Präventions- und Krisenmanagement zum Schutz der IT Infrastruktur

Transkript

1 Präventions- und Krisenmanagement zum Schutz der IT Infrastruktur Hanspeter Stephan Leiter Sicherheit Telekurs Services

2 Inhalt Teil 1: Ausgangslage Teil 2: Wie haben wir die Herausforderung gelöst? (pragmatischer Lösungsansatz / Phasenkonzept) Teil 3: Resultate und Illustrationsbeispiele Teil 4: Erfahrungen und Lehren 2

3 Teil 1 - Ausgangslage 3

4 Struktur Telekurs Group Telekurs Holding AG Geschäftsleitung CEO Chief Executive Officer V Vorsitz Stv Stellvertretung W. Wirz V F. Aeschlimann A. Bamat R. Denier R. Finschi E. Niesper elekurs ultipay AG Telekurs Card Solutions AG Swiss Interbank Clearing AG PayNet (Schweiz) AG Telekurs Financial Information Ltd. Telekurs Services AG. Denier V. Nguyen-Quang F. Aeschlimann V L. Bertsch R. Denier R. Oechslin A. Bamat CEO M. Frick CEO E. Niesper CEO R. Finschi V B. Christen Stv R. Deutschmann 4

5 Business Areas der Telekurs Group Card-based Payment Systems Electronic Payment Systems Financial Information Services Logistic and IT Services Acquiring - Commercial Acq. - Acq. Processing Issuing Processing POS Products & Services Interbank Services - SIC - eurosic - multisic - DTA / LSV Electronic Bill Presentment and Payment - PayNet - BillingServices Data Warehouse Display Products Processing Products Application Management Disaster Recovery SAP Sourcing Printing & Mailing Document Dispatching Archives 5

6 Geschäftsprozesse fordern hohe Sicherheit Verfügbarkeit Vertraulichkeit Sicherheit IT Infrastruktur Ereignis- und Krisenmanagement 6

7 Phase 1 - Absicht Qualitätssicherung Periodische Überprüfung der Prozess- / Infrastruktursicherheit Mission Optimierung des Security & Risk Managements, Nutzen von Chancen, Zielsetzung Identifizieren von Verbesserungspotenzialen/ Schwachstellen durch Dritte Benchmark; wo stehen wir im Vergleich zu anderen? Resultate Phase 2 Externe Standortbestimmung mit Risikolandschaft und Hauptrisiken, Stärken-/ Schwächenprofilen und potenziellen Schadenausmassen in bezug auf das gesamte Umfeld des Telekurs Rechenzentrums 7

8 Teil 2 Wie haben wir die Herausforderung gelöst? 8

9 Übersicht Projektphasen Projektantrag Management Entscheidungsfindung Auftragserteilung Genehmigung Umsetzungsstrategie Massnahmenvorschläge Genehmigung Grob-/ Detailkonzepte Umsetzung/ Einführung Phase 1 Phase 2 Phase 3 Phase 4 Vorbereitung mit Projektvorschlag Sec. & RM Audit Standortbestimmung Massnahmenvorschläge, Umsetzungs- Strategie, Grundlagendokumente Implementierung Grob-/ Detailkonzepte Operatives Management Umsetzungs-/ Einführungsprojekte 9

10 Die 3 Schritte zur Sicherheitsoptimierung... werden in Workshops / Interviews beantwortet bzw. erarbeitet. Der Weg zur optimierten Sicherheit Schlüsselfragen... Welche Geschäftsunterlagen und -daten sollen nach welchen Anforderungen bewirtschaftet werden? Welches sind unsere Risiken und Schadenspotenziale? Wie setzen wir das Konzept in die Praxis um? Wie managen wir künftig die optimierte Bewirtschaftung der Dokumente/ Akten? Sec. & RM Audit Standortbestimmung Massnahmenvorschläge, Umsetzungsstrategie Implementierung Management Was sind die kritischen Akten, Daten, Applikationen? Was sind die Risiken und Bewirtschaftungs- Zielsetzungen? Wie sieht das Schadenspotenzial (Business Impact) aus (Kosten und Verluste)? Wo liegen die ungefähren IT Wiederanlaufzeiten? (Recovery Point Objective (RPO), Decision Point Objective (DTO), Recovery Time Objective (RTO)) Welche baulichen/ technischen/ räumlichen Anforderungen sind notwendig, um den Prozessanforderungen zu genügen (Business Availibility - Verfügbarkeit)? Wie sieht das Wiederanlaufverfahren (Business Recovery) aus? Dokumentenmanagement Organisation aufbauen. Rollen, Aufgaben, Verantwortung definieren Schulung und Förderung Sicherheitsbewusstsein Bewusstseinsförderung Dokumentenmanagement definieren Audit- und Testplanung definieren (Wie und wann?) Aktualisierungsprozess der erarbeiten Dokumente Aktualisierung/ Überprüfung der Risikosituation 10

11 Projektplan Phase 2 mit Meilensteinen Standortbestimmung / Massnahmenvorschläge / Umsetzungsstrategie Aktivitäten Monat Monat Monat Standortbestimmung: Kick-off Meeting vorbereiten/ durchführen Interviews und Begehungen vor Ort Erarbeitung Audit Berichtsentwurf mit Massnahmenkatalog Vernehmlassung Audit Berichtsentwurf, Korrekturen Resultatpräsentation mit Vorschlag Umsetzungsstrategie Genehmigung Massnahmenvorschläge, Priorisierung der Massnahmen Ausarbeiten Umsetzungsplan (2-3 Jahre) mit Teilprojekten/ Aktivitäten für die Phase 3 Implementierung Anträge mit Kostenschätzung für Teilprojekte/ Aktivitäten erarbeiten, präsentieren, genehmigen Phase 3 Implementierung P3 Weitere Workshops sofern notwendig. 11

12 Projektplan Phase 3 mit Meilensteinen Implementierung Sofortmassnahmen/ Grob- und Detailkonzepte Aktivitäten 1. Halbjahr Halbjahr Halbjahr Umsetzung Sofortmassnahmen Umsetzung Grob- und Detailkonzepte gemäss Massnahmenpriorisierung und Investitionsplanung Phase 4 Umsetzung / Einführung P4 Weitere Workshops sofern notwendig. 12

13 Erkenntnisse/ Handlungsbedarf aufgrund Audit mit Massnahmenkatalog + Blitzlicht-Aufnahme Massnahmenkatalog 13

14 Erkenntnisse/ Handlungsbedarf aufgrund Audit Optimierung Dokumentation Security & Risk Management (insbesondere Präventions- und Ereignis-/ Krisenmanagement) Bestehendes Security Know-how modular strukturieren Kritische Würdigung des bereits dokumentierten Know-hows Abbildung des optimierten Know-hows in geeigneten Tools Aktualisierungsaufwand und Dokumentationsumfang reduzieren 14

15 Vorher... heute 15

16 Teil 3 - Resultate und Illustrationsbeispiele 16

17 Resultate / Illustrationsbeispiele Die folgenden Illustrationsbeispiele bzw. Resultate sind auf der Basis von Microsoft Office erstellt und elektronisch verlinkt. Sie sind sehr einfach über Szenarien-Cockpits auffindbar. Bereits bestehende Security Konzepte wie z.b. Sicherheitszonen- / Sicherheitskomponentenpläne sind sehr einfach elektronisch integrierbar. 17

18 Präventions- und Ereignismanagement (Hauptmenu) Menu 18

19 Ereignis- und Krisenmanagement (Hauptmenu) Menu 19

20 Medien- und Informationskrisenmanagement Menu 20

21 Ereignis-Cockpit (Ereignislandschaft) Menu 21

22 Checklisten und Abläufe Szenarien 22

23 Problem- / Alarmmanagement (Facility Services und IT) 23

24 Problem- / Alarmmanagement (Lagebeurteilung) 24

25 Informationspflichten und -fristen Menu

26 Krisenmanagement- Funktionen (Rollen) 26

27 Krisenmanagement- Funktionen (Rollen) Handbuch (A4-Format) Kreditkartenformat 27

28 Teil 4 Erfahrungen und Lehren 28

29 Erfahrungen und Lehren Beizug von externen Spezialisten für die Definition des Weges zum Ziel hat sich gelohnt (Rad musste nicht neu erfunden werden) Externe kritische Würdigung der bestehenden Security Grundlagendokumente und Einsatz-Tools ist empfehlenswert (Betriebsblindheit!) Spezielle Software ist nicht unbedingt notwendig; eine Abbildung auf Office Plattform mit entsprechender Methodik ist einfach und transparent. Sie deckt unsere Bedürfnisse vollumfänglich ab. 29

30 Auf dem Weg zum Ziel sind die eigenen Mitarbeiter früh einzubinden Rasche Ergebnisse führten innert kürzester Zeit zum Erfolg (Mitarbeitermotivation!) IT-Lösung müssen den Fähigkeiten der User entsprechend entwickelt werden Aktualisierung und Weiterentwicklung können ohne weiteres mit eigenen Ressourcen sehr einfach durchgeführt werden (keine Abhängigkeiten von Software-Lieferanten) 30

31 Schon der Weg ist Teil des Ziels. Gemeinsam zum Erfolg! Wir haben unsere Ideallösung gefunden. Ich wünsche Ihnen viel Erfolg bei der Umsetzung good practice in Ihrem Verantwortungsbereich! 31