Organisatorische Sicherheit/ Sicherheitsmanagement

• Usernamen/Passwörter

• Firewall, Virenscanner

• Kryptographie

  • Verschlüsselung

  • Elektronische Signaturen

  • Hashes

• Absicherung (drahtloser) Kommunikationswege (LAN, WLAN, etc.) mittels VPN/TL

• Schulung von Mitarbeitern (Etablierung eines Sicherheitsbewusstseins)

• Sicherung von Daten -> aktive Datensicherung (Backup and Restore)

• Sicheres Löschen von Daten

• Updates (-> techologischer Fortschritt und Weiterentwicklung von Schadprogrammen)

• Dokumentation (Prozesse, Sicherheitsanforderungen, Berechtigungen, etc.

• Überprüfung der Wirksamkeit von (organisatorischen) Sicherheitsmaßnahmen

-> Aufbau des IT-Sicherheits-Managements

• Formulierung einer IT-Sicherheitsleitlinie

Typische Aufgaben:

• Defintion von Verantwortlichkeiten

• Schulungen für IT-Benutzer

• Dokumentation

• Audits

• Klare Regelung von Verantwortlichkeiten und Zuständigkeiten

• Festlegung von IT-Sicherheitsverantwortlichen (CISO - Chief Information Security Officers)

• Ansprechpartner bei auftretenden Sicherheitsproblemen

• Information Security Manager: Zentrale Koordination und Ansprechperson für Thema Sicherheit

• Information Risk Manger: Erkennung, Bewertung, Management von Risiken

• IT-Sicherheitsbeauftragte: Umsetzung von Sicherheitsmaßnahmen

• Datenschutzbeauftragte: Schutz personbezogener Daten

Legt die Menge von technischen und organisatorischen Regeln, Verhaltensrichtlinien, Verantwortlichkeiten und Rollen sowie Maßnahmen fest, um angestregen Schutzziele zu erreichen.

• Die Verantwortung für die Security Policy unterliegt der Unternehmens-/Behörden/. . . -leitung

• Angestrebte IT-Sicherheitsziele

• Verfolgte IT-Sicherheitsstrategie

• Beschreibung wie sicher und korrekt mit IT und deren Komponenten umgegangen wird

• Datenschutz

• Zutritts-, Zugangs- und Zugriffsschutz

• Passwort-Policy

• Vollständigkeit

• Bekanntheit

• Verständnis und aktives “Leben“ der Policies

• Laufende Überprügung der Einhaltung der Policies

Plan: Planung und Installation eines Sicherheitsmanagements

Do: Einführung, Betrieb und Monitoring des Sicherhetsmanagements (z.B. Schulung und Sensibilisierung von Mitarbeitern)

Check: Prüfung des Sicherheitsmanagements in regelmäßigen Abständen

Act: Weiterentwicklung des Sicherheitsmanagements (Adaptierung)

• Einhaltung von Standards und Normen: Zertifizierung

  • Als Nachweis eines bestimmten Levels an IT-Sicherheit

  • ISO27k-Reihe: Information Security Standards

    • ISO 27000: Übersicht/ Einführung

    • ISO 27001: Information Security Management System (ISMS)

    • ISO 27005: Inforamtion Security Risk Management Standard

• Eine Anleitung für normales Schutzniveau

  • Herausgegeben vom BSI (Deutschland)

Information Technology Infrastructure Library:

-> Baut auf ISO 27001 auf

• Hinweise zu Best-Practices

• Erforderliche Maßnahmen zur Realisierung und Aufrechterhaltung eins angemessenen und definierten Sicherheitsniveaus

• Was will ich schützen?

• Wogegen soll ich mich schützen?

• Wie kann ich diesen Schutz erzielen?

• Kann ich mir diesen Schutz leisten?

Business Continuity (BC):

Mögliche und erforderliche Verfahren und Konzepte, die bei Einwirkung existenzieller Bedrohungen die Erhaltung der Geschäftstätigkeit ermöglichen