IT-Sicherheitsmanagement und IT-Recht
Fach IT-Management, Klausurfragen Kapitel IT-Sicherheitsmanagement und IT-Recht
Fach IT-Management, Klausurfragen Kapitel IT-Sicherheitsmanagement und IT-Recht
Charakterisieren Sie die Aufgaben und Pflichten des Datenschutzbeauftragten!
• Hinwirken auf die Einhaltung des Bundesdatenschutzgesetzes (BDSG), beispielsweise durch Mitwirkung bei der Planung und Einführung von IT-Systemen und- sofern zutreffend- anderer Vorschriften über den Datenschutz (z. B. Abschnitt 4 des Telemediengesetzes)
• Information und Schulung der für die Bearbeitung personenbezogener Daten zuständigen Mitarbeiter, beispielsweise durch die Erstellung von entsprechenden betrieblichen Regelungen
• Bearbeitung von Wünschen und Beschwerden von Personen, deren personenbezogene Daten erhoben, verarbeitet und genutzt werden
• Führen der Datenschutzdokumentation, die gemäß § 4d BDSG unter anderem Informationen beinhalten muss über die Zweckbestimmung der Datenerhebung, -verarbeitung und -nutzung (z. B. Personal-, Kunden- oder
Lieferantendatenverwaltung) oder über die Löschfristen der Daten (z. B. nach
Ablauf der gesetzlichen oder vertraglich vereinbarten Aufbewahrungsfristen).
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die Aufgabe der Geschäftsführung).
Ungeachtet der jeweils praktizierten Aufgabenverteilung behält die Geschäftsführung des Unternehmens grundsätzlich die Verantwortung für die ordnungsgemäße/sichere Erfüllung der mit IT-Sicherheitsmgmt. zusammenhängenden Aufgaben
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung bei kleinen Unternehmen.)
Bei kleinen Unternehmen werden sämtliche Rollen der IT-Sicherheitsbeauftragten zusammengelegt, so dass im Unternehmen nur ein IT-Sicherheitsbeauftragter anzutreffen ist. Die Rolle des IT-Sicherheitsteams resp. des IT-Koordinierungsausschusses wird in diesem Fall vom IT-Referenten/-Koordinator wahrgenommen.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung bei Unternehmen mittlerer Größenordnung.)
Für Unternehmen mittlerer Größenordnung bietet es sich an, die Aufgaben der IT-Sicherheitsbeauftragten auf Unternehmens- & Bereichsebene zusammenzulegen und/oder die Aufgaben des IS-Managementteams dem IT-Koordinierungsausschuss zu übertragen.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung in ein Großunternehmen.)
- Die Grundstruktur der Abbild. nach dem BSI-Standard eignet sich v.a. für Großunternehmen.
- Das IS (=Informationssicherheit = IT-Sicherheit) - Management-Team unterstützt bei gr. Unternehmen den Sicherheitsbeauftragten bei seinen Aufgaben & erhöht durch die Einbindung von Anwendervertretern, die dem Team angehören können, die spätere Akzeptanz bei der Umsetzung der Maßnahmen. Der zentrale Sicherheitsbeauftragte agiert auf Unternehmensebene, während für die Bereiche (=Geschäftsbereiche/Abteilungen/Niederlassungen) eigene Beauftragte eingesetzt werden. Im Rahmen von Projekten mit IT-Sicherheitsrelevanz werden ebenso eigene Beauftragte installiert wie für spezifische Systeme, z.B. bei Geldinstituten für sämtl. mit Onlinebanking zusammenhängende Systeme.
- Der IT-Koordinierungsausschuss ist ein temporäres Gremium, wird v.a. bei sehr großen IT-Projekten installiert & hat die Aufgabe, zw. dem IS-Managementteam, den Vertretern der IT-Anwender, dem IT-Sicherheitsbeauftragten & der Unternehmensleitung zu koordinieren.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die Rollen).
- Der gewachsenen Bedeutung von IT-Sicherheitsmanagement entsprechend implementieren Geschäftsführungen & IT-Leitungen zunehmend Spezialisten für die in Zusammenhang mit IT-Sicherheitsmanagement anfallenden Aufgaben. Hierbei sind folgende Funktionen/Rollen zu unterscheiden:
- Bei Vorliegen bestimmter Voraussetzungen von Gesetzes wegen zu bestellende Funktionsträger (z.B. betriebl. Datenschutzbeauftragter)
- Mitarbeiter, die überwiegend/ausschließlich (Teil-)Aufgaben auf dem Gebiet von IT-Sicherheitsmanagement wahrnehmen (z.B. IT-Sicherheitsbeauftragte)
- Mitarbeiter, die für ihren Verantwortungsbereich (z.B. als Projektleiter für Auswahl & Einführung einer neuen Lohn- und Gehaltssoftware) die IT-Sicherheitsregelungen beachten müssen
- Die Rollen können - abhängig von der Unternehmensgröße - auch von mehreren Personen wahrgenommen werden, sowohl zentral als auch dezentral.
Welche Gründe sprechen aus Unternehmenssicht für eine Zertifizierung des IT-Sicherheitsmanagements?
Für Unternehmen gibt es folgende Gründe für eine Zertifizierung des IT-Sicherheitsmanagements:
- Berechtigung zur Teilnahme an privatwirtschaftlichen oder öffentlichen Ausschreibungen
- Bestätigung für die Erfüllung gesetzlicher Anforderungen, z.B. an ein Risikomanagementsystem
- Bestätigung für das Vorliegen eines bestimmten IT-Sicherheitsniveaus, z.B. für Kunden oder Lieferanten.
So weist beispielsweise die mit Einführung und Betrieb des LKW-Mautsystems beauftragte Toll Collect GmbH mit dem IT-Grundschutz-Zertifikat gegenüber dem Auftraggeber nach, dass es alle für ihren IT-Verbund relevanten Standardsicherheitsmaßnahmen umgesetzt hat.
Geben Sie einen Überblick über mögliche IT-Sicherungsmaßnahmen!
• Physische Maßnahmen
Sie dienen dem Schutz von IT-Systemen mittels baulicher&infrastruktureller Vorkehrungen. Allg. baulichen Maßnahmen wie Einbruchschutz & Zutrittskontrolle über Brandschutzmaßnahmen & Maßnahmen zur Aufrechterhaltung der Stromversorgung bis hin zur Verwendung geeign. Schutzräume für Datenträger mit Sicherungskopien & Archiven
• Personelle Maßnahmen
Maßnahmen z. Sensibilisierung der Mitarbeiter für IT-Sicherheit & regelmäßige Sicherheitsschulungen, z.B. zur Vermittlung v. Kenntnissen über Gefahren & geeignete Gegenmaßnahmen
• Organisat. Maßnahmen
Die Maßnahmen reichen v. verschiedenen Regelungen, z.B. für Internet- & E-Mail-Nutzung oder f.Vorgehensweisen bei Ausscheiden, Versetzung oder Eintritt von MA bis hin zum Erstellen eines Notfallvorsorgekonzepts
• IT-bezogene Maßnahmen
Sie betreffen u.a. die Vergabe & Verwaltung v. Zugriffsrechten, Regelungen f. Passwortgebrauch, Nutzungsverbote priv. Hard-/Software+Konzept f.Virenschutz/Internetsicherheit
Geben Sie einen Überblick über die Vorgehensweise zum Aufbau eines IT-Sicherheitsmanagements!
Die Abbildung zeigt den Prozess "IT-Sicherheitsmanagement" mit den Prozessbereichen Entwicklung, Umsetzung und Betrieb.
Entwicklung...
Umsetzung...
Betrieb...
Aus der Abbildung wird durch die Rückkopplungspfeile deutlich, dass es sich um einen kontinuierlichen Prozess handelt, bei dem beispielsweise Erkenntnisse aus der Betriebsphase zu Änderungen in der Entwicklungs- oder Umsetzungsphase führen können.
Charakterisieren Sie die Entwicklung von IT-Sicherheitsstandards!
Die Etablierung und Aufrechterhaltung von IT-Sicherheitsmanagement ist ein komplexer und komplizierter Prozess, der durch die Verwendung bewährter Verfahren beschleunigt und verbessert werden kann. Solche bewährten Verfahren werden in IT-Sicherheitsstandards dargestellt. Diese liefern beispielsweise Methoden und Anforderungen an ein leistungsfähiges Managementsystem für IT-Sicherheit, aber auch Beschreibungen von IT-Sicherheitsmaßnahmen und Checklisten für deren Implementierung. (Die Verwendung von IT-Sicherheitsstandars führt zu Nutzeffekten wie Kostensenkung, einem angemessenem und aktuellem Sicherheitsnivau und zu Wettbewerbsvorteilen bei Ausschreibungen.)
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Risikomanagementregeln.)
Risikomanagementregelungen:
- "Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG)": AGs müssen unternehmensweites Risikomgmt. einführen, auch bezogen auf IT-Risiken --> Aufbau IT-Sicherheitsmgmt.
- "Sarbanes-Oxley Act (SOX)": Internes Kontrollsystem über Finanzberichterstattung, Bestätigung der Wirksamkeit jährlich durch Wirtschaftsprüfer, Vorstandsvorsitzender+Finanzvorstand haften persönl. für Richtigkeit bestimmter Erklärungen wie Jahresabschluss. Gesetz gilt auch für dt. Unternehmen, deren Wertpapiere an amerikan. Börse gehandelt werden und für dt. Tochterunternehmenn amerikan. Gesellschaften.
- "Euro-SOX": Festlegung Kriterien wie Insitutionalisierung Risikomanagement
- Basel II: IT-Risiken fließen in Rating des Kreditnehmers mit ein, abhängig von Bedeutung der IT für die Geschäftsprozesse --> Qualität des IT-Sicherheitsmanagements
- Solvency II (analog Basel II für Versicherungswirtschaft)
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Buchführungs- und Archivierungsregeln.)
Buchführungs- und Archivierungsregeln:
- "Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)" beinhalten Regeln zur Behandlung aufbewahrungspflichtiger Daten und Belege in elektron. Buchführungssystemen sowie in revisionssicheren Dokumentenmgmt.- & Archivierungssystemen. Darunter befinden sich auch Vorschriften zur Datensicherheit. So sind die Buchführungsdaten gegen Verlust und Veränderung zu schützen, der durch Zugangs- und Zugriffskontrollen gewährleistet wird.
- "Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU)": Originär digital erstellte, steuerlich relevante Daten müssen für eine Betriebsprüfung jederzeit verfügbar und maschinell auswertbar sein. Somit müssen für die steuerl. Daten die zumindest die Grundwerte Verfügbarkeit und Integrität durch best. Sicherheitsmaßnahmen erfüllt werden.
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Datenschutzregelungen.)
Datenschutzregelungen:
- Zweck des Bundesdatenschutzgesetzes (BDSG) ist, den Einzelnen davor zu schützen, dass er durch Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Neben den Vorschriften für Bundesbehörden haben z.B. Unternehmen unter bestimmten Voraussetzungen die Pflicht, einen betriebl. Datenschutzbeauftragen zu bestellen, der die Einhaltung des BDSG gewährleisten muss. Die Datenschutzgesetze der einzelnen Bundesländer (Landesdatenschutzgesetze) beinhalten datenschutzrechtl. Regelungen für die jeweiligen Landesbehörden.
- Es gibt auch eine "Grundsatzregelung zum Arbeitnehmer-Datenschutz", in der die Erhebung von Mitarbeiterdaten durch Unternehmen geregelt wird (Stichwort Mitarbeiterüberwachung).
- Auch im Betriebsverfassungsgesetz steht, dass jede Datenerhebung über die Mitarbeiter der Zustimmung des Betriebsrates bedarf, was häufig in einer Betriebsvereinbarung fixiert wird.
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie grob die Übersicht.)
- Rechtsvorschriften für die IT-Sicherheit sind nicht in einem Gesetz zusammengefasst, sondern verteilen sich auf eine Reihe von Gesetzen und Richtlinien. Neben diesen nahezu allgemeingültigen Vorschriften gibt es branchenspezifische Vorschriften, z.B. für den Umgang mit Gesundheits- und Sozialdaten. Viele Unternehmen müssen die Regelungen für den Geheimschutz der Wirtschaft beachten.
- Rechtliche Vorgaben, die als Compliance-Quelle dienen, sind
- Gesetze & Rechtsverordnungen
- Rechtsprechung
- Verwaltungsvorschriften
- Referenzierte Regelwerke
- Verträge
- Wesentl. Gesetze/Rechtverordnungen, die fast alle Unternehmen betreffen, lassen sich in die Kategorien Datenschutz-, Buchführungs- und Archivierungs- sowie Risikomanagementregelungen einteilen.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Verfügbarkeit.)
Verfügbarkeil (availability) bedeutet, dass der Zugriff auf ein funktionsbereites IT-System oder auf funktionsbereite Komponenten eines IT-Systems gewährleistet ist. Als Quotient aus vereinbarter und theoretisch möglicher Verfügbarkeil in einem Zeitrahmen drückt beispielsweise ein Wert von 99% aus, dass das IT-System an 99 % der geplanten Betriebszeiten genutzt werden kann. Bei einer vereinbarten Verfügbarkeil von 365 Tagen a 12 Stunden pro Tag bedeutet dieser Prozentsatz, dass das IT-System im Jahr insgesamt an nicht mehr als 3,65 Tagen respektive 43,8 Stunden ausfallen darf.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Integrität.)
Integrität (integrity) bezeichnet die Sicherstellung der Korrekt heit (Unversehrtheit) von Daten und der korrekten Funktions weise von Hard- und Softwarekomponenten. Integrität im Zusammenhang mit Daten liegt vor, wenn es nicht möglich ist, Daten unberechtigt und unbemerkt zu verändern.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Vertraulichkeit.)
Vertraulichkeit (confidentiality) bedeutet, dass das IT-System Daten nur den dafür Berechtigten zugänglich macht. Darunter fallen personenbezogene Daten im Sinne des BDSG ebenso wie firmeninterne Daten jeglicher Art, beispielsweise Entwicklungspläne, Marketingkonzepte, Produktionsabläufe oder interne
Rechnungswesensdaten.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Nennen Sie die 3 Grundwerte der IT-Sicherheit)
In der Praxis wird unter IT-Sicherheit zumeist die Erfüllung der 3 Sicherheitsbedürfnisse Vertraulichkeit, Integrität und Verfügbarkeit eines IT-Systems verstanden, die man auch als Grundwerte der IT-Sicherheit bezeichnet. IT-Sicherheitsmanagement ist ein kontinuierlicher Prozess, der die IT-Sicherheit innerhalb einer Organisation gewährleisten soll.
Wie hängen IT-Risikomanagement und IT-Sicherheitsmanagement zusammen?
Risikomanagement umfasst alle organ. Maßnahmen, die sich auf
- die Definition der Risikofelder
- die Identifikation der Risiken&
- deren Analyse, Bewertung, Steuerung, Überwachung sowie die Berichterstattung beziehen.
IT-Risikomanagement bezieht sich somit auf die entsprech. organ. Maßnahmen im Zusammenhang mit IT.
- Risiken bei IT-Projekten wg. Projektcharakter oder bei mangelhaftem Projektmanagement mit Termin-/Kostenüberschreitungen/Qualitätsproblemen
- Mangelhafte Abstimmung zw. Unternehmens- & IT-Strategie birgt IT-Risiken, z.B. falsche Entscheidungen für IT-Plattformen & -Anwendungen mit der Konsequenz einer mangelhaften Unterstützung v. Geschäftsprozessen.
Einen wesentlichen Bestandteil von IT-Risikomanagement stellt das Management von IT-Sicherheitsrisiken dar. Gefährdungen, welche Schadensereignisse in der IT auslösen können&somit zu IT-Sicherheitsrisiken führen sind
- höhere Gewalt
- organ. Mängel
- menschl. Fehlhandl.
- techn. Vers.
- vorsätz. Handl.
Charakterisieren Sie den Begriff Risiko!
Unter Risiko versteht man das Produkt aus der Wahrscheinlichkeit des Eintritts eines Schadensereignisses und der Höhe des potenziellen Schadens, der dadurch hervorgerufen werden kann.
Weniger wahrscheinliche Ereignisse mit hohem Schadenspotenzial können somit zum gleichen Risiko führen wie wahrscheinlichere Ereignisse mit geringem Schadenspotenzial.
Nennen Sie mögliche Gründe für die Notwendigkeit eines IT-Sicherheitsmanagements!
Die Durchdringung von U aller Branchen/Größenordnungen mit IT & die daraus resultierende Abhäng. von IT erfordern ein hohes Maß an IT-Sicherheit. Ohne IT sind U nicht überlebensfähig.
Das wachsende Bedrohungspotenzial (exponent. Erhöhung d. flächendeckend. Einsatz v. Internettechnologien):
- Anzahl Websites, Internethosts, Nutzer seit Interneterfindung 1990 explosionsartig gestiegen
- Im Internet laufen sehr viele geschäftskrit./unternehmensübergr. Anwendungen, auf die MA v. Niederlassungen, vom Homeoffice oder bei Dienstreisen v. unterwegs aus über Fest- oder Mobilfunknetze ebenso zugreifen wie Logistikunternehmen, Lieferanten, Kunden, Geschäftspartner
- Computerkriminelle schließen sich in organ. Form zusammen & verfolgen finanz. Vorteile
- Anzahl der jährl.gem.Softwaresicherheitslücken v.Betriebssyst., Anwenungsprogr., Netzkomp., die Einbrechern den Zugang erleichtern dramatisch gestiegen
Gesetzl.Vorschriften&Regel.+Compliance-Vorgaben schreiben funkt. IT-SM vor
-
- 1 / 21
-
Cartes-fiches
Charakterisieren Sie die Aufgaben und Pflichten des Datenschutzbeauftragten!
• Hinwirken auf die Einhaltung des Bundesdatenschutzgesetzes (BDSG), beispielsweise durch Mitwirkung bei der Planung und Einführung von IT-Systemen und- sofern zutreffend- anderer Vorschriften über den Datenschutz (z. B. Abschnitt 4 des Telemediengesetzes)
• Information und Schulung der für die Bearbeitung personenbezogener Daten zuständigen Mitarbeiter, beispielsweise durch die Erstellung von entsprechenden betrieblichen Regelungen
• Bearbeitung von Wünschen und Beschwerden von Personen, deren personenbezogene Daten erhoben, verarbeitet und genutzt werden
• Führen der Datenschutzdokumentation, die gemäß § 4d BDSG unter anderem Informationen beinhalten muss über die Zweckbestimmung der Datenerhebung, -verarbeitung und -nutzung (z. B. Personal-, Kunden- oder
Lieferantendatenverwaltung) oder über die Löschfristen der Daten (z. B. nach
Ablauf der gesetzlichen oder vertraglich vereinbarten Aufbewahrungsfristen).
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die Aufgabe der Geschäftsführung).
Ungeachtet der jeweils praktizierten Aufgabenverteilung behält die Geschäftsführung des Unternehmens grundsätzlich die Verantwortung für die ordnungsgemäße/sichere Erfüllung der mit IT-Sicherheitsmgmt. zusammenhängenden Aufgaben
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung bei kleinen Unternehmen.)
Bei kleinen Unternehmen werden sämtliche Rollen der IT-Sicherheitsbeauftragten zusammengelegt, so dass im Unternehmen nur ein IT-Sicherheitsbeauftragter anzutreffen ist. Die Rolle des IT-Sicherheitsteams resp. des IT-Koordinierungsausschusses wird in diesem Fall vom IT-Referenten/-Koordinator wahrgenommen.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung bei Unternehmen mittlerer Größenordnung.)
Für Unternehmen mittlerer Größenordnung bietet es sich an, die Aufgaben der IT-Sicherheitsbeauftragten auf Unternehmens- & Bereichsebene zusammenzulegen und/oder die Aufgaben des IS-Managementteams dem IT-Koordinierungsausschuss zu übertragen.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die organisatorische Einbettung in ein Großunternehmen.)
- Die Grundstruktur der Abbild. nach dem BSI-Standard eignet sich v.a. für Großunternehmen.
- Das IS (=Informationssicherheit = IT-Sicherheit) - Management-Team unterstützt bei gr. Unternehmen den Sicherheitsbeauftragten bei seinen Aufgaben & erhöht durch die Einbindung von Anwendervertretern, die dem Team angehören können, die spätere Akzeptanz bei der Umsetzung der Maßnahmen. Der zentrale Sicherheitsbeauftragte agiert auf Unternehmensebene, während für die Bereiche (=Geschäftsbereiche/Abteilungen/Niederlassungen) eigene Beauftragte eingesetzt werden. Im Rahmen von Projekten mit IT-Sicherheitsrelevanz werden ebenso eigene Beauftragte installiert wie für spezifische Systeme, z.B. bei Geldinstituten für sämtl. mit Onlinebanking zusammenhängende Systeme.
- Der IT-Koordinierungsausschuss ist ein temporäres Gremium, wird v.a. bei sehr großen IT-Projekten installiert & hat die Aufgabe, zw. dem IS-Managementteam, den Vertretern der IT-Anwender, dem IT-Sicherheitsbeauftragten & der Unternehmensleitung zu koordinieren.
Charakterisieren Sie die organisatorische Einbettung des IT-Sicherheitsmanagements (Erläutern Sie die Rollen).
- Der gewachsenen Bedeutung von IT-Sicherheitsmanagement entsprechend implementieren Geschäftsführungen & IT-Leitungen zunehmend Spezialisten für die in Zusammenhang mit IT-Sicherheitsmanagement anfallenden Aufgaben. Hierbei sind folgende Funktionen/Rollen zu unterscheiden:
- Bei Vorliegen bestimmter Voraussetzungen von Gesetzes wegen zu bestellende Funktionsträger (z.B. betriebl. Datenschutzbeauftragter)
- Mitarbeiter, die überwiegend/ausschließlich (Teil-)Aufgaben auf dem Gebiet von IT-Sicherheitsmanagement wahrnehmen (z.B. IT-Sicherheitsbeauftragte)
- Mitarbeiter, die für ihren Verantwortungsbereich (z.B. als Projektleiter für Auswahl & Einführung einer neuen Lohn- und Gehaltssoftware) die IT-Sicherheitsregelungen beachten müssen
- Die Rollen können - abhängig von der Unternehmensgröße - auch von mehreren Personen wahrgenommen werden, sowohl zentral als auch dezentral.
Welche Gründe sprechen aus Unternehmenssicht für eine Zertifizierung des IT-Sicherheitsmanagements?
Für Unternehmen gibt es folgende Gründe für eine Zertifizierung des IT-Sicherheitsmanagements:
- Berechtigung zur Teilnahme an privatwirtschaftlichen oder öffentlichen Ausschreibungen
- Bestätigung für die Erfüllung gesetzlicher Anforderungen, z.B. an ein Risikomanagementsystem
- Bestätigung für das Vorliegen eines bestimmten IT-Sicherheitsniveaus, z.B. für Kunden oder Lieferanten.
So weist beispielsweise die mit Einführung und Betrieb des LKW-Mautsystems beauftragte Toll Collect GmbH mit dem IT-Grundschutz-Zertifikat gegenüber dem Auftraggeber nach, dass es alle für ihren IT-Verbund relevanten Standardsicherheitsmaßnahmen umgesetzt hat.
Geben Sie einen Überblick über mögliche IT-Sicherungsmaßnahmen!
• Physische Maßnahmen
Sie dienen dem Schutz von IT-Systemen mittels baulicher&infrastruktureller Vorkehrungen. Allg. baulichen Maßnahmen wie Einbruchschutz & Zutrittskontrolle über Brandschutzmaßnahmen & Maßnahmen zur Aufrechterhaltung der Stromversorgung bis hin zur Verwendung geeign. Schutzräume für Datenträger mit Sicherungskopien & Archiven
• Personelle Maßnahmen
Maßnahmen z. Sensibilisierung der Mitarbeiter für IT-Sicherheit & regelmäßige Sicherheitsschulungen, z.B. zur Vermittlung v. Kenntnissen über Gefahren & geeignete Gegenmaßnahmen
• Organisat. Maßnahmen
Die Maßnahmen reichen v. verschiedenen Regelungen, z.B. für Internet- & E-Mail-Nutzung oder f.Vorgehensweisen bei Ausscheiden, Versetzung oder Eintritt von MA bis hin zum Erstellen eines Notfallvorsorgekonzepts
• IT-bezogene Maßnahmen
Sie betreffen u.a. die Vergabe & Verwaltung v. Zugriffsrechten, Regelungen f. Passwortgebrauch, Nutzungsverbote priv. Hard-/Software+Konzept f.Virenschutz/Internetsicherheit
Geben Sie einen Überblick über die Vorgehensweise zum Aufbau eines IT-Sicherheitsmanagements!
Die Abbildung zeigt den Prozess "IT-Sicherheitsmanagement" mit den Prozessbereichen Entwicklung, Umsetzung und Betrieb.
Entwicklung...
Umsetzung...
Betrieb...
Aus der Abbildung wird durch die Rückkopplungspfeile deutlich, dass es sich um einen kontinuierlichen Prozess handelt, bei dem beispielsweise Erkenntnisse aus der Betriebsphase zu Änderungen in der Entwicklungs- oder Umsetzungsphase führen können.
Charakterisieren Sie die Entwicklung von IT-Sicherheitsstandards!
Die Etablierung und Aufrechterhaltung von IT-Sicherheitsmanagement ist ein komplexer und komplizierter Prozess, der durch die Verwendung bewährter Verfahren beschleunigt und verbessert werden kann. Solche bewährten Verfahren werden in IT-Sicherheitsstandards dargestellt. Diese liefern beispielsweise Methoden und Anforderungen an ein leistungsfähiges Managementsystem für IT-Sicherheit, aber auch Beschreibungen von IT-Sicherheitsmaßnahmen und Checklisten für deren Implementierung. (Die Verwendung von IT-Sicherheitsstandars führt zu Nutzeffekten wie Kostensenkung, einem angemessenem und aktuellem Sicherheitsnivau und zu Wettbewerbsvorteilen bei Ausschreibungen.)
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Risikomanagementregeln.)
Risikomanagementregelungen:
- "Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG)": AGs müssen unternehmensweites Risikomgmt. einführen, auch bezogen auf IT-Risiken --> Aufbau IT-Sicherheitsmgmt.
- "Sarbanes-Oxley Act (SOX)": Internes Kontrollsystem über Finanzberichterstattung, Bestätigung der Wirksamkeit jährlich durch Wirtschaftsprüfer, Vorstandsvorsitzender+Finanzvorstand haften persönl. für Richtigkeit bestimmter Erklärungen wie Jahresabschluss. Gesetz gilt auch für dt. Unternehmen, deren Wertpapiere an amerikan. Börse gehandelt werden und für dt. Tochterunternehmenn amerikan. Gesellschaften.
- "Euro-SOX": Festlegung Kriterien wie Insitutionalisierung Risikomanagement
- Basel II: IT-Risiken fließen in Rating des Kreditnehmers mit ein, abhängig von Bedeutung der IT für die Geschäftsprozesse --> Qualität des IT-Sicherheitsmanagements
- Solvency II (analog Basel II für Versicherungswirtschaft)
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Buchführungs- und Archivierungsregeln.)
Buchführungs- und Archivierungsregeln:
- "Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)" beinhalten Regeln zur Behandlung aufbewahrungspflichtiger Daten und Belege in elektron. Buchführungssystemen sowie in revisionssicheren Dokumentenmgmt.- & Archivierungssystemen. Darunter befinden sich auch Vorschriften zur Datensicherheit. So sind die Buchführungsdaten gegen Verlust und Veränderung zu schützen, der durch Zugangs- und Zugriffskontrollen gewährleistet wird.
- "Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU)": Originär digital erstellte, steuerlich relevante Daten müssen für eine Betriebsprüfung jederzeit verfügbar und maschinell auswertbar sein. Somit müssen für die steuerl. Daten die zumindest die Grundwerte Verfügbarkeit und Integrität durch best. Sicherheitsmaßnahmen erfüllt werden.
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie in diesem Zusammenhang die Datenschutzregelungen.)
Datenschutzregelungen:
- Zweck des Bundesdatenschutzgesetzes (BDSG) ist, den Einzelnen davor zu schützen, dass er durch Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Neben den Vorschriften für Bundesbehörden haben z.B. Unternehmen unter bestimmten Voraussetzungen die Pflicht, einen betriebl. Datenschutzbeauftragen zu bestellen, der die Einhaltung des BDSG gewährleisten muss. Die Datenschutzgesetze der einzelnen Bundesländer (Landesdatenschutzgesetze) beinhalten datenschutzrechtl. Regelungen für die jeweiligen Landesbehörden.
- Es gibt auch eine "Grundsatzregelung zum Arbeitnehmer-Datenschutz", in der die Erhebung von Mitarbeiterdaten durch Unternehmen geregelt wird (Stichwort Mitarbeiterüberwachung).
- Auch im Betriebsverfassungsgesetz steht, dass jede Datenerhebung über die Mitarbeiter der Zustimmung des Betriebsrates bedarf, was häufig in einer Betriebsvereinbarung fixiert wird.
Geben Sie einen Überblick über die gesetzlichen Vorgaben und Regelungen für das IT-Sicherheitsmanagement! (Erläutern Sie grob die Übersicht.)
- Rechtsvorschriften für die IT-Sicherheit sind nicht in einem Gesetz zusammengefasst, sondern verteilen sich auf eine Reihe von Gesetzen und Richtlinien. Neben diesen nahezu allgemeingültigen Vorschriften gibt es branchenspezifische Vorschriften, z.B. für den Umgang mit Gesundheits- und Sozialdaten. Viele Unternehmen müssen die Regelungen für den Geheimschutz der Wirtschaft beachten.
- Rechtliche Vorgaben, die als Compliance-Quelle dienen, sind
- Gesetze & Rechtsverordnungen
- Rechtsprechung
- Verwaltungsvorschriften
- Referenzierte Regelwerke
- Verträge
- Wesentl. Gesetze/Rechtverordnungen, die fast alle Unternehmen betreffen, lassen sich in die Kategorien Datenschutz-, Buchführungs- und Archivierungs- sowie Risikomanagementregelungen einteilen.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Verfügbarkeit.)
Verfügbarkeil (availability) bedeutet, dass der Zugriff auf ein funktionsbereites IT-System oder auf funktionsbereite Komponenten eines IT-Systems gewährleistet ist. Als Quotient aus vereinbarter und theoretisch möglicher Verfügbarkeil in einem Zeitrahmen drückt beispielsweise ein Wert von 99% aus, dass das IT-System an 99 % der geplanten Betriebszeiten genutzt werden kann. Bei einer vereinbarten Verfügbarkeil von 365 Tagen a 12 Stunden pro Tag bedeutet dieser Prozentsatz, dass das IT-System im Jahr insgesamt an nicht mehr als 3,65 Tagen respektive 43,8 Stunden ausfallen darf.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Integrität.)
Integrität (integrity) bezeichnet die Sicherstellung der Korrekt heit (Unversehrtheit) von Daten und der korrekten Funktions weise von Hard- und Softwarekomponenten. Integrität im Zusammenhang mit Daten liegt vor, wenn es nicht möglich ist, Daten unberechtigt und unbemerkt zu verändern.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Erklären Sie den Grundwert Vertraulichkeit.)
Vertraulichkeit (confidentiality) bedeutet, dass das IT-System Daten nur den dafür Berechtigten zugänglich macht. Darunter fallen personenbezogene Daten im Sinne des BDSG ebenso wie firmeninterne Daten jeglicher Art, beispielsweise Entwicklungspläne, Marketingkonzepte, Produktionsabläufe oder interne
Rechnungswesensdaten.
Charakterisieren Sie die Grundwerte der IT-Sicherheit! (Nennen Sie die 3 Grundwerte der IT-Sicherheit)
In der Praxis wird unter IT-Sicherheit zumeist die Erfüllung der 3 Sicherheitsbedürfnisse Vertraulichkeit, Integrität und Verfügbarkeit eines IT-Systems verstanden, die man auch als Grundwerte der IT-Sicherheit bezeichnet. IT-Sicherheitsmanagement ist ein kontinuierlicher Prozess, der die IT-Sicherheit innerhalb einer Organisation gewährleisten soll.
Wie hängen IT-Risikomanagement und IT-Sicherheitsmanagement zusammen?
Risikomanagement umfasst alle organ. Maßnahmen, die sich auf
- die Definition der Risikofelder
- die Identifikation der Risiken&
- deren Analyse, Bewertung, Steuerung, Überwachung sowie die Berichterstattung beziehen.
IT-Risikomanagement bezieht sich somit auf die entsprech. organ. Maßnahmen im Zusammenhang mit IT.
- Risiken bei IT-Projekten wg. Projektcharakter oder bei mangelhaftem Projektmanagement mit Termin-/Kostenüberschreitungen/Qualitätsproblemen
- Mangelhafte Abstimmung zw. Unternehmens- & IT-Strategie birgt IT-Risiken, z.B. falsche Entscheidungen für IT-Plattformen & -Anwendungen mit der Konsequenz einer mangelhaften Unterstützung v. Geschäftsprozessen.
Einen wesentlichen Bestandteil von IT-Risikomanagement stellt das Management von IT-Sicherheitsrisiken dar. Gefährdungen, welche Schadensereignisse in der IT auslösen können&somit zu IT-Sicherheitsrisiken führen sind
- höhere Gewalt
- organ. Mängel
- menschl. Fehlhandl.
- techn. Vers.
- vorsätz. Handl.
Charakterisieren Sie den Begriff Risiko!
Unter Risiko versteht man das Produkt aus der Wahrscheinlichkeit des Eintritts eines Schadensereignisses und der Höhe des potenziellen Schadens, der dadurch hervorgerufen werden kann.
Weniger wahrscheinliche Ereignisse mit hohem Schadenspotenzial können somit zum gleichen Risiko führen wie wahrscheinlichere Ereignisse mit geringem Schadenspotenzial.
Nennen Sie mögliche Gründe für die Notwendigkeit eines IT-Sicherheitsmanagements!
Die Durchdringung von U aller Branchen/Größenordnungen mit IT & die daraus resultierende Abhäng. von IT erfordern ein hohes Maß an IT-Sicherheit. Ohne IT sind U nicht überlebensfähig.
Das wachsende Bedrohungspotenzial (exponent. Erhöhung d. flächendeckend. Einsatz v. Internettechnologien):
- Anzahl Websites, Internethosts, Nutzer seit Interneterfindung 1990 explosionsartig gestiegen
- Im Internet laufen sehr viele geschäftskrit./unternehmensübergr. Anwendungen, auf die MA v. Niederlassungen, vom Homeoffice oder bei Dienstreisen v. unterwegs aus über Fest- oder Mobilfunknetze ebenso zugreifen wie Logistikunternehmen, Lieferanten, Kunden, Geschäftspartner
- Computerkriminelle schließen sich in organ. Form zusammen & verfolgen finanz. Vorteile
- Anzahl der jährl.gem.Softwaresicherheitslücken v.Betriebssyst., Anwenungsprogr., Netzkomp., die Einbrechern den Zugang erleichtern dramatisch gestiegen
Gesetzl.Vorschriften&Regel.+Compliance-Vorgaben schreiben funkt. IT-SM vor
