Wie viel IT-Sicherheit braucht mein Unternehmen?

Was ist IT-Sicherheit? Prozess Chefsache Management-Tool Notwendigkeit

Warum IT-Sicherheit? Gesetze Rechtsverordnungen Kunden Öffentlichkeit Geschäftspartner Vorgesetzte Rechnungshöfe interne Vorschriften Wirtschaftsprüfer Innenrevision

Was muss IT-sicher sein? Prozesse Fachverfahren Informationen Ressourcen Schutz der Vertraulichkeit Schutz der Integrität Schutz der Verfügbarkeit Schutz vor Rechtsverstößen eine bestimmte Information ausschließlich dem zuständigen Anwender unversehrt und korrekt zur rechten Zeit am rechten Ort Einhaltung von gesetzlichen und sonstigen Anforderungen Schutz vor Missbrauch

Ganzheitlichkeit der IT-Sicherheit Business Continuity Management (BCP) Systementwicklung und -wartung Einhaltung der Verpflichtungen Sicherheitspolitik 10 9 8 100 75 7 6 Zugangskontrolle Notfallplanung (DRP) Organisatorische Sicherheit Einstufung und Kontrolle der Werte 1 2 3 50 25 0 4 5 Physische und umgebungsbezogene Sicherheit Personelle Sicherheit

IT-Sicherheitsmanagement IT-Sicherheitsmanagement ist ein Tool der Unternehmensleitung zur Erreichung der Geschäftsziele. IT-Sicherheitsmanagement ist primär Aufgabe des Managements, nicht der Technik IT-Sicherheitsmanagement ist zu 30% Strategie, 50% Organisation und nur zu 20% Technik IT-Management muss Bestandteil des Internen Kontrollsystems (IKS) unterliegen zum Beispiel durch interne Revision / externe Revision (Wirtschaftsprüfer etc.) Bei Verstößen gegen IT-Sicherheitsvorschriften kann persönliche Haftung des Managements für Schäden entstehen

Wie gehe ich vor? Hilfsmittel Vorgehensweisen Standards Tools

ISO 27001 / ISO 27001 nach Grundschutz Einziger internationaler zertifizierungsfähiger Standard für Informationssicherheitsmanagementsystem (ISMS) Verfügbar in Deutsch und Englisch Kontrollziele sind Verfügbarkeit, Integrität, Vertraulichkeit und Gesetzeskonformität Basiert auf BS7799-2, und BSI IT-Grundschutz Hoher Detaillierungsgrad

Struktur ISO 27001 auf Basis Grundschutz BSI 100-1 Beschreibung ISMS BSI 100-2 Vorgehen BSI 100-3 Risikoanalyse Gefährdungs- und Maßnahmenkataloge

BSI IT-GSTool 3.1 SP1

Vorgehensmodell IT-Strukturanalyse Erfassung der IT und der IT-Anwendungen Gruppenbildung Schutzbedarfsfeststellung Ergänzende Risiko- und Sicherheitsanalyse Bei hohem Schutzbedarf Bei zusätzlichem Analysebedarf IT-Grundschutzanalyse Modellierung nach IT-Grundschutz Basis-Sicherheitscheck mit Soll-Ist-Vergleich Realisierungsplanung Konsolidierung der Maßnahmen Umsetzungsplan

IT-Strukturanalyse Die IT-Strukturanalyse dient der Vorerhebung von Informationen, die für die weitere Vorgehensweise nach IT-Grundschutz benötigt werden. Sie gliedert sich in folgende Teilaufgaben: Netzplanerhebung Komplexitätsreduktion durch Gruppenbildung Erhebung der IT-Systeme Erfassung der IT-Anwendungen und der zugehörigen Informationen Aufwand: ca. 15-20 Manntage intern, 5-10 Manntage extern Ergebnis ist eine angemessen detaillierte und aktuelle Dokumentation über den IT-Verbund.

Schutzbedarfsfeststellung Ziel der Schutzbedarfsfeststellung ist es, für jede erfasste IT- Anwendung einschließlich ihrer Daten zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzt. Dieser Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen IT-Anwendung verbunden sind. Aufwand: ca. 3-5 Manntage intern, 2-3 Manntage extern Ergebnis ist eine Klassifizierung der IT-Ressourcen.

IT-Grundschutzanalyse Abbildung des IT- Verbundes auf das GSHB (Modellierung) Ableitung der Maßnahmen Soll-Ist-Vergleich Aufwand: ca. 15 Manntage intern, Ca. 5 Manntage extern Schicht 1: Schicht 2: Schicht 3: Schicht 4: Schicht 5: Übergreifende Aspekte Infrastruktur IT-Systeme Netze IT-Anwendungen

ISO 27001 Zertifikat Ohne Zertifikat kein wirklicher objektiver Nachweis der Zuverlässigkeit eines Dienstleisters bzgl. seiner IT-Sicherheit Dokumentation der IT-Sicherheit nach Innen und Außen Nachweis der Einhaltung von gesetzlichen Vorschriften Strukturierter Ansatz ermöglicht Kostenoptimierung Günstigere Versicherungspolicen / Besseres Basel II-Ranking Synergieeffekte zu anderen Zertifizierungen (z.b. ISO 9001, ISO 20000 / ITIL) Persönliche Absicherung des Managements

Evolutionsstufen - Reifegrade 1. IT-Security als Technik-Thema 2. IT-Security als Management-Thema 3. IT-Security als Alleinstellungsmerkmal 4. IT-Security in Integration zu anderen Managementsystemen (ISO9001, ITIL) 5. IT-Security in Businesstreiber

Zusammenfassung Sicherheit ist die Basis für Teilname am Geschäftsverkehr, Beispielsweise in der Finanzund Automobilindustrie IT-Sicherheitszertifizierung nach ISO 27001 ist Eintrittskarte bzw. Businesstreiber Ohne Zertifikat kein wirklicher objektiver Nachweis der Zuverlässigkeit eines Dienstleisters bzgl. seiner IT-Sicherheit Ausgangsbasis für IT-Sicherheit ist das IT-Sicherheitsmanagement Grundlage aller IT-Sicherheitsmaßnahmen kann das BSI IT-Grundschutzhandbuch sein Besonders wichtig ist das Notfallmanagement (Wiederanlaufverfahren, Notfallhandbücher, und Alarmierungspläne) Basis von allem ist eine aktuelle, vollständige und korrekte Dokumentation (Prozessdokumentation -> Dop Down IT-Dokumentation -> Bottom Up)

Knud Brandis www.persicon.com kbrandis@persicon.com