IT-Risikomanagement II

Transkript

1 T-Services & Consulting T-Risikomanagement NETexpress GmbH solutions & more

2 Agenda Risiken bewerten Bewertung Eintrittswahrscheinlichkeit Bewertung Schadensausmaß Ablauf Analyse Beispiel Workflow Zusammenfassung 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

3 Risiken bewerten Risikoaufteilung in 3 Bereiche l Akzeptanzbereich (grün) l Kritischer Bereich (gelb) l Gefahrenbereich (rot) Fokussierung auf die wichtigen Risiken Risikofaktor = Eintrittswahrscheinlichkeit * Schadensausmaß 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

4 Score Eintrittswahrscheinlichkeit sehr hoch (Score 5) Ohne redundante Ausstattung hoch (Score 4) Mit Raid-System und USV Anbindung mittel (Score 3) Physikalischer Server mit redundanter Ausstattung oder Cold Standby niedrig (Score 2) Virtuelle Systeme mit redundanter Auslegung oder Hot Standby gering (Score 1) Software-Cluster auf virtuellen Systemen mit redundanter Auslegung 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

5 Score weitere Faktoren Überwachung der Systeme (Hard-Software Monitoring) Dokumentation Redundanz nventarisierung Wartungsverträge Hotline ggf. Kostenübernahmeerklärung Dokumentation Fehlersuche Verfügbarkeit der Administratoren Downtime für Wartungsarbeiten Worklog / Ticketsystem Score 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

6 Score Sicherheit Regelmäßige Systemupdates Zeitnahe Sicherheitsupdates 3 rd Party Software Protokollierung der sicherheitsrelevanten Systeme Backup / Wiederherstellung Sichere Passwörter / 2 Faktor Authentifizierung Verschlüsselte Verbindungen und Daten Score 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

7 Zu erwartender monetärer Schaden Sehr hoch (5) Alle Mitarbeiter und Verbindungen sind betroffen > Betriebsrelevante Anwendungen sind betroffen Hoch (4) Einzelne Abteilungen sind betroffen < Einzelne Hardwarekomponenten sind betroffen Mittel (3) Nicht betriebsrelevante Anwendungen sind betroffen < Ausfallsysteme sind betroffen Klein (2) Einzelne Mitarbeiter sind betroffen < Gering (1) Ausfall von nicht relevanten Anwendungen = NETexpress GmbH - Ein Unternehmen der PXEL Group -

8 Ablauf Analyse Festlegen der Verfügbarkeitsanforderung Definition der weiteren Faktoren und Sicherheitsanforderungen Absprache und Festlegung der Workflows mit den Fachabteilungen Absprache der Schadenausmaßbewertung mit den Fachabteilungen und der Geschäftsleitung Erstellung der Dokumentation zu den einzelnen Workflows Bewertung der Workflows 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

9 Analyse Workflow Client Verfügbarkeit (Score 3) Cold Standby Monitoring (Score 1) Kein Monitoring Dokumentation (Score 0) Dokumentation vorhanden Administratoren (Score 0) 8x5 verfügbar Sicherheit (Score 0) Sicherheitsanforderung wird erfüllt gesamt Score NETexpress GmbH - Ein Unternehmen der PXEL Group -

10 Analyse Workflow nfrastruktur Verfügbarkeit (Score 2) Hot Standby Monitoring (Score 0) Monitoring vorhanden Dokumentation (Score 0) Dokumentation vorhanden Administratoren (Score 1) nur 8x5 verfügbar Sicherheit (Score 0) Sicherheitsanforderung wird erfüllt gesamt Score NETexpress GmbH - Ein Unternehmen der PXEL Group -

11 Analyse Workflow Verfügbarkeit (Score 1) Virtuelles System mit Software-Cluster Monitoring (Score 0) Monitoring vorhanden Dokumentation (Score 0) Dokumentation vorhanden Administratoren (Score 1) nicht immer verfügbar Sicherheit (Score 0) Sicherheitsanforderung wird erfüllt gesamt Score NETexpress GmbH - Ein Unternehmen der PXEL Group -

12 Analyse Workflow nfrastruktur Server DNS -Server DHCP-Server 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

13 Analyse Workflow Verfügbarkeit (Score 3) Cold Standby Monitoring (Score 0) Monitoring vorhanden Dokumentation (Score 0) Dokumentation vorhanden Administratoren (Score 0) 8x5 verfügbar Sicherheit (Score 0) Sicherheitsanforderung wird erfüllt gesamt Score NETexpress GmbH - Ein Unternehmen der PXEL Group -

14 Analyse Workflow nternet Verfügbarkeit (Score 5) ohne Redundanz Monitoring (Score 1) kein Monitoring vorhanden Dokumentation (Score 0) Dokumentation vorhanden Administratoren (Score 0) 7*24 verfügbar Sicherheit (Score 0) Sicherheitsanforderung wird erfüllt gesamt Score NETexpress GmbH - Ein Unternehmen der PXEL Group -

15 Analyse Workflow Client nfrastruktur -Server Firewall nternet Score 4 Score 3 Score 2 Score 3 Score 6 Score Verfügbarkeit 3,6 Mittelwert Score Schadensausmaß 3 Risikofaktor = 10, NETexpress GmbH - Ein Unternehmen der PXEL Group -

16 Zusammenfassung Einheitliche Festlegen der Bewertungskriterien Workflows erstellen Bewertung der einzelnen Workflows Dokumentation der Risikoanalyse Präsentation der Risikoanalyse Projekte zur Verbesserung der Verfügbarkeit Regelmäßige Überprüfung der Workflows 2015 NETexpress GmbH - Ein Unternehmen der PXEL Group -

17 Quellen Bundesamt für Sicherheit in der nformationstechnik nstitut für nternet-sicherheit - Westfälische Hochschule NETexpress GmbH - Ein Unternehmen der PXEL Group -

18 NETexpress Network Solutions GmbH Lochhamer Schlag 17 D Gräfelfing Tel.: +49/89/ Fax: +49/89/ NETexpress GmbH Ein Unternehmen der PXEL Group