IT-Sicherheitsmanagement bei der Polizei

Größe: px

Ab Seite anzeigen:

Download "IT-Sicherheitsmanagement bei der Polizei"

Mathias Esser
vor 8 Jahren
Abrufe

1 IT-Sicherheitsmanagement bei der Polizei Sommerakademie 2007 des ULD SH in Kiel Dr. Peter Frodl IT-Sicherheitsbeauftragter Bundeskriminalamt 1 Föderatives System der Polizei 2 1

2 Informationssicherheit im INPOL-Verbund Arbeitskreis II Innere Sicherheit der IMK: Gemeinsame IT-Sicherheitsstandards für INPOL-Verbundteilnehmer IT-Grundschutzhandbuch des BSI als Standard Regelmäßige IT-Grundschutzaudits Auftrag an: PG IT-Sicherheit im INPOL-Verbund (11/2002) Kommission IuK-Sicherheit des UA IuK (ab 6/2004) 3 Gegenseitige IT- Grundschutzaudits 4 2

BSI als Standard Regelmäßige IT-Grundschutzaudits Auftrag an: PG IT-Sicherheit im

3 Zielsetzung Vereinheitlichung und nachprüfbare Erhöhung des Sicherheitsniveaus im polizeilichen Informationsverbund Beratende Audits: Gegenseitige Unterstützung Know-how-Transfer Zunächst noch keine Zertifizierung 5 Vorteile Die Mitarbeiter werden durch die strukturierten Interviews beim Soll/Ist-Vergleich sensibilisiert und zu Genauigkeit gezwungen Schon der interne Basis-Sicherheits-Check deckt Schwachstellen und Mängel auf Die Prüfung durch den externen Auditor lässt weitere Mängel erkennen zeigt die Qualität des Sicherheitsprozesses hebt das Problembewusstsein der Leitungsebene 6 3

Soll/Ist-Vergleich sensibilisiert und zu Genauigkeit gezwungen Schon der interne Basis-Sicherheits-Check deckt Schwachstellen und Mängel auf Die

4 Qualifikation Drei je 5-tägige vom BSI durchgeführte Workshops IT-Grundschutz und IT-Grundschutzaudits Qualifikation von ca. 200 Kollegen und Kolleginnen aus Bund und Ländern für die Durchführung von IT-Grundschutzaudits 7 IT-Grundschutzaudits 2004 und

200 Kollegen und Kolleginnen aus Bund und Ländern für die

5 Auditierter IT-Verbund Die in das IT-Verfahren INPOL involvierte IT der Zentralstelle BKA Verbundteilnehmer BKA, LKÄ, BPOL, ZKA dort jeweils die zentralen Server Netze einschließlich aktiver Komponenten Clients 9 Geprüfte Dienststellen Exemplarische Prüfung ausgewählter zentraler Dienstleister (LKÄ, Landesdatenzentralen) Flächenbehörden (Polizeipräsidien) nachgeordneter Dienststellen (Polizeiinspektionen) bei allen Verbundteilnehmern. Bei den einzelnen Teilnehmern unterschiedlich gehandhabt. 10 5

Prüfung ausgewählter zentraler Dienstleister (LKÄ, Landesdatenzentralen) Flächenbehörden (Polizeipräsidien) nachgeordneter

6 Datenbasis für die verbundübergreifende Auswertung Managementberichte der auditierten Teilnehmer: Rahmendaten über den Ablauf incl. Ressourcen Modellierung und geprüfte Bausteine Top-X-Liste der bedeutendsten Mängel Top-5-Liste der vom Auditor genannten Mängel Bewertung Kurzberichte der Auditoren: Ressourcen Bewertung 11 Folgerungen (1) Audits nicht in allen Aspekten vergleichbar: unterschiedlicher Detaillierungsgrad Ermessensspielraum bei Teilmaßnahmen bei Flächenländern: Querschnittsprüfungen vs. Detailprüfungen externer Dienstleister nicht in allen Fällen angemessen berücksichtigt und geprüft 12 6

der Auditoren: Ressourcen Bewertung 11 Folgerungen (1) Audits nicht in allen Aspekten vergleichbar: unterschiedlicher Detaillierungsgrad

7 Folgerungen (2) Zeitspanne für die Durchführung der Audits im Schnitt zu lang Aufwände in den meisten Fällen zu hoch, aber: Hauptaufwand bei der Vorbereitung Verbesserung nach Etablieren von IT-Grundschutzstrukturen! 13 IT-Grundschutzaudits 2006 und

Hauptaufwand bei der Vorbereitung Verbesserung nach Etablieren

8 Ziele Behebung der festgestellten Mängel Regelmäßige Überprüfungen Über alle Teilnehmer hinweg vergleichbare Ergebnisse Prüfung auch der externen Dienstleister Ressourcenschonendere Audits Priorität bei Bereichen mit höchstem Gefährdungspotential Prüfung auf Zertifizierungs-Niveau 15 Generelle Festlegungen Ein Audit pro Teilnehmer und Jahr Verbindlicher Prüfplan für alle Verbundteilnehmer Alle 2 Jahre mindestens 10 Bausteine auditiert Dauer pro Audit nicht länger als 2 Monate Zusätzlich Prüfung der vom Auditierten genannten Top-5-Mängel des vorhergehenden Audits 16 8

Zertifizierungs-Niveau 15 Generelle Festlegungen Ein Audit pro Teilnehmer und Jahr Verbindlicher Prüfplan für alle Verbundteilnehmer Alle 2

9 Leitlinie zur Durchführung regelt die Vorbereitung beim auditierten Teilnehmer das Vorgespräch zwischen Auditor und Auditiertem den Ablauf der Inspektion vor Ort die Übergabe des Auditreports und die Präsentation der Ergebnisse 17 Flankierende Maßnahmen Auditorenworkshops zu den zu prüfenden Bausteinen (vom BSI moderiert) Unterstützung der Auditoren durch Experten aus ihrer Behörde 18 9

und die Präsentation der Ergebnisse 17 Flankierende Maßnahmen Auditorenworkshops zu den zu

10 Erfolge: Etablierung eines verbundübergreifenden IT-Sicherheitsmanagements Erstmalig IT-Grundschutzaudits in einem derart großen und komplexen IT-Verbund des öffentlichen Dienstes IT-Grundschutz als Standard bei allen Polizeien von Bund und Ländern Interne GS-Audit-Strukturen bei Verbundteilnehmern Sensibilisierung aller am Audit beteiligten Mitarbeiter Gegenseitiges Vertrauen zwischen den Verbundteilnehmern 19 10

IT-Grundschutz als Standard bei allen Polizeien von Bund und Ländern Interne GS-Audit-Strukturen bei

Ähnliche Dokumente

Muster mit Beispiel Verifikation des Basis-Sicherheitschecks im Rahmen der Zertifizierung nach ISO 27001 auf der Basis von IT- Grundschutz

Muster mit Beispiel Verifikation des Basis-Sicherheitschecks im Rahmen der Zertifizierung nach ISO 27001 auf der Basis von IT- Grundschutz Antragsteller: Zertifizierungskennung: BSI-XXX-XXXX Der Inhalt