IT-Sicherheitskonzepte für die digitale Archivierung

Transkript

1 IT-Sicherheitskonzepte für die digitale Archivierung unter Berücksichtigung der Anforderungen der Wirtschafts- und Betriebsprüfer und des IT-Grundschutzes des BSI. Rheiner Archivtage 07./08. Dezember 2006, Knud Brandis PERSICON Information Risk Management GmbH Agenda: 1. Informationssicherheit 2. Schutzziele 3. Anforderungen 4. Probleme in der Praxis 5. Methode nach IT-Grundschutz 6. Baustein: Archivierung 7. Zertifizierung

2 Informationen, IT und IT-Sicherheit Informationen sind Unternehmenswerte und personenbezogene Daten, die vor Bedrohungen geschützt werden müssen IT (Informationstechnik) dient zur Erhebung, Speicherung, Verarbeitung und Nutzung von Informationen IT-Sicherheit als Chefsache als Sicherheitsprozess als ganzheitliche Lösung Schutzziele Wahrung von: 1. Vertraulichkeit 2. Verfügbarkeit 3. Integrität 4. Authentizität 5. Schutz vor Rechtsverstößen

3 Was muss sicher sein? Prozesse Fachverfahren Informationen Ressourcen Schutz der Vertraulichkeit Schutz der Integrität Schutz der Verfügbarkeit Schutz vor Rechtsverstößen Schutz der Authentizität eine bestimmte Information ausschließlich für den berechtigten Anwender unversehrt und korrekt zur rechten Zeit am rechten Ort Einhaltung von gesetzlichen und sonstigen Anforderungen; sowie Schutz vor Missbrauch Daten stammen von richtigen/ echten Absender Anforderungen zur Archivierung Ordnungsmäßigkeit Vollständigkeit Sicherheit des Gesamtverfahrens Schutz vor Veränderung und Verfälschung Sicherung vor Verlust Nutzung nur durch Berechtigte Einhaltung der Aufbewahrungsfristen Dokumentation des Verfahrens Nachvollziehbarkeit Prüfbarkeit

4 Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme GoBS Regeln zur Buchführung mittels DV-Systemen. In den GoBS wird die Behandlung aufbewahrungspflichtiger Daten und Belege in elektronischen Buchführungssystemen sowie in revisionssicheren Dokumentenmanagement- und Archivsystemen geregelt. IKS (Internes Kontrollsystem) Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen GDPdU Auf diese Grundsätze beruft sich ein Finanzbeamter, wenn er bei Betriebsprüfungen auf die Computersysteme von Unternehmen zugreift.

5 Bundesdatenschutzgesetz/ Landesdatenschutzgesetz BDSG Das deutsche Bundesdatenschutzgesetz (BDSG) regelt zusammen mit den Datenschutzgesetzen der Bundesländer und anderen bereichsspezifischen Regelungen den Umgang mit personenbezogen Daten, die in IT-Systemen oder manuell verarbeitet werden. IT-Sicherheit ist gefährdet Höhere Gewalt: Feuer, Wasser, Blitzschlag,... Organisatorische Mängel: Fehlende oder unklare Regelungen, fehlende Konzepte,... Menschliche Fehlhandlungen: "Die größte Sicherheitslücke sitzt oft vor der Tastatur" Technisches Versagen: Systemabsturz, Plattencrash,... Vorsätzliche Handlungen: Hacker, Viren, Trojaner,...

6 Typische Probleme in der Praxis Resignation, Fatalismus und Verdrängung Kommunikationsprobleme Sicherheit wird als technisches Problem mit technischen Lösungen gesehen Zielkonflikte: Sicherheit, Bequemlichkeit, Kosten unsystematisches Vorgehen bzw. falsche Methodik Management: fehlendes Interesse, schlechtes Vorbild Sicherheitskonzepte richten sich an Experten, der IT-Benutzer wird vergessen. IT-Sicherheit im Spannungsfeld Sicherheit Häufige Situation: sicher, bequem, billig Bequemlichkeit Kosten

7 Konsequenzen fehlender Regelungen Konfusion im Notfall Was ist zu tun? Wer hilft? lückenhafte Datensicherung Notebooks, Heimarbeitsplätze, lokale Datenhaltung fehlende Klassifizierung von Informationen Verschlüsselung, Weitergabe und Austausch von Informationen gefährliche Internetnutzung "Was alle machen kann doch nicht unsicher sein...?" Disziplinlosigkeit Ignoranz und Arroganz statt geregelter Prozesse Konsequenzen bleiben aus, sind zu hart, sind willkürlich Methodik für IT-Sicherheit? Viele Wege führen zur IT-Sicherheit... Welcher Weg ist der effektivste?

8 Übersicht über den IT-Sicherheitsprozess IT-Grundschutz-Kataloge des Bundesamt für Sicherheit in der Informationstechnik (BSI) Nachschlagewerk und Vorgehensmodell Baukastensystem GSHB für normalen Schutzbedarf vorgegeben vollständig kompatibel zu ISO zertifizierungsfähig im Internet frei verfügbar

9 Prinzipien Gesamtsystem enthält typische Komponenten (Server, Clients, Serverraum, ...) Pauschalisierte Gefährdungen und Eintrittswahrscheinlichkeiten, keine klassische Risikoanalyse Empfehlung von Standard-Sicherheitsmaßnahmen konkrete Maßnahmenbeschreibung Ziel des IT-Grundschutzes Durch infrastrukturelle, organisatorische, personelle und technische Standard-Sicherheitsmaßnahmen ein Standard-Sicherheitsniveau für IT-Systeme aufbauen, das auch für sensiblere Bereiche ausbaufähig ist.

10 Erreichbares Sicherheitsniveau früher: "niedrig bis mittel" Vorteile der Grundschutzmethode praxiserprobt für die meisten Anwendungsfälle ausreichend kostengünstig konkret und methodisch ausgereift vollständig kompatibel zu ISO 27001

11 IT-Grundschutz-Kataloge Bausteine zur Abbildung des IT-Verbundes verschiedene Zielobjekte möglich Aufbau Gefährdungskataloge Höhere Gewalt z.b. Personalausfall Organisatorische Mängel z.b. Unerlaubte Ausübung von Rechten Menschliche Fehlhandlungen z.b. Nichtbeachtung von IT-Sicherheitsmaßnahmen Technisches Versagen z.b. Ausfall einer Datenbank Vorsätzliche Handlungen z.b. Manipulation an Daten oder Software Bausteine Übergeordnete Aspekte z.b. Archivierung Infrastruktur z.b. Verkabelung IT-Systeme z.b. Allgemeine Server Netz z.b. Heterogene Netze Anwendungen z.b. Maßnahmenkataloge Infrastruktur z.b. Klimatisierung Organisation z.b. Vergabe von Zutrittsberechtigungen Personal z.b. Vertretungsregelungen Hardware/Software z.b. Bildschirmsperre Kommunikation z.b. Restriktive Rechtevergabe Notfallvorsorge z.b. Alarmierungsplan

12 Erstellung und Realisierung IT-Strukturanalyse: Analyse des Ist-Zustands Welche Systeme und Anwendungen? Feststellung des Schutzbedarfs IT-Grundschutzanalyse: Modellierung des IT-Verbundes (Auswahl der Maßnahmen) Basis-Sicherheitscheck (Soll-Ist-Vergleich) Konsolidierung der Maßnahmen ergänzende Sicherheitsanalyse bei hohem Schutzbedarf Realisierung der Maßnahmen IT-Grundschutz-Kataloge - Schichten Baukastenprinzip Anwendung von Pflichtbausteinen (übergeordnete Aspekte wie bspw. Notfallkonzept, Sicherheitsmanagement) Abbildung der Bausteine auf die IT-Objekte aus der IT-Strukturanalyse Schicht 1: Schicht 2: Schicht 3: Schicht 4: Übergreifende Aspekte Infrastruktur IT-Systeme Netze Schicht 5: IT-Anwendungen

13 Schicht 1: Übergreifende Aspekte Modellierung der Aspekte, die dem betrachteten IT-Verbund insgesamt übergeordnet sind Geeignete Bausteine: B 1.12 Archivierung

14 B 1.12 Archivierung: Gefährdungen Höhere Gewalt: G 1.2 Ausfall des IT-Systems G 1.7 Unzulässige Temperatur und Luftfeuchte Organisatorische Mängel: G 2.7 Unerlaubte Ausübung von Rechten G 2.73 Fehlende Revisionsmöglichkeit von Archivsystemen B 1.12 Archivierung: Gefährdungen Menschliche Fehlhandlungen: G 3.35 Server im laufenden Betrieb ausschalten G 3.55 Verstoß gegen rechtliche Rahmenbedingungen beim Einsatz von Archivsystemen Technisches Versagen: G 4.26 Ausfall einer Datenbank G 4.47 Veralten von Kryptoverfahren Vorsätzliche Handlungen: G 5.2 Manipulation an Daten oder Software G Unberechtigtes Überschreiben oder Löschen von Archivmedien

15 B 1.12 Archivierung: einige Maßnahmen Planung und Konzeption M Zielsetzung der elektronischen Archivierung M Ermittlung der rechtlichen Einflussfaktoren für die elektronische Archivierung Beschaffung M Auswahl eines geeigneten Archivsystems Umsetzung M 1.59 M 3.34 Geeignete Aufstellung von Archivsystemen Einweisung in die Administration des Archivsystems Betrieb M Regelmäßige Revision des Archivierungsprozesses Notfallvorsorge M 6.84 Regelmäßige Datensicherung der System- und Archivdaten M Regelmäßige Revision des Archivierungsprozesses

16 Einige Punke aus der Checkliste zu M2.260 Ist organisationsweit geregelt und dokumentiert, welche Dokumente zu archivieren sind? Ist diese Regelung umfassend und vollständig? Sind die Sicherheitsanforderungen an die Dokumente dokumentiert? Werden die Anforderungen an die Vertraulichkeit (etc.) der zu archivierenden Dokumente eingehalten? Werden Archivdaten ausreichend redundant gespeichert und aufbewahrt, z.b. durch den Einsatz redundanter Archivsysteme oder alternativer Backup- Medien? Erfolgt eine regelmäßige Datensicherung der Archivsysteme sowie gegebenenfalls der Archivdaten? Werden nicht mehr benötigte, beschriebene Archivmedien ordnungsgemäß vernichtet und entsorgt? Die Revision sollte auch eine technische Neubewertung der Archivsystem-Komponenten und der verwendeten Datenformate beinhalten. Musterrichtlinien & Beispielkonzepte

17 Struktur und Anwendung der BSI-Standards Nachgewiesene IT-Sicherheit lohnt sich Optimierung der internen Prozesse führt zu einem geordneten, effektiven und effizienten IT-Betrieb Kosteneinsparungen IT-Sicherheitsniveau ist messbar Erfüllung gesetzlicher Anforderungen Erhöhung der Attraktivität für Kunden und Geschäftspartner mit hohen Sicherheitsanforderungen Mitarbeiter und Unternehmensleitung identifizieren sich mit IT-Sicherheitszielen Versicherungen/ Banken honorieren zunehmend IT- Sicherheit

18 Vielen Dank für Ihre Aufmerksamkeit.

19 IT-Grundschutz Zertifizierung Anwendungsbereiche Was kann zertifiziert werden? Ein oder mehrere Geschäftsprozesse Eine oder mehrere Fachaufgaben Eine oder mehrere Organisationseinheiten Es braucht nicht gleich das gesamte Unternehmen zu sein! Bedingung: IT-Verbund muss eine sinnvolle Mindestgröße haben! IT-Grundschutz-Zertifizierung Ausprägungen IT-Grundschutz-Zertifikat Selbsterklärung "IT-Grundschutz Aufbaustufe" Selbsterklärung "IT-Grundschutz Einstiegsstufe" Vertrauenswürdigkeit IT-Grundschutz- Zertifikat Selbsterklärung "Aufbaustufe" Selbsterklärung "Einstiegsstufe" Sicherheit

20 IT-Grundschutz-Zertifizierung Ausprägungen Selbsterklärung Einstiegsstufe Selbsterkläung Aufbaustufe Zertifikat Anzahl der Maßnahmen Anforderungen an den Prüfer Prüfung des Auditreports keine keine lizenzierter Auditor keine keine BSI Kosten (BSI) IT-Grundschutz-Zertifizierung Ablauf (vereinfacht) Prüfung erfolgt durch einen vom BSI lizensierten IT-Grundschutz- Auditor Auditor prüft die Umsetzung von IT-Grundschutz und erstellt den Auditreport Prüfung der vorhandenen Dokumente Prüfung von Stichproben vor Ort Unternehmen stellt Zertifizierungsantrag beim BSI BSI prüft den Auditreport Falls Prüfung positiv: Zertifikat wird erteilt Zertifikat wird veröffentlicht (Internet und Zeitschrift <kes>)

21 IT-Grundschutz-Zertifizierung Erfahrungen IT-GS-Zertifizierung ist sowohl für kleine Unternehmen als auch für große Rechenzentren geeignet! Umsetzung GSHB: 6-12 Monate Aufwand des Auditors: ca. 10 Tage Erfolgsfaktoren: Unterstützung durch die Geschäftsleitung Verständnis, Kooperationsbereitschaft und aktive Unterstützung durch die IT- und TK-Verantwortlichen konsequente Gruppenbildung Tool-Unterstützung