Informationssicherheit Möglichkeiten der Umsetzung in kleinen und mittelständischen Unternehmen und Organisationen Dr. Thomas Kemmerich kemmer@tzi.de Tel.: 0421 218 63910 http://www-rn.informatik.uni-bremen.de/kemmer/index.html 1 1 0. Braucht ein KMU Informationssicherheit? Informationssicherheit Warum beschäftigen wir uns nicht damit? Darum kümmert sich der IT-Administrator Ich habe einen Virenscanner und eine Firewall Meine Daten interessieren niemanden Dafür habe ich keine Zeit / kein Budget Das ist doch nicht unser Kerngeschäft Das ist bisher immer gut gegangen Darum kümmern wir uns später.. Verfügbarkeit Integrität Vertraulichkeit Datenschutz Es gibt viele Argumente, warum man sich gerade jetzt nicht mit Informationssicherheit auseinandersetzen kann! 2 2
0. Braucht ein KMU Informationssicherheit? Wann beschäftigen sich KMU mit Informationssicherheit? wenn sie gut informiert sind nach einem Sicherheitsvorfall bei wirtschaftlicher Notwendigkeit um einen Überblick über die eigene Situation zu erhalten wenn Budget vorhanden ist wenn der Aufwand überschaubar ist wenn intern die Akzeptanz vorhanden ist nach negativen Presseberichten über Andere KMU : Kleine und mittelständische Unternehmen 3 3 1. Standards ISO 27001 nativ und ISO 27001 nach BSI IT-Grundschutz beschreiben Informationssicherheits Management Systeme (ISMS) Detaillierungsgrad der Regelungen IT-Management Unternehmensleitung 5.3 Informationssicherheits Managementsysteme (ISMS) Systemadministration Revision Kontrolle IT-Sicherheitsleitlinie Betrieb IT-Sicherheitsmanagement IT-Sicherheitskonzept Planung Umsetzung Schulung 4 4
2. Quick Security Checks KMU benötigen: schlanke, flexible Maßnahmen zur Einführung von ISMS ---> Quick Security Checks 1-3 Tage überschaubarer interner Aufwand Geschäftsführung häufig nicht verfügbar 5 5 2. Quick Security Checks Quick Security Check: KickOff und Zieldefinition (GF, IT, Fachabteilung) 1-2 wesentliche Geschäftsprozesse / Anwendungen Sicherheitsstrategie, Sicherheitsleitlinie, Datenschutzkonzept (sehr) vereinfachte Strukturanalyse Vorortbegehung (Adhoc-Audit) Auswertung und Stellungnahme (schriftlich) Ergebnispräsentation und Diskussion 6 6
3. Beispiele aus der Praxis Regionaler ÖPNV-Betreiber: Untersuchungsgegenstände: Internetzugang und Sicherheitsmechanismen VPN-Zugänge Nutzung mobiler Endgeräte, hier ausschließlich Notebooks Ergebnisse: Entwicklung einer neuen Strategie zur sicheren Internetnutzung Konsolidierung heterogener VPN-Zugänge Festplattenverschlüsselung und neues Nutzungskonzept 7 7 3. Beispiele aus der Praxis Landesbehörde, Erstellung von SW zur Finanzabwicklung: Untersuchungsgegenstände: Prozessanalyse der Verarbeitung der Zahlungsanweisungen Code Review -- Visual Basic Sicherheitsmanagement Ergebnisse: Anpassung der Prozessabläufe -- Schwachstellen identifiziert Fehler oder Schwachstellen im Code identifiziert --> Schulung der MA Prozess der Implementierung eines ISMS angestoßen 8 8
4. Wie geht es weiter? Was zeigen uns die praktischen Beispiele? standardkonformes ISMS in der Regel zu komplex Ressourcen bei KMU sehr begrenzt punktuelle Lösungen/Untersuchungen sukzessive Einführung von Informationssicherheit erst Schmerzen führen zum Handeln es fehlen geeignete Werkzeuge 9 9 4. Wie geht es weiter? Was ist jetzt zu tun? ISMS-Light entwickeln ISO 27001 ist für KMU zu schwergewichtig und zu aufwendig Integrierte Tools entwickeln, die einen Mehrwert für KMU schaffen --> Transparenz für GF, Übersicht,... Verfahrensweisen entwickeln für eine zeitlich getreckte Einführung von ISMS für KMU Schmerzen ersetzen durch Sensibilisieren Informationssicherheit ist ein Wirtschaftsfaktor! 10 10