FORUM Gesellschaft für Informationssicherheit mbh. GenoBankSafe-IT Der IT-Sicherheitsmanager

Transkript

1 FORUM Gesellschaft für Informationssicherheit mbh GenoBankSafe-IT Der IT-Sicherheitsmanager

2 Was leistet die Software und wozu wird sie benötigt? GenoBankSafe-IT bietet ein vollständiges IT-Sicherheitskonzept für Banken in Form einer Lotus Domino Anwendung und verfügt darüber hinaus über eine integrierte Notfallplanung. Ein besonderer Vorteil für die Bank liegt darin, dass GenoBankSafe-IT durch erweiterte Unterstützungsfunktionen sämtliche Aufgaben des IT-Sicherheitsprozesses begleitet. Dadurch wird eine gleichbleibende Qualität in Bezug auf die IT- Sicherheit erreicht. Der IT-Sicherheitsprozess und damit auch gleichzeitig die Einführung von GenoBankSafe-IT werden in fünf Schritten vollzogen (siehe Abbildung). GenoBankSafe-IT einführen Im ersten Schritt werden, ausgehend von den Geschäftsprozessen der Bank, die IT-Schutzobjekte Anwendungen, Systeme sowie Infrastruktur ermittelt und beschrieben. Dabei ist auch zu definieren, ob die IT-Schutzobjekte durch externe Dienstleistungsunternehmen (z. B. Rechenzentralen) oder durch die Bank selbst betrieben werden. Informationen über Aufgabenverteilungen zwischen Bank und Rechenzentrale können direkt am IT-Schutzobjekt hinterlegt werden. Damit trägt GenoBankSafe-IT der sehr weitreichenden Zusammenarbeit zwischen Banken und IT-Dienstleister im genossenschaftlichen Verbund Rechnung. IT-Sicherheitsmaßnahmen werden festgelegt. Für geschäftskritische IT-Schutzobjekte wird ein Notfallplan erstellt. 3 4 Für alle IT-Schutzobjekte wird eine standardisierte Schutzbedarfsanalyse erstellt. 2 Software Der Sicherheitsprozess wird in der Bank etabliert. 5 Es werden IT-Schutzobjekte als Anwendungen und Systeme sowie die Infrastruktur identifiziert und beschrieben. 1 Beratung Seminare 2

3 Anforderungen nach MaRisk AT 7.2 erfüllen. Im zweiten Schritt werden alle IT-Schutzobjekte einer standardisierten Schutzbedarfsanalyse unterzogen. Dadurch entsteht ein Risikoprofil für die gesamte IT der Bank. Auf dieser Basis wird das IT-Sicherheitsmanagement einschließlich der Notfallplanung konsequent risikoorientiert umgesetzt. Im dritten Schritt werden alle IT-Sicherheitsmaßnahmen festgelegt, die sich aus den Ergebnissen der Schutzbedarfsanalyse ableiten lassen. Im vierten Schritt wird für jedes geschäftskritische IT-Schutzobjekt ein objektspezifischer Muster-Notfallplan hinterlegt. Dies ist die Basis für das Notfallhandbuch, das automatisch aufgrund der hinterlegten Informationen von GenoBankSafe-IT in strukturierter Form erzeugt wird. Der fünfte Schritt bei der Einführung von GenoBankSafe-IT dient dem Zweck, den IT-Sicherheitsprozess dauerhaft zu machen. Hierzu verfügt GenoBankSafe-IT über einen Aktualisierungs-Workflow. Mittels eines Kontrollintervalls, das für jedes Schutzobjekt individuell festgesetzt werden kann, werden die zugeordneten Personen an die Überprüfung der Schutzobjekte erinnert (Wiedervorlagefunktion). Wird der Wiedervorlagetermin erreicht, ist die Maßnahme auf Vollständigkeit und Aktualität zu überprüfen. Neben diesen fünf Schritten, die der Anwender mit Hilfe von GenoBankSafe-IT durchlaufen kann, zeichnet sich das Programm dadurch aus, dass es am geltenden Standard ISO ausgerichtet ist. Das BaFin Rundschreiben (MaRisk) 15/2009 vom gibt auf der Grundlage des 25a Abs. 1 des Kreditwesengesetzes (KWG) einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikomanagements einer Genossenschaftsbank vor. Es präzisiert ferner die Anforderungen der 25a Abs. 1a und Abs. 2 KWG (Risikomanagement auf Gruppenebene, Outsourcing). Im Allgemeinen Teil (AT) des Rundschreibens wird in Punkt 7.2 Satz 2 ausgeführt: Die IT-Systeme (Hard- und Software- Komponenten) und die zugehörigen IT-Prozesse müssen die Integrität, die Verfügbarkeit, die Authentizität sowie die Vertraulichkeit der Daten sicherstellen. Sicherheitsvorkehrungen die diesem Anspruch Rechnung tragen, sind genau dann angemessen, wenn sie folgende Ziele erfüllen: Vertraulichkeit Bedeutet den Schutz vor unbefugter Kenntnisnahme, Preisgabe oder Weitergabe von betrieblichen Daten. Integrität Bedeutet, dass die Daten unverändert und vollständig sind. Authentizität Wird oft als Unterthema der Integrität definiert und heißt, dass die Daten zuverlässig und glaubwürdig sind. Dazu wird die Herkunft der Daten betrachtet. Verfügbarkeit Bedeutet, dass die Daten und IT-Funktionen zum geforderten Zeitpunkt zur Verfügung stehen. Eine angemessene Verfügbarkeit wird durch die Maßnahmen zur Notfallvorsorge und zur Notfallplanung sichergestellt. Die Notfallplanung ist damit Teil des IT-Sicherheitsmanagements. Aus den genannten Zielen lassen sich die Aufgaben des IT- Sicherheitsmanagements klar ableiten: Das IT-Sicherheitsmanagement der Bank muss den Schutzbedarf der zum Einsatz kommenden IT, bestehend aus Hard- und Software, jeweils feststellen und darauf aufbauend entsprechende Maßnahmen systematisch planen, implementieren und kontrollieren, so dass die Bank insgesamt über angemessene IT-Sicherheitsvorkehrungen verfügt. GenoBankSafe-IT bietet eine optimale Unterstützung bei der Einführung eines IT-Sicherheitsmanagements. Auf Wunsch kann die Einführung durch erfahrene Mitarbeiter der FORUM begleitet und unterstützt werden. 3

4 Einfach zu bedienen Spart Zeit und Kosten Revisionssicher und vielfach bewährt 1 2 Die intuitive Benutzerführung erleichtert das Erlernen des Systems. GenoBankSafe-IT ist einfach zu installieren und dennoch sicher. Mehrere Benutzer können gleichzeitig an Schutzobjekten arbeiten. Natürlich nur entsprechend ihrer Berechtigungen. Umfangreiche Plausibilitätsprüfungen führen zu einem konsistenten Datenbestand. Das mitgelieferte Benutzerhandbuch ist aktuell und umfassend. Vorlagen für Schutzobjekte, Richtlinien und Standardgeschäftsprozesse sind auf die Bedürfnisse von Genossenschaftsbanken zugeschnitten. Die im System vorhandenen Vorlagen für die Schutzobjekte werden regelmäßig an die Gesetzesänderungen angepasst und den Kunden im Rahmen der Softwarewartung zur Verfügung gestellt. Der gesamte IT-Sicherheitsprozess, von der IT-Sicherheitsleitlinie über Arbeitsanweisungen bis hin zu speziellen objektbezogenen Sicherheitsmaßnahmen, kann in GenoBankSafe-IT revisionssicher dokumentiert werden. Um Revisionssicherheit zu gewährleisten, werden alle Dokumente, die mit einem Kontrollkreislauf versehen sind, bei der Bearbeitung nicht überschrieben, sondern archiviert. Sobald ein Dokument mit Status umgesetzt wieder zur Bearbeitung geöffnet wird, erstellt GenoBankSafe-IT eine Kopie dieses Dokuments. Das alte Dokument kann nicht mehr verändert werden, es hat aber noch so lange Gültigkeit, bis das neue Dokument (die Kopie) wieder umgesetzt ist. Sobald das neue Dokument umgesetzt und damit gültig ist, verliert das alte seine Gültigkeit und wird archiviert. Gegenwärtig setzen über 200 Banken GenoBankSafe-IT ein. Aufgrund seiner Modularität und der großen Praxisnähe ist es für Banken aller Größenordnungen geeignet. Vorlagen, die auf spezifische Rechenzentrums- oder Verbandszugehörigkeit abgestimmt sind, erleichtern die Einführung. Durch spezifische Vorlagen wird den unterschiedlichen Situationen von agree und Bank21 Rechnung getragen. Dies minimiert den zeitlichen und finanziellen Aufwand. 1 Erklärung der verwendeten Symbole in GenoBankSafe-IT 2 Auswertungsmöglichkeiten 4

5 Vom Allgemeinen ins Spezielle Damit die IT auch im Notfall verfügbar ist 3 4 GenoBankSafe-IT ermöglicht die Risikobetrachtung aus der Sicht der Geschäftsprozesse. In den Vorgaben von GenoBankSafe-IT sind die standardisierten BVR-Geschäftsprozesse enthalten. Die Risikobetrachtung kann daher bei den Geschäftsprozessen und ihren Abhängigkeit von den entsprechenden Anwendungen beginnen. Die Bank erhält bei dieser Vorgehensweise eine durchgehende Risikoeinschätzung, von den Geschäftsprozessen über die Anwendungen und Systeme bis zu der Infrastruktur. Damit werden die IT-Komponenten nicht isoliert betrachtet, sondern im Kontext ihrer Bedeutung für die Geschäftsprozesse der Bank gesehen. Schnittstellen zu anderen Systemen ermöglichen die Nutzung von bereits vorhandenen Informationen. Gegenwärtig sind Schnittstellen zu folgenden Systemen vorhanden: Import FIDUCIA K-Fall- / Notfallhandbuch Übergabe von Informationen zu offenen Aufgaben und zur Wiedervorlage an COSMOS (FIDUCIA IT AG) Übernahme von Informationen zu selbst erstellten Anwendungen aus der Software EiDo (Fa. Werstein) (Voraussichtlich 12/2010). 3 Geschäftsprozesse in GenoBankSafe-IT 4 Übersicht Sofortmaßnahmen im Notfall Die Notfallplanung besteht generell aus zwei Aspekten: 1. Der Prävention, auch Notfallvorsorge genannt, und 2. Reaktion, die auch als der Wiederherstellung bezeichnet wird. In den MaRisk (BaFin Rundschreiben 15 / 2009) sind diese zwei Aspekte mit den Begriffen Geschäftsfortführung und Wiederanlauf explizit genannt (AT 7.3). Vorsorge-Maßnahmen haben das Ziel, das Eintreten eines Notfalls zu verhindern. Geschäftsfortführungspläne dienen der Sicherung der Betriebsfähigkeit, ggfs. zumindest einer eingeschränkten Betriebsfähigkeit. Kommt es dennoch zu einem Notfall, so hat die Wiederherstellung das Ziel, die Betriebsfähigkeit schnellstmöglich wiederherzustellen. Die Notfallplanung muss in einem Notfallhandbuch dokumentiert werden. Bei GenoBankSafe-IT ist das Notfallhandbuch integraler Bestandteil des IT-Sicherheitsmanagements. Für jedes IT-Schutzobjekt wird zunächst definiert, wann ein Notfall eintritt. Hierzu wird eine maximal tolerierbare Ausfallzeit angegeben. Wenn diese tolerierbare Zeit überschritten wird, liegt ein Notfall vor und die hinterlegten Pläne zur Wiederherstellung des Systems kommen zum Tragen. Für die wesentlichen Geschäftsprozesse können geeignete Notfallpläne hinterlegt werden, welche die Anforderungen in bezug auf die Aspekte Geschäftsfortführung und Wiederanlauf erfüllen. 5

6 FORUM Gesellschaft für Informationssicherheit mbh Margaretenstr Bonn Tel.: forum@forum-is.de