Informatik

1. Schutzbedart ermitteln

2. Risiken analysieren und bewerten

3. Massnahemen evaluieren (bemessen)

4. Massnahmen umsetzen

5. Massnahmen überprüfen

- Welche persönliche Daten müssen geschützt werden?

- Welche bertraulichen Daten dürfen nicht in fremde Hände geraten?

- Welche Daten müssen vor Verlust geschützt werden?

- Welche Daten müssen vor Manipulation geschützt werden?

- Schützenwerte Daten definieren

- Bedrohung ermitteln

- Verletzbarkeit ermitteln

- Schadenpotenzial bestimmen

- Eintrittswahrscheinlichkeit ermitteln

- Sicherheitsrisiken müssen laufend überarbeitet werden

- Risiken werden immer im Geldbeträgen bestimmt

- Massnahemen im Bereich Gebäude und Infrastruktur.

- Massnahemen im Bereich Hardware und Software.

- Massnahmen im Bereich Personal und Organisation.

- Bauliche Massnahemen

- Einbruchschutz

- Unterbrechugsfreie Stromversorgung

- Personenkontrolle bei Zutritt

- Elekronische Zutrittskontrolle

- Mechanische Zutrittskontrolle

- Gesichertes Einloggen

- Virenschutz

- Software-Updates

- Zugriffsrechte im Betriebssystem

- Firewall / Watchdog

- Verschlüsselungsverfahren

- VPN

- Das grösste Risiko sollte auch die grösste Aufmerksamkeit bekommmen!

- Sicherheitsrichtlinien und Training

- Regelung von Verantwortlichkeiten!!

- Entsorgung von Datenträgern

- Schulungen / Sensibilisierungen

1. Anforderungen

2. Risikoanalyse

3. Risikostrategie

4. Massnahmen

5. Veratwortlichekten

6. Kosten / Wirtschaftlichkeit

IT-Sicherheitskonzept

- Notfallvorsorge treffen

- Wirkungsanalyse durchführen

- Vorsorgemassnahmen definieren

- Datensicherungsplan erstellen

- Notfallhandbuch erstellen

- Wechselwirkungen / Abhängigkeiten aufzeigen

- Wichtigkeit der Verfügbarkeit definieren

- Aufgaben der Wirkungsanalyse:

  - Kritische Funktionen und Komponenten identifizieren

  - Auswirkunge eines Ausfalls ermitteln

  - Anforderungen an Verfügbarkeit bestimmen

  - Prioritäten für Vorsorgemassnahmen festlegen

Ziel ist die Wahrscheinlichkeit eines Ausfalls minimieren

- Technische Massnahmen

  - Baluiche Massnahmen

  - Sicherungssysteme

  - Monitoring-Tools

- Organisatorische Massnahmen

  - Monitoring

  - Versicherungen / Wartungsverträge

Wer, Wann, Wo, auf welchem Medium?

- Speicherort der Daten im Normalbetrieb

- Bestandsverzeichnis

- Back-up-Plan

- Recovery-Verfahren (Wiederherstellung)

- Ort der Datensicherung

(Die Datensicherung wird zur Wiederherstellung wichtiger Daten benötigt)

- Vollständige Datensicherung (Alles)

- Diffenentielle Datensicherung (Äderungen und Neuerungen)

- Inkrementelle Datensicherung (Nur Neuerungen)

- CVS (Concurrent Versioning System) (Alle Versionen bleiben im Bach-up erhalten, for allem für Programmierer wichtig)

Nicht nur Daten sondern auch Konfigurationen sollten gesichert werden!!!

- Verkürzte Entscheidungswege und erweiterte Befugnisse

- Stellvertreter-Regelung

- Allgemeine Information

(Das Notfallhandbuch muss für einen Laien verständlich sein!!)

- Sofortmassnahmen

- Notrufnummern

- Zuständigkeiten

- Systemunterlagen

- Komponentenweise Spezifikation zur Wiederherstellung

- Wiederbeschffungsmöglichkeiten

- Intern (nach unten und nach oben)

- Vertraulich (nur nach oben)

- Geheim (nur für dich)

- Höhere Gewalt

- Techisches Versagen

- Vorsätzliche Handlungen

- Menschliche Fehlhandlungen

- Organisatorische Mängel

Zb. Wasser oder Erdbeben

Zb. Lesekopf einer Festplatte bricht

Zb. vorsätzliche Manipulation von Daten

Zb.

Zb.

- Mangelnde Prävention (fehlendes Risikobewusstsein)

- Uneinheitliche Rechtsprechung (mangelnde Beweismittel)

- Mangelnde Log-Informationen (Reportingsysteme)

Ein Geldfaktor

Wenn Verletzbarkeit auf Bedrohung stösst

1. Risiko vermeiden / eliminieren

2. Risiko minimieren

3. Risiko verlagern

4. Risiko versichern

- Risiko hinnehmen

In Geldeinheiten (einer konkreten Summe)

Schadenausmass des Risikos = Eintrittwarscheinlichkeit (in Prozent pro Jahr) x Auswirkung pro Ereignis (Schaden in CHF pro Jahr)

- Direkter Schaden (zb. Festplatte 1000.-)

- Indirekter Schaden ( zb. 50 Informatiker-Arbeitsstunden für Reparatur und Rekonsturktion von Daten)

- Folgekosten (1 Tag Systemausfall - entgangener Gewinn)

- Objektive Wahrscheinlichkeit (Fakten)

- Subjektive Wahrscheinlichkeit (Bauchgefühl)

VIVAV

- Vertraulichkeit

- Integrität

- Verfügbarketi

- Athentizität

- Verfolgbarkeit

- Gestzliche Anforderungen

  - Datenschutzgesetz

  - Persönlichkeitsrechte

- Unternhehmensgeheimnisse

- Gefahren

  - Betriebsspionage

  - Head-Hunting (Abwerber)

  - Korruption / Erpressung

- Schutz vor Beschädigung

  - Viren

  - Unvorsichtige Benutzer

  - Hardware - Ausfälle

  - Fehlerhafte Software

-  Gewährleistung der fortwährenden Abrufbarkeit der Informationen

- Schutz vor absichtlicher oder unabsichtlicher Täuschung

- Echtheit der Dokumente sicherstellen

- Echtheit der involvierten Personen / Systeme sicherstellen