IT-Sicherheit und Datenschutz im Unternehmen

Transkript

1 IT-Sicherheit und Datenschutz im Unternehmen Wo lauern Gefahren und was können Sie tun? "Wenn wir Angst haben, raschelt es überall." Sophokles Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 1

2 Die Inhalte dieses Vortrags Die Ausgangssituation Wer sind die Angreifer? Was muss ich schützen? Was kann man gegen Datenabfluss tun? Fazit Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 2

3 Eine Kurzvorstellung - Stellung des externen Datenschutzbeauftragten Unternehmen von 7 bis Mitarbeiter Branchenunabhängig: Telekommunikation, Industrie, Medien, Kommunen, Dienstleister, Versorger Hotel, Versicherung und IT - Datensicherheit IT-Analyse & IT-Consulting IT-Grundschutz nach BSI IT-Strategien + IT-Kommunikation Vorbereitung auf Datenschutz-Audits - Berater beim RKW Hessen - Mitglied im Berufsverband der Datenschutzbeauftragten Deutschlands BvD e.v. - Mitglied beim Steuerungsausschuss des Forums AK Hessen-IT sowie in den Experten-Gruppen IT-Security und Cloud Computing - über 30 Jahre in der IT unterwegs - Studium Informatik Computer + Kommunikationstechnik - Datenschutzbeauftragter (IHK zert.) - Microsoft Technik, Abteilungsleiter im Techn.-Marketing - Aufbau der ekommunikation für Kunden wie: Andreas Stihl, Bundesverband dt. Banken, Honeywell, Gruner+Jahr, Motor Presse, Porsche und ZDF - Fachbuchautor Gründung der All-in-Media, Offenbach - Dozent bis 2012 in der FH Frankfurt im Fachbereich Informatik (Datenbanken) - Mitglied in der Allianz für Cybersicherheit des BSI - Mitglied im C.A.S.T. (Competence Center for Applied Security Technology) Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 3

4 Aber erst mal was ganz anderes Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 4

5 Aber erst mal was ganz anderes Auch Google feiert Twitter Brasilien : Deutschland Die Sportveranstaltung mit den meisten Tweets 35,6 Millionen pro Minute so viele Tweets, wie nie zuvor: Zum 0:5 waren es mehr als Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 5

6 Die Ausgangssituation Es wird viel geboten: NSA, GCHQ, FSB, NDB (Schweiz), die Five-Eyes Überwachungsprogramme Prism, Tempora und wie sie alle heißen Ein Angriff auf unsere demokratischen Grundstrukturen Ein Rumeiern der Politik Eigenes Spiel unserer Geheimdienste Die Folge: Panik + Entsetzen und auch ein Gefühl der Hilflosigkeit oder schlicht Ignoranz: Also, wer soll mich schon angreifen? Wir sind doch viel zu klein. Für unsere Daten interessiert sich doch keiner. Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 6

7 Wer sind die Angreifer? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 7

8 Wer sind die Angreifer? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 8

9 Wer sind die Angreifer? 2007 vs Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 9

10 In welchen Regionen wird angegriffen? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 10

11 Welche Abteilung wird angegriffen? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 11

12 Und was jetzt? Ach, das betrifft uns nicht. Die sind uns doch weit überlegen. Hat doch alles keinen Zweck. Viel zu teuer, viel zu kompliziert und überhaupt Sicherheitsmaßnahmen? Die Mitarbeiter sagen, so können sie nicht arbeiten Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 12

13 Die erste Frage: Wer ist verantwortlich? Die Geschäftsführung, die Manager Diverse Gesetze regeln die Haftungsfrage Nur wenn die Führung klar hinter den Maßnahmen steht, wird Sicherheit auch gelebt. Datensicherheit ist ein Führungsaufgabe Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 13

14 Die Sicherheits-Agenda Schutzbedarfsanalyse: Deklarieren Sie, was denn überhaupt schützenswert ist Corporate Trust ermittelte, das 20% der Unternehmen keine Schutzbedarfsanalyse haben Oder anders ausgedrückt: Jedes 5. Unternehmen weis nicht, wo und wie Gegenmaßnahmen aufgebaut werden müssen Aber egal: Es wird trotzdem investiert ist halt beruhigend Sicherheits-Policy (= Sicherheitsleitlinie): Nur jedes 2. Unternehmen hat so etwas Mitarbeiter empfinden so etwas oft als Gängelung Warum? So ein Blödsinn. Hier gibt es doch nichts. Stört nur und bringt nix. Mitarbeiter sensibilisieren Denn die müssen das alles ausbaden. Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 14

15 Was wird angegriffen? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 15

16 Also was tun? Auditieren Sie sich selbst: Gebäude? IT? Kommunikation? Außendienst? Home Office? Mobile Geräte? Cloud-Lösungen? Externe Dienstleister? Mitarbeiter? Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 16

17 Ausgewählte Beispiele Zugriffskontrolle Passwort-Policy / Token / 2-Faktor-Authentifizierung Mindestens 12 Zeichen Passwörter Regelmäßig wechseln Passwörter nicht mehrfach verwenden Kommunikation s verschlüsseln Keine private Nutzung (keine private Kommunikation + Daten) Protokollierung der Quell- und Zieladressen Data-Leak-Protection Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 17

18 Ausgewählte Beispiele Kommunikation Grundsätzlich verschlüsseln Mobile Geräte Grundsätzlich verschlüsseln möglichst mehrstufig Ein Fremder muss nach dem Einschalten scheitern Schnittstellen sperren Keine private Geräte zulassen Niemals unbeaufsichtigt lassen Flughäfen, Hotelzimmer, Messe, Zugfahrten Geräte sichern z.b. mit Kensington-Lock Fernlöschung, Geolokalisation, Mobile Device Management Nur freigegebene (geprüfte) Software zulassen (Apps) Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 18

19 Ausgewählte Beispiele Geschäftsreisen Daten verlassen möglichst nicht das Gebäude Virtualisierung, XEN-Desktop, Citrix Fremde WLANs nicht nutzen oder wenn, nur mit VPN Blickschutzfolie verwenden Bestimmte Länder nur mit Einweg-Handys bereisen Externe Dienstleister und Cloud Prüfen: Datenhaltung bzw. Verarbeitung in D / EU? Vertraglich binden mit einem auf Datensicherheit erweiterten Auftragsdatenverarbeitungsvertrag und die angegebenen Infos des Dienstleisters vor Ort überprüfen Beachten Sie: Zertifikate des Dienstleisters sind nur Papier Wer sind die Subunternehmer? Backgroundchecks / Referenzen Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 19

20 Fazit Nehmen Sie die Herausforderung an Es geht schließlich um Ihr Unternehmen Machen Sie Ihre Hausaufgaben und Sie haben 80% der Probleme im Griff Sensibilisieren Sie Ihre Mitarbeiter Datenschutz und Datensicherheit ist kein Kindergeburtstag Nutzen Sie vorhandene Informationen Siehe folgende Linkliste Jürgen R. Rosenow IT-Sicherheit und Datenschutz im Unternehmen 20

21 Quellen Bundesamt für Sicherheit in der Informationstechnik, Link IT-Grundschutz-Kataloge, Link Informationssicherheitsmanagement und Risikoanalyse, Link Bundesamt für Verfassungsschutz, Link Verfassungsschutzbericht 2013, Link Wikipedia Nachrichtendienste, Link Für einen Überblick sehr zu empfehlen Nachrichtendienste, Link Die globale Überwachungs- und Spionageaffäre, Link Und noch etwas für die Pflege der Paranoia Glenn Greenwald - Die globale Überwachung: Der Fall Snowden, die amerikanischen Geheimdienste und die Folgen, ISBN Der Hessische Datenschutzbeauftragte, Link Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Frau Andrea Voßhoff Datenschutzforum, Link Datenschutz-Wiki, Link Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 21

22 "Allzu tiefes Schweigen macht mich so bedenklich wie zu lauter Schrei." Sophokles (Chor in der Antigone, 442 v. Chr.) All-in-Media GmbH Gesellschaft für Datenschutz und Datensicherheit Markwaldstrasse 11, D Offenbach am Main M / E juergenr@all-in-media.com I Jürgen R. Rosenow juergenr@all-in-media.com IT-Sicherheit und Datenschutz im Unternehmen 22