Security by Design. Praktische, individuelle und wirtschaftliche Lösung für den Mittelstand

Transkript

1 Polizeipräsidium Mittelfranken Security by Design Praktische, individuelle und wirtschaftliche Lösung für den Mittelstand Referent: Matthias Wörner (MW IT-Businesspartner) gepr. IT Sachverständiger

2 Matthias Wörner gepr. IT - Sachverständiger Seit 1993 in der IT tägig Seit 2012 geprüfter IT-Sachverständiger Schwerpunkte hierbei u.a.: Verantwortlicher bei Aufbau und Betreuung von Rechenzentrumsumgebungen SaaS, Applikation Migrationen, Virtualisierung, Prozessmodellierung, MS CRM Projekte Koordination IT-Projekte im Bereich KMU RZ Betrieb Umstellung auf SCOM und SCCM Softwareentwicklung im MS CRM Umfeld sowie Prozessoptimierung Aktuelle Schwerpunkte: Consulting im Bereich Sicherheitslösungen Entwicklung des Security by Design Konzeptes auf Basis ISO2700x Weiterentwicklung der Allianz Prävention IT-Kriminalität

3 Kleine Themen Große Wirkung Lenovo: Notebooks spionieren Nutzer aus Maßnahme: Installieren Sie grundsätzlich alle Geräte mit firmenspezifischer Software selber und übernehmen Sie keine vorinstallierten Geräte Image lässt sich auch automatisiert ausrollen NSA: Firmware von Switch, Controllern etc. ev. kompromittiert Beispiel: NSA BIOS Backdoor Deitybounce ; Dell PE 1950, 2950 Maßnahme: Laden und installieren Sie vor jeder Inbetriebnahme das neuste Firmwareupdate von der Herstellerseite Im Security by Design -Konzept sind diese Maßnahmen als System Critical im ISMS integriert!

4 Zielsetzung Security by Design Einführung und Betrieb eines Sicherheitsmanagementsystem Integration in den Tagesablauf, mit möglichst geringen Störungen Wege für einen späteren Zertifizierungswunsch ISO27001 offen halten Wiedervorlagefunktionen für den Qualitätssicherungsprozess Beispiel: 2 x pro Jahr ist eine Wiederherstellung von Servern im Notfallszenario geplant Komplexe Sicherheitssysteme beherrschbar zu machen Bereitstellung von Softwarekomponenten als Software as a Service aus einem bayrischen Rechenzentrum, in Zusammenarbeit mit einem Partnerunternehmen Dadurch ist die Auslagerung der Notfallunterlagen möglich (Verschlüsselt!) Dauerhaft Unterstützung der Kunden durch Fachleute in den unterschiedlichsten Gebieten (Monitoring, Schwachstellen- und Quellcodeanalyse, Verbesserungsvorschläge, Fragen.)

5 Eröffnungsaudit Penetrationstest Basis - Sicherheitscheck ISO nach IT-Grundschutz ISO Sicherheitsleitlinie Sicherheitskonzept - Strukturanalyse - Schutzbedarf festlegen - Maßnahmen festlegen IT-Dokumentation Überwachungsaudit ISMS ISO BSI Standard Reports Alerts Monitoring - Automatische Überwachung der IT Prozesse - Hardware, Verteilte Applikationen - Netzwerkgeräte, Switche, Firewall - Logfileanalyse Schwachstellenmanagement

6 Umsetzung des Security by Design Plan DO Act Check

7 Security by Design im ISMS dargestellt

8 Security by Design PDCA Prozess PDCA steht für (Plan-Do-Check-Act) und beschreibt den Prozess aus der ISO Zertifizierung

9 Security by Design - Prozessüberwachung Beispiel: Überwachung einer kleinen Active Directory Infrastruktur mit Hyper-V, physikalischen Switchen und Firewall

10 Security by Design Aktive Prozessüberwachung

11 Security by Design Netzwerkmonitoring

12 Security by Design Erweiterung zur SIEM Lösung SIEM steht für Security Information und Event Management (in Vorbereitung) Integration der Logfiles unterschiedlicher Sicherheitskomponenten Firewall, IDS, AntiVirus, Active Directory, Webserver Ereignisse nahezu in Echtzeit darstellen, priorisieren und reagieren Analyse, Alerting und Reporting SOC - Security Operation Center SOC Leitstelle (LS) SLA bezogene Meldungen Management Server Gateway Server RZ IPSec Kunden Kunde A Kunde B Kunde C Data Warehouse SQL DB Cluster Kunde-A Schwachstellen analyzer

13 Fazit Planen Sie das richtige Sicherheitskonzepte und reduzieren Sie dadurch auch Ihre Risiken (Krisenplan) Machen Sie sich Gedanken über Ihre Stärken und Schwächen Passen Sie Ihre Konzepte den tatsächlichen Bedürfnissen an. Alle Unternehmen sind individuell und es geht nichts von der Stange Gehen Sie mit den finanziellen Ressourcen sorgsam um und vermeiden schnelle AdHoc Aktionen Automatisieren Sie Programmupdates soweit wie möglich Implementieren Sie ein Identitäts- Accessmanagementsystem Erarbeiten Sie ein Mobil Device Management Konzept Arbeiten Sie mit deutschen Daten Centern und Cloud Diensten zusammen

14 Polizeipräsidium Mittelfranken Vielen Dank für die Aufmerksamkeit MW IT-Businesspartner Matthias Wörner Hopfenstr Röttenbach Tel: Mobil: m.woerner@businesspartner.de