Managementsysteme

→ dient dazu, wesentliche Ziele für ein Thema zu ermitteln, zu erreichen und zu überwachen

Managementsysteme:

• Verbund aller organisatorischen und technischen Einrichtungen um ein Ziel zu erreichen

• Risikoanalyse

• Definition von Rollen und Zuständigkeiten

• Definition von Prozessen

• Prüfung der Zielerreichung

Wichtige Aufgaben:

• Formulierung von (Sicherheits-)Zielen

• Bestimmung der Assets

• Risikobeurteilung

• Risikobehandlung

• kontinuierliche Verbesserung

Die ISO 2700X Normenreihen sowie der BSI-200-X Reihe beschreiben Anforderungen an ein System zum Management der Informationssichert!

Geeignete technische und organisatorische Maßnahmen nötig:

1. Maßnahmen zur physischen Absicherung von Gebäuden und Räumlichkeiten

2. technische Vorkehrungen zur Absicherung der Schnittstellen eines Netzes und seiner Segments

3. Regelungen zum Umgang mit klassifizierten Informationen

4. ein geeignetes Identitäts- und Berechtigungsmanagement

5. die Anwendung kryptographischer Maßnahmen

6. ausreichende Datensicherungsverfahren

7. Verfahren zur Erkennung und Abwehr von Schadsoftware

Security Policy - bzw. Sicherheitsleitlinie

• Dokumentation von Zielen, Zuständigkeiten, Ressourcen, etc.

• Abstraktes “Management-Dokument”

1. Sicherheits-Notfall

   • Sicherheitsvorfall mit gravierenden oder sogar katastrophalen Auswirkungen auf die Sicherheit

2. Ereignis (Event)

   • Jeder Änderung des Zustands einer Informationsverarbeitung im Rahmen der Risikobeurteilung

3. Sicherheitsereignis (Security Event)

   • hat Auswirkungen auf die Sicherheit

4. Assets

   • Alles, was für eine Organisation einen Wert darstellt,

     z.B. Grundstücke, Gebäude, Maschinen und Anlagen, Geschäftsprozesse etv.

   • Information Assets wie Daten, Systeme, Anwendungen, IT-Services

   • Soft Assets:

     z.B. Image/ Kreditwürdigkeit

5. Sicherheitsvorfall (Security Incident)

   • Ereignis, bei dem eine hohe Warhscheinlichkeit für Auswirkungen auf die Sicherheit besteht

   • Unterscheidung zwischen Events und Incidents

• Möglicher Eintritt von Sicherheitsereignissen in der Informationssicherheit

• Kombination aus Eintrittswahrscheinlichkeit und Schadenhöhe

• Eintreten, wenn Schwachstellen vorhanden sind (konstruktive bzw. operative Schwachstellen)

• Ermittlung von Risiken für Informationswerte der Organisation

• Zusammenarbeit mit Verantwortlichen (Asset Owner bzw. Risk Owner) für die Informationswerte

• Feststellung der Auswirkungen eines Risikos auf die Organisation

• oft durch Bewertung mit Stufen wie:

  • TOLERABEL

  • MITTEL

  • HOCH

  • KATASTROPHAL

• Abschätzung von Schadenhöhe und Eintrittshäufigkeit

• Festlegung des Risikos in eine Risikoklasse

Zusammenfassung aus:

• Risikoidentifizierung

• - analyse

• - bewertung

→ Optionen und Sicherheitsmaßnahmen zur Behandlung ermittelter Risiken

Typische Optionen zur Risikobehandlung:

1. Risikoakzeptanz

   man übernimmt einfach das Risiko ohne weitere Maßnahmen

2. Risikoverlagerung

   z.B. durch Verlagerung der betroffenen Informationsverarbeitung an einen sicheren Ort, etwa an einen qualifizierten Dienstleister, oder durch Versicherung der möglichen Schäden

3. Risikoreduktion

   z.B. durch Einsatz geeigneter Sicherheitsmaßnahmen

4. Risikobeseitigung

   • z.B. durch Änderung des fraglichen Geschäftsprozesses (GP) und der unterstützenden IT

   • oder durch Einstellung des risikoreichen GP