Die drei Säulen der Informationssicherheit

Transkript

1 Informationssicherheit für KMU Die drei Säulen der Informationssicherheit Oliver Hirschi Dozent & Leiter «ebanking aber sicher!» Hochschule Luzern Informatik 22. Juni 2017 first frame networkers ag IT-Security Breakfast 2017 Oliver Hirschi

2 Brauchen wir Informationssicherheit? IT-Security Breakfast 2017 Oliver Hirschi 2

3 IT HAPPENS! «WannaCry» «WannaCry» hat Ransomware bekannt gemacht! Schadprogramm, welches den Zugriff auf Daten oder die Nutzung des gesamten Computers verhindert Verschlüsselt Daten oder ganze Systeme Erpressung/Forderung nach Lösegeld Der Schlüssel wird gegen Bezahlung eines Lösegelds herausgegeben vielleicht! IT-Security Breakfast 2017 Oliver Hirschi 3

4 Betrifft Informationssicherheit nicht nur grosse Firmen? Wie lange kann Ihr Geschäftsvorgang ohne IT sichergestellt werden? Ein Tag (8h oder 24h)? Drei Tage? Wochen? Ohne entsprechende Vorbereitung dauert der Wiederaufbau einer IT-Infrastruktur mindestens 36h (vorausgesetzt die Datensicherung ist aktuell und wiedereinspielbar) Welche Dokumente dürfen nicht an unberechtigte Dritte weiter gegeben werden? Offert-Eingaben bei grösseren Ausschreibungen Kundendaten Produktionsdaten Personalakten (Datenschutz) Gesundheitsdaten (Datenschutz) IT-Security Breakfast 2017 Oliver Hirschi 4

5 Informationssicherheit: Womit? Die drei Säulen der Informationssicherheit Organisation Prozesse Technik Mitarbeitende definieren kontrollieren kaufen konfigurieren sensibilisieren ausbilden IT-Security Breakfast 2017 Oliver Hirschi 5

6 Informationssicherheit: Wie vorgehen? «Der Bedarf wäre vorhanden, jedoch fehlen die Mittel und/oder das Knowhow!» oft gehörter Feedback. Lösungsansatz nach «Betty Bossi»: Übernahme von bestehenden Richtlinien Informationssicherheitshandbuch für die Praxis (sihb.ch) 10 Massnahmen für einen wirkungsvollen Grundschutz Code of Practice for Information Security Controls, ISO (snv.ch) IT-Grundschutzhandbuch (bsi.de oder bsi-fuer-buerger.de) IT-Security Breakfast 2017 Oliver Hirschi 6

7 Informationssicherheitshandbuch für die Praxis «Betty Bossi» für Informationssicherheit Praxistipps für den Umgang mit Sicherheit in KMU Analysetool für FirstCut Enthält Checklisten und Vorlagen Konzentriert sich auf das Wesentliche Mut zur Lücke IT-Security Breakfast 2017 Oliver Hirschi 7

8 Mehr Informationssicherheit für KMU 10 Massnahmen für einen wirkungsvollen Grundschutz (1) Nehmen Sie Ihre Managementaufgabe wahr und teilen Sie die Verantwortlichkeiten zu! (2) Sichern Sie Ihre Daten regelmässig mit Backups! (3) Aktualisieren Sie Ihre Software regelmässig! (4) Schützen Sie Ihren Internetzugang mit einer Firewall! (5) Halten Sie Ihr Antivirus-Programm aktuell! (6) Verwenden Sie starke Passwörter! (7) Machen Sie Ihre IT-Benutzerrichtlinien bekannt! (8) Klassifizieren Sie Ihre Daten und kontrollieren Sie die Zugriffsberechtigungen! (9) Kontrollieren Sie alle Anpassungen an produktiven Systemen mittels Change Management! (10) Schützen Sie die Umgebung Ihrer IT-Infrastruktur Quelle: Informationssicherheitshandbuch für die Praxis 8.0 IT-Security Breakfast 2017 Oliver Hirschi 8

9 (1) Nehmen Sie Ihre Managementaufgabe wahr und teilen Sie die Verantwortlichkeiten zu! Sicherheitspolitik erlassen Verantwortlichkeiten festlegen Aufgaben zwischen interner IT / externen Partnern absprechen und schriftlich festhalten Sorgfaltspflicht durch die Geschäftsleitung wahrnehmen Benutzerrichtlinien anwenden Ansprechperson definieren IT-Security Breakfast 2017 Oliver Hirschi 9

10 (2) Sichern Sie Ihre Daten regelmässig mit Backups! Täglich eine Datensicherung auf mobilen Datenträger erstellen Mehrere Generationen erstellen Mobile Datenträger sicher ausser Haus lagern Wiedereinspielbarkeit überprüfen Aufbewahrungspflichten einhalten Zeitgerechte und zuverlässige Entsorgung sicherstellen IT-Security Breakfast 2017 Oliver Hirschi 10

11 Totaler Datenverlust «Das Schlimmste ist der Verlust des Büros. Alle Kundendaten sind weg!» Altdorf, Aug Quelle: NLZ IT-Security Breakfast 2017 Oliver Hirschi 11

12 (3) Aktualisieren Sie Ihre Software regelmässig! Automatisiertes Patching (Updates) der Betriebssysteme und Applikationen installieren Anwendungssoftware und Datenbanken ebenfalls aktualisieren Neue Programmversionen vor dem produktiven Einsatz testen Verfügbare Patches zeitnah installieren IT-Security Breakfast 2017 Oliver Hirschi 12

13 Woran erkennt der Computer den Benutzer? Benutzer-ID (Login) & Passwort IT-Security Breakfast 2017 Oliver Hirschi 13

14 (6) Verwenden Sie starke Passwörter! Passwörter persönlich und vertraulich behandeln Werksseitige Standardpasswörter anpassen Vorgaben für starke Passwörter erzwingen Benutzende im Umgang mit Passwörter schulen Aktuelle Version aller Systempasswörter im Firmensafe aufbewahren IT-Security Breakfast 2017 Oliver Hirschi 14

15 6 Regeln zum sicheren Passwort verwenden Sie: Mindestens 10 Zeichen Ziffern, Gross- und Kleinbuchstaben sowie Sonderzeichen Keine Tastaturfolgen wie z. B. «asdfgh» oder «45678» Kein Wort einer bekannten Sprache d. h. das Passwort sollte keinen Sinn machen Nicht überall dasselbe Passwort Speichern Sie Ihr Passwort nicht unverschlüsselt ab Verwenden Sie einen Passwort-Tresor KeePass ( Password Safe ( SecureSafe ( 1Password ( IT-Security Breakfast 2017 Oliver Hirschi 15

16 Was ist ein gutes Passwort? Einfaches, 6-stelliges Passwort 36 6 = Varianten Im Minutenbereich geknackt! Komplexes, 10-stelliges Passwort = Var. Vierwaldstättersee Hunderte Jahre! IT-Security Breakfast 2017 Oliver Hirschi 16

17 Weitere Punkte der 10 Massnahmen (4) Schützen Sie Ihren Internetzugang mit einer Firewall! (5) Halten Sie Ihr Antivirus-Programm aktuell! (7) Machen Sie Ihre IT-Benutzerrichtlinien bekannt! (8) Klassifizieren Sie Ihre Daten und kontrollieren Sie die Zugriffsberechtigungen! (9) Kontrollieren Sie alle Anpassungen an produktiven Systemen mittels Change Management! (10) Schützen Sie die Umgebung Ihrer IT-Infrastruktur IT-Security Breakfast 2017 Oliver Hirschi 17

18 Umsetzung ES TUN! Schrittweise angehen jetzt und heute anfangen! Informationssicherheit ist ein Prozess (never ending story) Konsequent umsetzten (jeden Monat ein Thema) Absprache mit IT-Supporter Mitarbeiter ausbilden Kontrollen (intern / extern) Ausgewogen Verhältnismässig Quelle: cash Besser 10 realisierte Massnahmen als 50 geplante! IT-Security Breakfast 2017 Oliver Hirschi 18

19 Informationssicherheit für KMU Mit wenig ist viel möglich Just do it! Ich wünsche viel Erfolg bei der Umsetzung! IT-Security Breakfast 2017 Oliver Hirschi 19