Fachlicher Endbericht

Transkript

1 Fachlicher Endbericht Entwicklung eines Online-Tools und eines IT- Sicherheitskonzepts zur Verbesserung der IT/Internet-Sicherheit in KMUs (Proj.Nr. 6496) Erstellt am Autoren: DI (FH) Daniel Mitterdorfer DI (FH) Herbert Pataky DI (FH) André Steingreß Stefan Steinmetz B.Sc. Markus Szöky B.Sc. DI (FH) Roland Wurzinger Dieses Projekt wird im Rahmen der Netidee 2007 ( ) von der IPA gefördert.

2 Inhaltsverzeichnis: 1 Einleitung Projekt ITsecurityCheck Projektidee Projektverlauf Systemarchitektur Systembeschreibung Dokument: IT-Sicherheitskonzept für KMUs Tätigkeitsbericht Ergebnisse Projektwebseite ITsecurityCheck IT Sicherheitskonzept Online Tool zur Evaluierung der IT-Sicherheit Möglichkeiten zur Weiterverwendung Ideen für Folgeprojekte Brachenvergleich Reifegrade der IT Sicherheit in Unternehmen Erweiterte Profilspeicherung: IT Service-Heft...13 Seite 2/14

3 1 Einleitung Gemäß den Förderrichtlinien wird nach Projektende in diesem Dokument ein Überblick dazu gegeben, welche Arbeiten im Projekt Entwicklung eines Online- Tools und eines IT-Sicherheitskonzepts zur Verbesserung der IT/Internet-Sicherheit in KMUs durchgeführt wurden. Diese Zusammenfassung basiert dabei unter anderem auf den Einträgen des Weblogs (= Projekttagebuch ), der unter für das Projekt itsecurity4kmu aufgerufen werden kann. Jene Projekttagebuch-Einträge, welche den wöchentlichen Projektfortschritt dokumentieren, können unter dem Link angezeigt werden. Im Anhang werden diese Einträge detailliert angeführt. Außerdem wird die geforderte Endabrechnung angeführt. Details dazu werden in der beiliegenden Excel-Datei dargestellt. Seite 3/14

4 2 Projekt ITsecurityCheck In diesem Kapitel werden die Fragestellung des Projektes, der Verlauf der Projektschritte und die bisher erzielten Ergebnisse vorgestellt. 2.1 Projektidee Im Zuge des Projektes sollen Strategien und Maßnahmen entwickelt werden, die gewährleisteten, dass die Nutzung des Mediums Internet für heimische Unternehmen in Punkto Sicherheit und Zuverlässigkeit auf dem Stand der Technik gebracht wird. Durch die Anwendung aktueller Standards kann die Nutzung des Internets unter Einhaltung von klaren Sicherheitsrichtlinien deutlich verbessert werden. Dabei werden Strategien, Maßnahmen und Checklisten in Anlehnung an internationale (ISO 27001) und nationale Standards (Ö IT-Sicherheitshandbuch bzw. deutscher IT- Grundschutz) entwickelt. In der finalen Phase werden die erarbeiteten Konzepte anhand von IT- Architekturen, die derzeit in Klein- und Mittelbetrieben Stand der Technik sind, mit Referenzkunden getestet und evaluiert. Die dabei gewonnenen Erkenntnisse werden schließlich in einem Abschlussdokument zusammengefasst und bilden das Projektergebnis. Als technische Unterstützung bei Evaluierungen wird ein Online-Analyse-Tool entwickelt, das neben einer Analyse des Ist-Zustands der IT-Architektur auch konkrete, individualisierte Maßnahmen generiert. Somit kann anhand weniger, ausgewählter Fragen schnell der aktuelle Sicherheitszustand analysiert werden. Aufgrund der Antworten kann dann im Anschluss ein individueller Maßnahmenkatalog vorgeschlagen werden. Zusätzlich wurde ein umfassendes IT- Sicherheitskonzept speziell für KMUs erstellt. Seite 4/14

5 2.2 Projektverlauf Oktober 2007: Anforderungsanalyse, Analyse und Evaluierung Standards (IT- Grundschutz), Vorbereitung SW-Entwicklung Online-Tool November 2007: Erstellung Checklisten/Fragebögen, Design Tool Dezember 2007: Implementierung Tool, Verfeinerung Maßnahmen Jänner 2008: Implementierung Online-Tool, Beta-Testphase mit Referenz- Kunden Februar 2008: Testen, Feedbackschleife Online-Tool und Roll-out Online- Tool März 2008: Dokumentation, Beratung von Interessenten, Projektabschluss Um den Projektverlauf und die dabei von uns geleistete Arbeit bestmöglich beschreiben zu können, ist es zuerst notwendig, die Grundlagen des Software- Systems ITsecurityCheck kennen zu lernen. Denn abhängig von den Tätigkeiten in den einzelnen System-Komponenten lässt sich ein präziser Gesamt-Projekt-Aufwand ermitteln. Daher wird im folgenden Kapitel zuerst die Systemarchitektur vorgestellt, um dann darauf aufbauend einen genauen Projekttätigkeitsbericht schildern zu können. 2.3 Systemarchitektur Die Abbildung 1 Systemarchitektur ITsecurityCheck zeigt die Systemarchitektur der Software-Lösung, die hinter dem Projekt Entwicklung eines Online-Tools und eines IT-Sicherheitskonzepts zur Verbesserung der IT/Internet-Sicherheit in KMUs steht. Dabei werden folgende System-Komponenten unterschieden: IT Sicherheits-Know-How in Form einer Excel -Datei.NET/C# Excel-SQL-Converter Programm MySQL Datenbank ITsecurityCheck Online-Tool auf Apache TomCat Webserver Seite 5/14

6 .NET SQL Data Java Server Faces IT Security Know- How in Form einer Excel-Datei.NET/C# Programm welches auf Basis der Excel- Datei, die Datenbank- Tabellen befüllt Relationale MySQL Datenbank Apache TomCat Webserver mit HTML/JSF Abbildung 1 Systemarchitektur ITsecurityCheck 2.4 Systembeschreibung Das Softwaresystem besteht aus den unter 2.1. beschrieben 4 Komponenten, welche in sequentieller Reihenfolge miteinander zusammenarbeiten. 1. Am Anfang steht das IT-Sicherheits-Know-How, welches in Form von Fragen- Antworten-Maßnahmen kurz FAM genannt in einer Excel Datei abgebildet ist. 2. Diese speziell aufgebaute Datei wird mittels einer.net/c# Applikation in eine für die Datenbank erforderliche Struktur konvertiert (Excel-SQL- Converter). Der Vorteil liegt dabei in der Bedienung und Weiterverarbeitung der Daten: Auf der einen Seite können IT-Security Spezialisten bequem in der gewohnten Excel-Umgebung arbeiten, und auf der anderen Seite müssen sich SW-Entwickler nicht um die Befüllung der von ihnen verwendeten Datenbanktabellen kümmern. 3. Die MySQL Datenbank bildet das IT Sicherheits-Know-How in relationaler Form ab. Dazu werden die Daten und die Beziehungen zwischen Fragen, Antworten und Maßnahmen in Tabellen nach der 3. Codd schen Normalform abgespeichert. Seite 6/14

7 4. Auf Basis der Datenbank wird mittels der dynamischen Web-Programmier- Sprache Java Server Faces und der Datenabfragesprache SQL (Hibernate) das Online-Tool für die Unternehmensevaluierung abgebildet. Somit ist es möglich über den Webbrowser jederzeit selber eine Online-Evaluierung durchzuführen. 2.5 Dokument: IT-Sicherheitskonzept für KMUs Parallel zum Online-Tool gibt es ein frei zugängliches Dokument zum Thema IT- Sicherheit für Klein- und Mittelunternehmen, welches auf unserer Webseite zum Download bereitsteht. Dieses Dokument zeigt in verdichteter Form unser IT-Sicherheits-Know-How und dient als Leitfaden für die Beschreibung der Sicherheitsmaßnahmen. Seite 7/14

8 3 Tätigkeitsbericht Alle zuvor beschriebenen System-Komponenten wurden mit Projektende fertig gestellt. Anbei finden Sie eine detaillierte Aufstellung der von uns geleisteten Tätigkeiten. System-Komponente IT-Sicherheits- Know-How Excel-SQL-Converter = Tool zum Übertragen des IT-Sicherheits- Knows in eine relationale Datenbank Datenbank Online-Tool Webapplikation Tätigkeiten Kategorisierung der Maßnahmen (siehe Abbildung 2, auf S. 10). Fragestellung: Welche Maßnahmen sind für welche Unternehmensgröße relevant? Welche Fragen müssen dafür gestellt werden? Bei welchen Antworten werden dann welche Maßnahmen vorgeschlagen FAM (=Fragen / Antworten / Maßnahmen) Ausarbeitung der Fragen / Antworten / Maßnahmen (FAM) Beschreibung/Dokumentation der Maßnahmen Erstellung der Schnittstellen-Definition (Excel- Datei) Erstellung der Datenbankstruktur (ER-Diagramm) Erstellung der Datenbank (DB) Erstellung der.net/c# Applikation lt. Interface Testen aller FAM-Pakete Einrichten Datenbankserver Design / Modellierung (ER-Diagramm) Implementierung der Persistierungsschicht (HQL mit Hibernate) Einrichten Web-Server HTML-Style Sheet Einbindung in Testumgebung Hibernate OR-Mapping für DB Zugriff Template für Java Server Faces Seite 8/14

9 Testen und Kundenfeedback Dokumentation und Zugang zu den Projektergbnissen Durchlauf Fragen-Antworten Mapping Antworten-Maßnahmen Anzeigen IT-Sicherheits-Maßnahmen Protokollierung der Eingaben (für Auswertungen und Vergleiche) Profilspeicherung der Interessentendaten Drucken einer ausgewählten Maßnahmen Drucken aller Maßnahmen Finden von Referenzkunden in wichtigen Branchen (Schlosserei, Rechtsanwälte, 1-Mann- Unternehmen) Gemeinsame Evaluierung anhand des Online- Tools Einarbeiten des Feedbacks im IT-Sicherheits Know How und in der Datenbasis für das Online- Tool Wiederholung der Testfälle (=Feedbackschleifen) Onlineapplikation veröffentlichen Technische Dokumentation des Quellcodes PDF Dokument IT-Sicherheits Know How: IT-Sicherheitskonzept für KMUs Veröffentlichen der Projektergebnisse unter den Lizenzen Einrichten des Sourceforge Entwicklungsprojektes Von den von uns geleisteten 720h Arbeitsstunden ist dabei der Großteil auf folgende 4 Arbeitsbereiche entfallen: Programmierung Online-Tool/Schnittstellen Konverter: 22,6% Projektplanung und Organisation: 20,7% IT Sicherheitsmaßnahmen und Konzept: 27,0% Rest (Testen, Dokumentation, Referenzen): 29,7% Seite 9/14

10 Server Client Organisation Mailserver Mobiler Client Schulung Netzwerk Firewall WLAN Internet Bauliche Maßnahmen Datensicherung Software Virenschutz Abbildung 2 Kategorisierung der FAM-Pakete Seite 10/14

11 4 Ergebnisse Die Projektergebnisse stehen auch auf unserer Webseite zum Download zur Verfügung. Alle Dokumente stehen unter einer Creative Commons Lizenz. Jeglicher Sourcecode steht unter der GNU General Public Licence. Zu den Projektergebnissen zähen: 4.1 Projektwebseite ITsecurityCheck Auf dieser Webseite werden neben einer allgemeinen Projektvorstellung, folgende Inhalte und Tipps zum Thema IT und Internet Sicherheit präsentiert: ein Vorgehensmodell, wie eine IT Sicherheitsverbesserung durchgeführt werden kann Projektidee Projektergebnisse (siehe 3.2 und 3.3) Projektteam Referenzen (Kunden, Partner und Interessierte Teilnehmer) Gemäß den Auflagen wurden alle Webseite nach den Zugänglichkeitsrichtlinien für Web-Inhalte 1.0 Priorität 1 (Web Content Accessibility Guidelines 1.0 Priority 1) des W3C (Word Wide Web Consortium) erstellt. 4.2 IT Sicherheitskonzept Konzept für IT Security in KMUs zur sicheren Nutzung des Internets (Präsentationsform: PDF Dokument) Seite 11/14

12 4.3 Online-Tool zur Evaluierung der IT-Sicherheit Ausgehend vom IT Sicherheitskonzept werden Fragestellungen und Maßnahmen abgeleitet, welche in Form eines Online-Diagnose-Tools zur Evaluierung der IT- Umgebung von KMU genutzt werden können. Als Ergebnis der Evaluierung werden dem Interessenten konkrete Maßnahmen vorgeschlagen, welche sich an bestehenden IT-Security-Standards orientieren. (Präsentationsform: Webseite) Seite 12/14

13 5 Möglichkeiten zur Weiterverwendung Die zuvor präsentierten Projektergebnisse sind alle frei zugänglich. Alle Dokumente stehen unter einer Creative Commons Lizenz. Jeglicher Sourcecode steht unter der GNU General Public Licence und ist unter dem Sourceforge Projekt zur Weiterverwendung zugänglich. 5.1 Ideen für Folgeprojekte In folgenden Kapiteln werden mögliche, weitere Ideen zur Weiterentwicklung gegeben, die dzt. nicht im Projektumfang realisiert wurden (ev. in einem Folgeprojekt) Brachenvergleich Die Basis für einen Brachenvergleich ist durch eine einfache Profilspeicherung gegeben. Diese Informationen müssten ausgewertet und dann visualisiert werden Reifegrade der IT-Sicherheit in Unternehmen Berechnung des Reifegrades der dzt. IT Sicherheit (anhand eines Algorithmus der auf den gegebenen Antworten basiert) Erweiterte Profilspeicherung: IT Service-Heft Historie über bisher realisierte IT-Sicherheitmaßnahmen So könnte ähnlich wie bei der KFZ-Jahresüberprüfung auch auf eine IT- Sicherheitsüberprüfung hingewiesen werden. Die Ergebnisse des jährlichen Checks könnte in einem IT-Serviceheft online abgespeichert werden. So kann man jederzeit nachsehen, wann was zur IT- Sicherheit gemacht wurde (=IT-Sicherheitdokumentation). Seite 13/14

14 5.1.4 Breit anlegte Aufklärungs- und Informationskampagne Nachdem nun der Grundstein für ein IT Sicherheitskonzept und Maßnahmen gelegt ist, müsste in einer weiteren Stufe dieses Wissen an die KMU vermittelt werden. Da dies für ein (Beratungs-)Unternehmen nur mit kompetenten Partner möglich, wären Kooperationen mit der Institutionen wie der WKO oder ähnlichen größeren Organisationen sinnvoll. Seite 14/14