Cybersicherheits-Architektur - ein Beispiel aus Hessen 5. Bürgermeisterkongress Behörden Spiegel / BSI

Transkript

1 Hessisches Ministerium des Innern und für Sport Cybersicherheits-Architektur - ein Beispiel aus Hessen 5. Bürgermeisterkongress Behörden Spiegel / BSI Rechtlicher Rahmen Organisation Prozesse Technologien Folie 1

2 Hessisches Ministerium des Innern und für Sport Letztlich ist für die IT-Sicherheit immer der Chef verantwortlich Rechtliche, förmliche Grundlagen bilden Eine angemessene Organisation schaffen Zweckmäßige Prozesse einrichten und beüben, verbessern Technische Ausstattung und/oder Services bereitstellen KOMMUNIKATION nicht abreißen lassen Freitag, 20. April 2012 Folie 2

3 Hessisches Ministerium des Innern und für Sport (1) Ein Beispiel aus Hessen (2) einige Erfahrungen und Empfehlungen (3) und eine kleine Hilfestellung. Freitag, 20. April 2012 Folie 3

4 Cybersicherheit Rechtl. Grundlagen Kompetenzen Datenschutz Nutzer-Verhalten Technologien Prozesse Organisation In Hessen für ca Clientsysteme in drei großen vernetzten Domänen in 9 Ressorts/Staatskanzlei mit ca Dienststellen mit mehr als Beschäftigen Folie 4

5 die Organisation (1) Ständiger Arbeitskreis IT-Sicherheit der IT- Sicherheitsbeauftragten umfasst alle Ressorts, die Staatskanzlei, große Behörden, IT- Dienstleister (auch kommunale), Datenschutz, Landtag mit einer verbindlich beschlossenen Geschäftsordnung Vertretungsregelung Beschlussregelung Protokollierung monatliche Tagungen Bildung von thematischen Fachgruppen mit jährlichen IT-Sicherheitsberichten an den zuständigen Kabinettsausschuss Folie 5

6 die Organisation (2) Geschäftsstelle IT-Sicherheit tägliches Lagebild zur IT-Sicherheit Statusmeldungen zu SPAM-Belastung Analyse des Schadsoftware-Aufkommen gemeinsames Kommunikations- und Dokumentationssystem aller Ressorts für die IT-Sicherheit Vernetzung mit polizeilichen Erkenntnisse zur IT-Sicherheit Lagenzentrum der Landesregierung mit dem BSI SPOC (Single-Point-of-Contact) Folie 6

7 die Organisation (3) Kompetenzstelle Cybersicherheit Hessen KoCyS Stabsstelle beim Staatssekretär des Innenministeriums Koordination Cybersicherheit IT-Sicherheit Polizei Verfassungsschutz IKT-Dienstleister Folie 7

8 die Prozesse (1) IT-Krisenmanagement (IT-KM) wird im Bedarfsfall (Bedrohungslage, Angriff) von der Geschäftsstelle IT-Sicherheit einberufen ausgelöst über das Lagezentrum der Landesregierung 7/24 alle Ressorts und die Staatskanzlei, IT-Dienstleister (auch kommunale), Polizei, Gebäudemanagement koordiniert vom CIO der Landesregierung mit Lagebilddokumentation-Software im allgemeinen Krisenfall: integriert in das Krisenmanagement der Landesregierung (Krisenstab) Folie 8

9 die Prozesse (2) CERT-Prozesse Hessen automatisierte Alarmierung der IT-Sicherheitsbeauftragten der Landesverwaltung und des CIO sowie des Staatssekretärs im Innenministerium kontinuierlich gepflegte Verteilerlisten vorgerüsteter Technik- und Tagungsraum intensive Beteiligung aller IKT-Dienstleister des Landes Hessische Zentrale für Datenverwaltung (HZD) Hessisches Competence Center (HCC) Digitalfunk-Organisation Hessen Hessisches Immobilienmanagement (HI) und der Kommunen ekom21 Folie 9

10 die Technologie IT-Sicherheitslage Dokumentation einheitliches System ( auch im Krisenstab der Landesregierung, den Katastrophenschutz-Dezernaten der Regierungspräsidien, den Ressorts) zur Lagedarstellung Technologien zum Erkennen, Analysieren und Beseitigung von Schadsoftware (Netze und Hosts) IDS / IDP Aufbau eines betreibbaren IT-Sicherheitsleitstandes Nutzung der Cybersicherheits-Forschung Folie 10

11 Cybersicherheit Klassische IT-Sicherheit Nutzerverhalten IT-Recht Organi sation Wissensman. Prozesse Vernetzung Koordi nation Was könnte für Sie nützlich sein?! Folie 11

12 Hessisches Ministerium des Innern und für Sport Beispiele aus der Sektion förmliche Grundlagen schaffen Regeln zur dienstlichen / privaten Nutzung von und Internet auf dem Gebiet der Organisation den IT-Sicherheitsbeauftragten Kompetenzen geben und deren Wahrnehmung einfordern bei Ihren IT-Sicherheits-Prozessen welche auch immer (z. B. Alarmierungs- oder Informationsprozesse) lassen Sie üben und technologisch? Scannen Erkennen Bereinigen Verbessern: Behalten Sie die Hoheit über die Maßnahmen, wer auch immer den Service (interner und/oder externer Dienstleister) erbringt. Freitag, 20. April 2012 Folie 12

13 Hessisches Ministerium des Innern und für Sport Eine Ankündigung zum Schluss: Innenministerkonferenz Juni 2011 in Frankfurt Einrichtung einer LänderAG Cybersicherheit Leitung Hessen Konferenz der Staatssekretäre im September 2011 beschließt u.a.: insbesondere für kleine und mittlere Kommunen wird in 2012 ein geeigneter Leitfaden zum Aufbau von CERT- Strukturen entwickelt Freitag, 20. April 2012 Folie 13