MANSEC

Am 25. Mai tritt die neue Datenschutz-Grundverordnung (DSGVO) der EU in Kraft, welche verschärfte Bedingungen im Umgang mit Personendaten vorsieht.

Die Zweckbindung definiert die Gründe für die Datenerfassung und Zugriff. Die Verwendung von automatischen Methoden zur Durchsetzung von Datenschutzbestimmungen erfordert, dass der Zweck eines angeforderten Zugriffes automatisch erkannt und gegen die Policy überprüft werden kann.

Durch Maskierung von Personendaten wird der Bezug zu den Individuen in der Datenbank zerstört. Es muss aber darauf geachtet werden, dass die Umformung so realistisch und akkurat wie möglich ist; sie muss ebenfalls format- und linksicher sein.

• k Datensätze bilden eine Äquivalenzklasse (bzgl. des Quasi-Identifikators)
• schützt mit einer Konfidenz von 1/k vor einer ‘korrekten’ Verknüpfung einer Person mit ihren sensitiven Attributen

1. Bestimmung der Identifikatoren und des Quasi-Identifikators
2. Vorgabe einer Generalisierungsstrategie
3. Entfernen der Identifikatoren
4. Umformen einzelner Attribute aus dem Quasi-identifikator bis gewünschtes Mass erreicht ist, eventuell unter Zuhilfenahme von Unterdrückung.

1. Datenschutz by Design:
   1. Greift den Grundgedanken auf, dass sich der Datenschutz am besten einhalten lässt, wenn er bereits bei Erarbeitung eines Datenverarbeitungsvorgangs technisch integriert ist.
2. Datenschutz by Default:
   1. Datenschutzfreundliche Voreinstellungen“ – Werkeinstellungen sind
      datenschutzfreundlich auszugestalten. Nach dem Grundgedanken sollen insbesondere die Nutzer geschützt werden, die weniger technikaffin sind und z.B. dadurch nicht geneigt sind, die datenschutzrechtlichen Einstellungen ihren Wünschen entsprechend anzupassen.

a) Einwilligung (aller im Datensatz involvierten Personen)
oder
b) Anonymisierung der Personendaten

Eine Menge von Attributen (Personendaten), welche zusammen eine Person mit hoher
Wahrscheinlichkeit „bestimmbar“ macht.

• Automatischer Abgleich mit User Präferenzen
• Automatisches System für die Bestimmung der Weitergabe von Daten

• Externe Beziehungen (immer mehr)
• Interne Beziehungen (immer weniger)

Externe Verbindungen & Zusammenarbeit / Interne Führung / Verbindung

Awareness = Wissen, Man kann es lernen

Grundhaltung = prinzipielle Herangehensweise: Gedanken muss ins Blut gehen …

Verhalten: wird eingehalten ohne Ausnahme: Schwierigster Herausforderung.

Etwas was bleibt und man nicht los wird (Ohrenwurm Song, Bild, Reim etc.)
Muss einfach, klar, verständlich und bedeutungsvoll sein.

Stickiness wird erreicht durch:

• Zuhörer involvieren
• Dem Publikum Fragen stellen (um die Zuhörer zum Denken anzuregen)
• Wichtige Infos wiederholen
• Einfache und klare Erklärungen liefern

Bestraffung hinterlässt eine negative, demotivierende Stimmung.

Belohnungen hinterlassen eine positive, motivierende Stimmung. --> Effizienter, nachhaltiger.

Zuckerbrot: Positive Gefühle sind einfacher zugreifbar und bleiben länger, besser und freudvoller verankert.

Ja: Die Raumgestaltung interagiert mit der Psyche und kreiert Erwartungen. Sauberkeit, Struktur, Blickkontakt generiert Sicherheit.

Durch IoT entsteht ein riesiges öffentliches Netzwerk (nicht eine Serie privater Netze).

Alles was mit dem Internet verbunden ist, birgt ein Sicherheitsrisiko. Die Identität kann vom Verhalten im Cyberspace abgeleitet werden. Benutzer werden mächtiger aber auch angreifbarer.

Security wird probalistisch
Recovering von Attacken ist wichtig.

Definition der Vision, Messung des aktuellen Zustandes, Erzeugen neuen Wissens, Grundhaltung und Verhalten. Verwende «Sticky» Messages, Messe neuen Zustand.

• Vision, Strategie
• Security Policy
• Threat Analyses, Risikoanalyse, Risiko Management
• Gegenmassnahmen

Vision, Mission (Leitbild) Strategie, Policy, Bedrohungs-& Risikoanalyse und Risk Management, Massnahmenprojekte gemäss Frameworks.

Ein Gremium zur strategischen Steuerung der Organisation, bezogen auf Sicherheit.

Bei der Ausbildung von Management, und Exekutives. Auch bei der Festlegung des Sicherheitsbedarfs, besonders bei High Impact Low Frequency Risks (HILF)

Scenario Planning:

• Nachgestelltes (aber realitätsgetreue) Szenario über eine mögliche Entwicklung.
• Ermöglicht, das "undenkbare" zu diskutieren.
• Gut um Business Strategien zu Reviewen.

Attribution: Fehlverhalten gerechtfertigen, indem andere Beschuldigt werden ("they made me do it")

Ja: Die Konsequenzen müssen Persönlich, Unmittelbar sein und mit Sicherheit eintreffen.

1. Ziel
2. Quellen
3. Methodik
4. Inhaltsverzeichnis

Möglichst passend zum eigenen Thema (--> möglichst kleine semantische Distanz).

• Kapitel mit Überleitungen versehen, sodass der Lesefluss gefördert wird und der Leser weiss, was Ihn im nächsten Kapitel erwartet.
• Roter Faden erkennbar
• Jedes Kapitel mit einer kurten Übersicht versehen (was erwartet den Leser?)

Risikoanalyse

1. technisch
2. organisatorisch
3. rechtlich

Manager (Administratoren) und Leader (Visionäre)

• Es ist nie eine 100%-ige Sicherheit gewährleistet.
• Sicherheit kostet sehr viel Geld
• Usability kann negativ beeinflusst werden.
• Immernoch häufige Sicherheitsvorfälle, trotz guten Sicherheitsmassnahmen
• Verteidigung: Sicherheit ist nötig

Information Security Audit: Bureaucratic Character

Entwicklung eines neuen Seucrity Produkts: Inventor

Typen:

• Inventor: Kreativ, akzeptieren keine Limiten und Grenzen. "Happy that we can .. That it works .."
• Early Adapters and Evangelists: Experten, Personen haben eine "Mission"
• Orderly Character: Hauptziel: Saubere Entwicklung und Überführung; Immernoch ein wenig Kreativität.
• Bureaucratic Character: Auditor; Möchte sein Themengebiet beherrschen; Checklisten und Tabellen sind die Hauptwerkzeuge.
• Purity Character: Don't touch a running system.

1. Beschreibt die alleinige Sicherung der Kommunikationswege, nicht aber das System selbst. --> Veraltete Ansicht.
2. Früher war der Security Officer ein "Opfer-Lamm" --> hatte keine Verantwortung und keine Unterstützung des Managements.
3. Security Officer schlägt Massnahmen vor und der Business-Manager wägt Risiken ab und entscheidet, welche Massnahmen umgesetzt werden (nutzen orientiert)

Compliance = Gesetzliche Forderungen und Standards erfüllen um nicht veruteilt zu werden.

Nur das Mindestmass an Anforderungen an die Security umsetzen. Die eigentlichen Risiken für das Geschäft werden dadurch aber häufig nicht behandelt, da Frameworks und Gesetze teilweise veraltet sind oder nicht 100% auf das Unternehmen angepasst sind.

Essentiell, da Cloud Computing heute alltäglich ist.

Outsourcing nicht möglich:

• Risiko (bleibt immer beim Benutzer)
• Kontrolle über das Personal

Outsourcing Anbieter sind meist spezialisiert auf Security und ein KMU hat häufig nicht die Ressourcen um eine vergleichbar sichere Umgebung aufbauen zu können.

--> IT Security ist aufwendig und teuer.

SCADA: Supervisory control and data acquisition
"Ein SCADA - System sammelt Daten von unterschiedlichen Sensoren, zum Beispiel in einer Fabrikation, und sendet diese an einen zentralen Rechner, welcher die gesammelten Daten verwaltet und kontrolliert."

--> Leitsysteme (Verkehr, Bahn, etc.)

Sicherheit ist wichtig, da dies zentrale Systeme für die Infrastruktur eines Landes sind.

Crown Juwel: Kronjuwelen eines Unternehmens --> Die wichtigsten Daten und Systeme, welche dem Unternehmen bei Verlust grossen Schaden zufügen können.

Auslöser: Durch Snowden realisierten die Unternehmen, dass Sie angreifbar sind. Daraus etnstand die Mentalität, die Kronjuwelen so gut wie möglich zu schützen (unter anderem: Resilience, BCM, DRP).

Um ideal auf einen Sicherheitsvorfall reagieren zu können, muss bereits im voraus klar sein, wie reagiert werden kann. Z.B. wie die Zusammenarbeit mit der Polizei abläuft.

Verwendung einheimischer IT-Systeme, da nur bei diesen Systemen sichergestellt werden kann, wer auf die Daten Zugriff hat. --> Versuch, für kritische Systeme vor allem einheimische Systeme zu verwenden.

Erkenntnis durch Snowden: Systeme mit staatlichem Hintergrund haben häufig Hintertüren.

GRC: Governance, Risk Management and Compliance --> Administrativer Teil: Definierung der Richtlinien, Einhaltung staatlicher Richtlinien (Compliance)

Security Engineering: Technische Umsetzung der GRC

• Organisatorische Seite (auf der Seite des Kunden) --> Wirtschaftsinformatiker
• Technische Seite (auf der Seite des Providers) --> Informatiker

• Grundvoraussetzung: Zertifizierung und technisches Know-How
• CISO muss glaubwürdig, authentisch und ein gutes Vorbild sein
• Kommunikative Fähigkeiten (Vermitteln, verkaufen und Leute ermuntern die Security zu beachten)