IT- Sicherheitsmanagement

IT- Sicherheitsmanagement Wie sicher ist IT- Sicherheitsmanagement? Dipl. Inf. (FH) Jürgen Bader, medien forum freiburg

Zur Person Jürgen Bader ich bin in Freiburg zu Hause Informatikstudium an der FH Furtwangen selbständige Tätigkeit als Berater für Informationssicherheit in D und CH Schwerpunkt: Management von Informationssicherheit Mitglied beim medien forum freiburg und FRITSI 04. Oktober 2005 IT- Sicherheitsmanagement 2

Agenda Werbeblock Rundum sicher zur Studie Frühwarnindikatoren und ein paar Fakten IT- Sicherheitsmanagement Wie geht man es an? Bezug zur Studie Verfügbarkeit Fazit zurück zur Ausgangsfrage 04. Oktober 2005 IT- Sicherheitsmanagement 3

Rundum sicher (1) Situationen schnell und richtig bewerten Für die Zukunft müssen die bestehenden Systeme zu einem Gesamtsystem verknüpft werden. Sieben Stufen zur integrierten Sicherheit Die grundlegende Idee dabei ist immer dieselbe: Risiken möglichst vermeiden und wenn sie sich nicht vermeiden lassen, sollte man sie frühzeitig erkennen, um die Folgen zu mindern. 04. Oktober 2005 IT- Sicherheitsmanagement 4

Rundum sicher (2) Das Sicherheitskonzept. Alles unter Kontrolle. Das innovative Sicherheitssystem ist immer da, wenn Sie es brauchen. Eine Vielzahl aktiver und passiver Sicherheitssysteme sind perfekt aufeinander abgestimmt. Sie sind alle untereinander vernetzt. Auf Ausnahmesituationen gut vorbereitet Da ist es gut zu wissen, dass Unbefugten der Zugriff schwer gemacht wird. 04. Oktober 2005 IT- Sicherheitsmanagement 5

Sicherheit ist Standard aber nur in der Automobilbranche Alle vorherigen Zitate stammen aus der Autowerbung! 04. Oktober 2005 IT- Sicherheitsmanagement 6

Zur Studie (1) Frühwarnindikatoren für den Mittelstand Online Befragung von 8000 KMU aus BW im Oktober / November 2004 Unternehmen und öffentliche Einrichtungen aus 19 Branchen Erkennung von Risikofaktoren und Schwachstellen 43 vorgegebene Frühwarnindikatoren aus unterschiedlichen Bereichen, darunter auch die Informationstechnik 04. Oktober 2005 IT- Sicherheitsmanagement 7

Zur Studie (2) Bedeutung der Frühwarnindikatoren - Bereiche 04. Oktober 2005 IT- Sicherheitsmanagement 8

Zur Studie (3) Bedeutung der Frühwarnindikatoren IT- Bereich 04. Oktober 2005 IT- Sicherheitsmanagement 9

Zur Studie (4) Bedeutung der Frühwarnindikatoren nach Gruppen 04. Oktober 2005 IT- Sicherheitsmanagement 10

Zur Studie (5) Bedeutung der Frühwarnindikatoren - Rangliste Tabellenanfang 04. Oktober 2005 IT- Sicherheitsmanagement 11

Zur Studie (6) Bedeutung der Frühwarnindikatoren - Rangliste und Tabellenende 04. Oktober 2005 IT- Sicherheitsmanagement 12

Zur Studie mein Fazit wichtigster Indikator ist die Verfügbarkeit bedenklich ist, dass die Einhaltung rechtlicher Erfordernisse und unternehmensinterner Vorschriften (Compliance) auf dem letzten Platz gelandet ist Informationssicherheit ist immer noch kein Management-Thema, weil ein effektives und effizientes IT- Sicherheitsmanagement fehlt 04. Oktober 2005 IT- Sicherheitsmanagement 13

Zur Studie mein Fazit Achtung Gesetz! KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) Betriebe sind verpflichtet ein effizientes Risikomanagement einzuführen. Firmenleitung ist verpflichtet ein angemessenes Sicherheitsniveau zu gewährleisten. Bei Verletzung Ihrer Pflichten sind Vorstände / Geschäftsleitung persönlich zum Schadensersatz verpflichtet. 04. Oktober 2005 IT- Sicherheitsmanagement 14

Aber Wir haben doch Sicherheitsmaßnahmen! Es gibt bei uns Firewall, Virenscanner, usw. Was soll ein IT- Sicherheitsmanagement bringen? Was das wieder kostet! Wo ist der Nutzen? Dafür ist unser Unternehmen zu klein. 04. Oktober 2005 IT- Sicherheitsmanagement 15

einige Gegen- Aber Wie und wie oft überprüfen Sie die Wirksamkeit Ihrer Sicherheitsmaßnahmen? Sind Ihre Sicherheitsabläufe nachvollziehbar? Wie hoch ist der Wert Ihrer Daten? zur Kosten / Nutzen Diskussion Haben Sie schon mal einen Autokäufer mit einem Autohändler über den ROI eines Airbag diskutieren hören? CIO im Knast, was kostet das? 04. Oktober 2005 IT- Sicherheitsmanagement 16

und Fakten 04. Oktober 2005 IT- Sicherheitsmanagement 17

und Fakten 04. Oktober 2005 IT- Sicherheitsmanagement 18

und Fakten Nach Angaben von IT-Verantwortlichen in 330 befragten kleinen Unternehmen in Deutschland, Frankreich und England messen diese ihren Computerdaten durchschnittlich einen Wert von ca. 254.000 bei. 04. Oktober 2005 IT- Sicherheitsmanagement 19

Was will ich damit sagen? Trotz Super - Massnahmen werden Schäden durch Angriffe größer Haftung und Gesetze spielen eine zunehmend wichtigere Rolle für die Informationssicherheit ROI- Diskussion tritt in den Hintergrund Es gibt Unternehmen, die sich über den Wert Ihrer Informationen bewusst sind => Es fehlt an Management 04. Oktober 2005 IT- Sicherheitsmanagement 20

IT- Sicherheitsmanagement Worum geht es? Was will man erreichen? Wie geht man es an? 04. Oktober 2005 IT- Sicherheitsmanagement 21

ITS Worum geht es? Informationssicherheit ist in das Führungssystem von Unternehmen zu integrieren Basis sind anerkannte Normen wie Grundschutzhandbuch BSI ISO 17799/BS 7799-2 COBIT u.a. 04. Oktober 2005 IT- Sicherheitsmanagement 22

ITS Was will man erreichen? die Definition und systematische Umsetzung von Informationssicherheitspolitik ein effektives und effizientes Risikomanagement eine wirksame Überwachung und Verbesserung der Informationssicherheit eine Gewährleistung von Gesetzeskonformität und Einhalt von vertraglichen Grundlagen Qualitätsmanagement in der Informationssicherheit 04. Oktober 2005 IT- Sicherheitsmanagement 23

ITS Wie geht man es an? Ziel Frühwarnindikatoren zu beobachten und sicherheitsrelevante Vorfälle zu bemerken, um mit angemessener Handlungsweise auf mögliche Gefahren reagieren zu können und zwar bevor ein gravierendes Sicherheitsproblem im Unternehmen auftritt. 04. Oktober 2005 IT- Sicherheitsmanagement 24

ITS Wie geht man es an? Sicherheits- Summary erstellen Analog zu einem Management- Summary bei Dokumenten, muss für die Informationssicherheit ein Überblick über den aktuellen Status erstellt werden. Wenig Technik, da auch GL / Management dies verstehen sollen! 04. Oktober 2005 IT- Sicherheitsmanagement 25

Sicherheits-Summary- konkret Überprüfung des konzeptionellen, organisatorischen und technischen Umfeldes im Unternehmen Basis ISO 17799 / BS 7799-2 Fragenkatalog aus 10 Bereichen vertiefende Fragen für Schwachstellenanalyse Aufdeckung von Verbesserungspotenzialen Ergebnis- Präsentation im Unternehmen mit IT- Verantwortlichen und Geschäftsleitung 04. Oktober 2005 IT- Sicherheitsmanagement 26

Sicherheits-Summary- konkret Auswertung mit QIS.isms 04. Oktober 2005 IT- Sicherheitsmanagement 27

Bezug zur Studie- Verfügbarkeit Definition nach ISO 17799: Gewährleistung, dass berechtigte Anwender nach Bedarf Zugang zu Informationen und verwandten oder zugehörigen Werten haben. oder kurz: zur rechten Zeit am rechten Ort 04. Oktober 2005 IT- Sicherheitsmanagement 28

Verfügbarkeit im Summary Notfallplan Gerätesicherheit Datensicherung Wo steckt die Verfügbarkeit? 04. Oktober 2005 IT- Sicherheitsmanagement 29

Verfügbarkeit - Aspekte wird durch verschiedene Prozesse bestimmt: Unternehmensprozesse Womit verdient man sein Geld? -> BCM Sicherheitsprozesse IT- Sicherheitsmanagement mit konzeptionellen, organisatorischen und technischen Massnahmen -> z.b. Datensicherung, Notfallplan, Gerätesicherheit Anforderungen von Nutzern Bewertungsrahmen Wie messe ich Verfügbarkeit? 04. Oktober 2005 IT- Sicherheitsmanagement 30

Verfügbarkeit- Frühwarnindikatoren Für Frühwarnindikatoren - schon zu spät! 04. Oktober 2005 IT- Sicherheitsmanagement 31

Verfügbarkeit- in der Praxis Welches sind meine kritischen Geschäftsprozesse? -> Analyse Ihrer Geschäftsabläufe Welche Infrastruktur wird benötigt? -> IT Strukturanalyse -> Hardware- und Software- Inventar -> Informationswerte- Inventar 04. Oktober 2005 IT- Sicherheitsmanagement 32

Verfügbarkeit- in der Praxis Welche Verfügbarkeit muss gewährleistet sein, um mein Geschäft am Leben zu halten? Hier fließen auch Anforderungen von Nutzern ein. Wie messe ich Verfügbarkeit? -> Service Level Management Welche Risiken bedrohen meine Geschäftsprozesse und damit die Verfügbarkeit von Informationen? -> Risikoanalyse und Bewertung 04. Oktober 2005 IT- Sicherheitsmanagement 33

Verfügbarkeit- in der Praxis Welche Massnahmen zur Sicherstellung der Verfügbarkeit sind getroffen? -> IT Sicherheitskonzept -> Umsetzung der Massnahmen Wie ist die Wirksamkeit der Massnahmen? -> Audit -> Qualitätsmanagement Welche Verbesserungen oder weitere Massnahmen sind erforderlich? -> kontinuierliche Verbesserung (Kaizen) 04. Oktober 2005 IT- Sicherheitsmanagement 34

Verfügbarkeit- SLM Service Level Überprüfung SLA Service Level Agreement Agreement Frühwarnindikatoren Mess-Tool Vertragspartner SLM - Service Level Management 04. Oktober 2005 IT- Sicherheitsmanagement 35

Fazit- zur Ausgangsfrage Wie sicher ist IT- Sicherheitsmanagement? IT- Sicherheitsmanagement ist die Voraussetzung, um Frühwarnindikatoren in der Informationstechnik zu erkennen. Technische Sicherheitsmassnahmen alleine können die Informationssicherheit im Unternehmen nicht garantieren. Effektive und effiziente Informationssicherheit ist nur mit IT- Sicherheitsmanagement möglich. 04. Oktober 2005 IT- Sicherheitsmanagement 36

Fazit- zur Ausgangsfrage Führungs- Struktur Führungs- Instrumente Sicherheits- Konzept Management- Verantwortung Auftrag (Policy) Kontrollgremium Definiertes Vorgehen Kontroll- Instrumente Nachvollzug der Entscheidungen Risiko- Bewältigung Sicherheits- Konzeption Betrieb BS 7799-2 ISO 17799 04. Oktober 2005 IT- Sicherheitsmanagement 37

Fazit- Vorteile von IT- Sicherheitsmanagement Messbarkeit der Sicherheit Qualitätsmanagement in Informations-Sicherheit Zertifizierung der Sicherheit Integration in Führungsund Betriebsstruktur Gewährleistung der Gesetzes-Konformität Transparenz und Kontrolle der Wirksamkeit Optimierung bzgl. Effizienz und Effektivität Vertrauen bei Kunden, Lieferanten und Partnern Vorbereitung auf denkbare Vorfälle und Risiken Reduziertes Haftungs- Risiko von VR und GL 04. Oktober 2005 IT- Sicherheitsmanagement 38

Fazit- zur Ausgangsfrage IT- Sicherheitsmanagement ist für KMU unerlässlich! 04. Oktober 2005 IT- Sicherheitsmanagement 39

Informationen Vielen Dank für Aufmerksamkeit! Meine Internetseite: www.brsecure.de Medienforum Freiburg: www.mff.net FRITSI: www.fritsi.de 04. Oktober 2005 IT- Sicherheitsmanagement 40