Informationssicherheits- Management

Transkript

1 s- Management Symposium on Privacy and Security 2007 Syngenta International AG Josef Zehnder AGENDA Wer ist Syngenta Wie wir es angehen Unser s-ansatz Organisation / Aufgabenteilung Baselines Integrierte Risiko Beurteilung / Sicherheitsplan Mensch Awareness Verallgemeinerung/Antworten (?) 2

2 SYNGENTA 1758 Gründung Geigy 1876 Gründung Sandoz 1884 Gründung Ciba 1970 FUSION Ciba und Geigy Ciba-Geigy 1996 FUSION Ciba-Geigy + Sandoz Novartis 2000 Abspaltung Novartis Agro + FUSION mit Zeneca Agro ~20'000 Mitarbeiter in > 100 Ländern 3 PFLANZENSCHUTZMITTEL Mia USD Selektive Herbizide 1.8 Nicht-selektive Herbizide 0.7 Fungizide 1.7 Insektizide 1.0 Professional Products SAMEN Mais und Soya 0.8 Diverse Feldsaaten 0.3 Gemüse und Blumen

3 Information Security Ansatz Information in jeder Form und an jedem Ort Auf Papier, Folien etc. Gesprochen (Konversationen, Meetings, Small-talk) lk) In den Köpfen der Mitarbeiter In Pflanzen-, Boden-, Substanzproben Saatgut in Entwicklung Auf elektronischen Medien (Bänder, CDs, HDD, USB-Sticks, Sti Laptops, PDAs, mobile Telefone, Voice mail boxes etc.) zunehmende Mobilität/Komplexität 5 GLOBAL Head Global Operations CIO Head Architecture and IS Services IS Security Head Global 2 FTE Group General Counsel Head Corporate Security 1 FTE Assistent COO CP / COO SE RSM = Regional Security Manager RRM = Record Retention Manager J. Zehnder DPO = Data Protection Officer ISECO = Information Security Officer CSM = Country Security Manager SSM = Site Security Manager SSeM = Site Service Manager (IT) = Member of Information Security Steering Committee "LOCAL" REGION 6 SSeM CSM CSM CSM RRM CSM CSM CSM DPO CSM CSM CSM RSM ISECO CSM CSM CSM Regional Head CSM/SSM CSM CSM CSM

4 Tasks distribution IS ISEC Risk Management BIA, development security plans Regulations IS Standards (dev, r-o, survey) Awareness IS Site Service Managers Tech. Security Architecture Corp Sec ISEC Risk Management Overall ISEC risk portfolio Tools/methods evaluation Regulations ISEC Policies Non-IS Standards (dev, r-o, sur) Awareness Management, End-users Reviews Investigations Maintain ISECO organization DP/RR Security projects 7 Regulation Framework ca 50 Dokumente 8

5 Business Impact Analysis Wichtige BA Keine Aktion, Baselines genügen Vertiefte Analyse in den identifizierten Bereichen Detaillierte Risikoanalyse 9 Business Impact per year Duration of Outage (for service outages and disasters) Explanations/Remarks/Assumptions Confidentiality Integrity 1 hour 1 day 2-3 days 1 week 1 month D D E D C A A Confidentiality: C E E E E E E Confidentiality: E E E E E E E Confidentiality: C E E E E E E Confidentiality: D E E E E E E Confidentiality: D E E E E E E Confidentiality: E E E E E E E Confidentiality: A Geschäft bedroht, Beachtung durch Executive Committee, Millionen B Beträchtlicher Schaden; 100'000e C Bedeutender Schaden; 10'000e D Kleine Auswirkung E Vernachlässigbar C D E D C A A --> Find summary and directions on worksheet 'Project Details' 10

6 11 Prozesse Technologie Menschen Nur wenn alle 3 Teile aufeinander abgestimmt sind und fehlerfrei zusammenarbeiten haben wir eine funktionierende Sicherheitslösung. 12

7 Mensch im Mittelpunkt TRAINING - Awareness - Handhabung 13 14

8 KONTROLLE ÜBERWACHUNG zentral - Surveys - Reviews dezentral - Log Reviews -... UNTERSUCHUNGEN 15 KOMPLEXITÄT Zunehmende Komplexität Abnehmende Sicherheit Wer mit Computern arbeitet, t hat erfahren, dass die Dinge mit der Zeit automatisch besser werden Graphische Auflösung, Rendering, DTP, Rechnerleistung... Aber Sicherheit wird schlechter. Effektiv wird Sicherheit besser, da aber die Komplexität überproportional zunimmt, verliert Sicherheit an Boden dh. das Thema wird (ge)wichtiger! 16

9 FRAGEN Wie können grosse oder kleine Organisationen aus der Privatwirtschaft oder der öffentlichen Verwaltung in die Prozesse bringen? Wie wird erreicht, dass nicht bloss Konzepte existieren, sondern dass tatsächlich und wirksam umgesetzt wird? Welche Strukturen und Funktionen braucht es? 17 ANTWORTEN Wille der Geschäftsleitung Sicherheitsbeauftragter mit Budget Wanderprediger di!!!!!!! Awareness Definition umsetzbarer Standards Kontrolle und Reporting (Ereignisauswertung, Reviews..) Programm «Unfälle und Verbrechen» Smart Security Konzept 18

10 ANTWORTEN Smart Security bedeutet Risiko Management d.h. diejenige Implementation zu finden, die das Geschäft am profitabelsten macht nicht die sicherste oder die billigste. Die wichtige Frage ist: Was kostet mich das und was spart es mir; d.h. ist es sein Geld wert nicht: Ist dieses «Security Ding» gut. Sowohl zu viel wie auch zu wenig Sicherheit ist nicht gut, weil zu teuer Individuelle Lösungen, basiere auf Standards, Lernen/Zusammenarbeiten mit «Gleichartigen» ausser FRAGEN / KOMMENTARE 20