4. Cyber Security

Schadensursache

• Erfolgreiche, kriminelle Geschäftsmodelle

• Mangelndes Cybersicherheitstraining

Maßnahmen

• Aufklären und schulen

• Haftung von IT-Dienstleistern

• Cybersicherheit-Events mit unabhängigen Experten

Ursachen

• Anwenderfehle(Phishing-E-Mails, USB-Sticks dubioser Herkunft)

• Böswilliges Verhalten

Maßnahmen

• Aufklärung

• Identitätsmanagement

• Zugriffskontrollen

Ursachen

• Schaden Angriff < Schaden durch Ausfallzeit Imageschäden und Bußgelder

Maßnahmen

• Business- Continuity-Lösung

• Disaster-Recovery-Plan

• Backup

• Informationsverlust bei IT-Dienstleistern

• Sniffing (Abhören) eines unverschlüsselten WLANs

• Spear-Phishing in Kombination mit Social-Engineering

• Prüfen der eigenen e-Mail-Adresse

• Prüfen des Passworts, Passwort-Routine/Individuelles Schema, Passwort-DB

• 2-Faktor-Authentifizierung aktivieren

• Nutzung eines VPN

Datenschutzregelungen

• EU DSGVO

Buchführung & Archivierungsrichtlinien

• GoBD

Risikomanagementregelungen

• SOX

• Basel III

1. Risiken und Maßnahmenfestlegen

   • Sind die kritischen Anwendungen bekannt?

   • Sind die Risiken wirklich identifiziert?

2. Wirksamkeit und Aktualität prüfen

   • Sind die Sicherheitsmaßnahmen noch aktuell?

3. Risikokontrolle

   • Risikokontrolle gemäß Anforderungen des KonTraG

Informations-Sicherheit-Management-System

Aufgaben:

• Formulierung von (Sicherheits-)Zielen

• Bestimmung der Assets

• Risikobeurteilung

• Risikobehandlung

• kontinuierliche Verbesserung

=>ISO 2700X Normenreihen + BSI-200-X Reihe beschreiben Anforderungen an ein System zum Management der Informationssicherheit

Dokumentation von Zielen, Zuständigkeiten, Ressourcen

Abstraktes „Management-Dokument“

Assets

• alles -> Wert für Organisation (Grundstücke, Gebäude, Maschinen und Anlagen, Geschäftsprozesse etc.)

• Information Assets (Informationswerte) wie Daten, Systeme, Anwendungen

• Soft Assets betrachten (Image / Kreditwürdigkeit Organisation)

Ereignis (Event)

• Änderung des Zustands einer Informationsverarbeitung im Rahmen der Risikobeurteilung

Sicherheitsereignis (Security Event)

• Auswirkungen auf die Sicherheit

Sicherheitsvorfall (Security Incident)

• Ereignis-> hohe Wahrscheinlichkeit für Auswirkungen auf Sicherheit

• genau unterschieden zwischen Events und Incidents

Sicherheits-Notfall

• Sicherheitsvorfall mit gravierenden /katastrophalen Auswirkungen auf Sicherheit

Risikoakzeptanz -> Übernahme Risiko ohne weitere Maßnahmen

Risikoverlagerung -> Verlagerung betroffene Informationsverarbeitung sicherer Ort (qualifizierter Dienstleister/Versicherung der möglichen Schäden)

Risikoreduktion -> Einsatz Sicherheitsmaßnahmen

Risikobeseitigung -> Änderung/Einstellung fraglicher Geschäftsprozesse und der unterstützenden IT

BSI-Standard 200-1: Managementsysteme für IT-Sicherheit (ISMS)

• Managementprinzipien

• Managementpflichten

• reibungsloser Informationsfluss

• Ressourcen

• Mitarbeiter

• Sicherheitsprozess

=> Erstellung Sicherheitskonzept ausgehend von Sicherheitszielen + davon abgeleiteten Sicherheitsstrategie