IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008.

IT Sicherheit

Wirtschaftsinformatiker

Richard Roth

September 2008

Der rote Faden

1. Ziele

Der / die Studierende

•kennt die wichtigsten Massnahmen zur Sicherstellung der IT-Sicherheit

•kann, basierend auf einer Risiko-Analyse, ein Sicherheitskonzept erstellen

•kennt die Voraussetzungen für ein Information Security Management System (ISMS)

2. Inhalte

• Schutzbedarf, Sicherheitsanforderungen an IT-Systeme

•Risk Management Prozess

•Bedrohungsarten (z.B. Viren, organisatorische Mängel)

•Abwehrmechanismen (z.B. Firewalls, Access Control)

•IT Security Compliance

•Aufgaben und rechtliche Bedingungen des Datenschutzes

•Security Management System (ISMS)

•Policies, Richtlinien, Weisungswesen

2

Halb-tag

Inhalt Kapitel Aufgaben Bewer-tung

1 Einführung in die IT Sicherheit, Klassifikation, ISO-Norm 27002, Grundschutzhandbuch

Schutzbedarfsfeststellung Risk Management

1-5 Schutzbedarf / Risk Management

2 / 3 Selbständige Auseinandersetzung mit Sicherheits-Massnahmen

Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint)

Pro Studierende(r) 1 Thema

4 / 5 Präsentation der Sicherheits-Massnahmen Ja

5 Rechtliche Aspekte, Compliance 6

6 IT Security Management IT Security Management System (ISMS) IT Security Governance

7 Implementation Security-Strukturen in einem Unternehmen (Gruppenarbeit)

Erstellung Zusammenfassung (Word / max. 3 Seiten) Präsentationsvorbereitung (Powerpoint)

8 Präsentation Gruppenarbeiten Zusammenfassung / Rückblick / Feedbackrunde Abschluss

Ja

3

ÜBERSICHTBEGRIFFE

4

5

Übersicht IT Sicherheit

DatenDaten

ApplikationenApplikationen

OS / NetzOS / Netz

HardwareHardware

Gesetze

Business

Risiken

Sicherheits-MassnahmenNormen / Grundschutz-Katalog

Schutzbedarf / Sicherheitsziele Risiko-Analyse

ProzesseProzesse

6

Grundwerte der IT-Sicherheit

Informations-Sicherheit [ISO/IEC 17799:2000]:

Sicherstellen der Vertraulichkeit, Integrität und Verfügbarkeit der Informationen

IT SicherheitIT Sicherheit

Gewährleistung

Vertraulichkeit

Gewährleistung

Vertraulichkeit

Gewährleistung

Verfügbarkeit

Gewährleistung

Verfügbarkeit

Gewährleistung

Integrität

Gewährleistung

Integrität

Gewährleistung

Verbindlichkeit

Gewährleistung

Verbindlichkeit

• Nur autorisierten Benutzern zugänglich• Nur autorisierten Benutzern zugänglich

• Zugang zu Informationen bei Bedarf• Zugang zu Informationen bei Bedarf

• Richtige und vollständige Informationen

• Korrekte, originale Programme

• Richtige und vollständige Informationen

• Korrekte, originale Programme

• Juristische Akzeptanz eines elektronisch abgewickelten Geschäftes

• Juristische Akzeptanz eines elektronisch abgewickelten Geschäftes

7

Begriff: Vertraulichkeit

Sicherstellen, dass Informationen nur für autorisierte Benutzer zugänglich sind [ISO/IEC 17799:2000]

Die Vertraulichkeit ist gewährleistet,

▪ wenn nur berechtigten Subjekte ( Mensch, System oder Funktion)

▪ auf schutzwürdig definierte Objekte (System, Funktion oder Datenbestände) zugreifen.

8

Begriff: Integrität

Sicherung der Richtigkeit und Vollständigkeit der Informationen und ihrer Verarbeitungsmethoden [ISO/IEC 17799:2000]

•Aktualität

•Richtigkeit

•Gültigkeit

•Korrekt

9

Begriff: Verfügbarkeit

Sicherstellen, dass autorisierte Benutzer bei Bedarf jederzeit Zugang zu Informationen und verbundenen Informationswerten haben [ISO/IEC 17799:2000]

Verfügbarkeit ist gewährleistet,

▪ wenn die berechtigten Subjekte dauernd innerhalb der gemeinsam als notwendig definierten Frist

▪ auf die zur Durchführung ihrer Aufgaben benötigten Objekte zugreifen können.

10

Begriff: Verbindlichkeit

Nachweis von Kommunikationsvorgängen (EDI)

▪ dass kommuniziert wurde

▪ Inhalt

Juristische Akzeptanz von Rechtsgeschäften

11

Begriff: Risiko

Ein Risiko ist eine wahrscheinliche Gefahr auf ein Objekt

Eine Kombination aus Bedrohung (threat) und Verletzbarkeit (Vulnerability).

Eine Kombination aus Eintretens-Wahrscheinlichkeit eines gefährdenden Ereignisses und dem daraus resultierenden Schadenshöhe pro Jahr (Zeiteinheit).

12

Business-ImpactDurch fehlende-Vertraulichkeit- Verfügbarkeit

- Integrität

Risiko

Risiko

Wahrscheinlichkeit Schaden

Bedrohung Objekt jährlich SFR.

13

Risiko-Wahrscheinlichkeit

Höhere Gewalt

Technisches Versagen

Menschliche Fehlhandlungen

Vorsätzliche Handlungen

Organisatorische Mängel

Infrastruktur (Bau)

Netzwerk / Kommunikation

Hardware und Software

Applikationen

Daten / Informationen

Bedrohung Objekt

14

Business-Impact

Auswirkungen auf das KerngeschäftAuswirkungen auf das Kerngeschäft wegen

▪ Verstoss gegen Gesetze und Verträge

▪ Beeinträchtigung der informationellen Selbstbestimmung

▪ Beeinträchtigung der Aufgabenerfüllung

▪ Negative Auswirkungen im Ansehen oder Vertrauen

▪ Finanzelle Auswirkungen

aus BSI: Schutzbedarfsfeststellung

KLASSIFIKATION

15

16

Definition „Klassifikation“

Eine Klassifikation oder Systematik ist eine planmässige Darstellung von Klassen, Kategorien oder anderen abstrakten Konzepten, die nach bestimmten Ordnungsprinzipien gestaltet ist.

In diesem Zusammenhang verstehen wir IT Objekte, die zu einer bestimmten Kategorie innerhalb der Vertraulichkeits-, Integritäts-, Verfügbarkeits- oder anderer Abstufungen, gehören.

17

ZielsetzungenKlassifikation (ISO 17799)

Zielsetzung:

Ziel ist die Sicherstellung eines angemessenen Schutzniveaus für Informationswerte.

Informationen sollten eingestuft werden, um Bedarf, Prioritäten und Umfang des Schutzes angeben zu können.

Zur Definition eines angemessenen Schutzniveaus und zur Vermittlung der Notwendigkeit besonderer Behandlungsmassnahmen sollte ein System für die Klassifizierung von Informationen verwendet werden.

18

Beispiel einer solchen Systematik

Kla

ssi

fika

tio

ns-

Ab

stu

fun

g

Kla

ssi

fika

tio

ns-

Ab

stu

fun

g

VertraulichkeitVertraulichkeit VerfügbarkeitVerfügbarkeitIntegritätIntegrität

Stufe SEHR HOCH

Stufe SEHR HOCH

Stufe HOCHStufe

HOCH

Stufe MITTELStufe

MITTEL

Streng vertraulichStreng vertraulich

VertraulichVertraulich

Nur für internen Gebrauch

Nur für internen Gebrauch

Absolut richtig, gültig, korrekt

Absolut richtig, gültig, korrekt

Normale IntegritätNormale Integrität

Kein Ausfall erlaubt (non-stop)

Kein Ausfall erlaubt (non-stop)

Wenige, kurze Ausfälle toleriert (< 1

Std)

Wenige, kurze Ausfälle toleriert (< 1

Std)

Ausfälle sind toleriert (max. 1 Tag)

Ausfälle sind toleriert (max. 1 Tag)

Öffentlich zugänglichÖffentlich zugänglich Ausfälle sind toleriert (> 1 Tag)

Ausfälle sind toleriert (> 1 Tag)

Stufe TIEFStufe TIEF

19

Klassifikation von Applikationen

Grundbuch

Abrechnung Stromverbrauch

DSG Katastrophen-Vorsorge

Einwohnerkontrolle JaNein, da ein Ausfall von 3-5 Tagen in Kauf genommen werden kann. Max.

Datenverlust von 1 Tag ist tolerierbar.

Haupt-Applikation Sicherheitsziele

Mittlerer Schutzgrad, da Ausfall des Informatiksystems oder der -anwendung oder

der Verlust oder das unbefugte Bearbeiten von Daten zu grösseren, aber überblickbaren

Schäden führt, Persönlichkeitsrechte gefährdet sind, ….

Das Inventar der bewerteten Applikationen zeigt die erforderlichen Sicherheitsziele bzw. die Sicherheits-Anforderungen an die Informatik. Sie geben Hinweise bez. Backup-Konzept,

Schutz der Daten vor Einsicht, Parallelsysteme, Netzverschlüsselung, Katastrophenvorsorge, Auskunftsverhalten, Schulung, etc.

VertraulichkeitVerfügbarkeit

Integrität

20

Problemlösungsprozess

Klassifizierung• Systeme• Netze• Applikationen • Räume / Infrastruktur

Klassifizierung• Systeme• Netze• Applikationen • Räume / Infrastruktur

Bedrohungen• Höhere Gewalt• Technologie• Menschliche Fehler• Organisation• Vorsätzliche Handlung

Bedrohungen• Höhere Gewalt• Technologie• Menschliche Fehler• Organisation• Vorsätzliche Handlung

Realisierung der Sicherheit• Massnahmen Infrastruktur • Massnahmen Organisation• Massnahmen Personal• Massnahmen Hardware / Software• Massnahmen Kommunikation• Massnahmen Notfallvorsorge

Realisierung der Sicherheit• Massnahmen Infrastruktur • Massnahmen Organisation• Massnahmen Personal• Massnahmen Hardware / Software• Massnahmen Kommunikation• Massnahmen Notfallvorsorge

Business-Anforderungen

Zusammenfassung zur Klassifikation

• Einordnung (Schubladisierung nach WENN - DANN)

• Business Anforderung an seine Applikationen

• Vererbung an die Datenbanken, Daten, Systemen, Räume

• Keine Schadens-Ableitung möglich

21

„NORMEN“ DER IT SICHERHEIT

ISO Normen (27xxx), weitere

NIST, IEEE, weitere

22

ISO Normen

ISO 27001

Norm zum Aufbau und zur Auditierung eines ISMS

•Q-Elemente analog ISO 9001

•Si-Elemente analog ISO 27002

ISO 27002

Norm zum Aubau der IT Sicherheit in einem Betrieb

•11 Bereiche

•Allgemein einsetzbar

23

ISO Norm 27002

24

DAS GRUNDSCHUTZ-HANDBUCH

Standard 102

IT Grundschutz Vorgehensweise

25Copyright by Richard Roth

26

IT Sicherheitsprozess

Initiierung des IT SicherheitsprozessesInitiierung des IT Sicherheitsprozesses

IT SicherheitskonzeptionIT Sicherheitskonzeption

Aufrechterhaltung und VerbesserungAufrechterhaltung und Verbesserung

Verantwortung der LeitungsebeneVerantwortung der Leitungsebene

Konzeption und PlanungKonzeption und Planung

Aufbau IT SicherheitsorganisationAufbau IT Sicherheitsorganisation

Erstellung IT SicherheitspolicyErstellung IT Sicherheitspolicy

Bereitstellung von Ressourcen für IT SicherheitBereitstellung von Ressourcen für IT Sicherheit

27

Sicherheits-Prozess

Struktur-Analyse (IST-Aufnahme)

NetzNetz IT-SystemeIT-Systeme IT-ApplikationenIT-Applikationen

Schutzbedarfs-feststellung

(Klassifizierung)NetzNetzIT-SystemeIT-SystemeIT-ApplikationenIT-Applikationen IT-RäumeIT-Räume

Aufbau

IT Grundschutz

Ergänzende Sicherheits-A.

Erhöhter Schutzbedarf


Basis-Sicherheits-

check

Basis-Sicherheits-

check

ModellierungModellierung

IT-RäumeIT-Räume

Realisierung

Copyright by Richard Roth28

Struktur-Analyse

Netz-Plan

IT Systeme

Applikationen

29

CISCOSYSTEMS

Com3

BuchhaltungLagerbewirtschaftungDruckbewirtschaftungBestellwesenRedaktionssystem

S1 / S2Unix

N1Switch

N3Router

LohnPersonal

File-Server

S3Win2000

S4 / S5Win2000

Arbeits-Plätze

CISCOSYSTEMS

Com3

Abonnenten-VerwaltungKunden- / Inserenten-Pflege

S6 / S7Unix

N2Switch

N4Router

File-Server

S8 / S9Win2000

Arbeits-Plätze

CISCOSYSTEMS

N5RAS

Home-Office C5: Home

C1: BuchhaltungC2: PersonalC3: übrige Arbeitsplätze

C4: DirektionC3: übrige

Muster Netzplan mit den Systemen

30

Strukturanalyse: Erhebung IT-Systeme

Nr. Beschreibung Plattform Anz. Ort Status Anwender/Admin.

S1 Server fürPersonal-verwaltung

Windows NTServer

1 Bonn,R 1.01

inBetrieb

Personal-referat

S2 PrimärerDomänen-Controller

Windows NTServer

1 Bonn,R 3.10

inBetrieb

alleIT-Anwender

C6 Gruppe derLaptops für denStandort Berlin

Laptop unterWindows 95

2 Berlin,R 2.01

inBetrieb

alleIT-Anwenderin Berlin

N1 Router zumInternet-Zugang

Router 1 Bonn,R 3.09

inBetrieb

alleIT-Anwender

T1 TK-Anlage fürBonn

ISDN-TK-Anlage

1 Bonn,B.02

inBetrieb

alle Mitarb.in Bonn

31

IT-Strukturanalyse:Erfassung der IT-Anwendungen

Beschreibung der IT-Anwendungen IT-Systeme

Anw.-Nr.

IT-Anwendung/Informationen

Pers.-bez.

Daten

S1 S2 S3 S4 S5 S6 S7

A1 Personaldaten-verarbeitung

X X

A4 Benutzer-Authentisierung

X X X

A5 Systemmanagement X

A7 zentraleDokumentenverwaltung

X

Copyright by Richard Roth32

Schutzbedarfs-Feststellung

IT Anwendungen

IT Systeme

Kommunikation

IT Räume

33

Schutzbedarfs-Feststellung [Security Requirements]





IT-RäumeIT-Räume

34

Schutzbedarfs-Feststellung

Die Schutzbedarfs-Feststellung klassifiziert die Objekte aus der Struktur-Analyse (IST-Aufnahme).

Sie legt die Sicherheits-Bedürfnisse bzw. den Schutzbedarf fest.

35

Schutzbedarfs-FeststellungIT-Anwendungen

Schritt 1

▪ Definition der Schutzbedarfs-Kategorien

Schritt 2

▪ Betrachtung von Schadens-Szenarien

▪ Was wäre, wenn .....?

Schritt 3

▪ Dokumentation der Ergebnisse

36

Schutzbedarfs-FeststellungSchutzbedarfs-Kategorien

Das IT-Grundschutzhandbuch unterscheidet drei Schutzbedarfskategorien anhand der maximalen Schäden und Folgeschäden bei Verlust der Vertraulichkeit, der Integrität und der Verfügbarkeit:

niedrig bis mittel

▪ begrenzte und überschaubare Schäden

hoch

▪ beträchtliche Schäden möglich

sehr hoch

▪ existentiell bedrohliche, katastrophale Schäden möglich

37

Schutzbedarfskategorien

AuswirkungenAuswirkungen GSHBGSHB Variante2

Variante2

Variante1

Variante1

Variante3

Variante3

Existenziell bedrohlichExistenziell bedrohlich Sehr hochSehr hoch CC33 HochHoch

Beträchtliche Schäden

Beträchtliche Schäden hochhoch BB22 MittelMittel

Begrenzte Schäden

Begrenzte Schäden

Niedrig bis mittel

Niedrig bis mittel AA11 TiefTief

38

Schutzbedarfs-Feststellung WAS WÄRE WENN .....

Schadens-SzenarienSchadens-Szenarien

•Gesetze / Vorschriften / Verträge

•Informationelle Selbstbestimmung

•Beeinträchtigung der persönlichen Unversehrtheit

•Beeinträchtigung der Aufgabenerfüllung

•Negative Aussenwirkungen

•Finanzielle Auswirkungen

39

Schutzbedarfs-Feststellung: Applikationen / Dokumentation

IT-Anwendung Schutzbedarfs-Feststellung

Nr.

Bezeichnung pers.

Dat.

Grund-wert

Schutz-bedarf

Begründung

A1 Personaldaten-verarbeitung

X Vertrau-lichkeit

hoch Personaldaten sind besonders schutz-bedürftige personenbezogene Daten, deren Bekanntwerden die Betroffenen erheblich beeinträchtigen können.

Integrität mittel Der Schutzbedarf ist nur mittel, da Fehler rasch erkannt und die Daten nachträglich korrigiert werden können.

Verfüg-barkeit

mittel Ausfälle bis zu einer Woche können mittels manueller Verfahren überbrückt werden.

A2 Beihilfeabwicklung X Vertrau-lichkeit

hoch Beihilfedaten sind besonders schutz-bedürftige personenbezogene Daten, die z. T. auch Hinweise auf Erkrankungen und ärztliche Befunde enthalten. Ein Bekannt werden kann die Betroffenen erheblich beeinträchtigen.

40

Schutzbedarfs-FeststellungIT-Systeme

Unter IT-Systemen versteht man alle Komponenten aus der Struktur-Analyse „Erhebung der IT-Systeme“, wie

▪ Server

▪ Clients

▪ Netzknoten

41

Schutzbedarfs-Feststellung: IT-Systeme

IT-System Schutzbedarfsfeststellung

Nr.

Beschreibung Grundwert Schutz-bedarf

Begründung

S1 Server für Personalverwaltung

Vertraul. hoch Maximumprinzip.

Integrität mittel Maximumprinzip.

Verfügbar. mittel Maximumprinzip.

S2 Primärer Domänen-Controller

Vertraul. mittel Maximumprinzip.

Integrität hoch Maximumprinzip.

Verfügbar-keit

mittel Gemäß der Schutzbedarfsfeststellung für Anwendung A4 ist von einem hohen Schutzbedarf für diesen Grundwert auszugehen. Zu berücksichtigen ist aber, dass diese Anwendung auf zwei Rechnersysteme verteilt ist. Eine Authentisierung über den Backup Domänen-Controller in Berlin ist für die Mitarbeiter des Bonner Standortes ebenfalls möglich. Ein Ausfall des Primären Domänen-Controllers kann bis zu 72 Stunden hingenommen werden. Der Schutzbedarf ist aufgrund dieses Verteilungseffekts daher "mittel".

42

Verbindungsanalyse

43

Schutzbedarfs-FeststellungIT-Räume

Erstellen einer Übersicht über

▪ Server-Räume

▪ TK Anlagen

▪ Datenträger-Archiv

▪ Technikräume

▪ Heim-Arbeitsplatz

▪ Büros

Schutzbedarf leitet sich von den installierten IT-Systemen ab

▪ Maximum-Prinzip

▪ Kumulationseffekt

Schutzbedarfsfeststellung für IT-Räume

44

45

Aufgabe Schutzbedarfs-Festlegung

• Beurteilung eines Dateninventars

• Erheben der Informationen

• Schutzbedarf definieren

• Arbeiten Sie zu zweit

• Lösung wird in der Klasse besprochen

MODELLIERUNG, BASIS-SICHERHEITS-CHECK UND REALISIERUNGS-PLANUNG

Die Umsetzungsschritte

46Copyright by Richard Roth

47

Der Prozess





Aufbau

IT Grundschutz




Basis-

Sicherheits-check

Basis-

Sicherheits-check

ModellierungModellierung

IT-RäumeIT-Räume

Realisierung

48

Modellierung nach Schichten des IT-Grundschutzes

Schicht 1:

Schicht 2:

Schicht 3:

Schicht 4:

Schicht 5:

Übergreifende Aspekte

Infrastruktur

IT-Systeme

Netze

IT-Anwendungen

49

Modellierung eines IT-Verbundes

Nr.

Titel des Bausteins

Zielobjekt/Zielgruppe

Ansprech-partner

Hinweise

3.1 Organisation Standort Bonn

Der Baustein Organisation muss für die Standorte Bonn und Berlin separat bearbeitet werde, da in Berlin eigene organisatorische Regelungen gelten.3.1 Organisation Standort

Berlin

3.2 Personal gesamtes BOV

Die Personalverwaltung des BOV erfolgt zentral in Bonn.

4.3.3

Datenträger-archiv

R U.02 (Bonn)

In diesem Raum werden die Backup-Datenträger aufbewahrt

5.3 Tragbarer PC C5 Die Laptops in Bonn bzw. Berlin werden jeweils in eine Gruppe zusammengefasst.

5.3 Tragbarer PC C6

7.5 WWW-Server S5 S5 dient als Server für das Intranet.

9.2 Datenbanken S5 Auf dem Server S5 kommt eine Datenbank zum Einsatz

50

Basis-Sicherheitscheck

Soll-/Ist-Vergleich

Switch

Router Stand-leitung

Router

Switch

Kommunikations- Server

(Unix)Exchange-Server(Windows NT)

File-Server(NovellNetware)

PrimärerDomänen-Controller(Windows NT)

Server fürPersonalverwaltung (Windows NT)

15 Client-Computer(Windows NT)

75 Client-Computer(Windows NT)

Switch

Internet

Router

Firewall

BackupDomänen-Controller(Windows NT)

40 Client-Computer(Windows NT)Liegenschaft

BonnLiegenschaftBerlin

IP IP

IT-Grundschutz-Modell

SollSoll--/Ist/Ist--VergleichVergleichMassnahmen-empfehlungen

RealisierteMassnahmen

IT-Sicherheitskonzept: defizitäre Massnahmen

RISIKO-ANALYSE

51


Netz IT-Systeme IT-Applikationen


(Klassifizierung)NetzIT-SystemeIT-Applikationen IT-Räume

Aufbau

IT Grundschutz



Basis-

Sicherheits-check

Modellierung

IT-Räume

Realisierung

Risk ManagementÜbersicht

Auslöser !

neueErkenntnisse

erkannteGefahren

Auftrag d. Mgmts

unerkannte Gefahren

iterativerProzess

MassnahmenErarbeitung

RisikoBewertung

RisikoIdentifikation

vor Massnahmen

RisikoÜberwachung

"Restrisiko"= reduzierte Risiken+ Massnahmen-Kosten+ nicht erkannte Risik.

Sch

aden

ausm

ass

Eintrittswahrsch.

nach Massnahmen

Sch

aden

ausm

ass

Eintrittswahrsch.

52

Begriffe

Risiko Ein Risiko ist die kalkulierte Prognose eines möglichen Schadens bzw. Verlustes im negativen Fall Ein Risiko ist bezüglich Wahrscheinlichkeit und Schadensausmass bewertet.

Risiko Management Systematischer Umgang / Bearbeitung von Risiken

Risiko Identifikation Identifikation von Assets, deren Bedrohung und Schwachstellen

Risiko AnalyseRisiko Bewertung

Aussage über Eintrittswahrscheinlichkeit und Schadenshöhe möglicher Risiken

Risk Assessment Risiko-Identifikation und –Analyse

RisikobehandlungMassnahmen

Risiko-Minderung durch MassnahmenRisiko-Transfer auf andere (outsourcing)Risiko-Akzeptanz (Restrisiko)

53

Risiko IdentifikationAsset Identifikation

Asset Identifikation von materiellen und immateriellen Vermögenswerten und sind•Hardware•Software•Mitarbeitende•Services•Ansehen / Ruf•Dokumentation

Für die Wert-Einschätzung stellt sich die Frage „was kostet deren Ersatz“ und umfasst •Beschaffungs- oder Erstellungs-Kosten•Mögliche Haftungsschäden bei Kompromittierung•Produktionskosten ohne Asset•Was für einen Wert hat Asset für die Konkurrenz / Behörde?•Wie kritisch ist das Asset und was bedeutet deren Verlust für die Firma?

54

Risiko IdentifikationQuellen zur Erfragung von möglichen Risiken

Zur Identifikation von Risiken können verschiedenste Quellen erfragt werden:

•Business Owner

•Rechtsberater

•Personal Leitung

•IS Auditor

•Netzwerk Administrator

•Security Administrator

•Operation

•CERT

55

Risiko IdentifikationBedrohungen und Schwachstellen

Bedrohungen werden hervorgerufen durch

•Umwelt

•Technik

•Durch Personen

•Durch mangelnde Organisation

•Durch kriminelle Vorkommnisse

Die Einflüsse erfolgen sowohl von innen wie aussen

Definition der BedrohungenBedrohungen auf diese Assets. Möglich sind dabei

▪ 1 Bedrohung auf 1 Asset

▪ N Bedrohungen auf 1 Asset

▪ N Bedrohungen auf N Assets Die 1:1 Beziehung ist die Aufwändigste aber auch die Genauste

56

Risiko IdentifikationBedrohungen und Schwachstellen

In IT-Systemen sind Schwachstellen die Ursache für Sicherheitslücken.

Im Normalfall sind Schwachstellen unbeabsichtigt (keine Sollbruchstelle).

Definition der SchwachstellenSchwachstellen

Warum wird es möglich, dass die Bedrohung erfolgreich ist?

Gib der Bedrohung eine Chance!

Beispiele von Schwachstellen:

•Ungenügendes Wissen / Können

•Schwache / Falsche Sicherheitsmassnahmen

•Falsche Passwortwahl

•Ungetestete Technologie

•Netz-Übertragung bietet keine Verschlüsselung

57

Risiko IdentifikationKonsequenzen

Eine Bedrohung zusammen mit einer Schwachstelle führt zu Verlusten bezüglich

•Finanzieller Verlust

•Verlust von Ruf / Ansehen

•Gefährdung von Mitarbeitenden / Kunden

•Verlust von Business

•Vertrauensverlust

•Nichterfüllung von Gesetzen und Verträgen

58

Risiko-Analyse Quantitative Risikoanalyse

Wahrscheinlichkeit

Tritt ein mindestens alle 3 Monate

Tritt ein mindestens jährlich

Tritt ein mindestens einmal pro 5 Jahre

Tritt ein mindestens einmal pro 20 Jahre

Tritt ein weniger als einmal pro 20 Jahre

Diese Einstufung muss jede Firma für sich definieren, ebenso wie viele Stufen sie definieren will.

Schadensausmass

Kritisch▪ Konkursgefährdung

Hoch▪ Gewinngefährdung

Mittel▪ Budget-Gefährdung

Tief▪ Wird über eigenes Budget

bezahlt

Vernachlässigbar▪ Kleiner Betrag

59

Risiko-BewertungRisiko-Matrix

Eintrittswahrscheinlichkeit

sehr

hoc

hho

chm

erkl

ich

gerin

gse

hr g

erin

g

Sch

ad

en

gering merklich hoch sehr hoch

Geringer Risiko-Level

Mittlerer Risiko-Level

Hoher Risiko-Level

Geringer

Risiko-Level

abcd

E

D

C

B

A

1

2 5 2

6151

11 7

Wahrscheinlichkeit * Schadenshöhe = Risiko-Level

60

Zusammenfassung

Auslöser ScopeAuftrag

Risiko-Identifikation

Risiko-Analyse

Risiko-Bewertung

SchwereBusiness Impact

WahrscheinlichkeitMöglicher Schaden

AssetBedrohung / Schwachstelle

Personal / ProzesseTechnik / Organisation

RapportierungUmsetzungEntscheidung bez.Minderung, Verlagerung, Akzeptieren

MonitoringSecurity Incident ManagementÜberwachung

61

62

Aufgabe Risiko-Analyse

• Vgl. Aufgabenstellung im Script

• Weiterbearbeitung Schutzbedarfs-Aufgabe

• Bedrohungen vgl. Script im Anhang:

• Wählen Sie hier Bedrohungen, die im Kontext zur Aufgabenstellung stehen

• Wählen Sie min. 6 Bedrohungen

• Definieren Sie die Risiken

• Bewerten Sie die Risiken

• Beantworten Sie die Fragen

SICHERHEITS-MASSNAHMEN

63

64

Übungsaufgabe

• Ein grosser Teil der IT Sicherheit befasst sich mit Sicherheits-Massnahmen

• Sie erhalten die Möglichkeit, selbständig ein Thema aufzuarbeiten

• Wählen Sie aus der Liste aus nach folgenden Kriterien

• NEU

• INTERESSANT

• Entscheiden Sie, ob Sie die Aufgabe alleine oder zu zweit machen wollen

• Resultate:

• Präsentation des Themas

• Abgabe eines kleinen Scripts zum Thema

IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008.

Documents

Transcript of IT Sicherheit Wirtschaftsinformatiker Richard Roth September 2008.