Wo fängt IT-Sicherheit an oder wo hört sie auf?

Transkript

1 Wo fängt IT-Sicherheit an oder wo hört sie auf? Vertraulichkeit, Verfügbarkeit und Integrität W&B / Karsten Opitz /

2 Vorstellung des Referenten Karsten Opitz (W&B) Seit 18 Jahren in der IT : Geschäftsführer versch. IT-Unternehmen AKA-Network Advanced Topology GbR Netzleiter GmbH Seit 2016: Technischer Leiter bei W&B Projektverantwortlicher Sicherheitsexperte IT-Security Beauftragter (TÜV) IT-Security Auditor (TÜV) IT-Security Manager (TÜV) Fachkraft für Datenschutz (DEKRA) Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 2

3 Agenda Vortrag Wo fängt IT-Sicherheit an oder wo hört sie auf? Wo fängt IT-Sicherheit an oder wo hört sie auf? Bei der Software? Bei der Hardware? Überall Bei den Nutzern? Welche Gefahr ist das größte Risiko für Ihr Unternehmen? Informationssicherheit und das Arbeiten nach Risikomanagementmethoden Die ersten Schritte zur Erhöhung der IT-Sicherheit Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 3

4 Begriffsdefinition Informationssicherheit? Informationssicherheit: Definition gemäß ISO Laut Definition ist dies der Schutz von Vertraulichkeit, Verfügbarkeit und Integrität von Informationen Ziel ist die Sicherstellung der Produktivität durch ausreichenden Schutz der Prozesse und deren Informationen Umsetzungsgarant ist auf Basis des Risikomanagements der kontinuierliche Verbesserungsprozess Die ersten Schritte zur Erhöhung der IT-Sicherheit Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 4

5 Informationssicherheit Öffentliche Bedeutung des Themas Vorangegangener Vortrag: "Lagebericht zur Cyberkriminalität und Awareness für IT-Sicherheit" Initiativen und Expertengruppen in Schleswig-Holstein IHK-SicherheitsPartnerschaft Schleswig-Holstein IHK Arbeitsgruppe Informationssicherheit & Recht Universität zu Lübeck: Institut für IT-Sicherheit Neuer Studiengang IT-Sicherheit seit Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 5

6 IT-Kosten und Ihre Bedeutung IT-Kosten: ein unbeliebtes Thema die Kosten steigen seit Jahren stetig an es handelt sich dabei nicht mehr um die unteren Positionen der Kostenrechnung, sondern die Kosten sind unter den Top 5 angekommen sie sind für die Entscheider / Geschäftsleitung oft schlecht nachvollziehbar die Kosten sind immer häufiger dienstleistungslastig gewünschte Tendenz: die Kosten sollen sinken Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 6

7 Die Technik im Wandel von drei auf der 40 in 19 Zeit Jahren Vergleich früher und heute 1999 Kopierer simple, kabelgebundene Netzwerke manuelle Schließanlage autarke Telefonanlage separate Mobiltelefone manuelle Bankgeschäfte Windows 98 und NT Stempelkarten Multifunktionsgeräte LAN und W-LAN elektronisches Schließsystem eingebundene Kommunikationslösungen Mobile Device Management Online-Banking Windows 10 & Server 2016 mit regelmäßigen Updates elektr. Zeiterfassung Virtualisierung Cloud Computing Verschlüsselung Social Media Archivierung Datenschutz digitale Steuerprüfung etc Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 7

8 Sichere IT-Prozesse! Sind Sie sicher? Die Geschäftsleitung geht, aufgrund fehlender eigener Möglichkeiten zur Kontrolle, davon aus, dass die in die IT verlagerten Prozesse sicher sind gegen Störungen der Vertraulichkeit, Verfügbarkeit, Integrität. Das Risikomanagement wird unkontrolliert an die IT-Mitarbeiter übertragen Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 8

9 Informationssicherheit Was bedeutet Informationssicherheit für Sie? Informationssicherheit bedeutet Gesamtbetrachtung Ihrer wertschöpfenden Prozesse unternehmensweite, einheitliche Informationshaltung Risikomanagement auf Geschäftsleitungsebene (Kontrolle zurückbekommen) nachhaltige, andauernde Betrachtung des Themas durch jährliche Wiedervorlage (führt zur stetigen Verbesserung bei Verringerung des anfänglichen Aufwands) Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 9

10 Risikomanagement Integration an der richtigen Stelle Nur wer über sämtliche Informationen verfügt, Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 10

11 Risikomanagement Integration an der richtigen Stelle Nur wer über sämtliche Informationen verfügt, kann Entscheidungen für das gesamte Unternehmen treffen Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 11

12 Praxisbeispiel: Krypto-Trojaner Integration an der richtigen Stelle Datensicherung/Wiederherstellung die Produktion wird mit IT-gestützten Prozessen durchgeführt die IT-Abteilung sichert die Daten gegen Datenverlust, nach eigener Abschätzung, mit einem täglichem Backup ab 16 Uhr Verschlüsselung der Anlage durch einen Krypto-Trojaner Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 12

13 Praxisbeispiel: Krypto-Trojaner Integration an der richtigen Stelle 16 Uhr Verschlüsselung der Anlage durch einen Krypto-Trojaner Der Geschäftsleitung ist bekannt, dass rechnungsrelevante Daten einmalig im Laufe des Tages erzeugt werden können. Folge: alle bis zu dem Zeitpunkt produzierten Produkte können nicht in Rechnung gestellt werden bei auftretendem Verschlüsselung muss die Geschäftsleitung entscheiden, für diesen Tag keine Rechnungen schreiben zu können Problem: dem IT-Mitarbeiter war dies nicht bekannt Verlust für das Unternehmen: 1 Tagesgewinn + Kosten für die Wiederherstellung des Betriebes Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 13

14 Praxisbeispiel aus von der drei auf Vergangenheit 40 in 19 Jahren Mangelnde Vorstellungskraft Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 14

15 Praxisbeispiel: Social von drei Engineering auf Jahren Technische, organisatorische und personelle Prävention Ausgangssituation: Ein Unternehmen mit 40 Mitarbeitern und einem hohen Grad an IT-gestützten Prozessen möchte seine IT-Sicherheit weiter verbessern. Vorschlag durch den IT-Verantwortlichen: Erweiterung der Firewall und einen noch besseren Virenscanner. Kosten für das gesamte Projekt: Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 15

16 Praxisbeispiel: Social von drei Engineering auf Jahren Technische, organisatorische und personelle Prävention Beurteilung der Situation: Diese Betrachtungsweise scheint, aus Sicht des IT- Verantwortlichen sehr sinnvoll. Der bestehende Schutz wird verbessert. Bei der Betrachtung unter Berücksichtigung der Informationssicherheit ergibt sich aber ein anderes Bild: Die vorgeschlagene Verbesserung der IT hebt den Schutz in diesem Bereich nur von sicher auf sehr sicher an. (Techn. Prävention) Empfehlenswertere Alternative: Einschränken der Administratorenrechte für alle Mitarbeiter auf lokalen Systemen und Notebooks. (Pers./Org. Prävention) Kosten: 99 (eine Arbeitsstunde) Folge: Die Sicherheit steigt in diesem Bereich von riskant auf sehr sicher. Sichtbar wurde diese Maßnahme nur durch den Fokus aus der Geschäftsleitung. Für den IT-Mitarbeiter bedeutet dies in der Regel mehr Arbeit, da nun mehr Nutzeranfragen entstehen. Deshalb betrachtet der IT-Mitarbeiter nachvollziehbar die Lösung als ineffektiv Wo fängt IT-Sicherheit an oder wo hört sie auf? / W&B Managed-IT-Services 16

17 Vielen Dank für Ihren Besuch! Gerne stehen wir Ihnen für Rückfragen zur Verfügung. Firmensitz: W&B GmbH Steinmetzstraße Lübeck Besucher-/Postadresse: Lübecker Straße Bad Schwartau Kontakt: Telefon: info@wb-net.de Homepage: Weitere Standorte: Hamburg Bremen W&B / Karsten Opitz /