." (Basketball Coach John Wooden) Alles kreist um die eine Frage: Wo und wann produzieren Sie einen Mehrwert für Ihr Business?

8 TOP 10 CIO-Aktivitäten 2013/ Die Analphabeten des 21. Jhdts. werden nicht diejenigen sein, die nicht lesen und schreiben können, aber die, die nicht lernen, verlernen und wieder erlernen können." (Alvin Toffler) Wie begleiten Sie Ihr Unternehmen auf dem Weg in Richtung lernende Organisation? 1. Du fängst besser an zu schwimmen oder sinkst wie ein Stein, denn die Zeiten ändern sich. " (Bob Dylan) Wie steht es um Ihre Beweglichkeit und um die Ihres -Teams?

9 Worst Practices oder doch nur das reale Leben!? Zeitmangel fehlende Ressourcen Keine Beteiligung der Endanwender Unzureichend definierte Anforderungen Kein Change Prozess vorhanden

10 Worst Practices I Praxisbeispiel das Passwort Das Passwort wird nicht geändert (Der Benutzer kann sich die vielen Passworte nicht merken) Das Passwort muß nur 4 Zeichen enthalten (z.b. 1234, 0712, 2580) Was besagt die offizielle Richtlinie, die unterschrieben wurde? Problem Es dauert Millisekunden auf einem Desktop-PC um das Passwort zu knacken

11 Worst Practices I - Richtlinien Welche Vorgaben existieren im Unternehmen? Existiert eine Passwortrichtlinie? Wie alt ist diese? Wann wurde sie zum letzten Mal überarbeitet? Werden aktuelle Themen behandelt? BYOD? Sind Notfallpläne vorhanden?

12 Worst Practices II - Geräteverwaltung Ja, wir haben ein Device Control! Das liegt schon seit Jahren in der Schublade Wir hatten bisher keine Ressourcen dafür Die Mitarbeiter haben es nicht angenommen Viel zu komplex mind. 26% der Vireninfektionen über USB Sticks verwenden das Autorun Feature zum Verbreiten StuxNet, Flame, etc.

13 Worst Practices III - Virenbefall Die Warnmeldung des Virenscanners hat den Benutzer verärgert. So kann man nicht arbeiten Ressourcenmangel Problem wird aufgeschoben Meldung einfach deaktiviert Virus kann sich verbreiten

14 Entwicklung TOP10 Best Practices Analysten Gartner Forrester Standards PCI-DSS ISO 2700x BSI SANS 20 CSC Markt TOP10 Consulting Erfahrung

15 Bausteine / Lösungen Wireless Monitoring Compliance Vulnerability Patch Managed Services NAC Perimeter Network Content Information Event Log Data Encryption Permission Data Leakage Prevention Database Directories Device Control Disk Encryption Endpoint Identity and Access Privileged Identity Mobile Virtualization and Cloud Web Access Endpoint Defense Remote Access / VPN Cloud Authentication Permission and Rights Virtualization

16 Network Virtualization and Cloud Endpoint Identity and Access Data Paketierung Information Event Compliance Vulnerability Patch Log Monitoring Wireless Managed Services Network Access Control Perimeter Content Virtualization Cloud Device Control Disk Encryption Mobile Endpoint Defense Remote Access / VPN Directories Privileged Identity Access and User Rights Web Access Auth. Encryption Permission Data Loss / Leakage Prevention Database

17 Pakete S / M / L Paket S Paket M Network Data Endpoint Paket L frei-definiert Virtualization and Cloud Identity and Access Additional Packages

18 Zusatzpakete Paket S Add-On Paket M Add-On Paket L Add-On Social Engineering Phys. Sicherheit Penetrations Test Schutzbedarf Feststellung Risiko Bewertung Passwort Audit FW/AV- Policies

19 Individueller Aufbau / Kundenwunsch Einzelne Blöcke können durch Standardisierung nach Bedarf zusammengestellt werden Unabhängig ob es sich um Zusatzpakete oder Standardbausteine handelt Sinnvolles Zusammenfügen Welche Themen haben Kundenpriorität

20 Ergebnis Maßnahmenempfehlung Dokumentation Prioritäten Projektbegleitung / -durchführung Schulung der Mitarbeiter Mangement Präsentation

21 Weitere Services Analysen Konzepte Ext. DSB Compliance Schwachstellenanalyse Implementierung Dokumentation Schulung Eigener Support Wartungsversträge SLA s etc. Consulting Installation Support

22 Aktuelle Megatrends Cloud Optimierte Infrastruktur für größere Flexibilität im globalen Umfeld Mobility Gesteigerte Produktivität und mehr Kundenengagement Social Business Höhere Kollaboration und besseres Kundenengagement Big Data / Analytics Besseres Kundenverständnis um neue Produkte und Dienste anzubieten

23 4 kostenlose Tipps, die nicht umsonst sind Korrekte Konfiguration Sicherheit/Empfehlungen/Produktkonfiguration/cs_Empfehlungen_Produktkonfiguration_node.html Schwachstellenanalyse Sicherheit/Analysen/Statistiken/BSIa003.html IDS (Intrusion Detection System) Sicherheit/Themen/Sicherheitskomponenten/IntrusionDetectionSystemeIDS/intrusiondetectionsystemeids_node.h tml Bildung (Bitkom / BSI)

24 Vielen Dank! Fragen? Michael Claaßen Tel: