Modul 182

• Bausteine • Gefährdungskataloge • Massnahmenkataloge

• Datenschutzprozesse initialisieren • Datenschutzkonzept erstellen • Erforderliche Massnahmen umsetzen • Datenschutz im laufenden Betrieb aufrechterhalten

Die Geschäftsleitung definiert die Prozesse und damit verbunden die zu erreichenden Verfügbarkeiten und maximal tolerierten Ausfallzeiten. • Der Sicherheitsbeauftragte definiert diese in seinem Informationssicherheitskonzept entsprechend. Die IT (oder weiter Stellen) setzen die definierten Massnahmen um. • Regelmässig werden die getroffenen Massnahmen auf Wirksamkeit und allfällige Veränderungen überprüft. • Die Resultate aus diesen Kontrollen werden der Geschäftsleitung mitgeteilt. Diese kann anhand der Resultate weiter Massnahmen definieren, die umzusetzen sind.

• Datensammlung • Auswertung • Dokumentation 

• Authentisches Auftreten • Präzise Nachforschung • Vollständige Resultate • Die Resultate müssen überzeugend sein • Die Datensuche muss sich nach geltenden Regeln richten

• Schulung • Web Based Trainings • Live-Demos • Merkblätter / Broschüren / Flyer • Quiz / Wettbewerbe • Log-in-Screens / Bildschirmschoner

• Aktuelle Sicherheitsgefahren im Unternehmen • Datenschutz und Datensicherheit • Umgang mit vertraulichen Informationen • Umgang mit mobilen Geräten • Gefahren im Internet • Malware • Sichere Passwörter • Nutzung von E-Mail • Verschlüsselung von Daten • Schutz vor Social Engineering • Installation von Software

• Statusüberwachung von Geräten • Überwachung verschiedener Betriebssysteme • Überwachung von Protokollen • Überwachung von Eventslogs • Überwachung von Festplatten und deren Speicherbelegung • Überwachung von Services und Prozessen

• Reduktion der Möglichkeiten zur Ausnutzung von Verwundbarkeiten • Minimierung der möglichen Angriffsmethoden • Beschränkung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Werkzeuge • Minimierung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Privilegien • Erhöhung der Wahrscheinlichkeit der Entdeckung eines erfolgreichen Angriffs

• … nur Komponenten und Dienste installiert sind, die zum eigentlichen Betrieb benötigt werden. • … alle nicht benötigten Benutzerkonten gelöscht sind. • … alle nicht benötigten Ports geschlossen sind. • … restriktive Rechte gesetzt sind. • … es fortlaufend aktualisiert wird. • … straffe Systemrichtlinien vergeben sind.

• Host Based: direkt auf dem Rechner installiertes IDS • Network Bases: im Netzwerk platziertes IDS

• Art des Ereignisses • Zeitpunkt des Ereignisses • ID des Ereigniesses • Schweregrad des Ereignisses • Beschreibung des Ereignisses

• Alle involvierten Personen sind vorbereitet und wissen, was zu tun ist. • Mögliche Stolpersteine werden entdeckt. • Externe Abhängigkeiten werden frühzeitig erkannt. • Lücken im BCM werden erkannt. • Schwächen in der Dokumentation werden erkannt.

• Anlass, Ziel und Art des Tests • Ablaufplan und Zeiten • Gesamtdauer des Tests • Detaillierte Testschritte • Teilnehmer und Aufgabenzuteilung • Ressourcen und benötigte Services

• Checklist Test • Structured Walk-Through Test • Simulation Test • Paralleltest • Full-Interruption Test

Risikoreduktion des Gesamtrisikos bis zum akzeptierbaren bzw. tragbaren Restrisiko

Schutz der Firmen- und Daten-Assets durch administrative, technische und physikalische Kontrollen.

• Buchführungsvorschriften • Aufbewahrungspflicht • Strafrecht • Aktienrecht • Vertragsrecht • Persönlichkeitsrecht

• Übernahme der Gesamtverantwortung • IT-Sicherheit integrieren • IT-Sicherheit steuern und aufrechterhalten • Erreichbare Ziele setzten • IT-Sicherheitskosten gegen Nutzen abwägen • Vorbildfunktion

• Ausfall von Netzteilen • Recovery von Backups funktioniert nicht • Es wurden keine Patches oder Upgrades installiert • Nach einem Upgrade laufen nicht mehr alle Programme • Das Netzwerk fällt wegen schlechter Verkabelung aus

Praktisch täglich werden neue Sicherheitslücken entdeckt. Wenn diese von Hackern ausgenutzt werden, kann für eine Unternehmen grosser Schaden entstehen. Dabei ist es unerheblich welche Daten das Unternehmen gespeichert hat

Bei allen Programmen mit Berührungspunkten zum Internet (Browser, PDF-Viewer etc.). Weiter sind auch E-Mails und USB-Sticks stark gefährdet. 

• Sie beschreiben Modelle, anhand deren ein Sicherheitsmanagement systematisch aufgebaut und weiterentwickelt werden kann. • Sie zeigen auf, welche organisatorischen und technischen Massnahmen für Informationssicherheit erforderlich sind. • Sie liefern Kriterien, anhand deren überprüft werden kann, ob die umgesetzten Massnahmen angemessen sind und weithin anerkannten Massstäben genügen.

• Geltungsbereich und Inhalt festlegen • Entwicklungsgruppe einberufen • Sicherheitsleitlinie bekannt geben • Sicherheitslinie aktualisieren

• Bedürfnisse aufnehmen • Audit vorbereiten • Audit durchführen • Auditbericht erstellen • Resultate präsentieren

• Vulnerability- und Analysetools • Spezialisierte Webseiten und Newsletter • Checklisten

• Transparenz über die Software- und Lizenzbestände • Möglichkeit zur Schaffung einer Standard-Softwareumgebung • Grundlage für Lizenzvertragsverhandlungen • Umverteilung nicht genutzter Softwarelizenzen • Klare Zuordnung der Kosten an die jeweilige Fachabteilung • Detaillierte Übersichten als Grundlagen zur Migrationsplanung

• DNS-Informationen • Whois-Abfragen • Internet-Recherchen (Mitarbeitende, Stelleninserate, Success Stories) • Website des Unternehmens • Eingesetzte Betriebssysteme • Social Engineering

• Open (Dienst erreichbar, nimmt Verbindung an) • Closed (kein Dienst erreichbar unter diesem Port) • Filtered (Zugriff von Firewall blockiert)