Security und Recht (DSG 2008) Best Practices von RZB und bwin

Transkript

1 Security und Recht (DSG 2008) Best Practices von RZB und bwin Donnerstag, 18. September Uhr Industriellenvereinigung, Kleiner Festsaal 1031 Wien, Schwarzenbergplatz 4 Datenschutz im IT-Umfeld das neue Datenschutzgesetz 2008 TechConsult-Studie: Security Österreich 2008 Standards, Normen und Compliance Internes Kontrollsystem Riskmanagement nach ISO Management Sicherheit auf mobilen Endgeräten am Beispiel BlackBerry Secure Software Development Richtlinie -Security Best Practices der Raiffeisen Zentralbank und bwin Referenten: Manfred Auinger (CompuwareAustria GmbH), Alfred Bach (Novell), Hans-Peter Berger (Alcatel-Lucent), Oliver Eckel (bwin), Bruno Friedrich (CompuwareAustria GmbH), Herfried Geyer (CIS), Edmund Haberbusch (ACP Holding Österreich GmbH), Peter Latzenhofer (ASF), Haimo Lorenz (mobilkom austria), Andreas Neuhold (Sun Microsystems GesmbH), Hans-Jürgen Pollirer (SECUR-DATA), Matthias Schabl (bident), Aleander Szönyi (Novell), Malte Terbeak (Schiffl + Partner GmbH & Co. KG), Reinhold Wochner (Raiffeisen Zentralbank AG) Beschränkte Teilnehmerzahl! Anmeldung erforderlich! Mit freundlicher Unterstützung von:

2 Agenda 8.00 Registration 8.30 Die geplante DSG-Novelle aus Sicht der Wirtschaft Hans-Jürgen Pollirer (SECUR-DATA) 9.15 Datenschutz im IT-Umfeld Bruno Friedrich, Manfred Auinger (CompuwareAustria GmbH) 9.45 Unified Threat Management Multi- Layered Security Solutions Edmund Haberbusch (ACP Holding Österreich GmbH) Sicherheit auf mobilen Endgeräten am Beispiel BlackBerry Haimo Lorenz (mobilkom austria), Malte Terbeak (Schiffl + Partner GmbH & Co. KG) Pause Vor und nach dem Regulative Security Audit Oliver Eckel (bwin) Herausforderungen im Security-Umfeld Hans-Peter Berger (Alcatel-Lucent) Wenn Datenqualität zum Risikofaktor wird Matthias Schabl (Bident) Pause Mehr Sicherheit für ihre Serversysteme durch Sun Solaris 10 Andreas Neuhold (Sun Microsystems GesmbH) Vortrag von Novell GmbH Austria Aleander Szönyi (Novell GmbH Austria) Multiclient-Studie»IT-Security in Österreich 2008«Peter Latzenhofer (ASF) Secure Software Development von der Theorie zur Prais Reinhold Wochner (Raiffeisen Zentralbank AG) Risikomanagement nach ISO Herfried Geyer (CIS) Schlussdiskussion Ende der Veranstaltung Gartner: Security 3.0 Security 1.0 war charakterisiert durch stark vereinfachte Terminals, gebündelte Prozesse und zentralisierte Planung von Applikationen und der IT. Sicherheit wurde gewährleistet, indem Usern vorgeschrieben wurde was sie tun können und indem die Macht über die Computer und ihre Daten an jenem Ort verschlossen wurden, an dem die IT-Elite das Sagen hatte. Security 2.0 drehte sich hauptsächlich um das Mithalten mit den von Usern heraufbeschworenen IT-Trends und man musste zusehen, wie Hacker und Cybercriminals erfolgreich die technische Verwundbarkeit der Unternehmen ausnutzten und enormen Schaden anrichteten. Die Security reagierte, indem neue, sehr spezifische Produkte angeboten wurden, die Unternehmen vor neuen Attacken schützten. Eine Rückkehr zu Security 1.0 ist keine Option: die zunehmende Consumerization der IT, die erhöhte Mobilität und neue Trends wie das Web 2.0, lassen die Kontrolle der User über die erfolgreichsten Unternehmen steigen. Security 3.0 konzentriert sich daher darauf, die Bedürfnisse der User zeitgerecht zu entdecken und zu erfüllen anstatt den User-Trends hinterher zu laufen. Die geplante DSG-Novelle aus der Sicht der Wirtschaft Anfang April 2008 wurde die Novelle zum Datenschutzgesetz 2000 DSG-Novelle 2008 vorgestellt. Bis zum Ende der Begutachtungsfrist sind insgesamt 90 Stellungnahmen abgegeben worden,

3 was das hohe Interesse an dieser Gesetzesänderung deutlich unter Beweis stellt. Der vorliegende Entwurf enthält eine Reihe von Neuerungen, die massiv zu Lasten der Wirtschaft gehen. In diesem Zusammenhang ist vor allem die vorgesehene Verpflichtung der Einführung eines betrieblichen Datenschutzbeauftragten für Betriebe mit mehr als 20 Mitarbeitern zu nennen. Auch die vorgesehene Abschaffung des Datenschutzes für juristische Personen wird aus Sicht der Wirtschaft abgelehnt. Weiters stoßen die geplante Erweiterung der Befugnisse der Datenschutzkommission sowie die Regelungsvorschläge zur Videoüberwachung aus Sicht der Wirtschaft auf wenig Gegenliebe. Datenschutz im IT-Umfeld Nach den jüngst bekannt gewordenen Fällen von Datenmissbrauch in Liechtenstein sind viele Unternehmen hellhörig geworden und suchen nach Lösungen, mit deren Hilfe das Risiko minimiert werden kann. Auch diese Fälle haben gezeigt: Das größte Risiko geht durch die eigenen Mitarbeiter aus. Hans-Jürgen Pollirer (SECUR-DATA) Bruno Friedrich (CompuwareAustria GmbH) Während Produktivsysteme durch Zugriffsbeschränkungen und Logging-Mechanismen üblicherweise gut geschützt sind, haben IT-Mitarbeiter sehr häufig uneingeschränkten Zugang zu Echtdaten in Entwicklungs- und Testumgebungen. Compuware hat eine Lösung entwickelt, die es Unternehmen erlaubt, mit einem überschaubaren Aufwand diese Sicherheitslücke zu schließen, ohne dabei die IT in Ihren Möglichkeiten einzuschränken. In dem Vortrag wird Compuware auf die im IT- Umfeld versteckten Risiken eingehen und einen Lösungsweg aufzeigen, mit dem diese minimiert werden können. Unified Threat Management Multi-Layered Security Solutions Edmund Haberbusch (ACP Holding Österreich GmbH) Ständig neue Herausforderungen und ein sich änderndes Gefahrenpotential erfordern auch laufende Erneuerungen und Verbesserungen bei den eingesetzten Security-Systemen. Waren es in der Vergangenheit Firewalls, die um Intrusion-Preventions-Produkte erweitert wurden, so sind es nun neue Multi-Layered Security-Solutions, deren Blocking-Capabilities weit über Port- und Protokoll-Identifikation hinausreichen. Die entscheidende Frage lautet: Wo liegen die Vorteile von Unified-Threat-Management-Systemen und welche Anforderungen müssen die Systeme erfüllen? Sicherheit auf mobilen Endgeräten am Beispiel BlackBerry Inhalt des Vortrags ist die Darstellung von Sicherheitsmechanismen zwischen dem Black Berry Enterprise Server und den BlackBerry-Endgeräten Vor und nach dem Regulative Security Audit Compliance mit automatisierten Tools. Auf Grund der Größe des Unternehmens bwin und seiner globalen Präsenz stützt sich das Unternehmen auf verschiedene automatisierte Audits um den Compliance-Risk-Monitoring zu unterstützen. Herausforderungen im Security-Umfeld Dass Security im Unternehmen wichtig ist, steht außer Frage. Aber wie sieht es mit der Umsetzung aus?»grau, teurer Freund, ist alle Theorie und grün des Lebens gold ner Baum.«(Goethe, Faust 1) Wie kriege ich mein LAN sicher? Haimo Lorenz (mobilkom austria) Oliver Eckel (bwin) Hans-Peter Berger (Alcatel-Lucent) Was weiß ich wirklich über mein Netzwerk? Laptop weg großer Katzenjammer?

4 Wer funkt noch in meinem Netz? Konvergente Netze kein Problem? Die Vielzahl der Geräte im Netzwerk nimmt immer mehr zu. Laptops, PDAs, Telefone... IEEE 802.1, Quarantäne-VLANs, Gast-VLANs, Integrity Check, Anomalie-Detection Wir kennen die Schlagworte. Aber sind sie auch implementiert? Anhand von Erfahrungen im Security-Umfeld soll illustriert werden, wo die größten Herausforderungen liegen. Wenn Datenqualität zum Risikofaktor wird Berechtigungen werden unter Zeitdruck meist rigoros vergeben, oftmals unter dem Mantel der Kundenorientierung. Doch wann können/sollen Berechtigungen wieder entzogen werden? Wie kann dies unternehmensweit bei Austritt bzw. Vertragsende sichergestellt werden? Matthias Schabl (Bident) Und wie kann sichergestellt werden, dass aktive Mitarbeiter immer nur genau die Berechtigungen haben, die sie zur Erfüllung Ihres Jobs benötigen? Ein risikobasierter Ansatz kann hier mithelfen, die Prioritäten richtig zu setzen. Neue Technologien im Identitätsmanagement stellen geeignete Maßnahmen zur Verfügung, um die Forderung nach dem Minimalitätsprinzip bei Berechtigungen auch effizient umsetzen zu können. Der Vortrag diskutiert diese Fragestellungen, praktikable Ansätze und Lösungsmöglichkeiten am Stand der Technik. Mehr Sicherheit für ihre Serversysteme durch Sun Solaris 10 Andreas Neuhold (Sun Microsystems GesmbH) Sun Microsystems kündigt laufend neue Features für Solaris 10 an. Die neuen Eigenschaften betreffen vor allem den Bereich der Sicherheit. Solaris wird damit zur strategischen Wahl für Webbasierte Applikationen und Services. Ein Schwerpunkt des Update»11/06«von Solaris 10 sind die sogenannten»trusted Etensions«im Bereich Sicherheit. Schon das vorausgegangene Update erhielt beispielsweise eine der höchsten Common Criteria Certifications (nach dem ISO Standard für Computersicherheit) eines Betriebssystems. Die aktuellen Neuerungen fließen ebenfalls in den Zertifizierungsprozess ein. Darunter sind nach EAL4+ die Kriterien für den Controlled Access, rollenbasierte Zugangskontrolle und die Labeled Security Protection Files (nach Role Based Access Control / RBAC-Standard, Labeled Security Protection Profile LSPP) sowohl für die SPARC-Linie als auch für die Multiplattform 64/86-Server. Secure Software Development von der Theorie zur Prais Bei der Softwareentwicklung sollte beim Thema Sicherheit nicht gespart werden. Gerade im Finanzsektor ist es besonders wichtig, sichere Softwareentwicklung zu betreiben. Der Schutz vor Angriffen auf die Verfügbarkeit, Integrität und Vertraulichkeit von Daten muss in allen Phasen des Entwicklungsprozesses konsistent berücksichtigt werden. Eterne Schutzmaßnahmen wie Firewalls und Virenscanner reichen zum Schutz einer Software nicht mehr aus. Sicherheitslücken in der Programmierung ermöglichen den überwiegenden Anteil an Angriffen. Um die Software selbst gegen Angriffe resistenter zu machen brauchen Software- Entwickler Spezialkenntnisse. Threat Modelling, Secure Development Lifecycle, Secure Coding Best Practices, Hunting Security Bugs, Final Security Reinhold Wochner (Raiffeisen Zentralbank AG) Review sind Schlagwörter, die in letzter Zeit durch die Presse gegangen sind. Ist das alles nur Theorie? Wie sieht es mit der praktischen Umsetzung aus? Risikomanagement nach ISO Risikomanagement gilt als abstraktes Thema, ist aber das Fundament für jedes Informationssicherheitssystem nach dem weltweit anerkannten IT- Standard ISO Die vor kurzem veröffentlichte Subnorm ISO soll den Einstieg in Risikoanalyse und -management erleichtern. Die Thematik hat eine hohe Praisrelevanz: Unternehmen sind nicht primär daran interessiert, Daten zu schützen, sondern gute Geschäftsergebnisse zu erzielen. Voraussetzung dafür sind optimale IT- und Ressourcenverfügbarkeit diese beginnen mit einem soliden Risikomanagement. Risikomanagement ist daher kein Projekt, sondern ein unverzichtbarer Teil des Business. Damit verborgene Gefahren ans Licht kommen und die richtigen Maßnahmen folgen.

5 Seminar Information-Security-Manager Technologieeperte mit Führungsqualitäten mit Zertifizierungsprüfung nach ISO / ISO Referenten: Günther Schreiber (Quality Austria CIS), Herfried Geyer (Siemens IT Solutions and Services), Markus Frank (L-L.M.), Johann Brunner (WKO) Ein Technologie-Eperte mit Führungsqualitäten InformationsSicherheitsManager ist ein Berufsbild mit Zukunft. Mit Ihrer Führungs- und Technologiekompetenz nehmen Sie eine zentrale Position im Unternehmen ein. Sie betreuen die Implementierung und ständige Verbesserung von ISMS und fungieren als Schnittstelle zwischen der obersten Führungsebene und den operativen Bereichen. Entsprechend weit ist der Bogen der Ausbildungsinhalte gespannt. Der Lehrgang umfasst drei Module, die unabhängig voneinander besucht werden können: Die Norm ISO / BS 7799 (2 Tage) Psychologische Grundlagen für IS-Manager (1 Tag) Rechtsgrundlagen (1 Tag) Die Teilnahme an allen drei Seminaren ist Voraussetzung für das Absolvieren der Prüfung. Der erfolgreiche Abschluss wird Ihnen mit dem staatlich anerkannten CIS-Zertifikat bescheinigt, das auch international gültig ist. Prüfung IS-Manager (1 Stunde) Zertifikat IS-Manager Modul 1: Die IS-Norm ISO / ISO Aus Risiko wird messbare Sicherheit Dieses Zwei-Tages-Modul vermittelt Ihnen das Fundament, auf dem moderne ISM-Systeme aufbauen: die Norm ISO / ISO mit allen Teilbereichen wie Security Policy, Risk Management oder Business Continuity Planning sowie auch übergeordnete Aspekte wie Organisation oder Prozessmanagement. Mittels praktischer Fallbeispiele wird die selbständige Umsetzung des Gelernten gefördert. Modul 2: Psychologische Grundlagen für IS-Manager Soft-Skills: Gewusst wie! Die Einführung neuer Systeme stößt leicht auf Widerstände außer man beherrscht die hohe Schule der Psychologie. Dieses eintägige Seminar vermittelt Ihnen die Grundlagen, um das erworbene Fachwissen erfolgreich im Unternehmen umsetzen zu können. Dazu gehören Soft-Skills wie Moderationsfähigkeit, Teamfähigkeit oder Konfliktfähigkeit, aber auch Wissen über Beziehungsmodelle, gruppendynamische Prozesse und Motivationstechniken. Modul 3: Rechtsgrundlagen für IS-Manager Gut informiert ist halb gewonnen! Ein wichtiges Element im Bereich Informationssicherheit sind Gesetze, die den Schutz von Daten regeln. In diesem eintägigen Seminar werden Ihnen vier für Information-Security relevante Schwerpunkte vermittelt: Datenschutz, Wettbewerbsrecht, E-Commerce, Urheberrecht. Mit diesem Überblick verfügen Sie über das grundlegende Rüstzeug, um ein kompetenter Ansprechpartner für zugezogene Rechtsberater zu sein. Termine: CB September 2008 CB November 2008 Ort: Wien Gebühr: Gesamter Lehrgang IS-Auditor inkl. Prüfung und Zertifikat: 3.060, Alle Preise zuzüglich 20 % MWSt

6 CIS-Lehrgang ISO Consultant Implementieren, steuern und verbessern von IT-Service-Management-Systemen Referent: Markus Schiemer (Quality Austria, CIS) Der ISO Consultant ist ein sich neu etablierendes Berufsbild, bei dem Technologie- und Managementwissen gleichermaßen gefragt sind. Aufbauend auf der IT Infrastructure Library, ITIL, hat das Managementsystem der ISO die Verbesserung von Effizienz, Transparenz und Qualität von IT-Leistungen zum Ziel. Als ISO Consultant können Sie somit zur Schaltzentrale für Veränderungen und kontinuierliche Verbesserung von IT-Prozessen im Unternehmen werden. Implementierung, Optimierung und die interne Vorbereitung auf Audits gehören zu Ihren Kompetenzen. Die CIS ist die erste, durch den itsmf akkreditierte Trainings- und Zertifizierungsorganisation in Österreich. Inhalte des dreitägigen CIS-Lehrgangs ISO Consultant«: Einführung und Inhalte der ISO Überblick über das Zertifizierungsverfahren ISO Einführung: Begriffe, Prozesse und Merkmale ISO Teil 1, im Detail: The Specification for Service Management ISO Teil 2, im Detail: The Code of Practice Einsatz von Service-Management-Tools ISO : Geltungsbereiche Implementierung der ISO Praktische Übungen zur Anwendung der ISO Vorbereitung für Assessments und das interne Audit Vorbereitung auf die schriftliche Prüfung Schriftliche itsmf-prüfung: 1 Stunde Multiple Choice und 1 Stunde Written Assignment (Praisanwendungsbeispiele in englischer Sprache) Die Inhalte dieses dreitägigen Lehrgangs entsprechen den Richtlinien des itsmf UK. Zielgruppe Consultants oder Projektmanager, die Organisationen auf die Zertifizierung nach ISO vorbereiten. Voraussetzungen ITIL Foundation Certificate in IT Service Management (ITSM) gute Kommunikationsfähigkeiten 3 Jahre Berufserfahrung in der IT 3 Jahre Berufserfahrung in Implementierung / Betrieb von Service-Management-Prozessen oder -Projekten. Abschluss Teilnehmer, die dieses Seminar abgeschlossen haben, erhalten ein offizielles»iso Consultant Certificate«des itsmf UK. Sie sind in der Lage durch ihr tiefeswissen die Anforderungen der ISO in einer Organisation zu implementieren, diese auf die Zertifizierung vorzubereiten und den kontinuierlichen Verbesserungsprozess innerhalb der Organisation effizient voranzutreiben. Termin: CB November 2008 Ort: Wien, Hotel Stefanie, Hotel Am Parkring Gebühr: Gesamter CIS-Lehrgang»ISO Consultant«inklusive Prüfung und Zertifikat: 2.460, Alle Preise zuzüglich 20 % MwSt.

7 Seminar -Management-Projekte aufsetzen und zum Erfolg führen Der Nutzen/Motivation Die Forderung nach Transparenz bei der Berechtigungsvergabe und höhere Informationssicherheit sowie gestiegene Compliance-Anforderungen veranlassen viele Unternehmen, über eine Anpassung An AAAA View of the Process Authentication Administration Administration Change Prove Create Ihrer Strategie im Bereich Identitätsmanagement nachzudenken. Dabei zeigen sich komplee Architekturen, organisatorische Herausforderungen und ein schwieriger Überblick über den Anbietermarkt. Real World Report Verification Auditing Audit Referenten: Matthias Schabl (bident) Der Seminarinhalt Identitätsmanagement im Überblick: Begriffe, Architekturen, Prozesse und Anbieter Nutzenpotentiale von IDM identifizieren und kommunizieren Besonderheiten von IDM bei der Projektplanung Rollen- und genehmigungsbasiertes Provisioning als Basis für nachvollziehbare Rechtevergaben Erweiterte Authentifizierung, Single-Sign-On und Access Management integrieren Federation und virtuelle Directories: Ersatz oder Ergänzung zum klassischen Metadirectory und Provisioning? IDM auf CobiT- und ISO Compliance ausrichten Fallbeispiele aus der Prais Authentication Audit Administration Monitor Use Retire Enterprise- Defined (Identifier & Attributes) Administration Authorization Access Management Quelle: Gartner Group Zielsetzung Ziel des Workshops ist die Vermittlung der organisatorischen und technischen Grundlagen für die Planung eines IDM-Projektes und ein Überblick über den State-of-the-Art und die Positionierung der wichtigsten Anbieter. (Bevor sie ein IDM-Projekt planen oder als Check-UP)

8 Zielgruppe Projektleiter und Projektmitarbeiter in IDM-Projekten, Eperten für Informationssicherheit, Mitarbeiter der Revision und Auditoren. Voraussetzungen Für die Teilnahme an dem Workshop ist grundsätzliches Wissen über Projektmanagement, Informationssicherheit und Berechtigungssysteme wünschenswert. Der Referent Matthias Schabl ist freiberuflicher Berater für Identitätsmanagement in Wien und hält laufend Vorträge und Seminare zu den Themen IDM und Risikomanagement. Die in der Beratungsprais und bei Umsetzungsprojekten mit namhaften Herstellern und Integratoren gewonnenen Erfahrungen und Best-Practices machen seine Seminare praisrelevant und anschaulich. Als systemischer Coach kann er neben der notwendigen Technologie die für den Projekterfolg entscheidenden organisatorischen Aspekte und»soft Facts«vermitteln. Termine: CB /30. September 2008 CB /23. Jänner 2009 (jeweils eineinhalb-tägig) Ort: Gebühr: 1.290, CON ECT Eventcenter, 1070 Wien Alle Preise zuzüglich 20 % MwSt

9 An CON ECT Eventmanagement Kaiserstraße 14/ Wien Tel.: +43 / 1 / Fa: +43 / 1 / registration@conect.at Anmeldung Ich melde mich zu»security und Recht (DSG 2008)«am an. Als IT-Anwender aus Wirtschaft und öffentlicher Verwaltung kostenfrei Als IT-Anbieter/-Berater zu 390, (zuzügl. 20 % MwSt.) Firma: Titel: Vorname: Nachname: Zielgruppe: Unternehmensleitung, Sicherheitsverantwortliche, IT-Vorstand, IT-Entscheider, IT-Verantwortliche sowie Vertreter von Medien und Wissenschaft Funktion: Straße: PLZ: Ort: Telefon: Fa: ANMELDUNG: Nach Erhalt Ihrer Anmeldung senden wir Ihnen eine Anmeldebestätigung. Diese Anmeldebestätigung ist für eine Teilnahme am Event erforderlich. STORNIERUNG: Sollten Sie sich für die Veranstaltung anmelden und nicht teilnehmen können, bitten wir um schriftliche Stornierung bis 2 Werktage vor Veranstaltungsbeginn. Danach bzw. bei Nichterscheinen stellen wir eine Bearbeitungsgebühr in Höhe von 50, in Rechnung. Selbstverständlich ist die Nennung eines Ersatzteilnehmers möglich. ADRESSÄNDERUNGEN: Wenn Sie das Unternehmen wechseln oder wenn wir Personen anschreiben, die nicht mehr in Ihrem Unternehmen tätig sind, teilen Sie uns diese Änderungen bitte mit. Nur so können wir Sie gezielt über unser Veranstaltungsprogramm informieren. Datum: Ich erkläre mich mit der elektronischen Verwaltung meiner ausgefüllten Daten und der Nennung meines Namens im Teilnehmerverzeichnis einverstanden. Ich bin mit der Zusendung von Veranstaltungsinformationen per einverstanden. (Nichtzutreffendes bitte streichen) Unterschrift/Firmenstempel: 08142