AMSI
AMSI levels
AMSI levels
Sicherheit in Anwendungen - Was ist das CVSS?
Common Vulnerability Scoring System Allgemeines Bewertungssystem für Schwachstellen.
- …ist ein Industriestandard zur Bewertung des Schweregrades von möglichen oder tatsächlichen Sicherheitslücken in Computer-Systemen
- Man wird durchgeführt und es wird dann kalkuliert was das Risiko ist - coole Sache!
- Wie wichtig und gefährlich ist die Schwachstellen? Update schon vorher einspielen oder an Zyklus halten? Bewertungssystem hilft dabei
Sicherheit in Anwendungen - Was ist das CWE?
Common Weakness Enumeration - …ist ein Kategoriensystem für Softwareschwachstellen und -verwundbarkeiten.
Sicherheit in Anwendungen - Was ist die Bedeutung von CI/CD Pipeline?
CI/CD-Pipeline (Continuous Integration/Continuous Deployment)
Sicherheit in Anwendungen - Was ist ein Bug Bounty Programm und welche zwei Möglichkeiten für die Offenlegung gibt es?
…ist eine von Unternehmen, Interessenverbänden, Privatpersonen oder Regierungsstellen betriebene Initiative zur Identifizierung, Behebung und Bekanntmachung von Fehlern in Software unter Auslobung von Sach- oder Geldpreisen für die Entdecker.
Möglichkeiten der Offenlegung:
- Responsible Disclosure: Entdecker stimmt sich mit den verantwortlichen Stellen ab und veröffentlicht Einzelheiten zu der Schwachstelle erst, wenn der Entwickler genügend Zeit hatte, diese zu beheben.
- Full Disclosure: Sofortige Veröffentlichung sämtlicher Informationen über die Sicherheitslücke und ohne Absprache mit den verantwortlichen Stellen.
Sicherheit in Anwendungen - Was ist ein Exploit und welche Arten davon gibt es?
…ist in der elektronischen Datenverarbeitung eine systematische Möglichkeit, Schwachstellen auszunutzen, die bei der Entwicklung eines Programms entstanden sind.
Lokale Exploits - Angreifer hat bereits Zugriff auf das System. Lokale Exploits zielen darauf ab, höhere Berechtigungen auf einem System zu erlangen oder die Sicherheit zu kompromittieren, sobald ein Angreifer bereits innerhalb des Systems ist
Remote-Exploits - Dies bedeutet, dass der Angriff von einem entfernten Standort aus durchgeführt werden kann, ohne dass der Angreifer physischen Zugriff auf den Computer oder das System haben muss
DoS-Exploits (Denite of Service, System in Knie zu bringen, typischer Angriff auf Verfügbarkeit)
Command-Execution-Exploits
SQL-Injection-Exploits
Zero-Day-Exploits (Ein Zero-Day-Exploit ist eine Sicherheitslücke oder Schwachstelle in einem Computersystem, für die zum Zeitpunkt der Entdeckung noch kein Patch oder keine Lösung verfügbar ist. Der Name "Zero-Day" bedeutet, dass es null Tage (keine Vorwarnung) für die Anbieter gibt, um die Schwachstelle zu beheben, bevor sie von Angreifern ausgenutzt wird. Zero-Day-Exploits sind besonders gefährlich, da sie die potenzielle Ausnutzung einer Sicherheitslücke ermöglichen, bevor der Hersteller oder Entwickler des Systems eine Möglichkeit zur Behebung bereits)
Sicherheit in Anwendungen - Was ist OWASP und was sind die Hauptziele davon?
Das Open Web Application Security Project (OWASP) ist eine herstellerunabhängige Non-Profit-Organisation, die sich für die Verbesserung der Sicherheit von Software einsetzt.
Hauptziele:
- to help organizations develop and maintain secure applications
- to allow security service vendors, security tools vendors, and consumers to align their requirements and offerings.
Sicherheit in Anwendungen - Was ist Penetration Test?
Prüfung der Sicherheit möglichst aller Systembestandteile und Anwendungen eines Netzwerks oder Softwaresystems mit Mitteln und Methoden, die ein Angreifer (ugs. «Hacker») anwenden würde, um unautorisiert in das System einzudringen (Penetration)
Externe Sicht auf die Sicherheit einer Applikation durch einen Menschen
Sicherheit in Anwendungen - Was sind die Ziele eines Penetration Test?
Identifikation von Schwachstellen
Aufdecken potentieller Fehler, die sich aus der (fehlerhaften) Bedienung ergeben
Erhöhung der Sicherheit auf technischer und organisatorischer Ebene
Bestätigung der IT-Sicherheit durch einen externen Dritten.
Sicherheit in Anwendungen - Welche drei Levels gibt es bei OWASP?
Level 1 - First steps, automated, or whole of portfolio view --> Absolute Minimun, Basics
Level 2 - Most applications --> Normale Applikationen
Level 3 - High value, high assurance, or high safety --> Hohe Sicherheit und Anforderungen, bsp. Banking, Apps oder OT
Sicherheit in Anwendungen - Wie können die Security Tests täglich in die Prozesse integriert werden?
- SAST (Static Application Security Testing) - Im Quellcode, z.B. mit «SonarQube» (www.sonarqube.org/)
- DAST (Dynamic Application Security Testing) --> Während dem Betrieb werden die Funktionalitäten getestet
(https://portswigger.net/burp) - IAST (Interactive Application Security Testing) - Interaktiv mit der Anwendung
Vorgehen für die Informationssicherheit
Was geht unter technisches Versagen?
- Ungenügende Wartung
- Nicht funktionierende Überwachungssysteme
Was geht unter vorsätzlicher Manipulation?
- Angriffe über das Internet
- Unerlaubter Zugriff auf Systeme
- Ransomware
- Abhören und Modifizieren von Daten
Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?
Informationssicherheit (ist der breite Begriff wo IT-Sicherheit auch Bestandteil davon is)
- Schutz der Information als solche
- Medien unabhängig (Papier, elektr. Datenträger, in Köpfen von MA)
IT-Sicherheit
- Schutz der Information in ICT Systemen
- Server
- Clients
- Mobile Datenträger
Was könnten organisatorische Schwachstellen sein?
- Fehlendes Sicherheitsverständnis des Managements
- Unklare Verantwortlichkeiten
- Ungenaue oder fehlende Abläufe
Welchen Nutzen hat die Informationssicherheit?
- Geringere Verwundbarkeit
- Bewusster Umgang mit Informationen
- Gefahren kennen
- Bewusstes eingehen von Risiken / Restrisiko bekannt
Welchen Umfang hat die Informationssicherheit? (runde Grafik)
Sicherheit in der Verarbeitung von Information, nicht beschränkt
auf die elektronische Verarbeitung!
Welches könnten im IT-Bereich Täter sein?
- Frustierte Mitarbteiter
- Geheimdienste
- Hacker
- Industriespionage
- Fremdpersonal
Welches menschliche Fehlverhalten sind potentielle Risiken?
- Fahrlässigkeit
- Gleichgültigkeit
- Unwissenheit
- Leichtgläubigkeit
Zeitpunkt der Entdeckung eines Grundziel-Verlusts
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen der Akkreditierung und Zertifizierung?
Audits und ISO-27001-Zert. - Was ist der Unterschied zwischen Hauptabweichungen (Major) und Nebenabweichungen (Minor)?
Hauptabweichungen:
- Ein gesamtes Normkapitel wurde nicht umgesetzt
- Produkte & Dienstleistungen erfüllen die Anforderungen nicht
- Hauptabweichung führt zu Nicht-Bestehen des Zertifizierungsaudits
Nebenabweichungen:
- Norm-Kapitel zwar umgesetzt, die Umsetzung und Wirksamkeit aber mehrere Mängel und Lücken aufweist
- Führt nicht zum Nicht-Bestehen eines Zertifizierungsaudits
- Nebenabweichungen müssen bis zu den vereinbarten Terminen abgestellt werden
- Wenn sie unbegründet bis zum nächsten Termin nicht abgestellt sind, droht eine Hauptabweichung, da sich die Org. scheinbar gegen die Fortlaufende Verbesserung (Kapitel 10.2) entschieden hat.
Audits und ISO-27001-Zert. - Was könnte auditiert werden?
- des «Kontext» (Abschnitte 4.1, 4.2, 4.3)
- des «Top-Managements» (5)
- der «Massnahmen zum Umgang mit Risiken und Chancen» (6.1)
- von «Zielen, Ressourcen und Kompetenzen» (6.2, 7.1, 7.2)
- von «Bewusstsein und Kommunikation» (7.3, 7.4, 7.5.2/3)
- von «Betrieb und Überwachung» (8, 9.1)
- der «Kontinuierlichen Verbesserung» (9.2, 9.3, 10.1, 10.2)
Audits und ISO-27001-Zert. - Was sind die Vorteile einer ISO 27001 Zertifizierung?
- Reduziertes Risiko
Eine höhere Datensicherheit reduziert die unternehmerischen Risiken insgesamt und hilft, die Auswirkungen eventueller Pannen zu begrenzen. - Geringere Kosten
Eine ISO 27001 senkt das Risiko für Sicherheitsvorfälle und kann die Kosten der IT-Sicherheit sowie kostspielige Auswirkungen von Datendiebstahl verringern. - Wettbewerbsvorteil
ISO/IEC 27001-zertifizierte Organisationen signalisieren klar, dass sie sich der Sicherheit vertraulicher Informationen verpflichtet fühlen. Damit haben sie einen entscheidenden Vorteil gegenüber nicht zertifizierten
Audits und ISO-27001-Zert. - Welche Arten von Auditfeststellungen gibt es?
- Konformität & positive Auditfeststellung, wirksame und gutfunktionierende Prozesse
- Chancen zur Verbesserung (Opportunity for improvement), wirksamer Prozess aber nich effizient genug
- Potenzielle Risiken (Beobachtungen bei dem Schwachpunkte vorhanden waren)
- Nichtkonformität
Audits und ISO-27001-Zert. - Welche Arten von Audits gibt es?
Audits und ISO-27001-Zert. - Wie sieht ein Auditprozess aus?
- Voraudit
Bestandsaufnahme inkl. Sichtung der Dokumente auf Vollständigkeit und Normkonformität (GAP-Analyse) - Zertifizierungsaudit
Stufe 1: Prüfung der Dokumentation des ISMS
Stufe 2: Prüfung der Wirksamkeit des ISMS - Bericht:
Dokumentation des Audits inkl. Bewertung des Managementsystems - Zertifikat & Siegel
Nachweis der erfolgreichen Zertifizierung mit maximal 3 Jahren Laufzeit - Erste Überwachung:
Auditierung der Praxisumsetzung des ISMS (nach 1 Jahr) - Zweite Überwachung:
Wiederholte Auditierung der Praxisumsetzung des ISMS - Rezertifizierung:
Wiederholung der Schritte 2 bis 6 zur Verlängerung für weitere 3 Jahre
Awareness - (Notizen aus Unterricht) Drei Pfeiler die für die IT-Sicherheit wichtig sind
- Technik (Fire Walls bspw.)
- Prozesse müssen abgesichert werden, auf Sicherheit getrimmt werden
- Der Mensch, der die Technik bedient, muss geschult sein
Awareness - Aus welchen 5 Stufen besteht das SANS Security Awareness Maturity Model
Awareness - Innerhalb welcher drei Elemente bewegt sich das Spannungsfeld der Informationssicherheit?
Awareness - Nenne die Erfolgsfaktoren / Stolpersteine bei Awareness-Kampagnen
Awareness - Warum (Un-)Sicherheitsfaktor «Mensch»? Mögliche Gründe?
Der Mensch ist zugleich grösster Risiko- aber auch grösster Schutzfaktor der Informationssicherheit.
Siehe Bild
Zusatz:
- Gutgläubigkeit
- Naivität
- Autoritätsangst (CEO etc.)
Awareness - Was ist bei Social Engineering
Social Engineering nennt man zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.
Wirkung von Autorität
Bereitschaft zur Kooperation
- bei Zuneigung
- für soziale Bestätigung
Awareness - Was ist das Ziel und der Nutzen der Awarenessprogrammen?
Mit Awareness werden Individuen zu einem bewussten und verantwortungsvollen Verhalten ausgebildet.
Die dadurch erhöhte Sicherheitskultur schafft ein grundlegend neues kollektives und nachhaltiges Sicherheitsverhalten.
Awareness - Was ist die Bedeutung von Phishing?
Kunstwort aus «password» und «fishing»
Bedeutung: Nach Passwörtern fischen
Genauer: Informationen für die Online-Anmeldung ausspionieren
Begehrte Angriffsziele sind: Finanzinstitute, Bezahldienstleister (PayPal etc.)
Mit den ausspionierten Informationen versucht der Angreifer Transaktionen auf Kosten des Opfers auszuführen.
Awareness - Was ist Ransomware und welche Arten von Ransomware gibt es?
- Schadprogramm, welches den Zugriff auf Daten oder die Nutzung des gesamten Gerätes verhindert
- Verschlüsselt Daten oder ganze Systeme
- Erpressung/Forderung nach Lösegeld
- Der Schlüssel wird gegen Bezahlung eines Lösegelds herausgegeben…vielleicht
- Die Infektion erfolgt über den Download aus E-Mail-Anhängen
Zusatz:
- Ramsomware 4.0 es wird nicht nur das Unternehmen sondern auch Kunden der Unternehmen erpresst. Die Zitrone richtig "auspressen".
- WannaCry einer der ersten Ramsomware. Hat weltwit 200'000 Computer infiziert.
Awareness - Was macht der Trojaner Emotet?
Der Erstzugriff über ein erstes Opfer über einen MA über E-Mail. Dann wird Emotet heruntergeladen. Danach im Netzwerk Schwachstellen suchen und sich im Netzwerk einnisten bzw. infizieren.
Awareness - Was sagen die Standards zum Faktor Mensch?
Awareness - Was sind die Ziele einer Awareness-Kampagne?
Awareness - Was sind laut dem SANS 2023 Security Awareness Report, die grössten Programm-Herausforderungen?
- Limits on training time per employee
- Lach of time for program management
- Lack of staffing
- Lack of budget
-
- 1 / 115
-
Flashcards
ISMS - Beschreiben Sie die Unterschiede zwischen dem IT-Grundschutz- Kompendium und ISO 27002.
ISO 27002 bietet allgemeine Vorgaben und Guidelines an wohingegegen das IT-Grundschutz-Kompendium mit MUSS-Anfoderungen ziemlich deutlich macht, was genau verlangt wird.
ISMS - Der BSI-Standard hat verschiedene Schichten.
Nenne jeweils 2 Prozess-Bausteine und 2 System-Bausteine des BSI-Standards (Bundesamt für Sicherheit in der Informationstechnik)
Prozess-Bausteine:
- ISMS (Sicherheitsmanagement)
- OPS (Betrieb)
System-Bausteine:
- APP (Anwendungen)
- INF (Infrastruktur)
In der Schicht DER (Detektion und Reaktion) finden sich alle Bausteine, die für die Überprüfung der
umgesetzten Sicherheitsmassnahmen, die Detektion von Sicherheitsvorfällen sowie die geeigneten Reaktionen darauf relevant sind.
ISMS - Für was ist der BSI-Standard 200-2 IT-Grundschutz Methodik geeignet?
Konkretisiert die Darstellung des ISMS nach BSI-Standard 200-1
Beschreibt Aufbau und Betrieb eines ISMS in der Praxis
- Aufgaben des IT-Sicherheitsmanagements
- Aufbau von Organisationsstrukturen für die Informationssicherheit
Gibt Anleitung
- Zur Erstellung eines Sicherheitskonzepts
- Zur Auswahl von angemessenen Sicherheitsmassnahmen
- Zum Aufrechterhalten und verbessern der Informationssicherheit
ISMS - Für was ist ISO 27001 Requirements im Detail zuständig?
- Definiert Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems
- Definiert den Sicherheitsprozess nach dem Prozess-Ansatz «Plan – Do –
Check – Act» (PDCA) - Eine Firma kann sich nach ISO 27001 zertifizieren lassen
ISMS - Für was steht ISO 27002:2022 im Detail?
- Standardwerk zum Thema Informationssicherheit
- Definiert 93 Kontrollen*) für den sicheren Umgang mit Informationen
- Eine Zertifizierung nach ISO 27002 ist nicht möglich, da es keine harten
Forderungen gibt (nur «sollte»-Formulierungen) - Der Standard eignet sich sehr gut zur Umsetzung eines sog. Grundschutzes
(Mindestanforderungen im Sicherheitsbereich)
ISMS - Für was steht NIST und für wen ist es geeignet?
National Institute of Standards and Technology (NIST)
ursprünglich nur dazu gedacht, Cybersicherheit für kritische Infrastruktur zu verbessern
Mittlerweile geht es darüber hinaus und gilt als fundierte Orientierungshilfe für Unternehmen jeglicher Art
ISMS - Leiten Sie 3 Anforderung zum Thema Schutz des Arbeitsplatz-Clients aus dem IT-Grundschutz-Kompendium ab. Geben Sie zu jeder Anforderung eine damit mitigierte Gefährdung an
- Gefährdung = Katastrophen im Umfeld (bspw. Austritt chemischer Substanz Schweizerhalle Pratteln).
Anforderung = Sensorik und Frühwarnsysteme müssen Gefahren frühzeitig erkennen und melden - Gefährdung = Spionageversuche
Anforderung = IT-Systeme durch Identifikations- und Authentisierungsmechanismen gegen unberechtigte Nutzung schützen - Gefährdung = Zerstörung von Geräten und damit wichtigen Informationen,
Anforderung = Mitarbeiter müssen in Bezug auf den Umgang mit Geräten geschult werden und zusätzlich könnte noch ein Selbstbehalt gefordert werden bei Fahrlässigkeit.
ISMS - Messung von Risiken:
ISMS - Nenne 3 Beispiele von Sicherheitskonzepten und 3 Beispiele von Richtlinien:
Sicherheit:
Backup-Konzept, Virenschutz-Konzept, Firewall-Konzept,
Richtlinien:
- Richtlinien für den sicheren Betrieb von Windows-Servern (Betriebshandbuch),
- Richtlinien für den sicheren Betrieb von Datenbanken,
- Richtlinien zur Sicherheit am
Arbeitsplatz (Benutzerrichtlinien),
ISMS - Qualitative Risikoanalyse
ISMS - Qualitative Risikoanalyse - Matrix
ISMS - Typische Risiken im Bereich ICT
Organisatorische Risiken
Nicht autorisierte Zugriffe auf Informationen und Applikationen
Nicht prozessbezogener Einsatz von Applikationen
Infrastrukturelle Risiken
IT-Infrastruktur kann den Ansprüchen (z. B. Leistungsfähigkeit) nicht gerecht werden
Mangelhaftes Backupkonzept
Anwendungs- und prozessbezogene Risiken
Veraltete und nicht integrierte Softwarelösungen (Insellösungen)
Fehlende strategische Neuorientierung
Kostenbezogene Risiken
Fehlende Kostentransparenz
Mangelhafte Projektdefinition und -organisation mit daraus resultierenden Kostenüberschreitungen
Projektbezogene Risiken
Run-away-Projekte (Zeit, Kosten und Termine laufen aus dem Ruder)
Unprofessionelles Projekt-Management
ISMS - Unterrichtsinfos
- Die Modellierung ist die Ausgangslage, was habe ich alles.
- Dann geht man in das IT-Grundschutz-Kompendium rein und sucht bspw. konkret nach IT-Systemen und dann kann man diesbezüglich (dem Asset) die Basis-Anforderungen, Standard-Anforderungen und Kern-Anforderungen bei erhöhtem Schutzbedarf beachten.
ISMS - Unterschied qualitative und quantitative Risiko-Analyse:
Qualitative Risikoanalyse
Die an der Risikoanalyse beteiligten Grössen werden anhand einer mehrstufigen Skala nur eingeschätzt, z. B. Schadensausmass «4» auf einer 5-stufigen Skala
Quantitative Risikoanalyse
Die an der Risikoanalyse beteiligten Grössen sollen numerisch exakt berechnet werden
ISMS - Was gilt generell für das IT-Grundschutz Wirkprinzip?
ISMS - Was ist der Nutzen des IT-Grundschutz-Kompendiums? (BSI)
- Aufwand für die Entwicklung eines Sicherheitskonzepts reduzieren
- In der Regel genügt es, die auf den Einsatzzweck zutreffenden Bausteine auszuwählen und die darin enthaltenen Massnahmen einzuplanen und konsequent umzusetzen
ISMS - Was ist der Unterschied zwischen den BSI IT-Grundschutz Standards und IT-Grundschutz Kompendium?
Die BSI-Standards enthalten Empfehlungen zu Methoden, Prozessen, Vorgehensweisen und Massnahmen zu Informationssicherheit, wobei das Das IT-Grundschutz-Kompendium die modernisierte Fassung der ITGrundschutz-Kataloge ist.
ISMS - Was ist die Idee des IT-Grundschutzes?
Abläufe und IT-Komponenten sind überall ähnlich
- Typische Gefährdungen, Schwachstellen und Risiken
- Typische Geschäftsprozesse und Anwendungen
- Typische IT-Komponenten
Darauf aufbauend kann ein Gerüst für das
Sicherheitsmanagement erstellt werden
Zentrale Aspekte
- Wiederverwendbarkeit
- Anpassbarkeit
- Erweiterbarkeit
Infrastrukturelle, organisatorische, personelle und technische Standard-
Sicherheitsmassnahmen helfen, ein Standard-Sicherheitsniveau aufzubauen, um
geschäftsrelevante Informationen zu schützen
ISMS - Was ist die Motivation und der Zweck hinter ISMS?
- Sicherheit erhalten, dass Vermögenswerte und Informationen der Unternehmung («Assets») angemessen geschützt sind
- Rechtliche und regulatorische, aber auch Branchen- und Marktanforderungen erfüllen
ISMS - Was ist ein ISMS?
Ein ISMS beschreibt Regeln und Verfahren für eine Unternehmung, welche den Zweck haben, Informationssicherheit mithilfe eines Prozesses zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und kontinuierlich zu verbessern
ISMS - Was ist ein Risiko-Katalog? (Risk Register)
Risiko-Kataloge sind ein Hilfsmittel zur «Buchführung» über identifizierte Risiken
Jeder Unternehmensbereich erstellt seinen Risiko-Katalog; die einzelnen Kataloge werden dann zu einem unternehmensweiten Risiko-Katalog konsolidiert
Risiko-Kataloge verbinden identifizierte Risiken mit Massnahmen, um die Risiken zu bewältigen (vermeiden, vermindern etc.).
ISMS - Was sind die Grundlagen der Informationssicherheits-Politik (ISP)?
Unternehmenspolitik
Unternehmenskultur
Gesetze / Verträge
- Obligationenrecht (OR), Strafgesetzbuch (StGB), Datenschutzgesetz (DSG) und Verordnung, Urheberrecht (URG), Bundesgesetz betreffend
die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) und Verordnung (VÜPF),
ISMS - Was sind die zentralen Inhalte der Vorgaben zur Informationssicherheits-Politik (ISP) ?
Gibt die Leitplanken für die Informationssicherheit
Generelle Willensäusserung der GL bezüglich Sicherheitslevel
Widerspiegelt die Unternehmenskultur
Muss zwingend von der GL getragen werden
Gilt langfristig (3-5 Jahre)
ISMS - Was steht hinter dem BSI-Standard 200-1 ?
Zielgruppe: Management
Definiert allgemeine Anforderungen an ein ISMS
Kompatibel mit den entsprechenden Standards der ISO 2700x
Reihe
Berücksichtigt insbesondere Empfehlungen aus ISO 27002
Didaktisch sehr gut aufbereitet (leicht verständlich)
Enthält diverse Hinweise zur Zusammenarbeit
Sicherheitsmanagement und Datenschutz
ISMS - Welchen Nutzen haben die Standards? Bspw. Anwendung von ISO 27001 oder BSI Standard
- Kostensenkung:
- Nutzung vorhandener praxiserprobter Vorgehensmodelle
- Methodische Vereinheitlichung und Nachvollziehbarkeit - Einführung eines angemessenen Sicherheitsniveau:
- Orientierung am Stand der Technik und Wissenschaft
- Verbesserung des Sicherheitsniveaus durch die Notwendigkeit der zyklischen Bewertung - Wettbewerbsvorteile:
- Zertifizierung des Unternehmens sowie Produkten
- Nachweisfähigkeit bei öffentlichen und privatwirtschaftlichen Vergabeverfahren
- Verbesserung des Unternehmensimage
ISMS - Welches sind die Vorgaben zur Informationssicherheits-Politik (ISP)?
- Gibt die Leitplanken für die Informationssicherheit
- Fokus Sicherstellung der Geschäftsfortführung
- Generelle Willensäusserung der GL bezüglich Sicherheitslevel
- Muss zwingend von der GL getragen werden
- Gilt langfristig (3-5 Jahre)
ISMS - Wie kann man mit Risiken umgehen?
- Risiken vermeiden:
Anpassen oder Aufgeben von Geschäftsprozessen, sodass die Risiken nicht mehr vorhanden sind - Risiken vermindern:
Mit geeigneten Sicherheitsmassnahmen das Schadensausmass oder die Eintrittswahrscheinlichkeit reduzieren - Risiken übertragen (transferieren):
Überwälzung finanzieller Schäden auf Versicherungen, Outsourcer oder Benutzer eines Service - Risiken tragen:
Akzeptieren von Risiken (Restrisiken)
ISMS - Wie setzt sich der IT-Grundschutz zusammen?
Basis-Absicherung:
- Breite, grundlegende Erst-Absicherung über alle relevanten Geschäftsprozesse
- Auch und besonders für KMU geeignet
Kern-Absicherung.
- Schutz besonders gefährdete Geschäftsprozesse und Assets (Kronjuwelen)
- Fokussierung auf einen kleinen, aber sehr wichtigen Informationsverbund
Standard-Absicherung
- Entspricht im Wesentlichen der klassischen IT-Grundschutz- Vorgehensweise nach BSI-Standard 100-2
- Umfassende und tiefgehend Absicherung
ISMS - Wie sieht die Sicherheitspyramide von SiHB aus?
ISMS - Zeige die Erstellung einer Sicherheitskonzeption auf, welche auf der Standard-Absicherung basiert?
- Strukturanalyse: Erfassung der zum Geltungsbereich zugehörigen Geschäftsprozesse, Anwendungen und Informationen. Erhebung von IT-Systemen und ähnlichen Objekten.
- Wichtig: Keine Komponenten mit zu unterschiedlichem
Schutzbedarf zusammen fassen, Beispiele:
Clients der Geschäftsleitung nicht in Gruppe der «normalen» Clients
integrieren
Dito für Clients von Entwicklungsabteilung, Personalabteilung,
Buchhaltung und IT-Administration
--> Sie alle haben einen erhöhten Schutzbedarf
- Wichtig: Keine Komponenten mit zu unterschiedlichem
- Schutzbedarfsfeststellung: Zu beantwortende Fragen:
- Die IT-Grundschutz-Vorgehensweise empfiehlt drei qualitative Schutzbedarfskategorien anhand der maximalen Schäden und Folgeschäden bei Verlust der Vertraulichkeit, der Integrität und der Verfügbarkeit:
«normal» Begrenzte und überschaubare Schäden
«hoch» Beträchtliche Schäden möglich
«sehr hoch» Existentiell bedrohliche, katastrophale Schäden möglich
- Die IT-Grundschutz-Vorgehensweise empfiehlt drei qualitative Schutzbedarfskategorien anhand der maximalen Schäden und Folgeschäden bei Verlust der Vertraulichkeit, der Integrität und der Verfügbarkeit:
- Modellierung:
- Die Modellierung erfolgt entsprechend dem Schichtenmodell der IT-Grundschutz-Bausteine
- Ausgewählte Bausteine werden dem jeweiligen Zielobjekt (ITSysteme,
Räume etc.) zugeordnet
- IT-Grundschutz-Check (Teil 1):
- Durchführung des Soll-Ist-Vergleichs (Sind Informationen ausreichend geschützt?)
- Dokumentation der Ergebnisse
- Risikoanalyse ist durchzuführen wenn die Schutzbedarfskategorie «hoch» oder «sehr hoch» in mindestens einem der drei Grundwerte
vorliegt, kein geeigneter Baustein im IT-Grundschutz- Kompendium zu finden ist, oder Objekte in untypischer Weise oder Einsatzumgebung betrieben werden
- Konsolidierung:
- Eignung der Sicherheitsmassnahmen zur Abwehr der Gefährdungen
- Ergebnis: Bereinigtes und konsolidiertes Sicherheitskonzept
- IT-Grundschutz-Check (Teil 2):
- Da sich bei der Risikoanalyse in der Regel Änderungen am Sicherheitskonzept ergeben, ist anschliessend noch der Umsetzungsstatus der neu hinzugekommenen oder geänderten Anforderungen zu prüfen
- Realisierung der Massnahmen:
- Massnahmen konsolidieren (überfl. M. streichen, verbleibende konkretisieren Massnahmenliste)
- Aufwand schätzen (finanziell, personell / einmalig, wiederkehrend)
- Begleitende Massnahmen festlegen (Sensibilisierung und Schulung)
- Ergebnis: Realisierungsplan
ISMS - Übersicht der Standards
- ISO 27000
ISMS – Overview and vocabulary - ISO 27001
ISMS – Requirements - ISO 27002
Information security controls - ISO 27003
ISMS – Guidance - ISO 27004
ISM – Monitoring, measurement, analysis and evaluation - ISO 27005
Information security risk management - Bundesamt für Sicherheit in der Informationstechnik:
IT-Grundschutz-Standards und IT-Grundschutz-Kompendium
(ehem. BSI-Standards und IT-Grundschutz-Kataloge) - Cybersecurity Framework von NIST
- Information Security Forum (ISF):
Standard of Good Practice for Information Security - COBIT (Control Objectives for Information and Related Technology):
Framework zur IT-Governance - Informationssicherheitshandbuch für die Praxis:
www.sihb.ch
Krypto - Erkläre im Allgemeinen wie Hashfunktionen funktionieren
Siehe Youtube Anleitung:
https://www.youtube.com/watch?v=_prc688s2eE
Krypto - Für was verwendet man Zufallsgeneratoren und sind dies asymetrische oder symetrische Verschlüsselungen??
- Ein Zufallszahlengenerator ist ein Verfahren, das eine Folge von Zufallszahlen erzeugt.
- Zufallszahlen werden in der Kryptographie als Schlüssel für symmetrische Verschlüsselungsverfahren verwendet.
Krypto - PRÜFUNGSFRAGE - Verschlüsseln und Signieren
Authenzität + Öffentlicher Schlüssel =
Vertraulichkeit + Öffentlicher Schlüssel =
Authenzität + Privater Schlüssel =
Vertraulichkeit + Privater Schlüssel =
Authenzität + Öffentlicher Schlüssel = Signatur überprüfen (Verifizieren)
Vertraulichkeit + Öffentlicher Schlüssel = Verschlüsseln
Authenzität + Privater Schlüssel = Signatur erstellen (Signieren)
Vertraulichkeit + Privater Schlüssel = Entschlüsseln
Krypto - Was gehärt zum Schlüsselmanagement (Keymanagement)?
Das Keymanagement (Schlüsselmanagement) verwaltet die für kryptographische Verfahren benötigten Schlüssel über deren ganzen Lebenszyklus:
- Erzeugung (Passwort erzeugen)
- Austausch (Kanaltrennung um Passwort auszutauschen)
- Ablage
- Verwendung
- Erneuerung (Einmaligen Dautenaustausch nicht aber über längere Zeit, erneuern)
- Zerstörung
Ist eine der Hauptherausforderungen in der Kryptographie!
Krypto - Was ist eine digitale Singatur?
Digitale Signatur hat mit der Authentizität zu tun --> ist die Nachricht auch von Bob? Eine digitale Signatur ist ein asymmetrisches Kryptosystem, bei
dem ein Sender mit Hilfe eines geheimen Signaturschlüssels (Private Key) zu einer digitalen Nachricht einen Wert berechnet, der ebenfalls digitale Signatur genannt wird.
Dieser Wert ermöglicht es jedem, mit Hilfe des öffentlichen Verifikationsschlüssels (Public Key) die nichtabstreitbare Urheberschaft und Integrität der Nachricht zu prüfen.
Um eine mit einem Signaturschlüssel erstellte Signatur einer Person zuordnen zu können, muss der zugehörige Verifikationsschlüssel dieser Person zweifelsfrei zugeordnet sein.
Krypto - Was ist eine Hybride Verschlüsselung?
Hybride Verfahren verschlüsseln die eigentliche Nachricht symmetrisch, wobei
mittels asymmetrischer Verschlüsselung ein symmetrischer Schlüssel vertraulich
transportiert wird.
Alice denkt sich ein Passwort aus (symetrische Verschlüsselung), danach holt sie sich von BOB den öffentlichen Schlüssel und jetzt verschlüsselt sie den symmetrischen Schlüssel von BOB und bekommt damit ein Verschlüsseltes Passwort.
https://www.youtube.com/watch?v=HihZ6PKk9WI
Krypto - Was ist hier der Schlüssel? (Beispiel Folie 11)
Anzahl Kanten und Breite der Kante ist der Schlüssel
Krypto - Was muss bei einem öffentlichen Schlüssel sichergestellt sein?
- Der öffentliche Schlüssel muss zweifelsfrei einer Person (oder auch einem Computer) zugeordnet werden können. Ein Zertifikat beglaubigt diese Zuordnung.
- Jeder, der mit einer anderen Person verschlüsselt kommunizieren möchte, oder Signaturen von dieser Person verifizieren will, muss im Besitz eines Zertifkats von dieser Person sein. Zertifikate müssen deshalb in einem öffentlichen Verzeichnis publiziert werden.
Krypto - Was sind Protokolle innerhalb der Kryptographie? Und nenne zwei Beispiele davon
Protokolle sind Sammlungen von Vereinbarungen mit denen die Rahmenbedingungen einer Kommunikation zwischen Partnern geregelt wird.
Beispiele:
- Transmission Control Protocol TCP (Datenübertragung)
- Transport Layer Protocol TLS (sichere Datenübertragung)
- Wi-Fi Protected Access WPA (sichere Datenübertragung)
