Unternehmensweite Sicherheit messen, koordinieren, optimieren

Transkript

1 Unternehmensweite Sicherheit messen, TrustDay der IHK Stuttgart Dr. Andreas Gabriel Ethon GmbH

2 Agenda Agenda Kurzvorstellung Ethon GmbH Sinn und Unsinn von Kennzahlen Sicherheits Kennzahlen auf Basis des VDA ISA VDA = Verband der Automobilindustrie ISA = Information Security Assessment Zusammenfassung/Fazit 2

3 VORSTELLUNG ETHON UND A. GABRIEL 3

4 Über die Ethon GmbH über Ethon 2003: Gründung Ethon Technologies GmbH als IT Dienstleister mit Schwerpunkt Automobilindustrie IT Sicherheits und Voice over IP Projekte 2010: Ausgliederung des Sicherheits und VoIP Geschäftes in die Ethon GmbH Struktur Größe Standorte Eigentümergeführte Gesellschaft Derzeit rund 30 Mitarbeiter Ulm, München, Wolfsburg und Chernihiv 4

5 Unser Profil Sicherheit Sicherheitsaudits nach ISO 27001, Erstellung von Sicherheits Konzepten, IT Forensik VoIP & Crypto etasuite: Sichere (mobile) Sprachkommunikation, ZRTP Verschlüsselung, Client und Serverprodukte Sonderlösungen Lösungen zur Unterstützung der operativen Sicherheit: Olifant, OpenSesame über Ethon 5

6 Was Sie über mich wissen sollten über den Referenten BWL Studium und Promotion an der Universität Würzburg Certified Lead Auditor ISO/IEC 27001:2005 Betrieblicher Datenschutzbeauftragter Selbstverteidigungs und Selbstbehauptungstrainer Dr. Andreas Gabriel Senior Consultant und Lead Auditor bei der Ethon GmbH, Ulm 6

7 Einführung aktuelle Situation Wie gehen wir mit der aktuellen Sicherheitslage um? Quelle: Big Data Neue Waffe im Wirtschaftskrieg 7

8 Einführung Rückblick Meine Sicherheitsvorträge in den letzten Jahren Return on Security Investment 8

9 SINN UND UNSINN VON KENNZAHLEN 9

10 Warum wollen wir Sicherheit messen? Was du nicht messen kannst, kannst du nicht lenken. Es geht nicht nur darum, dass man die richtigen Dinge tut, sondern man muss die Dinge auch richtig tun. Peter Drucker US amerikanischer Ökonom Ein Pessimist, ein Optimist und ein Controller sitzen in einer Kneipe vor einem Glas. Halb voll, sagt der Optimist, halb leer meint der Pessimist. Das Glas ist für seinen Zweck 100 Prozent zu groß, erklärt der Controller. Thomas Rövekamp Der Spiegel 02/2000 Sinn & Unsinn von Kennzahlen 10

11 Sinn & Unsinn von Kennzahlen Grundsätzliche Vorgehensweise Kennzahlen Quelle: Kütz, M.: Kennzahlen der IT Werkzeuge für Controlling und Management. Dpunkt Verlag, Heidelberg

12 Sinn & Unsinn von Kennzahlen Allgemein bekannte Sicherheits Kennzahlen (Auszug) Kütz, M.: IT Steuerung mit Kennzahlensystemen. Dpunkt Verlag, Heidelberg Sting, T.: Wirtschaftliche Lösungen für den sicheren Betrieb von IT Standorten 12

13 Verfügbarkeit Klassiker einer Sicherheitskennzahl Verfügbarkeit Ausfallzeit/Kalenderjahr 99,0 % ca. 3,7 Tage 99,9 % ca. 8,8 Stunden 99,99 % ca. 52,6 Minuten 99,999 % ca. 5,3 Minuten 99,9999 % ca. 32 Sekunden 99,99999 % ca. 3 Sekunden Was Sie auf jeden Fall hinterfragen sollten (Auswahl): 1.Was ist die Basis der Berechnung: 24/7, 24/5? 2.Handelt es sich um geplante/ungeplante Ausfälle? 3.Sind geplante Downtimes einkalkuliert (Wartungsfenster)? 4.Welche Reaktions /Eskalationszeiten sind im SLA hinterlegt? Sinn & Unsinn von Kennzahlen Quelle: Sting, T.: Wirtschaftliche Lösungen für den sicheren Betrieb von IT Standorten 13

14 Sinn & Unsinn von Kennzahlen G 3.77 Mangelhafte Akzeptanz von Informationssicherheit Verschiedene Umstände können dazu führen, dass in einer Institution oder auch in Teilen einer Institution keine Akzeptanz für Informationssicherheit vorhanden ist, und damit auch keine Einsicht in die Notwendigkeit besteht, Sicherheitsmaßnahmen aufund umzusetzen. Dies kann beispielsweise bedingt sein durch die Behörden oder Unternehmenskultur (nach dem Motto: "Das war schon immer so!", "Unseren Mitarbeiter können wir vertrauen, hier muss nichts weggeschlossen werden.", "Was soll hier schon passieren?", "Diese Sicherheitsmaßnahmen stören doch nur die Arbeitsabläufe."), fehlende Vorbilder, wenn beispielsweise die Vorgesetzten nicht mit gutem Beispiel vorangehen, oder ein anderes soziales Umfeld oder einen anderen kulturellen Hintergrund ("andere Länder, andere Sitten"). Typische Probleme können dadurch entstehen, dass bestimmte Benutzerrechte oder auch die Ausstattung mit Hard oder Software als Statussymbol gesehen werden. Einschränkungen in diesen Bereichen können auf großen Widerstand stoßen. Quelle: 14

15 SICHERHEITS KENNZAHLEN AUF BASIS DES VDA ISA 15

16 Kapitel des Fragekatalogs 4. [Information Security Management System (ISMS) process definition] 5. Security Policy 6. Organization of Information Security 7. Asset Management 8. Human Resources Security 9. Physical and Environmental Security 10. Communications and Operations Management 11. Access Control 12. Information Systems Acquisition, Development and Management 13. Information Security Incident Management 14. Business Continuity Management 15. Compliance Quelle: Kennzahlen VDA ISA 63 Controls / Fragen 51 Controls / Fragen 16

17 Basis: VDA Information Security Assessment Kennzahlen VDA ISA Quelle: 17

18 Die Bewertung erfolgt auf Basis der Level 1 bis 5 Reifegrad/ Maturity Level: Level 0: Unvollständig Level 1: Durchgeführt Level 2: Gemanagt Level 3: Etabliert Level 4: Vorhersehbar Level 5: Optimierend Kennzahlen VDA ISA 18

19 Bewertungsbeispiel Level 1 3 Control 11.5: Welche Vorgaben zum Umgang mit Geräten und Dokumenten beim Verlassen des Arbeitsplatzes gibt es? Level 0 Unvollständig : Es gibt keine Vorgaben zum Grundsatz des aufgeräumten Schreibtisches und des leeren Bildschirms. Level 1 Durchgeführt : Es sind Vorgaben bezüglich des Grundsatzes des aufgeräumten Schreibtisches und des leeren Bildschirms etabliert, aber nicht systematisch oder vollständig. Die Vorgehensweise ist weder strukturiert noch organisiert. Level 2 Gemanagt :(Auszug) Die Anforderungen sind unter Berücksichtigung der Klassifikation von Informationen definiert. Die Regel mit Vorgaben bezüglich des Grundsatzes des aufgeräumten Schreibtisches und des leeren Bildschirms berücksichtigt folgende Punkte: Level 3 Etabliert : (Auszug) Der im Level 2 beschriebene Prozess zum Grundsatz des aufgeräumten Schreibtisches und des leeren Bildschirms ist ganzheitlich im Unternehmen definiert und umgesetzt. Quelle: Kennzahlen VDA ISA ISO 27002:

20 Der Scope wird bewusst erweitert! VORSICHT: Nur IT Sicherheit reicht nicht mehr! ISMS Risikoanalyse 20

21 Bewertungsbeispiel Level 4 Control 11.5: Welche Vorgaben zum Umgang mit Geräten und Dokumenten beim Verlassen des Arbeitsplatzes gibt es? Kennzahlen VDA ISA ISO 27002: Level 4 Vorhersehbar : Für den in Level 3 beschriebenen Prozess werden Kennzahlen definiert und gemessen, welche die Effektivität und Wirksamkeit des Prozesses zu beschreiben. Aus diesen Kennzahlen werden Ziele zur Verbesserung der Effektivität und Wirksamkeit abgeleitet. Abgeleitet aus den Kennzahlen werden Korrekturmaßnahmen durchgeführt, um die zuvor definierten Ziele zu erreichen. Das in Level 4 beschriebene Verfahren ist, gemäß einem im Unternehmen standardisierten Dokumentationsverfahren, dokumentiert. Quelle: 21

22 Notwendige Begriffsdefinitionen Effektivität Beurteilungskriterium, mit dem sich beschreiben lässt, ob eine Maßnahme geeignet ist, ein vorgegebenes Ziel zu erreichen. Quelle: Effizienz Beurteilungskriterium, mit dem sich beschreiben lässt, ob eine Maßnahme geeignet ist, ein vorgegebenes Ziel in einer bestimmten Art und Weise zu erreichen. Quelle: Wirksamkeit Zusätzlich zur Effizienz definiert die ISO 9000:2000 noch den Begriff Wirksamkeit. Gemäß Duden sind Wirksamkeit und Effizienz synonym. ( ) Die ISO 9000:2000 verwendet den Begriff Wirksamkeit für den Vergleich von Realität und Plan, während Effizienz Ergebnis und Aufwand miteinander vergleicht. Wirksamkeit ist dementsprechend nur allgemein definiert als das Ausmaß, in dem geplante Tätigkeiten verwirklicht und geplante Ergebnisse erreicht werden. Sie ist also nicht in jedem Fall objektiv messbar. Quelle: Kennzahlen VDA ISA 22

23 Kennzahlen VDA ISA Ermittlung möglicher & sinnvoller Kennzahlen 1/3 Control 5.1: In wie weit werden Richtlinien zur Informationssicherheit erstellt, veröffentlicht und verteilt? Control 6.2: Wie wird die Geheimhaltung bei der Zusammenarbeit mit Fremdfirmen sichergestellt? Control 7.1: Wie werden die Informationen im Unternehmen eingestuft / klassifiziert? Control 8.1: In wie weit werden Mitarbeiter auf Einhaltung der Vorgaben zur Informationssicherheit verpflichtet? Control 9.2: In wie weit ist das Unternehmen auf physikalische Bedrohungen (z.b. Feuer, Erdbeben usw.) vorbereitet? Quelle: 23

24 Kennzahlen VDA ISA Ermittlung möglicher & sinnvoller Kennzahlen 2/3 Control 10.1: In wie weit ist das Änderungs Management an Systemen im Unternehmen etabliert und werden die Systeme auf dem aktuellsten Stand gehalten? Control 11.2: Wie werden Anwender als auch Administratoren Rechte im jeweiligen Anwendungsfall gewährt und überprüft? Control 12.3: In wie weit werden Informationen über die technischen Schwachstellen der eingesetzten Informationssysteme zeitnah beschafft, beurteilt und geeignete Maßnahmen für eine Umsetzung ergriffen (Patch Management)? Quelle: 24

25 Kennzahlen VDA ISA Ermittlung möglicher & sinnvoller Kennzahlen 3/3 Control 13.1: Wie und wohin werden Informationssicherheitsvorfälle im Unternehmen gemeldet? Control 14.1: In wie weit sind Maßnahmen für die Entwicklung und Aufrechterhaltung der Business Continuity (Fortführung des ordnungsgemäßen Geschäftsbetriebs) im Unternehmen eingeführt? Control 15.3: In wie weit sind Maßnahmen für die Entwicklung und Aufrechterhaltung der Business Continuity (Fortführung des ordnungsgemäßen Geschäftsbetriebs) im Unternehmen eingeführt? Quelle: 25

26 ZUSAMMENFASSUNG/FAZIT 26

27 Zusammenfassung, Fazit und Ausblick Zusammenfassung Die Generierung von Kennzahlen ist kein einfaches Unterfangen Es ist ein schmaler Grad zwischen hilfreiche Information und nutzloses Zahlenwerk Die Ergebnisse müssen reproduzierbar sein Ein Soll Ist Vergleich ist eine gute Erfolgskontrolle. Dazu braucht man definierte Zielevorgaben Nur eine mittel bis langfristige Analyse ist aussagekräftig Nur Kennzahlen alleine helfen nicht weiter. Die geeigneten Schlussfolgerungen sind essentiell! 27

28 Vielen Dank für f r Ihre Aufmerksamkeit! auf Wiedersehen Dr. Andreas Gabriel Ethon GmbH Deutschhausgasse Ulm Sie finden mich auch bei: Tel.: Fax: Mobil: Internet: a.gabriel@ethon.com 28