AMSI
AMSI levels
AMSI levels
Sicherheit in Anwendungen - Was ist das CVSS?
Common Vulnerability Scoring System Allgemeines Bewertungssystem für Schwachstellen.
- …ist ein Industriestandard zur Bewertung des Schweregrades von möglichen oder tatsächlichen Sicherheitslücken in Computer-Systemen
- Man wird durchgeführt und es wird dann kalkuliert was das Risiko ist - coole Sache!
- Wie wichtig und gefährlich ist die Schwachstellen? Update schon vorher einspielen oder an Zyklus halten? Bewertungssystem hilft dabei
Sicherheit in Anwendungen - Was ist das CWE?
Common Weakness Enumeration - …ist ein Kategoriensystem für Softwareschwachstellen und -verwundbarkeiten.
Sicherheit in Anwendungen - Was ist die Bedeutung von CI/CD Pipeline?
CI/CD-Pipeline (Continuous Integration/Continuous Deployment)
Sicherheit in Anwendungen - Was ist ein Bug Bounty Programm und welche zwei Möglichkeiten für die Offenlegung gibt es?
…ist eine von Unternehmen, Interessenverbänden, Privatpersonen oder Regierungsstellen betriebene Initiative zur Identifizierung, Behebung und Bekanntmachung von Fehlern in Software unter Auslobung von Sach- oder Geldpreisen für die Entdecker.
Möglichkeiten der Offenlegung:
- Responsible Disclosure: Entdecker stimmt sich mit den verantwortlichen Stellen ab und veröffentlicht Einzelheiten zu der Schwachstelle erst, wenn der Entwickler genügend Zeit hatte, diese zu beheben.
- Full Disclosure: Sofortige Veröffentlichung sämtlicher Informationen über die Sicherheitslücke und ohne Absprache mit den verantwortlichen Stellen.
Sicherheit in Anwendungen - Was ist ein Exploit und welche Arten davon gibt es?
…ist in der elektronischen Datenverarbeitung eine systematische Möglichkeit, Schwachstellen auszunutzen, die bei der Entwicklung eines Programms entstanden sind.
Lokale Exploits - Angreifer hat bereits Zugriff auf das System. Lokale Exploits zielen darauf ab, höhere Berechtigungen auf einem System zu erlangen oder die Sicherheit zu kompromittieren, sobald ein Angreifer bereits innerhalb des Systems ist
Remote-Exploits - Dies bedeutet, dass der Angriff von einem entfernten Standort aus durchgeführt werden kann, ohne dass der Angreifer physischen Zugriff auf den Computer oder das System haben muss
DoS-Exploits (Denite of Service, System in Knie zu bringen, typischer Angriff auf Verfügbarkeit)
Command-Execution-Exploits
SQL-Injection-Exploits
Zero-Day-Exploits (Ein Zero-Day-Exploit ist eine Sicherheitslücke oder Schwachstelle in einem Computersystem, für die zum Zeitpunkt der Entdeckung noch kein Patch oder keine Lösung verfügbar ist. Der Name "Zero-Day" bedeutet, dass es null Tage (keine Vorwarnung) für die Anbieter gibt, um die Schwachstelle zu beheben, bevor sie von Angreifern ausgenutzt wird. Zero-Day-Exploits sind besonders gefährlich, da sie die potenzielle Ausnutzung einer Sicherheitslücke ermöglichen, bevor der Hersteller oder Entwickler des Systems eine Möglichkeit zur Behebung bereits)
Sicherheit in Anwendungen - Was ist OWASP und was sind die Hauptziele davon?
Das Open Web Application Security Project (OWASP) ist eine herstellerunabhängige Non-Profit-Organisation, die sich für die Verbesserung der Sicherheit von Software einsetzt.
Hauptziele:
- to help organizations develop and maintain secure applications
- to allow security service vendors, security tools vendors, and consumers to align their requirements and offerings.
Sicherheit in Anwendungen - Was ist Penetration Test?
Prüfung der Sicherheit möglichst aller Systembestandteile und Anwendungen eines Netzwerks oder Softwaresystems mit Mitteln und Methoden, die ein Angreifer (ugs. «Hacker») anwenden würde, um unautorisiert in das System einzudringen (Penetration)
Externe Sicht auf die Sicherheit einer Applikation durch einen Menschen
Sicherheit in Anwendungen - Was sind die Ziele eines Penetration Test?
Identifikation von Schwachstellen
Aufdecken potentieller Fehler, die sich aus der (fehlerhaften) Bedienung ergeben
Erhöhung der Sicherheit auf technischer und organisatorischer Ebene
Bestätigung der IT-Sicherheit durch einen externen Dritten.
Sicherheit in Anwendungen - Welche drei Levels gibt es bei OWASP?
Level 1 - First steps, automated, or whole of portfolio view --> Absolute Minimun, Basics
Level 2 - Most applications --> Normale Applikationen
Level 3 - High value, high assurance, or high safety --> Hohe Sicherheit und Anforderungen, bsp. Banking, Apps oder OT
Sicherheit in Anwendungen - Wie können die Security Tests täglich in die Prozesse integriert werden?
- SAST (Static Application Security Testing) - Im Quellcode, z.B. mit «SonarQube» (www.sonarqube.org/)
- DAST (Dynamic Application Security Testing) --> Während dem Betrieb werden die Funktionalitäten getestet
(https://portswigger.net/burp) - IAST (Interactive Application Security Testing) - Interaktiv mit der Anwendung
Vorgehen für die Informationssicherheit
Was geht unter technisches Versagen?
- Ungenügende Wartung
- Nicht funktionierende Überwachungssysteme
Was geht unter vorsätzlicher Manipulation?
- Angriffe über das Internet
- Unerlaubter Zugriff auf Systeme
- Ransomware
- Abhören und Modifizieren von Daten
Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?
Informationssicherheit (ist der breite Begriff wo IT-Sicherheit auch Bestandteil davon is)
- Schutz der Information als solche
- Medien unabhängig (Papier, elektr. Datenträger, in Köpfen von MA)
IT-Sicherheit
- Schutz der Information in ICT Systemen
- Server
- Clients
- Mobile Datenträger
Was könnten organisatorische Schwachstellen sein?
- Fehlendes Sicherheitsverständnis des Managements
- Unklare Verantwortlichkeiten
- Ungenaue oder fehlende Abläufe
Welchen Nutzen hat die Informationssicherheit?
- Geringere Verwundbarkeit
- Bewusster Umgang mit Informationen
- Gefahren kennen
- Bewusstes eingehen von Risiken / Restrisiko bekannt
Welchen Umfang hat die Informationssicherheit? (runde Grafik)
Sicherheit in der Verarbeitung von Information, nicht beschränkt
auf die elektronische Verarbeitung!
Welches könnten im IT-Bereich Täter sein?
- Frustierte Mitarbteiter
- Geheimdienste
- Hacker
- Industriespionage
- Fremdpersonal
Welches menschliche Fehlverhalten sind potentielle Risiken?
- Fahrlässigkeit
- Gleichgültigkeit
- Unwissenheit
- Leichtgläubigkeit
Zeitpunkt der Entdeckung eines Grundziel-Verlusts
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen der Akkreditierung und Zertifizierung?
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen Hauptabweichungen (Major) und Nebenabweichungen (Minor)?
Hauptabweichungen:
- Ein gesamtes Normkapitel wurde nicht umgesetzt
- Produkte & Dienstleistungen erfüllen die Anforderungen nicht
- Hauptabweichung führt zu Nicht-Bestehen des Zertifizierungsaudits
Nebenabweichungen:
- Norm-Kapitel zwar umgesetzt, die Umsetzung und Wirksamkeit aber mehrere Mängel und Lücken aufweist
- Führt nicht zum Nicht-Bestehen eines Zertifizierungsaudits
- Nebenabweichungen müssen bis zu den vereinbarten Terminen abgestellt werden
- Wenn sie unbegründet bis zum nächsten Termin nicht abgestellt sind, droht eine Hauptabweichung, da sich die Org. scheinbar gegen die Fortlaufende Verbesserung (Kapitel 10.2) entschieden hat.
Audits und ISO-27001-Zert. - Was könnte auditiert werden?
- des «Kontext» (Abschnitte 4.1, 4.2, 4.3)
- des «Top-Managements» (5)
- der «Massnahmen zum Umgang mit Risiken und Chancen» (6.1)
- von «Zielen, Ressourcen und Kompetenzen» (6.2, 7.1, 7.2)
- von «Bewusstsein und Kommunikation» (7.3, 7.4, 7.5.2/3)
- von «Betrieb und Überwachung» (8, 9.1)
- der «Kontinuierlichen Verbesserung» (9.2, 9.3, 10.1, 10.2)
Audits und ISO-27001-Zert. - Was sind die Vorteile einer ISO 27001 Zertifizierung?
- Reduziertes Risiko
Eine höhere Datensicherheit reduziert die unternehmerischen Risiken insgesamt und hilft, die Auswirkungen eventueller Pannen zu begrenzen. - Geringere Kosten
Eine ISO 27001 senkt das Risiko für Sicherheitsvorfälle und kann die Kosten der IT-Sicherheit sowie kostspielige Auswirkungen von Datendiebstahl verringern. - Wettbewerbsvorteil
ISO/IEC 27001-zertifizierte Organisationen signalisieren klar, dass sie sich der Sicherheit vertraulicher Informationen verpflichtet fühlen. Damit haben sie einen entscheidenden Vorteil gegenüber nicht zertifizierten
Audits und ISO-27001-Zert. - Welche Arten von Auditfeststellungen gibt es?
- Konformität & positive Auditfeststellung, wirksame und gutfunktionierende Prozesse
- Chancen zur Verbesserung (Opportunity for improvement), wirksamer Prozess aber nich effizient genug
- Potenzielle Risiken (Beobachtungen bei dem Schwachpunkte vorhanden waren)
- Nichtkonformität
Audits und ISO-27001-Zert. - Welche Arten von Audits gibt es?
Audits und ISO-27001-Zert. - Wie sieht ein Auditprozess aus?
- Voraudit
Bestandsaufnahme inkl. Sichtung der Dokumente auf Vollständigkeit und Normkonformität (GAP-Analyse) - Zertifizierungsaudit
Stufe 1: Prüfung der Dokumentation des ISMS
Stufe 2: Prüfung der Wirksamkeit des ISMS - Bericht:
Dokumentation des Audits inkl. Bewertung des Managementsystems - Zertifikat & Siegel
Nachweis der erfolgreichen Zertifizierung mit maximal 3 Jahren Laufzeit - Erste Überwachung:
Auditierung der Praxisumsetzung des ISMS (nach 1 Jahr) - Zweite Überwachung:
Wiederholte Auditierung der Praxisumsetzung des ISMS - Rezertifizierung:
Wiederholung der Schritte 2 bis 6 zur Verlängerung für weitere 3 Jahre
Awareness - (Notizen aus Unterricht) Drei Pfeiler die für die IT-Sicherheit wichtig sind
- Technik (Fire Walls bspw.)
- Prozesse müssen abgesichert werden, auf Sicherheit getrimmt werden
- Der Mensch, der die Technik bedient, muss geschult sein
Awareness - Aus welchen 5 Stufen besteht das SANS Security Awareness Maturity Model
Awareness - Innerhalb welcher drei Elemente bewegt sich das Spannungsfeld der Informationssicherheit?
Awareness - Nenne die Erfolgsfaktoren / Stolpersteine bei Awareness-Kampagnen
Awareness - Warum (Un-)Sicherheitsfaktor «Mensch»? Mögliche Gründe?
Der Mensch ist zugleich grösster Risiko- aber auch grösster Schutzfaktor der Informationssicherheit.
Siehe Bild
Zusatz:
- Gutgläubigkeit
- Naivität
- Autoritätsangst (CEO etc.)
Awareness - Was ist bei Social Engineering
Social Engineering nennt man zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.
Wirkung von Autorität
Bereitschaft zur Kooperation
- bei Zuneigung
- für soziale Bestätigung
Awareness - Was ist das Ziel und der Nutzen der Awarenessprogrammen?
Mit Awareness werden Individuen zu einem bewussten und verantwortungsvollen Verhalten ausgebildet.
Die dadurch erhöhte Sicherheitskultur schafft ein grundlegend neues kollektives und nachhaltiges Sicherheitsverhalten.
Awareness - Was ist die Bedeutung von Phishing?
Kunstwort aus «password» und «fishing»
Bedeutung: Nach Passwörtern fischen
Genauer: Informationen für die Online-Anmeldung ausspionieren
Begehrte Angriffsziele sind: Finanzinstitute, Bezahldienstleister (PayPal etc.)
Mit den ausspionierten Informationen versucht der Angreifer Transaktionen auf Kosten des Opfers auszuführen.
Awareness - Was ist Ransomware und welche Arten von Ransomware gibt es?
- Schadprogramm, welches den Zugriff auf Daten oder die Nutzung des gesamten Gerätes verhindert
- Verschlüsselt Daten oder ganze Systeme
- Erpressung/Forderung nach Lösegeld
- Der Schlüssel wird gegen Bezahlung eines Lösegelds herausgegeben…vielleicht
- Die Infektion erfolgt über den Download aus E-Mail-Anhängen
Zusatz:
- Ramsomware 4.0 es wird nicht nur das Unternehmen sondern auch Kunden der Unternehmen erpresst. Die Zitrone richtig "auspressen".
- WannaCry einer der ersten Ramsomware. Hat weltwit 200'000 Computer infiziert.
Awareness - Was macht der Trojaner Emotet?
Der Erstzugriff über ein erstes Opfer über einen MA über E-Mail. Dann wird Emotet heruntergeladen. Danach im Netzwerk Schwachstellen suchen und sich im Netzwerk einnisten bzw. infizieren.
Awareness - Was sagen die Standards zum Faktor Mensch?
Awareness - Was sind die Ziele einer Awareness-Kampagne?
Awareness - Was sind laut dem SANS 2023 Security Awareness Report, die grössten Programm-Herausforderungen?
- Limits on training time per employee
- Lach of time for program management
- Lack of staffing
- Lack of budget
-
- 1 / 115
-
Flashcards
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen der Akkreditierung und Zertifizierung?
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen Hauptabweichungen (Major) und Nebenabweichungen (Minor)?
Hauptabweichungen:
- Ein gesamtes Normkapitel wurde nicht umgesetzt
- Produkte & Dienstleistungen erfüllen die Anforderungen nicht
- Hauptabweichung führt zu Nicht-Bestehen des Zertifizierungsaudits
Nebenabweichungen:
- Norm-Kapitel zwar umgesetzt, die Umsetzung und Wirksamkeit aber mehrere Mängel und Lücken aufweist
- Führt nicht zum Nicht-Bestehen eines Zertifizierungsaudits
- Nebenabweichungen müssen bis zu den vereinbarten Terminen abgestellt werden
- Wenn sie unbegründet bis zum nächsten Termin nicht abgestellt sind, droht eine Hauptabweichung, da sich die Org. scheinbar gegen die Fortlaufende Verbesserung (Kapitel 10.2) entschieden hat.
Audits und ISO-27001-Zert. - Was könnte auditiert werden?
- des «Kontext» (Abschnitte 4.1, 4.2, 4.3)
- des «Top-Managements» (5)
- der «Massnahmen zum Umgang mit Risiken und Chancen» (6.1)
- von «Zielen, Ressourcen und Kompetenzen» (6.2, 7.1, 7.2)
- von «Bewusstsein und Kommunikation» (7.3, 7.4, 7.5.2/3)
- von «Betrieb und Überwachung» (8, 9.1)
- der «Kontinuierlichen Verbesserung» (9.2, 9.3, 10.1, 10.2)
Audits und ISO-27001-Zert. - Was sind die Vorteile einer ISO 27001 Zertifizierung?
- Reduziertes Risiko
Eine höhere Datensicherheit reduziert die unternehmerischen Risiken insgesamt und hilft, die Auswirkungen eventueller Pannen zu begrenzen. - Geringere Kosten
Eine ISO 27001 senkt das Risiko für Sicherheitsvorfälle und kann die Kosten der IT-Sicherheit sowie kostspielige Auswirkungen von Datendiebstahl verringern. - Wettbewerbsvorteil
ISO/IEC 27001-zertifizierte Organisationen signalisieren klar, dass sie sich der Sicherheit vertraulicher Informationen verpflichtet fühlen. Damit haben sie einen entscheidenden Vorteil gegenüber nicht zertifizierten
Audits und ISO-27001-Zert. - Welche Arten von Auditfeststellungen gibt es?
- Konformität & positive Auditfeststellung, wirksame und gutfunktionierende Prozesse
- Chancen zur Verbesserung (Opportunity for improvement), wirksamer Prozess aber nich effizient genug
- Potenzielle Risiken (Beobachtungen bei dem Schwachpunkte vorhanden waren)
- Nichtkonformität
Audits und ISO-27001-Zert. - Welche Arten von Audits gibt es?
Audits und ISO-27001-Zert. - Wie sieht ein Auditprozess aus?
- Voraudit
Bestandsaufnahme inkl. Sichtung der Dokumente auf Vollständigkeit und Normkonformität (GAP-Analyse) - Zertifizierungsaudit
Stufe 1: Prüfung der Dokumentation des ISMS
Stufe 2: Prüfung der Wirksamkeit des ISMS - Bericht:
Dokumentation des Audits inkl. Bewertung des Managementsystems - Zertifikat & Siegel
Nachweis der erfolgreichen Zertifizierung mit maximal 3 Jahren Laufzeit - Erste Überwachung:
Auditierung der Praxisumsetzung des ISMS (nach 1 Jahr) - Zweite Überwachung:
Wiederholte Auditierung der Praxisumsetzung des ISMS - Rezertifizierung:
Wiederholung der Schritte 2 bis 6 zur Verlängerung für weitere 3 Jahre
Awareness - (Notizen aus Unterricht) Drei Pfeiler die für die IT-Sicherheit wichtig sind
- Technik (Fire Walls bspw.)
- Prozesse müssen abgesichert werden, auf Sicherheit getrimmt werden
- Der Mensch, der die Technik bedient, muss geschult sein
Awareness - Aus welchen 5 Stufen besteht das SANS Security Awareness Maturity Model
Awareness - Innerhalb welcher drei Elemente bewegt sich das Spannungsfeld der Informationssicherheit?
Awareness - Nenne die Erfolgsfaktoren / Stolpersteine bei Awareness-Kampagnen
Awareness - Warum (Un-)Sicherheitsfaktor «Mensch»? Mögliche Gründe?
Der Mensch ist zugleich grösster Risiko- aber auch grösster Schutzfaktor der Informationssicherheit.
Siehe Bild
Zusatz:
- Gutgläubigkeit
- Naivität
- Autoritätsangst (CEO etc.)
Awareness - Was ist bei Social Engineering
Social Engineering nennt man zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.
Wirkung von Autorität
Bereitschaft zur Kooperation
- bei Zuneigung
- für soziale Bestätigung
Awareness - Was ist das Ziel und der Nutzen der Awarenessprogrammen?
Mit Awareness werden Individuen zu einem bewussten und verantwortungsvollen Verhalten ausgebildet.
Die dadurch erhöhte Sicherheitskultur schafft ein grundlegend neues kollektives und nachhaltiges Sicherheitsverhalten.
Awareness - Was ist die Bedeutung von Phishing?
Kunstwort aus «password» und «fishing»
Bedeutung: Nach Passwörtern fischen
Genauer: Informationen für die Online-Anmeldung ausspionieren
Begehrte Angriffsziele sind: Finanzinstitute, Bezahldienstleister (PayPal etc.)
Mit den ausspionierten Informationen versucht der Angreifer Transaktionen auf Kosten des Opfers auszuführen.
Awareness - Was ist Ransomware und welche Arten von Ransomware gibt es?
- Schadprogramm, welches den Zugriff auf Daten oder die Nutzung des gesamten Gerätes verhindert
- Verschlüsselt Daten oder ganze Systeme
- Erpressung/Forderung nach Lösegeld
- Der Schlüssel wird gegen Bezahlung eines Lösegelds herausgegeben…vielleicht
- Die Infektion erfolgt über den Download aus E-Mail-Anhängen
Zusatz:
- Ramsomware 4.0 es wird nicht nur das Unternehmen sondern auch Kunden der Unternehmen erpresst. Die Zitrone richtig "auspressen".
- WannaCry einer der ersten Ramsomware. Hat weltwit 200'000 Computer infiziert.
Awareness - Was macht der Trojaner Emotet?
Der Erstzugriff über ein erstes Opfer über einen MA über E-Mail. Dann wird Emotet heruntergeladen. Danach im Netzwerk Schwachstellen suchen und sich im Netzwerk einnisten bzw. infizieren.
Awareness - Was sagen die Standards zum Faktor Mensch?
Awareness - Was sind die Ziele einer Awareness-Kampagne?
Awareness - Was sind laut dem SANS 2023 Security Awareness Report, die grössten Programm-Herausforderungen?
- Limits on training time per employee
- Lach of time for program management
- Lack of staffing
- Lack of budget
Awareness - Was versteht man unter Vishing?
(Voice-Phishing) Das Beispiel mit der Frau wo sie parallel beim anrufen den Babyton ablässt, damit der Bankmitarbeiter gestresst wird und schneller auf ihre Anfrage reinfällt.
Awareness - Was wird durch Awareness erreicht?
Mit Awareness werden Individuen zu einem bewussten und verantwortungsvollen Verhalten ausgebildet.
Die dadurch erhöhte Sicherheitskultur schafft ein grundlegend neues kollektives und nachhaltiges Sicherheitsverhalten.
Awareness - Welche Lern-Bedürfnisse haben die Zielgruppen einer Awareness-Kampagne?
Awareness - Welche Ressourcen benötigt man bei einer Awareness-Kampagne?
Awareness - Welche Rolle nimmt die GL beim Thema Awareness ein und was ist die Motivation dahinter?
- «Awareness» muss vom obersten Management unterstützt werden!
- «Awareness» stufengerecht schulen
- Benutzende/Anwendende, IT Mitarbeitende, Management
- Schon «kleine» Massnahmen können die Informationssicherheit wesentlich erhöhen
- Weniger ist oft mehr
- 100% Unterstützung in der GL! Götti am besten in der GL! Sonst wird es schwierig. GL hat Vorbildfunktion.
- Unterstützung der GL unabdingbar!
- Notwendige Ressourcen (personell wie finanziell)
- Vorbildfunktion (Sensibilisierung der GL)
- Motivation
Sicherheitsrisiken und die damit verbundenen Kosten
Auswirkung auf die Geschäftsprozesse
Gesetzliche Bestimmungen
Vorteile einer Zertifizierung
«Best Practice» und Standards aus der Branche
Awareness - Welches sind die 6 Einfallstore beim Faktor Mensch?
- Druck
- Angst
- Hilfsbereitschaft
- LeichtgläubigkeitAnerkennung
- Neugier
Awareness - Welches sind die TOP 3 Phishing Betreffzeilen
- Autorität
- Hilfsbereichtschaft / Neugier
- Druck / Angst
Awareness - Welches waren die 3 TOP emotionalen menschlichen Risiken im 2022 ?
- Lob / Schmeichelei
- Hilfsbereichtschaft
- Neugier
Awareness - Wie erfolgt bspw. eine Infektion?
Infizierung des Computers durch Malware lediglich durch das Besuchen einer Webseite
Webseite von Angreifer modifiziert
Über aktive Elemente der Webseite (Skripts) wird Malware auf dem Benutzer-PC installiert
Auch «Offizielle» von bekannten Organisationen sind betroffen
Beispiel: Man schaut das Video und während dem Abspielen des Videos wird es geladen
Awareness - Wie könnte man Mitarbeiter auf Phishing-Angriffe sensibilisieren?
- Mi, 24.06.: Vorabinformation via Sharepoint (Aufmerksam machen auf Phishing-Thematik) an alle Mitarbeitenden
- Do, 02.07.: Versand E-Mail: 07:33 – 07:38 Uhr
- Total (netto): 89 Empfänger/-innen
- Nach 30 Minuten bereits 15 Einträge registriert, wovon 5 inkl. aller Angaben
- Do, 02.07., 13:30 Uhr: Abschluss der Kampagne
- September: Zwei Vor-Ort-Kurse zur Sensibilisierung für alle Mitarbeitenden
Awareness - Wie sieht der Prozess einer Awareness-Kampagne aus?
Awareness - Womit führt man Informationssicherheit durch?
Grundziele der Informationssicherheit
- Vertraulichkeit (Confidentiality)
ist gegeben, wenn sichergestellt werden kann, dass Informationen nicht durch unautorisierte Personen, Instanzen oder Prozesse eingesehen werden können - Integrität (Integrity)
ist gewährleistet, wenn Daten oder Systeme nicht unautorisiert oder zufällig manipuliert oder verändert werden können. - Verfügbarkeit (Availability)
ist gewährleistet, wenn in der vom Benutzer gewünschten Zeit auf Dienste oder Informationen zugegriffen werden kann. - Verbindlichkeit (Non-Repudation)
liegt vor, wenn eine Handlung eindeutig einer Person zugeordnet und von dieser nicht geleugnet werden können. (wird mit digitalen Signaturen sichergestellt)
ISMS (Notizen Unterricht) - BSI- Grundschutz Woraus besteht die BSI-Welt
Zwei Gefässe: IT-Grundschutz-Kompendium (800 seitige PDF) und die BSI-Standards (200-1,2,3,4,)
IT-Grundschutz-Kompendium --> Baustein Webserver, Baustein Windowsserver, drin sind Anfoderungen definiert die für den Grundschutz gelten.
Standards:
- 200-1: Definiert das ISMS
- 200-2: IT-Grundschutz-Methodik (Wie mache ich das dann)
- 200-3: Risikomanagement
- 200-4: Notfallmanagement
ISMS (Notizen Unterricht) - Was beschreibt 27001 und 27002?
27001 – Beschreibt die Anforderungen wie ein ISMS aufzubauen ist und betrieben wird. Wenn es 270001 konform sein soll à Kapitel 4 bis 10 sind die Anforderungen drin. Alles MUSS-Anforderungen. Organisation dahinter, Rollen aufteilen um den Grundschutz sicherzustellen, um das gehts.
Anhang A von ISO 27001 ist ein wesentliches Werkzeug für das Sicherheitsmanagement: eine Liste von Sicherheitskontrollen (oder Sicherheitsabschnitte), die zu verwenden sind, um die Sicherheit von Informationen zu verbessern.
Beispiele:
- Informationssicherheitspolitik – Kontrollen, wie die Politik geschrieben und überprüft ist.
- Organisation der Informationssicherheit – Kontrollen, wie die Verantwortlichkeiten zugewiesen sind, enthält auch die Kontrollen für Mobilgeräte und Telearbeit
- Zugriffskontrolle – Kontrollen für die Zugriffskontrollen-Richtlinie, die Benutzerzugriffsverwaltung, System- und Applikations-Zugriffskontrolle, sowie Anwenderverantwortlichkeiten
- Personalsicherheit – Kontrollen vor der Anstellung, während und nach der Anstellung
27002 - wie es praktisch Umgesetzt wird --> Umsetzungshinweise zu den Controls. Eine Art Leitfaden.
ISMS - (Notizen Unterricht) - Beispiel Baustein des BSI bei Virenschutz:
Braucht es einen Virenschutz? Baustein des BSI sagt es brauchts. --> Ich will Grundschutz erhalten. Wenn ich Grundschutz nicht konsultiere, schaue ich wie wichtig bspw. der Rechner ist. Ob er Netzwerktechnisch verbunden ist? Ich mache deshalb eine Risikoanalyse --> Wie hoch ist die Eintrittswahrscheinlichkeit, dass ich eine Malware bekomme. Wenn das Risiko hoch ist, dann muss ich ein Virenschutz installieren. Der Grundschutz sagt es muss ein Virenschutz installiert sein.
ISO 270001 ist ganz klar Risikobasiert! Riskmanagement zentraler Bestandteil von ISO 27001
ISMS - (Notizen Unterricht) - Unterschied zwischen ISO 27001 und - 2
ISO27001 kann man sich verifizieren
ISO27002 ist nur "should" ist nur ein Hilfswerk. Kann man als Standard verwendet. Das kann man nehmen ohne ISMS wenn man bspw. keine Zertifizierung möchte.
ISMS - Akzeptanzlinie ICT-Risiken
ISMS - Anleitung zum Aufbau und Etablierung eines Business Continuity
Management Systems (BCMS) - Nenne die Bestandteile dessen
Siehe Bild
ISMS - Basis-Anforderungen des IT-Grundschutz nach BSI. Wie beurteilen Sie die beschriebenen Massnahmen bezüglich Detailgrad?
Machmal zu detailliert manchmal aber auch ok. Bspw. Bei E-Mail: Gelöschte Exchange-Objekte SOLLTEN erst nach einiger Zeit aus der Datenbank entfernt werden. "Erst nach einigert Zeit" ist ein breiter Begriff und lässt Spielraum - somit wird es der Basis-Anforderung gerecht.
