Datenschutz durch Technik I Datenschutz- und Sicherheitsmanagement, BSI-Grundschutz

Transkript

1 Datenschutz durch Technik I Datenschutz- und Sicherheitsmanagement, BSI-Grundschutz Dr. Thomas Probst Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Kiel thomas.probst@datenschutzzentrum.de

2 Aufgabe Legen Sie geeignete Sicherheitsmaßnahmen fest. Datenschutz durch Technik I 2

3 Details nicht klausurrelevant Datenschutz durch Technik I 3

4 Sicherheitsmanagement Management is that for which there is no algorithm. Where there is an algorithm, it s administration. - Roger Needham - Zwei Fragestellungen: Welche Risiken/Bedrohungen sollen angegangen werden? Wie können sie angegangen werden? Antwort: Risikomanagement IT-Sicherheitsmanagement & Technische und Organisatorische Maßnahmen Datenschutz durch Technik I 4

5 Risikomanagement The processes of identifying, analyzing and assessing, mitigating, or transferring risk is generally characterized as Risk Management. From: Handbook of Information Security Management, CRC Press LLC 1997 The CISSP Open Study Guide Web Site, Datenschutz durch Technik I 5

6 Risikobewertung Grundlegende Fragen des Risikomanagements: 1. Was kann passieren? (threat event) 2. Wenn es passiert: Wie schlimm kann es werden (threat impact)? 3. Wie häufig kann es passieren? (threat frequency, annualized)? 4. Wie verlässlich sind die Antworten auf diese Fragen? (recognition of uncertainty) Datenschutz durch Technik I 6

7 Risikoanalyse Bedrohungsanalyse (Threat Analysis): Komplette Liste aller Bedrohungen, die technische und organisatorische Schwachstellen (auch Nutzer!) ausnutzen Risikoanalyse (Risk Analysis): Bewertung der Bedrohungen Wahrscheinlichkeit eines Ausfalls oder eines erfolgreichen Angriffs (wie schwierig? wie aufwändig? durch wen?) Größe des Schadens durch Ausfall/Angriff Datenschutz durch Technik I 7

8 Umgang mit bewerteten Risiken Risiko aus dem Weg gehen (avoid) Risiko eingehen (accept) Etwas tun, um die Risiken auf ein akzeptables Maß zu reduzieren (risk mitigation or risk reduction) Riskoverlagerung (z. B. Versicherung) (transfer) Aspekte für Entscheidung: Kosten-Nutzen-Analyse Vorschriften/Verträge/Policies Datenschutz durch Technik I 8

9 Methode 1: Quantitativer Ansatz Risikoanalyse: Impact Rating (=ALE). Quelle: Anderson, Ross: Security Engineering, Chapter 22, 1 st Edition, 2001, Wiley. Datenschutz durch Technik I 9

10 Risikoanalyse: Impact Rating Methode 2: Qualitativer Ansatz Kategorisierung, z. B. normal, hoch, sehr hoch Zuordnung: Beschreibung von Schadensszenarien für die Analyse der Auswirkungen Datenschutz durch Technik I 10

11 Pro & Cons?? Datenschutz durch Technik I 11

12 Häufig nur Schätzwerte verfügbar Pro & Cons gute Methode zur Priorisierung, wenn statistische Daten verfügbar (Bsp.: Festplattenausfall bei Google, Betrug durch Schaltermitarbeiter) Kann nur finanzielle Auswirkungen betrachten (andere Auswirkungen müssen übersetzt werden. Was kostet ein Menschenleben?) Gefahr: Katastrophale Auswirkungen könnten unterschätzt werden (wegen zu geringer Eintrittswahrscheinlichkeit; Bsp.: AKW) Lösung: Zusatzkriterien (z.b. Keine Schadenshöhe über 1 Mio ) Datenschutz durch Technik I 12

13 Schadensszenarien Mögliche Schadenskategorien (Beispiel aus BSI 100-2): Verstoß gegen Gesetze/Vorschriften/Verträge Beeinträchtigung des informationellen Selbstbestimmungsrechts ( Datenschutzrecht ) Beeinträchtigung der persönlichen Unversehrtheit Beeinträchtigung der Aufgabenerfüllung negative Innen- und Außenwirkung finanzielle Auswirkungen Häufig: ein Schaden, mehrere Schadenskategorien Beispiele? Datenschutz durch Technik I 13

14 Details nicht klausurrelevant Beispiele BSI 100- (aus BSI 100-2, V 2.0, 2008) Datenschutz durch Technik I 14

15 Details nicht klausurrelevant Beispiele Dies sind Beispiele; sie sind individuell an die Situation vor BSI Ort anzupassen!(z. B.: Was ist ruinös? 10 k? 10 Mio?) (aus BSI 100-2, V 2.0, 2008) Datenschutz durch Technik I 15

16 Sicherheitsmanagement Management is that for which there is no algorithm. Where there is an algorithm, it s administration. - Roger Needham Zwei Fragestellungen: Welche Risiken/Bedrohungen sollen angegangen werden? Wie können sie angegangen werden? Antwort: Risikomanagement IT-Sicherheitsmanagement & Technische und Organisatorische Maßnahmen Datenschutz durch Technik I 16

17 Brainstorming: Verantwortlichkeiten? Wer ist für IT-Sicherheit/Datensicherheit verantwortlich? Für was genau? Management/Leitungsebene? IT-Manager? Sicherheitsbeauftragte? Datenschutzbeauftragter? Datenschutz durch Technik I 17

18 Mögliche Antworten Management/Leitungsebene: Verantwortlich für die Einführung eines globale IT-Sicherheitsprozesses IT-Manager/IT-Leitung: Implementierung technischer Sicherheitsmaßnahmen Sicherheitsbeauftragte: Organisation der IT-Sicherheitsprozesse Datenschutzbeauftragter: Organisation der Datenschutzprozesse Datenschutz durch Technik I 18

19 IT (Sicherheits-) Standards Brainstorming: Welche kennen Sie? Datenschutz durch Technik I 19

20 Einige IT (Sicherheits-) Standards COBIT ITIL ISO und ISO BSI Standards und IT-Grundschutz Common Criteria (ISO 15408) FIPS-140 Datenschutz durch Technik I 20

21 Control Objectives for Information and related Technology Best practices (framework) for IT management entwickelt von Information Systems Audit and Control Association (ISACA) und IT Governance Institute (ITGI) derzeit Version 5 (Mai 2012) 7 Enabler (=Ressorcen-Typen: Prozesse, Policies, Organisation, Personal...) 37 Haupt-Prozesse in 5 Prozess-Domänen (Monitoring, Planung, Delivery...) nicht spezifisch IT-Sicherheitsmanagement aber: zahlreiche Überschneidungen Literatur: COBIT Details nicht klausurrelevant Datenschutz durch Technik I 21

22 ITIL Good Practice für Service Management Ziel: bestmöglicher Support von Gechäftsprozessen durch IT Autor: Office of Government Commerce (OGC) 1989 first development of manuals for processes ITILv1 seit 2000 ITILv2 Details nicht klausurrelevant May 2007 ITILv3 Zahlreiche Verbindungen zwischen ITILv3 und ISO20000 Verbindungen von ITIL-Prozessen und IT-Sicherheitsprozessen (z. B. Change Mgt, Incident Mgt.) ITIL is a Registered Trade Mark of the Office of Government Commerce in the United Kingdom and other countries Datenschutz durch Technik I 22

23 Source: Datenschutz durch Technik I 23

24 IT (Security) Standards COBIT ITIL ISO und ISO BSI Standards und IT-Grundschutz Common Criteria (ISO 15408) FIPS-140 Datenschutz durch Technik I 24

25 Prozess-basierter Ansatz für IT Sicherheit ISO 27001:2013 Konsequenz: Man braucht ein Management-System: ISMS (Information Security Management System) Anlehnung an QS-Systeme (ISO 9000-Serie) Ziel: establishing, implementing, maintaining and continually improving an ISMS within the context of the organization enthält auch Dokumentationsanforderungen für das ISMS Datenschutz durch Technik I 25

26 Vorgehensweise Risikoanalyse Risikobehandlung festlegen (u.a. Sicherheitsmaßnahmen, controls ) Vollständigkeitscheck Sicherheitskonzept (Umsetzungsplan) erstellen o.k. des Managements einholen (einschließlich Restrisikoübernahme) Datenschutz durch Technik I 26

27 Controls/Sicherheitsmaßnahmen I 5 Sicherheitsleitlinien 6 Organisation der Informationssicherheit 7 Personalsicherheit 8 Management von organisationseigenen Werten 9 Zugriffskontrolle 10 Kryptographie 11 Schutz vor physikalischem Zugang und Umwelteinflüssen Details nicht klausurrelevant Datenschutz durch Technik I 27

28 Controls/Sicherheitsmaßnahmen II 12 Betriebssicherheit 13 Sicherheit in der Kommunikation 14 Anschaffung, Entwicklung und Instandhaltung von Systemen 15 Lieferantenbeziehungen 16 Management von Sicherheitsvorfällen 17 Betriebskontinuität 18 Richtlinienkonformität Details nicht klausurrelevant Datenschutz durch Technik I 28

29 Control objectives und Controls Maßnahme Zielsetzung Datenschutz durch Technik I 29

30 Beispiele für Control objectives und Controls Details nicht klausurrelevant Datenschutz durch Technik I 30

31 Unterschied zwischen ISO und ISO/IEC 27001: Standard normative Anforderungen an ein ISMS ISO/IEC 27002: Collection of Good Practice Code of practice und implementation guidance for selecting and implementing controls keine normativen Anforderungen Folge: Zertifizierung nur gegen ISO/IEC 27001, aber nicht gegen ISO/IEC27002 möglich Datenschutz durch Technik I 31

32 Geschichte Original: British Standard BS Erste Version: 1999 Details nicht klausurrelevant 2005 wurde BS zu ISO/IEC 27001:2005 BS : Code of Practice (Collection of Best-Practices) Erste Version: 1995 Internationaler Standard ISO/IEC 17799:2005 Umbenannt zu ISO/IEC 27002:2005 in 2007 Neufassung 2013: ISO/IEC 27001/2:2013 (dt: 2015) Familie 27xxx: ISO/IEC-Standards für IT Sicherheit Datenschutz durch Technik I 32

33 Zusammenhang CobiT, ITIL, ISO 27001? Verschiedene Perspektiven: business perspective on IT IT perspective on IT IT Security perspective on IT verschiedene Granularität starke Interaktionen einzelner Maßnahmen, Prozesse und Controls Aligning COBIT 4.1, ITIL V3 and ISO/IEC for Business Benefit, Center/Research/ResearchDeliverables/Pages/Aligning-COBIT-4-1-ITIL-V3-and-ISO-IEC for-BusinessBenefit.aspx Datenschutz durch Technik I 33

34 IT (Security) Standards COBIT ITIL ISO und ISO 27002/17799 BSI Standards und IT-Grundschutz Common Criteria (ISO 15408) FIPS-140 Datenschutz durch Technik I 34

35 Die IT-Grundschutzkataloge des BSI IT-Sicherheitsmaßnahmen für den öffentlichen und nichtöffentlichen Bereich Umsetzung von ISO (aber detaillierter) Konzept für die Organisation von IT-Sicherheit (IT- Sicherheitsprozess) und konkrete Maßnahmen zur Reduktion von Gefährdungen Modellierung der IT-Struktur mit ca. 80 Bausteinen teilweise Risikoanalyse durch Pausalisierung ersetzt und Vorauswahl von Maßnahmen getroffen mehr als 1000 Maßnahmen zur Reduzierung von Gefährdungen Umfang derzeit ca S., Datenschutz durch Technik I 35

36 BSI 100-1, Abb. 1.: Datenschutz durch Technik I 36

37 IT-Grundschutz Konkretisierung des Standards ISO durch BSI-Standards BSI Managementsysteme für Informationssicherheit, BSI IT-Grundschutz-Vorgehensweise und BSI Risikoanalyse auf der Basis von IT-Grundschutz Konkretisierung der Maßnahmen (ISO Anhang A, ISO 27002) durch IT-Grundschutz-Kataloge BSI Notfallvorsorge Datenschutz durch Technik I 37

38 Aspekte: Gliederung der Aufgaben 1) Organisation der IT-Sicherheitsaufgaben, Etablierung von Prozessen und Strukturen 2) Analyse der IT-Landschaft 3) Risikoanalyse 4) Maßnahmenauswahl 5) Priorisierung, Maßnahmenumsetzung 6) Überprüfung Bei ISMS steht das Management im Vordergrund. Beim IT-Grundschutz stehen auch die Maßnahmen und ihre Auswahl im Vordergrund. Datenschutz durch Technik I 38

39 IT-Sicherheitsprozess Quelle: Abb.1, BSI 100-2, V 2.0, 2008 Datenschutz durch Technik I 39

40 Erstellen einer Sicherheitskonzeption Was haben wir hier? Wieviel Sicherheit brauchen wir? Quelle: Abb.5, BSI 100-2, V 2.0, ) Maßnahmenwahl! (Soll!) 2) Check: Umgesetzt? (Soll = Ist?) Datenschutz durch Technik I 40

41 Beispiele: IT-Grundschutz, Abschnitt 2.1: Personal, Outsourcing, Datenschutz Serverraum, Verkabelung Unix-Server, Win7-Client Netzmanagement, VPN Webserver, Datenbank Datenschutz durch Technik I 41

42 Modellierung des IT-Verbundes mit Bausteinen Ziel: Herleitung von geeigneten Sicherheitsmaßnahmen diese ergeben sich aufgrund spezifischer Gefährdungen diese Gefährdungen sind für bestimmte Bausteine relevant Vorgehen: Bausteinauswahl Gefährdungsanalyse ( Maßnahmenbestimmung ) Datenschutz durch Technik I 42

43 Hilfe bei der Maßnahmenauswahl Leistung der Grundschutzkataloge: Zu einzelnen Bausteinen wurden spezifische Gefährdungen ermittelt und die relevanten (Gegen)Maßnahmen beschrieben. Sind die richtigen und relevanten Bausteine ausgewählt, ergeben sich die relevanten Maßnahmen automatisch. Datenschutz durch Technik I 43

44 Bausteine (nicht vollständig): B 1.2 Personal B 1.4 Datensicherungskonzept B 1.9 Hard- und Software-Management B 2.1 Gebäude B 2.2 Elektrotechnische Verkabelung B 2.3 Büroraum B 2.4 Serverraum B 2.12 IT-Verkabelung B Allgemeiner Server B Windows Server 2008 B Allgemeiner Client B Client unter Windows 7 B Sicherheitsgateway (Firewall) B Router und Switches B Drucker B 4.2 Netz- und Systemmgt. B 5.3 Groupware B 5.7 Datenbanken Details nicht klausurrelevant Datenschutz durch Technik I 44

45 Beispiel: B 5.3: Groupware Gefährdungen Gefährdungen (Auszug): Organisatorische Mängel: - G 2.55 Ungeordnete Groupware-Nutzung Menschliche Fehlhandlungen: - G 3.13 Übertragung falscher oder nicht gewünschter Datensätze Technisches Versagen: - G 4.32 Nichtzustellung einer Nachricht Vorsätzliche Handlungen: - G 5.26 Analyse des Nachrichtenflusses - G 5.73 Vortäuschen eines falschen Absenders Details nicht klausurrelevant Datenschutz durch Technik I 45

46 Beispiel: B 5.3: Groupware-Maßnahmen Maßnahmen (Auszug): Details nicht klausurrelevant Beschaffung: - M Auswahl eines Groupware- oder Mailproviders Umsetzung: - M 5.57 Sichere Konfiguration der Groupware/Mail-Clients Betrieb: - M Einsatz eines -Scanners auf dem Mailserver Notfallvorsorge: - M 6.90 Datensicherung und Archivierung bei Groupware und Datenschutz durch Technik I 46

47 IT-Grundschutz-Kataloge Lebenszyklus der IT-Grundschutz-Bausteine Quelle: BSI-Foliensatz Datenschutz durch Technik I 47

48 Datenschutz in den IT -Grundschutzkatalogen Baustein 1.5 Quelle: BSI IT-Grundschautzkataloge Datenschutz durch Technik I 48

49 seit Baustein 1.5 Datenschutz abgestimmt zwischen BfDI, LfDs, Aufsichtsbehörden Integration in die IT-Grundschutz-Kataloge auf den Webseiten des BSI verfügbar: Startseite > Themen > IT-Grundschutz > IT-Grundschutz Datenschutz bildet 13 Datenschutz-Gefährdungen und 16 Datenschutz- Maßnahmen ab stellt den Zusammenhang von IT-Sicherheitsmaßnahmen und den 8 Geboten dar Datenschutz durch Technik I 49

50 IT (Security) Standards COBIT ITIL ISO und ISO 27002/17799 BSI Standards und IT-Grundschutz Common Criteria (ISO 15408) FIPS-140 Datenschutz durch Technik I 50

51 Common Criteria (ISO 15408) Internationaler IT-Sicherheitsstandard für die formale Spezifikation von IT-Sicherheits-Anforderungen und deren unabhängige Evaluation und Test Formelle Zertifizierung der Vertrauenswürdigkeit von Produkten 3-teiliger Standard, plus evaluation methodology International anerkannt (gegenseitige Anerkennung der Zertifizierung bis EAL 4) TOE: Target of Evaluation Datenschutz durch Technik I 51

52 Ansatz Security Problem Definition: What's my security problem (e.g., protecting XYZ)? Security Objectives: Who (TOE? Environment?) is responsible to ensure what? Security Requirements: What security functions need the TOE to implement? Security Specification: How does the ToE implements the security functions? Zahlreiche Security functions einschließlich Querverweisen und Prüfanweisungen in den CC spezifiziert Datenschutz durch Technik I 52

53 FIPS FIPS: Federal Information Processing Standards öffentliche US (Bundes-)Standards für alle nicht-militätrischen Regierungsstellen und ihre Vertragspartner Beispiele? FIPS country codes and region codes (10-4) FIPS Data Encryption Standard (46-3) FIPS Advanced Encryption Standard (197) Datenschutz durch Technik I 53

54 FIPS 140 Ziel: Koordination von Anforderungen und Standards von Kryptomodulen (Hardware und Software ) Zertifizierung verfügbar FIPS 140-2: Aktuelle Version, seit Mai 2001 Annexes: Annex A: Approved Security Functions [2014] Annex B: Approved Protection Profiles [2011] Annex C: Approved Random Number Generators [2012] Annex D: Approved Key Establishment Techniques [2014] Details nicht klausurrelevant Datenschutz durch Technik I 54

55 Security Level 1 Security Level 2 Security Level 3 Security Level 4 Cryptographic Module Specification Cryptographic Module Ports and Interfaces Roles, Services, and Authentication Finite State Model Physical Security Operational Environment Cryptographic Key Management EMI/EMC Self-Tests Design Assurance Mitigation of Other Attacks Details nicht Klausurrelevant Datenschutz durch Technik I 55

56 Standards: CobiT: Literatur/Links COBIT MAPPING: Deliverables.aspx CC: BSI Standards/ IT Grundschutz: utz_node.html Literatur: Kersten, Heinrich, Reuter, Jürgen, Schröder, Klaus-Werner: IT- Sicherheitsmanagement nach ISO und Grundschutz. Der Weg zur Zertifizierung. 4. Aufl Springer-Vieweg-Verlag, ISBN Datenschutz durch Technik I 56