ISM HSLU
Hochschule Luzern Modul ISM
Hochschule Luzern Modul ISM
-
- 1 / 33
-
Lernkarten
Informationssicherheitsmanagement Aufgaben:
- Schützenswerte Daten schützen
- IAM (Information Access Management)
- Schulungen und ICT Sicherheit
- Gesetzliche Rahmenbedingungen Einhalten
- Controlling und Penetration Tests
Beschreibe den Zusammenhang zwischen Daten Informationen Wissen
Wissen = Informationen im Hirn und deren Kontext. Nicht austauschbar da Personenbezogen
Informationen = Sind austauschbar -> Nachricht mit neuigkeitsgehalt
Daten = Codierte Informationen
Welche Arten Informationsgefährdung gibt es?
- Nicht Vorsätzliche
- Naturgewalten
- Ausfall von Strom
- Technische Pannen
- Bedienfehler
- Vorsätzliche
- Virus
- Diebstahl
- Wirtschaftsspionage
- Missbrauch der Infrastruktur
Vor was müssen Daten geschützt werden?
- Verlust
- Manipulation
- Vertraulichkeit
- Verfügbarkeit
Wer ist normalerweise Täter (Menschen..)
- Wistleblower
- Hacker
- Industriespionage
- Administratoren
- Fremdpersonal
- Geheimdienste
Folgen vom tatenlosen zusehen:
- Kompletter Datenverlust führt in 50% der Fälle zum Konkurs
- Aufbau ersatzsystem dauert mindestens 36 Stunden
- Imageverlust
- Verletzung gesetzlicher Vorgaben
- Verletzung der Sorgfaltspflicht
- Falsche Sicherheit
Aufdeckungszeit vom Bruch der der Grundziele
Verfügbarkeit: Sofort
Integrität: Sobald die Daten verwendet werden
Vertraulichkeit: Evlt. nie Datenklau muss nicht bemerkt werden
Wie erreicht man Informationssicherheit?
Technik: Kaufen, konfigurieren
Prozesse: definieren kontrollieren
Mitarbeitende: sensibilisieren
Integrale Sicherheit vs. Informationssicherheit vs IT- Sicherheit, wo liegt der Unterschied?
Informationssicherheit beinhaltet IT-Sicherheit. Ist aber Medienunabhängiger Schutz der Information als solche (Datenträger, Papier, in den Köpfen der Mitarbeitern)
IT-Sicherheit: Notebook, PC, Server, etc.
Unterschied Datenschutz und Datensicherheit?
- Datenschutz: Schutz der Persönlichkeit und Grundrechte
- Datensicherheit: Schutz vor Daten und Informationen
Zutrittskontrolle vs Zugangskontrolle vs Zugriffskontrolle
Zutritt: Gebäude
Zugang: z.B. Via SSH
Zugriff: aufs Dateisystem
Erklären Sie ISO 2700X
- 27000: Glossar welches in den nachfolgenden Bänden verwendet wird, erklärt auch PDCA
- 27001: Zertifizierbar: Gibt Regeln und Verfahren vor ein ISMS aufzubauen. Zweck: Informatsionssicherheit mithilfe eines Prozesses zu definieren, steuern, kontrollieren, aufrechtzuerhalten und kontinuierlich zu verbessern
- Hier kann ein Scope definiert werden: (Ganze Firma, nur Abteilung, etc.)
- 27002: Nicht Zertifizierbar (da nur sollte fordernungen): Tipps zur Umsetzung und gut geeignet für soliden Grundschutz. Unterteilt in 14 Domänen mit 114 Prüfpunkten.
- 27003: ISMS Implementierung und unterstützung (Anleitung für ein ISMS)
- 27004: Anleitung für die Implementation eines Messystems für die Effizienz des ISMS
- 27005: Risk Management
BSI 200er Reihe
- Kann nicht zertifiziert werden
- 200-1 Managementsysteme für Informationssicherheit
- Zielgruppe Management
- Didaktisch sehr gut aufbereitet
- 200-2 Grundschutz vorgehensweise
- Beschreibt den Aufbau und Betrieb eines ISMS
- Organistationsstrukturen für ein ISMS
- Aufrechterhalten und verbessern von Informationssicherheit
- 200-3 Risikoanalyse auf basis von IT Grundschutz
- Die Standarsicherheitsmassnahmen der IT Grundschutzkataloge sind in der Regeln ausreichend
- mit den ausnahmen muss eine Risikoanalyse gemäss IT-Grundschutz durchgeführt werden
- BSI 100-4 Notfallmanagement
- BCM da der Notfall sich selber managed
- Mit Testzyklus
Iso 27001 basierend auf BSI IT Grundschutz
- Viel aussagekräftiger durch seine zusätzlichen geprüften technischen Aspekte
- Man verliert nichts, sonder es ist reduziert aufs wesentliche.
- Nach BSI arbeiten und nah 27001 Zertifizieren lassen.
NIST Aufbau erklären
- 3 Komponenten
- Core = Wichtigster Teil (IDPRR)
- Tiers = Maturitätsstufen
- profile = Tailoring auf die von der Firma angestrebten Ziele
IKT
- Basiert auf NIST und ist daher ein Framework und keine Zertifizierung
- Für kritische Infrastrukturen konzipiert
- Self assesement mit den fünf stufen, identifizieren, schützen, detektieren, reagieren, wiederherstellen
- -> IT Grundschutz in perfektion, bietet konkrete Massnahmen für den Grundschutz
COBIT hat welches Ziel / Zielgruppe?
- Eher fürs Management gedacht
- Definiert "was" gemacht werden muss (Führungsebene)
- IT Governance
ITIL
- Definiert das "wie"
- Praktischer
ISF
- Business Fokusiert
- Gute Grundlage für den Aufbau eines ISMS
- Sammlung von best practices von über 100 grossfirmen
- Jährlich aktualisiert
- Hat ein Benchmarking Programm
Vergleich BSI und ISO
- Konkreter als Massnahmen im ISO27001
- Gegliedert in Basis, Standard und Hoher Schutzbedarf
- Definiert: Muss, Soll, kann
- Standardabsicherung entspricht ISO 27001 Zertifizierung
- Funktionsorientert mit Bausteinen z.B. "Netzwerk"
- Gliederung: Prozess
- Anforderungsorientert -> Definiert das "was" keine verbindlichen Vorgaben "wie?"
- Voraussetzung für öffentliche Aufträge
7- Step Process
- Priorisieren mit Scope
- Orientieren (was hat man)
- Existierendes Cyber Security Profil erstellen
- Risikobewertung durchführen
- Zielprofil erstellen
- Definieren und Analysieren von Lücken
- Massnahmenplan implementieren
Beispiel Einführung HSLU
- MGMT ins Boot holen
- Auslegeordnung (Scope, etc.)
- Proposal (Sign off)
- Vorgehensmodell, Organistation -> Enterprice Secuirty Policy
- Schreiben (Policy, Konzepte, Richtlinien)
- Analyse des Ist-Zustands (Risikoanalyse, Massnahmen, Schulung)
- Überpüfen (Nachkurse)
- Checks ( Pentest)
- Update
Management Ebenen
- Normativ: Unternehmenspolitk
- Strategisch: Strategische Planung
- Operationell: Budget, Aktivitäten, Massnahmen Kontrolle
Markt Formel
Technologie * Markt = Erfolg
NIST Core Functions
IPDRR
- Identify
- Protect
- Detect
- Respond
- Recover
Wie erreichen wir Awareness? = sicher einer Sache bewusst sein
- Basis‐Ausbildung / Schulung
- Web‐based Trainings, Klassenkurse
- Flankierende Massnahmen
- z.B. Sticker bei der CS auf der Toilette,
- Erfolgskontrolle, Optimierung
Unterschied Identität / Authentizität / Authentifikation
- Identität: kennzeichnet das Individuum, unterscheidbare Eigentümlichkeit
- Authentizität: Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit
- Authentifikation: Überprüfung behaupteter Eigenschaft z.B. durch digitale Signatur
Welche Policies gibt es und für was sind sie gedacht?
ESSP (Enterprise specific Policy) = Eine Policy welche die Mission und Vision wiederspiegelt. Sie wird nur überarbeitet, wenn ein Strategiewechsel stattfindet.
ISSP = Sehr spezifisch und wird sehr oft überarbeitet (z.B. Benutzung von Privaten Geräten in der Unternehmung, benutzung vom Unternehmensnetzwerk). Eher Grob.
SSSP = Sehr detailliert, z.B. Konfiguration einer Firewall
Definition Information Security Management System
Regeln und Verfahren für eine Unternehmung, welche den Zweck haben, Informationssicherheit mithilfe eines Prozesses zu definieren, zu steuern, zu kontrollieren,
Nutzen von Standards
- Kostensenkung (Durch Nutzung von best-practices)
- Einführen eines angemessenen Sicherheitsniveaus
- Wettbewerbsvorteile
Informationssicherheitshandbuch für die Praxis
- Betty Bossy für Informationssicherheit
- Analysetool
- Konzentriert sich aufs wesentliche: Mut zur Lücke
Was kann man mit Risiken alles machen?
- Vermindern
- Vermeiden
- Tragen
- Übertragen
Risiko (die einzelnen Phasen)
- Context establishement
- Risk Identification
- Risk Estimation
- Risk Evaluation
- Risk Treatment
- Risk Acceptance
Nebenbei
- Communication
- Monitoring and Review
