Informatiker FA M166 Zusammenfassung

Einleitung

Ein Unternehmen ist vielen Risiken ausgesetzt. Die Informatik ist ein zentrales internes Risiko. Kosten für Sicherheit steigen exponentiell zum Grad der Sicherheit. „IT-Grundschutz“ ermöglicht mit relativ wenig Aufwand ein mittleres bis hohes Mass an Sicherheit.

Das Modul dient zum Erwerb folgender Kompetenzen

• Infrastruktur identifizieren
• Gefährdungslage feststelle und geeignete Schutzmassnahmen ableiten (organisatorische, personelle, infrastrukturelle, technische)
• Sicherheitskonzept für einen IT-Grundschutz erstellen und nachführen.

1 Richtlinien und Grundbegriffe

1.1 Wichtige Richtlinien

• Grundschutzhandbuch
• ISO/IEC 17799
• Datenschutzgesetz
• Strafgesetzbuch

IT Grundschutzhandbuch Ziel: Durch standardisierte Sicherheitsmassnahmen ein standardisiertes Sicherheitsniveau aufbauen welches für sensible Bereiche ausbaubar ist. Das Grundschutzhandbuch behandelt Bestimmungen welche ein mittleres bis hohes Mass an Sicherheit gewährleisten. Kataloge mit Sicherheitsmassnahmen für folgende Bereiche sind angeführt.

• Infrastruktur
• Organisation
• Personal
• Hard- und Software
• Kommunikation
• Notfallvorsorge

Vorgeschlagener Ablauf für Aufbau des Grundschutzes

• Strukturanalyse
• Feststellen des Schutzbedarfs
• Modellieren des Grundschutzes
• Basis Sicherheitscheck
• Ergänzende Sicherheitsanalyse
• Realisierung von Sicherheitsmassnahmen

Datenschutzgesetz Ziel des Datenschutzgesetz ist der Schutz des Persönlichkeitsrechts. Personenbezogene Daten müssen vor unzulässiger Einsichtnahmen, Verarbeitung und Verbreitung geschützt werden.

Strafgesetzbuch Damit eine strafrechtliche Verfolgung eingeleitet werden kann, muss der Geschädigte belegen können, dass er Schutzmassnahmen angewendet hat und dass er die Sorgfaltspflicht wahrgenommen hat. Das Strafgesetzbuch gibt Hinweise auf di rechtliche Verantwortung bei der Verarbeitung und Aufbewahrung von Daten (Beweisführung)

1.2 Merkmale der IT-Sicherheit

• Vertraulichkeit
• Verfügbarkeit
• Integrität
• Verbindlichkeit

Vertraulichkeit Vertraulichkeit bedeutet, dass sichergestellt werden muss, dass nur Berechtige Zugriff auf vertrauliche Daten haben. Dies gilt z.b. auch für Logdateien.

Verfügbarkeit Umfasst alle Kriterien für die Verfügbarkeit (Availability) von Daten. Z.B. Wartezeiten, Geschwindigkeit.

Integrität Die Information muss vollständig, korrekt und unverfälscht ist. Die Daten kommen ausserdem von der Person von der ich sie erwarte. Das Programm macht das was man von ihm erwartet.

Verbindlichkeit Wenn zwei Personen einen Vertrag abschliessen ist dieser verbindlich. In der IT ist dies nicht so einfach. Ist z.B. ein Email rechtsgültig?

Aspekte der Verbindlichkeit

• Einhaltung gesetzliche und vertraglicher Bedingungen
• Problem der Anerkennung des Empfangs von Informationen
• Nachweisbarkeit von Kommunikationsvorgängen
• Die juristische Akzeptanz von Rechtsgeschäften welche mit IT-Mitteln zustande gekommen sind.

(wo gehört der folgende Absatz hin?) Begriffe der Risikoanalyse - Bedrohung - Verletzbarkeit - Risiko - Schaden - Eintrittswahrscheinlichkeit - Sicherheitsmassnahmen

Weitere Begriffe der IT-Sicherheit

Bedrohung Eine Bedrohung (Threat) stellt ein Ereignis darf welches zu einem Verlust führen kann. Bedrohungen könne in folgende Kategorien unterteilt werden

• Menschliches Versagen
• Vorsätzliche Handlung
• Technisches Versagen
• Höhere Gewalt
• Organisatorische Mängel (Fehlende Konzepte, Verantwortungen nicht definiert). Hinter organisatorischen Mängeln steckt immer menschliches Versagen.

Verletzbarkeit Die Verletzbarkeit (Vulnerability) beschreibt einen Mangel oder eine Anfälligkeit an einem Objekt . (Potenzial welches zu einem Verlust führen kann). Die Verletzbarkeit muss getrennt auf die vier Hauptmerkmale der IT-Sicherheit beurteilt werden (Vertraulichkeit, Verfügbarkeit, Integrität, Verbindlichkeit)

Risiko

Das Risiko ist die Kombination aus Bedrohung und Verletzbarkeit bezogen auf ein Objekt. Beispiel (fiktiv)

• Bedrohung: Webserver e-learner
• Verwundbarkeit: Sicherheitsleck in PHP

Beides zusammen führt zu einem Risiko.

Schaden Schadenskategorien:

• Direkte Schäden (z.b an Hardware, Software, Datenträgern oder Daten)
• Indirekte Schäden (Z.B. Kosten für Datenrekonstruktion, Personalaufwand)
• Folgekosten (z.B. entgangene Gewinne wegen Produktionsunterbruch, Schadenersatzansprüche Dritter)

Eintrittswahrscheinlichkeit Arten von Wahrscheinlichkeiten:

• Objektive, messbare und kalkulierbare (z.B. 50-zu-50 Chance bei einem Münzenwurf)
• Subjektive, nicht messbare und geschätzte Wahrscheinlichkeit (z.B. Eintritt einer Krankheit aufgrund einer Diagnose von Symptomen)
• Objektive Unmöglichkeit eine Wahrscheinlichkeit zu ermitteln (z.B. Ort eines bestimmten teils nach einem Knetvorgang)

Für die Berechnung von Eintrittswahrscheinlichkeiten werden oft Statistiken aus der Versicherungsbranche herbeigezogen.

Sicherheitsmassnahmen Dienen zur Abwehr oder Minderung eines möglichen Schaden. Sie können jedoch viel Kosten und müssen somit der Eintrittswahrscheinlichkeit bzw. dem Risiko angepasst werden.

2 Sicherheitsvorgaben aus dem Strafrecht

Das DSG schützt natürlich und juristische Personen vor Persönlichkeitsverletzungen. Überall wo personenbezogene Daten gespeichert oder bearbeitet werden sind die Regeln des DSG (Datenschutzgesetz) zu beachten. Egal ob elektronisch oder auf Papier gespeichert wird.

Der Begriff „Datensammlung“ wird vom DSG als Bestand von Personendaten definiert, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind.

Diese Personendaten enthalten insbesondere Informationen über:

• Religion, Weltanschauung, Politik, Gewerkschaft
• Gesundheit
• Intimsphäre
• Rassenzugehörigkeit
• Massnahmen der sozialen Hilfe
• Administrative oder strafrechtliche Verfolgung und Sanktion

Anmeldung einer Datensammlung

Der Eidgenössische Datenschutzbeauftragte führt ein Register dieser Datensammlungen. Datensammlungen dieser Art müssen angemeldet werden.

Ausnahmen:

• Wenn die Verarbeitung gesetzlich angeordnet wurde (ausser Bundesorgane: diese müssen alle Sammlungen anmelden)
• Wenn die Betroffenen angefragt wurden ob die Informationen verwendet werden dürfen.

Personendaten dürfen nur zu dem Zweck verwendet welcher bei der Datenbeschaffung angegeben wurde. Jeder Betroffenen hat das Recht die über ihn gesammelten Daten einzusehen, auch wenn diese nicht angemeldet werden mussten. Weiter hat dieser das Recht die Korrektur an falschen Daten zu verlangen.

Schutz der Daten

Personendaten müssen durch angemessene organisatorische und technische Massnahmen gegen unbefugten Zugriff geschützt werden.

Eigenschaften der Massnahmen:

• Verhältnismässig
• Müssen dem Zweck der Bearbeitung, Art und Umfang der Bearbeitung und den möglichen Risiken entsprechen.
• Müssen dem gegenwärtigen Stand der Technik entsprechen.

Ein Sicherheitskonzept gemäss IT-Grundschutz erfüllt diese Anforderungen weitgehend.

Übersicht der erwarteten Massnahmen:

• Zugangskontrolle: Unbefugten Personen ist der Zutritt zu Räumen zu verwehren in den Personendaten verarbeitet werden.
• Datenträgerkontrolle: Unbefugten ist der Zugriff auf die Datenträger zu verunmöglichen.
• Transportkontrolle: Bei der Bekanntgaben von Personendaten oder deren Transport (elektronisch oder physisch) ist zu verhindern, dass Unbefugte Zugriff erhalten.
• Bekanntgabekontrolle: Berechtigte Datenempfänger müssen identifiziert werden können.
• Speicherkontrolle: Unbefugte Eingabe Speicherung, Veränderung. Löschung oder Einsichtnahme ist zu verhindern. (in Bezug auf Speichermedium)
• Benutzerkontrolle: Die Benutzung von Datenverarbeitungssystemen durch Unbefugte ist zu verhindern.
• Zugriffskontrolle: Zugriff auf die Daten darf nur den Personen gegeben werden welche diese für die Erfüllung Ihrer Arbeit benötigen.
• Eingabekontrolle: Es muss nachträglich geprüft werden können, welche Personendaten, zu welcher Zeit und von welcher Person eingegeben wurden.

Strafbestimmungen des Datenschutzgesetzes

Bei Verletzung können Haft und Busse die Folge sein. Gilt sowohl während der Bearbeitungs- und Aufbewahrungszeit aber auch danach (Schweigepflicht) Kunstgriff für Umgehung des DSG: Daten „entpersonifizieren“. Schlüssel zur Identifikation des Benutzers wird in einer anderen DB gespeichert. So muss hauptsächlich nur diese geschützt werden.

Bedrohung durch Computerkriminalität

Das Gesetz unterscheidet folgende strafbare Handlungen.

• Computerkriminalität: Computer ist das Ziel oder die Waffe zu einer tat. Meistens muss eine rechtswidrige Vermögensverletzung vorliegen. (Datenveränderung, Zerstörung, Sabotage, Datenerlangung, Spionage)
• Computerbetrug: Unbefugtes Beeinflussen von Ergebnissen durch unrichtige Programme, Einwirken auf das Programm, verwenden unrichtiger Daten. Es muss ein Vermögensvorteil für sich oder Dritte entstehen.
• Computerspionage: Die unberechtigte Aneignung von Daten.
• Computersabotage: Die vorsätzliche Beeinträchtigung von Daten oder HW.
• Computermissbrauch Erschleichung einer Leistung: Die unbefugte Nutzung von Systeme n mit der Absicht sich oder Dritten einen Vermögensvorteil zu verschaffen.

Bestimmungen auf dem Strafrecht

Auflistung von relevanten Artikeln aus dem Strafgesetzbuch . (siehe Buch) Eine Geschädigter muss aufzeigen können, dass er angemessen Massnahmen zur Sicherung der Systems vorgenommen hat und muss dies belegen können. Es können recht hohe Strafen ausgesprochen werden. Das Datenschutzgesetz und das Strafrecht setzen das Vorhandensein einer Sicherheitsstrategie voraus. Jedes Unternehmen arbeitet mit mindestens zwei schützenswerten Daten: Personendaten und Kundendaten.

3. Grundprinzip der Risikoanalyse

3.1 Systemabgrenzung

Als erstes wird das ganze IT-System in einzelne Bereiche (Webserver, Extranet, LAN etc.) unterteilt. Dadurch wird die Komplexität reduziert. Ausserdem weisen spezifische Bereiche besondere Sicherheitsaspekte auf. Danach werden die Komponenten der abgegrenzten Bereiche aufgelistet und kurz beschrieben.

Beispiel:

Komponente	Beschreibung
Apache	Webserver-Software für Kundenwebs
VMWare	Virtualisierungs-Software auf Host
Riker.adabis.ch	Server-Hardware für Apache
Switch	Verbindung zu Internet

3.2 Definition des Datenbestandes

Innerhalb des untersuchten Bereiches sind Datenbestände vorhanden. Die Risikoanalyse betrachtet vorwiegend die Gefährdung dieser Bestände. Z.B. Adabis Kundendaten (inkl. Passwörter) und Kundenwebs.

3.3 Definition der Verletzbarkeit

Die Datenbestände werden Bedrohungen der Informatik gegenübergestellt.

Grundbedrohung	Mitarbeiterdaten	Geschäftszahlen	Kundendaten
Vertraulichkeit	1) Es dürfen keine Mitarbeiterdaten die Personalabteilung verlassen	Keine Verletzbarkeit	2) Datenschutzgesetz
Verfügbarkeit	Keine Verletzbarkeit	3) Keine Führung des Unternehmens möglich	4) Produktionsausfall
Integrität	Keine Verletzbarkeit	5) Führung auf Grund falscher Tatsachen	6) Falsches Versenden von Artikeln
Verbindlichkeit	Keine Verletzbarkeit	Keine Verletzbarkeit	Keine Verletzbarkeit

3.4 Definition der Bedrohung

Es wird ein Bedrohungskatalog erstellt. Folgende Bedrohungen können z.B. genannt werden: Stromausfall, Hardwareausfall, Hackerangriff.

3.5 Risikoanalyse

Nun erfolgt die eigentlich Ermittlung des Risikos (Bedrohung + Verletzbarkeit = Risiko)

Verletzlichkeit Bedrohung

Verletzlichkeit	Bedrohung
Nr	Stromausfall	Festplattenausfall	Hackerangriff
1) Vertraulichkeit Mitarbeiterdaten	Kein Risiko	Kein Risiko	a) Hacker kann Daten einsehen
2) Vertraulichkeit Kundendaten	Kein Risiko	Kein Risiko	b) Hacker kann Daten einsehen
3) Verfügbarkeit Geschäftsdaten	c) System läuft nicht mehr	d) System läuft nicht mehr	e) Hacker kann System manipulieren
- - -

3.6 Schadensausmass und Eintrittswahrscheinlichkeit

Das wahrscheinliche Schadensausmass pro Jahr gibt Aufschluss über die höher der Sicherheitsmassnahmen. Wenn kein Frankenbetrag bezifferbar ist, können qualitative Aussagen gemacht werden (niedrig, mittel, hoch, existenzbedrohend)

Nr	Definition der Risiken	Schadensgrösse	Wahrscheinlichkeit	Schaden
a	Mitarbeiterdaten sind zu wenige gegen Hackerangriffe geschützt	Mittel	Klein, da nur intern zugreifbar	Klein
b	Kundendaten sind zu wenige gegen Hackerangriffe geschützt	Gross	Gross, da über WWW erreichbar	Gross
c	Geschäftszahlen sind bei Stromausfall nicht vorhanden	Klein, da keine Arbeitsplätze mehr laufen	Gross	Klein
d	Geschäftszahlen sind bei Systemausfall nicht vorhanden	Gross, da längerer Ausfall	Gross	Gross

(Schadensgrösse * Wahrscheinlichkeit = Schaden)

3.7 Sicherheitsmassnahmen

Zum Schluss werden die einzelnen Komponenten ermittelt die beim entsprechenden Risiko eine Rolle spielen. Pro Komponenten werden dann Massnahmen definiert

Risiko Nr	Schaden	Komponente	Definition der Sicherheitsmassnahme
a	Klein	Applikation 1	Benutzer-ID und Passwort + Rollen
a	Klein	Server 1	Passwortschutz + Physischer Zugriffsschutz
a	Klein	Router 1	Physischer Zugriffsschutz
b	Gross	Server 2	Passwortschutz + Zugriffsschutz zum Server + Firewall + Automatische Logfilekontrolle

Zusammenfassung: Die Bedrohung und die Verletzbarkeit gegeben ein Risiko. Beim Eintreten des Risiko entsteht ein Schaden. Die Eintrittswahrscheinlichkeit und die Schadenshöhe ergeben das tatsächliche Schadensausmass. Je nach Schadenshöhe werden dann die Massnahmen definiert.

4 Allgemeine Gefährdungen

Gefährdungen (Bedrohungen) können in folgende Bedrohungsbilder unterteilt werden:

• Höhere Gewalt
• Menschliche Fehlhandlung
• Technisches Versagen
• Vorsätzliche Gewalt
• Organisatorische Mängel

4.1 Höhere Gewalt

Umwelteinflüsse, Naturkatastrophen. Um sich gegen höhere Gewalt zu schützen sind meistens Massnahmen im Infrastrukturbereich nötig.

4.2 Menschliche Fehlhandlungen

Hier wird davon ausgegangen, dass keine vorsätzliche Absicht vorliegt. Hauptursachen: Unwissenheit, Unachtsamkeit, zu grosse Komplexität. Massnahmen: Schulung, sichere Applikationen, umfangreiche Tests, restiriktive Zugangsberechtigungen.

4.3 Technisches Versagen

Selbsterklärend. Massnahmen: Redundanzen, Wartungsverträge, Notfallkonzepte, Hardware und Software intensiv testen

4.4 Vorsätzliche Gewalt

Beinhaltet das bewusste Zuführen von Schaden. Massnahmen: physische Zutrittskontrolle, Zugangskontrolle (Passwörter), Netzwerksicherheit (Firewall), Systemsicherheit (Abschalten nicht benötigter Dienste)

4.5 Organisatorische Mängel

Keine Verantworten für Tätigkeiten geregelt. Tätigkeiten werden nicht kontrolliert. Prozesse werden nicht gelebt. Hinter einem organisatorischen Mangel steckt immer menschliches Fehlverhalten. Massnahmen: Konzepte, schaffen neuer Stellen, Zuordnen von Aufgaben und Verantwortlichkeiten, Policies, Weisungen

Im Rahmen von IT-Sicherheit gilt es die Bedrohungsbilder

• höhere Gewalt,
• menschliche Fehlhandlungen,
• technisches Versagen,
• vorsätzliche Handlungen und
• organisatorische Mängel

auseinander halten zu können und auch zu wissen, was hinter den einzelnen Begriffen steckt. Es ist wichtig, Gefährdungen nach diesem Raster unterscheiden zu können, da dadurch bereits Hinweise auf die nötigen Gegenmassnahmen gegeben werden.

5 Sicherheitsmassnahmen im Überblick

Massnahmen können in folgende Bereiche unterteilt werden:

• Infrastruktur (bauliche Massnahmen, Zutrittskontrolle)
• Personal (Schulung, Weisungen)
• Organisation (Strategien, Abläufe, Konzepte)
• Hardware und Software (übliche technische Massnahmen)
• Kommunikation (Protokolle, Verschlüsselung, Netzwerkdienste)
• Notfallvorsorge (Backup, Notfallkonzepte)

5.1 Infrastruktur

Massnahmen gegen höhere Gewalt, Elementarschäden (Feuer, Wasser), gegen vorsätzliche Handlungen wie Diebstahl.

5.2 Personal

jeder Mitarbeiter ist ein Risiko. Unwissenheit und Fahrlässigkeit sind die häufigste Ursache für Schadensereignisse.

Massnahmen:

• Benutzer an Sorgfaltspflicht erinnern
• Weisungen (kommunizieren!) Bei Bedarf sollen Mitarbeiter das Lesen der Weisung schriftlich bestätigen.

5.3 Organisation

Hier werden Massnahmen zusammengefasst welche hauptsächlich auf Unternehmensebene geregelt werden müssen. Diese sind erst wirksam wenn sie unternehmsweit gleich gelebt werden.

z.B. Umgang mit..

• Datenschutzgesetz
• Datenträgern
• Virenschutz
• Passwortgebrauch
• Aufbewahrung von Daten

Wichtig: Die Einführung der IT-Sicherheit als ganzes ist die wichtigste Massnahme

Ein weiterer wichtiger Punkt ist, dass alle Verantwortlichkeiten und Aufgaben einem Verantwortlichen zugewiesen sind und dieser die Verantwortung wahrnimmt. Alle Aufgaben müssen zugeordnet und periodisch überprüft werden.

5.4 Hardware und Software

Unter diesem bereich werden wohl die bekanntesten Massnahmen zusammengefasst

• Passwörter
• Verschlüsselung
• Loginprozeduren

Bekannte Sicherheitslöcher müssen mit entsprechenden Massnahmen kompensiert werden. Sicherheitsfunktionen welche von der Grundinstallation nicht vorhanden sind, müssen nachinstalliert werden.

5.5 Kommunikation

Sicherheitsmassnahmen bei Übertragungsprotokollen und Übertragungsmedien

• Sicherung der Kupfer- und Glasfaser Leitungen (z.B. bei "öffentlichem Grund")

5.6 Notfallvorsorge

Hier wird definiert was geschieht wenn ein Risiko wirklich eintrifft

• Wie macht man ein System möglichst schnell wieder lauffähig
• Datensicherung
• Notfallkonzept

Der Wiederanlauf muss nicht nur geplant, sondern von Zeit zu Zeit verifiziert und getestet werden.

Ein Sicherheitskonzept (Summe aller Massnahmen) lebt indem technische Neuerungen laufend eingebaut und bekannte Sicherheitslöcher laufend behoben werden.

6 Grundgedanke IT-Grundschutz

Der IT-Grundschutz beinhaltet technische und organisatorische Massnahmen und Risiken effizient abzuwehren.

Nicht jedes Unternehmen soll Rad neu erfinden müssen. Es bestehen bei den Unternehmen keine so grossen Unterschiede bezüglich Bedrohung und Schwachstellen. Deshalb können Massnahmen standardisiert werden.

• Ein IT System enthält typische Komponenten (Clients, Server, Betriebssystem)
• Bedrohungen und Riskieren und Eintrittswahrscheinlichkeiten lassen sich pauschalisieren
• Der Aufwand kann minimiert werden wenn Standards verwendet werden können.

Daraus resultieren folgende Vorteile:

• Einfache Anwendung anstatt teurer und komplizierten Analysen
• Praxiserprobt
• Erweiterbarkeit und Aktualisierbarkeit

6.1 IT-Grundschutz Bausteine

Die "Bausteine" sind das Kernstück des Grundschutzhandbuches. Hinter jedem Baustein stehen vordefinierte Massnahmen. Beispiel "PC unter Windows NT"

Beschreibung: Es wird beschrieben, dass Vista der Nachfolger von XP ist und auf Grund der starken Verbreitung von Windows System stark gefährdet ist. Weiter werden sie mit Vista eingeführte Sicherheitsmerkmale angesprochen (Protected Mode, UAC, Bitlocker etc.)

Gefährdungslage: es werden für die folgenden typischen Gefährdungen Annahmen getroffen. Höhere Gewalt, Organisatorische Mängel, Menschliche Fehlhandlungen, Technisches Versagen, Vorsätzliche Handlungen

Massnahmenempfehlungen: Es werden unter anderem Empfehlungen zur Version, Gruppenrichtlinien, Automatischen Updates und diversen Dokumenten abgegeben.

Die Bausteine sind den folgenden Schichten zugeordnet

• Schicht 1: Übergreifende Aspekte
• Schicht 2: Infrastruktur
• Schicht 3: IT-Systeme
• Schicht 4: Netz
• Schicht 5: IT-Anwendungen

Schicht 1 beschreibt alles Aspekte welche für ein Unternehmen einheitlich geregelt werden müssen. Beispiel: Sicherheitsmanagement, Organsisation, Datensicherungskonzept, Virenschutz.

Schicht 2 befasst sich mit den baulichen Gegebenheiten.

Schicht 3 mit den einzelnen IT-Systemen. Server, Clients.

Schicht 4 betrachtet die Vernetzung der Systeme inklusive Netz- und Systemmanagement wie auch Firewall.

Schicht 5 beschäftigt sich mit den eigentlichen Anwendungen (E-Mail, Webserver, Faxserver, Datenbanken)

Ein System kann mehreren Bausteinen zugeordnet sein. Beispiel Mailsever unter NT: PC unter Windows NT, servergestütztes Netz, Peer-to-Peer-Netz, Windows NT Netz und Mail.

6.2 Sicherheitsprozess

Um die IT-Sicherheit zu etablieren muss ein Prozess in Betrieb genommen werden. Dazu braucht es Verantwortliche die sich diesem Thema annehmen, verfolgen und laufend verbessern.

• Initialisierung des Prozesses
• Gefährdungsanalyse
• Leitlinien
• IT-Strukturanalyse
• Schutzbedarfsfestellung
• Modellierung
• Ergänzende Sicherheitsanalyse
• Basis Sicherheitscheck
• Realisierungsplan
• Realisierung
• Sicherstellung im Betrieb (Monitoring) und dann zurück zu "Gefährdungsanalyse"

(fett = Sicherheitskonzept)

6.3 Definition der Verantwortlichkeiten

Bevor ein Sicherheitsprozess etabliert werden kann braucht es eine verantwortliche Person (IT Sicherheitsbeauftragter). Dieser

• ist verantwortlich für die ganze IT-Sicherheit
• koordiniert die Erstellung des IT Sicherheitskonzeptes, Notfallkonzeptes, etc.
• erstellt den Realisierungsplan der Sicherheitsmassnahmen
• prüft die Realisierung und
• stellt den Informationsfluss zur Leitungsebene und zu den einzelnen IT Verantwortlichen sicher.

6.4 Gefährdungsanalyse und Leitlinien

Jedes Unternehmen muss in einer Sicherheitsleitlinie (Policy) definieren wieviel ihr "IT-Sicherheit" bedeutet. Dies hängt unter andrem vom Vertraulichkeitsgrad der zu verarbeitenden Daten ab. Für kritische Datensammlungen schreibt der Gesetzgeber spezielle Sicherheitsmassnahmen vor.

Der Inhalt besteht aus:

• Stellenwert der IT-Sicherheit
• Sicherheitsziele und Strategie
• Zusicherung der Unternehmensleitung, dass die Policy durchgesetzt wird
• Beschreibung der verantwortlichen Organisation

6.5 Erstellung des Sicherheitskonzeptes

Das Sicherheitskonzept beschreibt die Summe aller Massnahmen die ergriffen werden müssen um die Sicherheit zu gewährleisten.

Vorgehen:

1. IT-Strukturanalyse. Auflistung aller Komponenten. Bilden von Gruppen.
2. Schutzbedarfsfestellung. Für jede Applikation definieren wie wichtig sie für den Fortgang des Geschäftsprozesses ist. Dadurch wird der benötigte Schutz definiert. Die Applikation definiert dadurch auch wie die darunter liegenden Komponenten (Server, Netz) zu schützen sind.
3. Modellierung. Die Komponenten werden den Bausteinen aus dem Grundschutzhandbuch gegenübergestellt und die Massnahmen festgehalten (Modellieren).
4. Sicherheitsanalyse. Entspricht einer Risikoanalyse. Komponenten mit einem hohen Schutzbedarf müssen einer separaten Analyse unterworfen werden. Grund: Der Grundschutz definiert nur eine mittlerer Sicherheit.
5. Basis Sicherheitscheck. Die entstanden Modellierung wird als Prüfplan benutzt um herauszufinden welche Massnahme bereits umgesetzt ist bzw. noch umgesetzt werden muss. Das Resultat ist der "Realisierungsplan".
6. Realisierungsplan. Gleiche Tätigkeiten zusammenfassen. Der It-Sicherheitsprozess wacht über die Umsetzung und Einhaltung der Massnahmen.

Das Ergebnis des Basis Sicherheitscheck dient als Kommunikationsmittel zur Unternehmensleitung stellt das Sicherheitskonzept dar.

6.6 Umsetzung

Aus dem Sicherheitskonzept geht auf Grund des Realisierungsplanes hervor welche Massnahmen noch umgesetzt werden müssen.

Damit das Konzept kein Konzept bleibt müssen sämtliche Mitarbeiter für dieses Thema sensibilisiert werden. Man nennt diesen Prozess "Security Awareness".

6.7 Aufrechterhaltung im laufenden Betrieb

Der Sicherheitsprozess muss laufend kontrolliert und auch aktualisiert werden (inkl. Sicherheitskonzept). Auch die Reaktionen auf neue Ereignisse müssen geregelt werden.

Der Grundschutz besteht aus zwei wichtigen Komponenten:

• Der Sicherheitsprozess. Dieser beinhaltet die Erarbeitung, Umsetzung und Kontrolle von nötigen Sicherheitsmassnahmen.
• Das Sicherheitskonzept. Stellt die Summer aller Massnahmen dar um die Sicherheitsziele zu erreichen.

7 Strukturanalyse

Die Strukturanalyse steht am Anfang jedes Projektes und ist in folgende Schritte gegliedert:

• Netzplanerhebung: Erstellen einer grafischen Übersicht aller Komponenten
• Gruppenbildung: Zusammenfassen gleicher Komponenten
• Erhebung Komponenten: Ableiten der relevanten Komponenten
• Erhebung Applikationen: Erfassen aller geschäftsrelevanten Applikationen
• Erhebung Systeme pro Applikation: Übersicht welche Komponenten für welche Applikation nötig sind

7.1 Netzplanerhebung

Ein Netzplan stellt alle sicherheitsrelevanten IT Komponenten in einer grafischen Übersicht dar. Typische Komponenten:

• Clients, Server, Netzkomponenten, Netzdrucker
• Netzverbindungen, LAN, WAN
• Verbindungen des betrachteten Bereiches nach aussen

Zu jeder Komponenten gehören folgende Information (auf die Übersicht oder auf separater Liste)

• eindeutige Bezeichnung (z.B. Hostname oder eine Identifikationsnummer)
• Typ und Funktion (z.B. Webserver für ISPRM)
• Die zugrunde liegende Plattform (Hardware und Betriebssystem sprich I386 / Windows Server 2003)
• Standort
• Zuständiger Administrator
• Art der Netzanbindung und Netzadresse

Auch die Verbindungen zwischen den Komponenten müssen dokumentiert sein:

• Art der Verbindung (Kupfer, Glas, Ethernet)
• maximale Datenübertragungsrate (z.B. 1Gbps)
• verwendende Protokolle (Ethernet, TCP/IP)
• Details zum externen Netz

Informationen müssen laufend aktualisiert werden. Das bedeutet, dass Managementunterstützung benötigt ist.

7.2 Komplexitätsreduktion durch Gruppenbildung

Gleiche Komponenten werden zu Gruppen zusammengefasst wenn alle Komponenten...

• vom gleichen Typ sind
• gleich oder nahezu gleich konfiguriert sind
• gleich oder nahezu gleich ins Netz eingebunden sind
• den gleichen Rahmenbedingungen unterliegen und
• die gleichen Anwendungen bedienen

Wichtigstes Beispiel: Die Clients

7.3 Erhebung der Infrastrukturkomponenten

Der nächste Schritt ist die Erstellung einer Liste in Tabellenform welcher vom Netzplan abgeleitet ist.

Die Liste enthält folgende Spalten

Nr.	Beschreibung	Plattform	Anz.	Ort	Status	Anwender / Administrator
S1	Fileserver	2K3	3	Zofingen	installed	IT333
S2	AD	2K8	2	Zofingen	installed	IT333
C1	Clients IT333	2K6	7	Luzern	installed	IT333

7.4 Erfassen der Anwendungen

Erfassen der unternehmenswichtigen Applikationen. In der Regel nur folgende:

• Anwendungen deren Daten den höchsten Bedarf an Vertraulichkeit besitzen
• Anwendungen deren Daten den höchsten Bedarf an Korrektheit (Integrität)besitzen
• Anwendungen welche die kürzeste tolerierbare Ausfallzeiten haben

Beispiel:

Anwendungsnummer	Anwendung	personenbezogene Daten
A1	Persy	X
A2	Benutzer-Authentisierung	X
A3	ISPRM

7.4 Erfassen der Komponenten pro Applikation

Nun wird beschrieben welche Applikation auf welchem Server läuft. Diese Übersicht könnte wir folgt aussehen

Anwendungsnummer	Anwendung	personenbezogene Daten	S1	S2	S3	S4
A1	Persy	X	X		X
A3	ISPRM					X

Diese Informationen sind späte für die Schutzbedarfserhebung nötig. Wird z.B. eine Applikation als "hoher Schutzbedarf" bezeichnet, so benötigen die darunter liegenden Systeme automatisch das gleiche Mass an Schutz.

Die Strukturanalyse gibt am Schluss Auskunft darüber

• welche Komponenten vorhanden sind
• welche Applikationen im Einsatz sind und
• welche Applikationen welche Komponenten benötigen oder benutzen

8 Schutzbedarfsfeststellung

Der Schutzbedarf beschreibt das Mass an Sicherheit, das für eine Komponente nötig ist. Daran lassen sich die Sicherheitsanforderungen der übrigen Komponenten bestimmen.

Die Schutzbedarfsfeststellung orientiert sich an folgendem Modell der IT Architektur

• Organisation
• Daten
• Applikation
• System und Betriebssystem
• Netzwerke
• Infrastruktur

Die Schutzbedarfsfeststellung erfolgt in vier Schritten:

1. Definition der Schutzbedarfskategorien
2. Definition der Schadensszenarien auf IT Anwendungen (prüfen der Auswirkung bei Verlust von Verfügbarkeit, Vertraulichkeit oder Integrität)
3. Anschliessend wird daraus der Schutzbedarf der einzelnen Komponente abgeleitet
4. Aus dieser Ergebnissen wird abschliessend der Schutzbedarf der Übertragungsstrecken und der Räume definiert.

8.1 Definition Schutzbedarfskategorien

Da der Schutzbedarf oft nicht quantifizierbar ist, muss man sich in der Regel auf qualitative Aussagen verlassen

Schutzbedarfskategorien:

• Niedrig bis Mittel: Schaden ist begrenzt und überschaubar
• Hoch: Schaden kann beträchtlich sein
• Sehr hoch: Schaden kann existenzbedrohend oder katastrophal sein

8.2 Schutzbedarfsfeststellung für Anwendungen

Um zu definieren welche Verletzbarkeit eine Anwendung aufweist, wird die Frage "Was wäre wenn ...?" gestellt. Erinnerung: Eine Verletzbarkeit stellt beim Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit einen Schaden dar.

Für jede Applikation aus der Strukturanalyse wird pro Grundwert (Vertraulichkeit, Integrität, Verfügbarkeit) der Schutzbedarf (niedrig, mittel, hoch, sehr hoch) inkl. einer Begründung aufgelistet.

8.3 Schutzbedarfsfeststellung für IT Systeme

Aus der Strukturanalyse ist bekannt welche Applikation welche Systeme nutzt. Das gleiche Mass an Schutz wie die Applikation benötigen auch die darunter liegenden Systeme.

Wenn mehrere Applikation auf einem Server betrieben werden werden die Sicherheitsanforderungen der Applikation mit dem höchsten Schutzbedarf angewendet.

8.4 Schutzbedarfsfeststellung für Kommunikationsverbindungen

Die Kommunikationsverbindungen sind genau so wichtig wie die Systeme selbst. Es nützt nichts aufwändige Schutzmassnahmen vorzunehmen wenn im Gegenzug Daten unverschlüsselt übers Netz gehen.

Folgende Betrachtungsweise dient zur Identifikation der kritischen Verbindungen

• Verbindungen bei welchen es sich um Aussenverbindungen handelt bzw. Verbindungen dir über öffentlichen bzw. unsicheren Grund gehen.
• Verbindungen mit schutzbedürftigen Informationen
• Zentrale Verbindungen (Hauptverbindungen). Der Ausfall einer solchen kann die gesamte Informatik beeinträchtigen.

Pro Verbindungen werden dabei folgende Informationen in eine Schlusstabelle eingetragen:

• Die Verbindungsstrecke (von, nach)
• ob es sich um eine Aussenverbindung handelt
• ob der Schutzbedarf aus der Vertraulichkeit, Integrität oder der Verfügbarkeit resultiert.

8.5 Schutzbedarfsfeststellung für Räume

Die Räume in denen sich die Komponenten benötigen ebenfalls eine Schutz. die Höhe des Schutzes leitest sich logischerweise von den darin enthaltenen Komponenten ab.

In den meisten Unternehmen gibt es ein Zonenkonzept, in dem System mit gleichen oder ähnlichen Schutzbedürfnissen zusammen betrieben werden.

8.6 Interpretation der Ergebnisse

Der IT-Grundschutz versteht sich als "mittlerer bis hoher" Schutz. Komponenten mit einem hohen Schutzbedarf müssen genauer untersucht werden.

Der Schutzbedarf wird wie folgt ermittelt:

1. Schutzbedarfskategorien definieren
2. Schadensszenarien für Anwendungen definieren und Applikationen betreffend Integrität, Vertraulichkeit und Verfügbarkeit bewerten.
3. Schutzbedarf der einzelnen Komponenten ableiten
4. Schutzbedarf der Übertragungsstrecken und der Räume ableiten.

9 Grundschutz-Modellierung und Basis Sicherheitscheck

Im nächsten Schritt werden die nötigen Sicherheitsmassnahmen bestimmt. Die geschieht indem die Komponenten den Bausteinen aus dem Grundschutzhandbuch gegenübergestellt werden.

Weiter wird geprüft welche Massnahmen schon realisiert wurden

9.1 Grundschutz-Modellierung

bei der Grundschutz-Modellierung wird jeder Baustein aus dem IT-Grundschutz einzeln betrachtet und entschieden wann er für welche Komponenten angewendet werden kann.

Abschliessend muss die Vollständigkeit überprüft werden indem auf Grund des Netzplanes alle Komponenten durchgegangen wird.

9.2 Sicherheitsanalyse

Bei der Sicherheitsanalyse werden Komponenten mit hohem bis sehr hohem Schutzbedarf separat analysiert. Das Vorgehen ist gleich wie bei der Risikoanalyse. Das Ergebnis der Sicherheitsanalyse sind besondere Bedrohungen und besondere Massnahmen. Diese werden als separater Baustein in das Grundschutzhandbuch bzw. in das Sicherheitskonzept eingefügt.

9.3 Basis Sicherheitscheck

Auf Grund der Modellierung sind pro Komponente die Massnahmen bekannt. Einige Massnahmen sind evtl. bereits umgesetzt, andere nicht. Um herauszufinden was noch umgesetzt werden muss, wird ein Basis-Sicherheitscheck durchgeführt.

Der Ist-Zustand wird mit dem Sollzustand verglichen. Die Abweichungen werden in einem Realisierungsplan festgehalten.

Um den Stand der empfohlenen Massnahmen festzuhalten, werden folgende Kategorien herbeigezogen:

Kategorie	Bedeutung
Entbehrlich	Die Umsetzung ist nicht notwendig, weil wereits eine andere gleichwertige Massnahme im Einsatz ist
Ja	Die empfohlene Massnahme ist bereits vollständig umgesetzt
Teilweise	Die empfohlene Massnahme ist (noch) nicht vollstaändig oder wirksam umgesetzt
Nein	Die empfohlene Massnahme ist kaum oder gar nicht umgesetzt

Beispiel Realisierungsplan:

Der Realisierungsplan wird dem Management vorgelegt. Dort wird über die Umsetzung entschieden und die Termine un Verantwortlichkeiten werden definiert und schriftlich festgehalten.

10 Internet-Dienste

10.1 WWW

Festlegung der Sicherheitsstrategie:

• Wer darf welche Informationen publizieren?
• Welche Dateien dürfen auf Grund ihres Inhaltes nicht auf dem Webserver publiziert werden? (z.B. vetrauliche Daten)
• Welche Zugriffsbeschränkungen sollen auf den WWW-Server realisiert werden? (Wer darf auf welche Infos zugreifen)

Sicherheitsstrategie für die WWW-Nutzung:

• Wer erhält WWW Zugang?
• Die Browser müssen so konfiguriert werden, dass sie das grösste Mass an Sicherheit garantieren.
• Auf dem Firewall (proxy) können white-lists bzw. black-lists konfiguriert werden um Zugriff auf rechtlich bedenkliche Seiten zu verhindern.
• Nach dem Download von Dateien müssen diese explizit auf Viren geprüft werden.

Sicherer Betrieb eines WWW-Servers:

• Webserver muss auf minimalem Betriebssystem installiert sein (unnötige Dienste deaktivieren)
• Die Kommunikation sollte durch einen Paketfilter auf ein Minimum beschränkt werden.
• Die Administration des Webservers sollte nur über eine sichere Verbindung erfolgen
• Konfigurationstype: Auflisten von Verzeichnisinhalt unterbinden, "symbolische Links" deaktivieren.

Schutz der WWW-Dateien

• Files auf dem Webserver sind üblicherweise statisch und können deshalb einfach und automatisiert auf Veränderungen geprüft werden.

Schutz vor unbefugtem Zugriff

• über IP-Adresse
• Benutzername Passwort
• Zertifikat

Sicherheit von WWW-Browsern

• vom Web heruntergeladen Dateien dürfen nicht automatisch starten (sie können z.B. Makrovieren enthalten)
• kein automatische Installieren von Plug-Ins denen man nicht vertraut

Cookies

bei Bedarf kann das Anlegen von Cookies komplett unterbunden werden.

Datensammlungen

Ein schlecht konfigurierter Proxy-server kann massive Datenschutzverletzungen nach sich ziehen.

Ein Grossteil der Massnahmen liegt im Verantwortungsbereich des Benutzers. Es müssen deshalb entsprechende Weisungen erstellt UND kommuniziert werden.

10.2 E-Mail

Sicherheitspolitik festlegen:

• Wer erhält Mail Zugriff?
• Welche Informationen dürfen versendet werden?
• Wie verbindlich ist ein E-Mail?

Folgende Punkte sind zu beachten:

• E-Mailprogramme müssen so konfiguriert sein, dass maximale Sicherheit erreicht wird. Der Benutzer darf diese Einstellungen nicht ändern.
• Daten dürfen erst übermittelt werden, sich der Benutzer identifiziert und authentifiziert hat.
• Signaturen verwenden
• Mailversand wird oft protokolliert. dabei sind die Datenschutzbestimmungen zu beachten.

Regeln für die Benutzer festlegen:

• Beim Mailversand an mehrere Benutzer BCC verwenden.
• "Betreff" immer ausfüllen
• Ein- und ausgehende Mails müssen immer auf Viren überprüft werden.

Mailadressen, Verteilerlisten:

• Namenskonvention von Mailadressen festlegen
• Verteilerlisten regelmässig auf Aktualität prüfen

Namenskonventionen haben den Nachteil, dass sie für Spammer einfacher zu erraten sind.

Schutz vor Attacken

Achtung vor...

• Mailbomben
• Archiven mit EXE oder ähnlich

Massnahmen gegen Spam:

• Filter auf dem Mailserver
• Weisungen betreffend Publikation der eigene Mailadresse (z.B. in Newsgroups)

Sicherer Betrieb eines Mail-Systems

• lokale Mails müssen im internen Netz bleiben
• nur der Eigentümer darf Zugriff auf die Mailbox haben
• eingehende Mails müssen auf der Firewall oder auf dem Firewall nach schädlichen Inhalten durchsucht werden
• Über Filterregeln muss es möglich sein ausgehende oder hereinkommende Mails zu filtern
• Mailserver darf nicht als Mailrelay benutzbar sein
• Die Mailprogramme der Benutzer müssen für maximale Sicherheit konfiguriert sein. Weiter müssen die Benutzer darauf hingewiesen werden, dass sie die Konfiguration nicht ändern dürfen.

11 Mobile Zugriffsdienste

Bei mobilem Zugriff erfolgt dieser fast immer über öffentliche Leitungen. Deshalb muss dieser Zugang besonders geschützt werden.

11.1 Firewall

Arten von Firewalls

• Paket-Filter: Auf den unteren OSI-Schichten werden nach speziellen Regeln Pakete weitergeleitet oder abgefangen.
• Application-Gateway: Dieser schaut zusätzlich in die Pakte hinein und untersucht die Nutzdaten. Dies setzt aber voraus, dass der Application-Gateway die Applikation kennt.

Voraussetzungen:

• Jede Kommunikation zwischen den beiden Netzen muss ausnahmslos über die Firewall geführt werden.
• Auf dem Firewall darf nichts anderes laufen (minimales Betriebssystem)
• Die Administration des Firewall erfolgt über einen gesicherten Weg
• Die Firewall erlaubt nur festgelegte Verbindungen anhand IP-Adresse, Dienst, Richtung, Zeit und Benutzer

Die Firewall bietet keinen umfassenden Schutz:

• Filterung von aktiven Inhalten (Applets, ActiveX) ist nur zum Teilk möglich
• Über eine bestehende Verbindung kann ein Tunnel aufgebaut werden in welchem sich beliebige andere Protokoll tunneln lassen
• Firewalls schützen nicht vor DoS Attacken.
• Ein Firewall schützt nur vor Angriffen von aussen und nicht vor Angriffen von innen.

Sicherheitspolitik

• Welche Informationen und Dienste dürfen durch die Firewall (beide Richtungen)
• Welche Information soll die Firewall verstecken (z.B. die interne Struktur oder den Benutzernamen)
• Welche Authentisierung soll verwendet werden
• Welcher Datendurchsatz ist zu erwarten

Folgende organisatorische Regeln sind ebenso erforderlich:

• Festlegen welche Informationen protokolliert werden
• Die Benutzer müssen über ihre rechte informiert werden (Nutzdaten-Filterung)
• Angriffe müssen nicht nur verhindert, sondern auch erkannt werden.
• es ist zu klären welche Aktionen bei einem Angriff gestartet werden

Filterregeln

• Alles was nicht explizit erlaubt ist, ist verboten
• Alle Rechner des internen Netzes müssen berücksichtigt werden
• Welche Dienste stehen zu welcher Zeit zur Verfügung

Firewall Architektur

• Dual-homed Gateway Ein Application-Gateway mit zwei Interfaces welche die beiden Netze verbindet.
• Screened Gateway: Hier wird zusätzlich zum Application Gateway ein paketfilter benutzt. Der Paketfilter befindet sich entweder vor oder nach oder vor und nach dem Application Gateway. z.B. (Internet -> Paket-Filter -> Application Gateway -> Paket Filter -> internes Netz)

Sichere Anordnung weiterer Komponenten

Neben dem LAN gibt es noch weitere Komponenten welche speziell geschützt werden müssen und für welche speziell Regeln gelten (Ein Mail-Server muss z.B. aus dem Internet erreichbar sein)

11.2 Kryptopgraphie

Symmetrische Verschlüsselung

Empfänger und Absender besitzen den selben Schlüssel mit welchem man ver- und entschlüsseln kann. Das verfahren ist sehr schnell und bietet eine gute Sicherheit. Das Problem ist der Austausch des Schlüssels: Wenn ein Dritter den Schlüssel mitlesen kann, kann er in die Kommunikation eingreifen und diese manipulieren.

Asymmetrische Verschlüsselung

Empfänger und Absender haben unterschiedliche Schlüssel welche aber (mathematisch) zusammengehören. Mit Schlüssel A verschlüsselte Nachrichten können nur mit Schlüssel B entschlüsselt werden und umgekehrt.

Einer der beiden Schlüssel kann als "private Key" und der andere als "public Key" verwendet werden.

Die asymmetrische Verschlüsselung ist etwa 1000 mal langsamer als die symmetrische Verschlüsselung. Deshalb wird oft ein kombiniertes Verfahren benutzt. Eine Verbindung wird asymmetrisch begonnen und ein "Sitzungsschlüssel" (symetrisch) ausgemacht und ausgetauscht. Danach wird die verbindung symetrisch mit dem geheimen Key verschlüsselt.

Authentifikation

Wie kann ein ein Empfänger sicher sein, dass eine Nachricht wirklich vom angegeben Absender stammt? bei der Authentifikation wird ebenfalls eine asymmetrische Verschlüsselung angewendet. Schlüssel B ist bekannt (public). Der Absender verschlüsselt Nachricht mit (privatem)Schlüssel A. Wenn Empfänger mit Schlüssel B die Nachricht entschlüsseln kann ist klar, dass die Nachricht mit Schlüssel A verschlüsselt wurde. Nur der gewünschte Absender hat Schlüssel A.

Elektronische Unterschrift

Um eine Nachricht elektronisch zu unterschreiben wird über die Nachricht ein Hash berechnet. Der Hash wird mit Schlüssel A verschlüsselt. Empfänger entschlüsselt den Hash mit Schlüssel B und bildet ebenfalls einen Hash über die Nachricht. wenn beide Hash identisch sind, ist klar, dass die Nachricht nicht verändert wurde.

Zertifikate

Mit Hilfe von Zertifizierungsstellen könne öffentliche Schlüssel verteilt werden. Die öffentlichen Schlüssel dieser Zertifizierungsstellen sind in den Browsern bereits installiert.

11.3 Remote Access

Sicherheitsrichtlinie:

• Welcher Benutzer darf auf welche Daten, Applikationen, Dienste zugreifen.
• Welcher Benutzer darf sich zu welchen Zeiten mit welchem RAS Zugang verbinden.
• Welche Authentisierungsmechanismen sind für den Zugriff zu benutzen?
• Welche Zugriffsrechte werden vergeben?
• Ist der schreibende Zugang auf Daten erlaubt? (oder evtl. nur auf bestimmtes Verzeichnis)
• Wie werden Authentisierunsgfehler behandelt?
• Wie ist der technische und organisatorische Ablauf um ein gesperrtes RAS-Konto wieder zu aktivieren?
• Kann auch aus der Ferne ein Konto entsperrt werden? Ablauf?
• Welche Daten werden protokolliert?

Weil RAS Verbindungen immer über ungesicherte Verbindungen wie Modem oder Internet gehen, muss eine starke Verschlüsselung eingesetzt werden. Die gängigste Variante ist das Tunneling (VPN)

11.4 Telearbeit

bei der Telearbeit gelten generell die selben Sicherheitsmassnahmen. Zusätzlich muss die Handhabung folgender Punkte definiert sein:

• Datensicherung
• Verschlüsselung der Daten
• Aktentransport (vom Büro nach Hause und umgekehrt)
• Zugriffsrechte
• Umgang mit Datenträgern

Gesamtzusammenfassung

Der IT-Grundschutz ist eine Methode um schnell und relativ einfach ein mittleres bis hohes Mass an Schutz in einer IT-Infrastruktur aufzubauen.

Die Ausgangslage ist Verletzbarkeit bezüglich den vier Grundbedrohungen:

• Verfügbarkeit
• Vertraulichkeit
• Integrität
• Verbindlichkeit

Trifft nun eine reale Bedrohung auf eine solche Verletzbarkeit, spricht man von einem Risiko. Das Risiko lässt sich in einem Geldbetrag ausdrücken und beziffert den finanziellen Verlust, der ein Unternehmen bei dessen Eintritt hinnehmen muss. Um dies zu verhindern, wird ein Sicherheitsprozess etabliert, der diese Risiken aufdecken und minimieren soll. Neben den organisatorischen Massnahmen ist die Erarbeitung eines Sicherheitskonzepts die entscheidende Arbeit. Das Sicherheitskonzept beschreibt die Summe aller Massnahmen, die ergriffen werden müssen, und wie gross der Aufwand ist, um die Sicherheitsziele umzusetzen. In einer Modellierungsphase werden Bausteine aus dem IT Grundschutz der vorhandenen Infrastruktur gegenübergestellt und die nötigen Massnahmen abgeleitet. Dort wo Bausteine fehlen, müssen sie mit einer Sicherheitsanalyse erarbeitet werden. Einzelne Bausteine können auch miteinander verschmolzen werden, um die Übersicht zu erhöhen. Ein Baustein wird beschrieben, indem die Bedrohungen, die auf ihn wirken, und die Massnahmen, die ergriffen werden müssen, aufgezeigt werden. Bedrohungen werden eingeteilt in:

• höhere Gewalt,
• menschliche Fehlhandlungen,
• technisches Versagen,
• vorsätzliche Handlungen und
• organisatorische Mängel,

während Massnahmen den Bereichen

• Infrastruktur,
• Personal,
• Organisation,
• Hardware und Software,
• Kommunikation und
• Notfallvorsorge

zugeordnet werden.

Der Sicherheits-Basischeck nimmt nun alle relevanten Massnahmen pro Komponenten auf und untersucht, ob diese schon umgesetzt sind. Das Resultat ist ein Realisierungsplan, welcher der Leitung zur Genehmigung vorgelegt wird. Periodisch wird der ganze Prozess wieder durchlaufen, um sicherzustellen, dass alle Änderungen in der Infrastruktur, neue Bedrohungsbilder und Massnahmen eingeflossen sind.

Das folgende Beispiel soll nochmals den Ablauf eines IT-Grundschutzprozesses praxisnah aufzeigen.

In den Wagen von Herrn Meier, Mitarbeiter einer autonomen Versicherungsagentur, wird eingebrochen. Sein Arbeitsnotebook wird dabei glücklicherweise übersehen, da dieses unter den Beifahrersitz gerutscht ist. Gleichwohl fragt er sich im Nachhinein, was passiert wäre, wenn das Notebook mitgenommen worden wäre. Immerhin befinden sich höchst vertrauliche Kundendaten darauf (Lebensversicherungsinformationen und entsprechende Krankheitsfälle. Er beschliesst dies mit dem Leiter der Agentur, Herrn Koller, zu diskutieren. Herr Koller ist über den Vorfall ebenso beunruhigt und beschliesst den Sicherheitsmassnahmen auf den Grund zu gehen. Die entsprechende «Managementunterstützung» wurde etabliert. Zunächst überlegt sich Herr Koller, wie wohl die generelle Situation innerhalb der Agentur ist. Er kommt zum Schluss, dass auf allen IT-Systemen vertrauliche Kundeninformationen liegen und generell seine Agentur einer «hohen bis sehr hohen» Gefährdung ausgesetzt ist. Er führt also eine «Gefährdungsanalyse» durch. Diese Erkenntnis setzt er in eine Weisung (Security Policy) um und versendet ein Memo an alle Mitarbeiter, in dem er darauf aufmerksam macht. dass «Alle Kundendaten besonders geschützt werden müssen». In der nächsten Woche setzt sich Herr Koller mit dem IT-Lieferant zusammen und sie erarbeiten zusammen das IT-Sicherheitskonzept. Sie versuchen zu definieren, welche IT-Mittel in der Agentur im Einsatz sind. Dies sind sechs PCs, vier Notebook~, ein LAN-Server, ein Switch, ein Router und ein RAS-Server. Beide haben eine einfache «Strukturanalysy» durchgeführt. Nun definieren sie den «Schutzbedarf», indem sie sich überlegen, wo welche Daten im Einsatz sind. Sie kommen zum Schluss, dass

• PC-Systeme einen mittleren Schutzbedarf haben, da sie nur in der Agentur stehen,
• Notebooks einen hohen Schutzbedarf haben, da sie einen Teil der Kundendaten enthalten, und
• der RAS- und LAN-Server einen sehr hohen Schutzbedarf haben.

Alle übrigen Komponenten haben einen geringen Schutzbedarf und werden nicht betrachtet. Im nächsten Schritt «modellieren» sie diese Umgebung gemäss IT-Grundschutz, indem sie das IT-Grundschutzhandbuch aufschlagen und die PC, Notebooks und Server einer der bereits beschriebenen Komponenten gegenüberstellen. Sie finden:

• «Notebooks» entsprechen zum Beispiel «Tragbarer PC» und «PC unter Windows NT».
• «LAN-Server» entspricht «Servergestütztes Netz» und «Windows NT Netz» etc.

Sie notieren sich die vorgeschlagenen Massnahmen aus dem IT-Grundschutzhandbuch. Danach notieren sie sich, welche Massnahmen bereits umgesetzt sind und welche noch offen stehen. Sie machen einen «Basis-Sicherheitscheck». Am Schluss steht ein Realisierungsplan, den der Lieferant mit der Angabe ergänzt. wie viel Aufwand (in Franken) die Realisierung pro Massnahme kosten wird. Dem IT-Lieferant wird nun eine Zeit gewährt. in der die noch nicht realisierten Massnahmen einzubauen (zu realisieren) sind.

Zwei Monate später kontrolliert der IT-Lieferant die definierten Massnahmen und entdeckt, dass der Mitarbeiter Herr Huber bereits sein Power-On-Passwort aus dem Notebook wieder entfernt hat. Herr Koller unterstreicht in der nächsten Mitarbeitersitzung die Sicherheitsrichtlinien und betont. dass diese einzuhalten sind. Herr Koller hat den «Betrieb» des IT-Grundschutzes sichergestellt. Ein Jahr später setzt sich Herr Koller wieder mit dem IT-Lieferanten zusammen und sie beginnen wieder die zu diesem Zeitpunkt im Einsatz stehenden Systeme aufzunehmen, einen Basis-Sicherheitscheck, eine Modellierung etc. durchzuarbeiten. Herr Koller hat den «Grundschutzprozess» geschlossen und eine periodische Überprüfung initialisiert.