TK16 Informatik

- Bedrohung

- Verletzbarkeit

- Direkte Schäden (an Maschinen, Programmen, Datenträger)
- Indirekte Schäden (Kosten für Rekonstruktion von Daten oder Programmen)
- Folgekosten (Entgangener Gewinn durch den Unterbruch, Nichterfüllen der Dienstleistung)

- Ausfall der Maschinen
- Absturz oder ausfall des Programms
- Defekter Datenträger
- Verlust der Daten

- Kosten für das Aufsetzten der neuen Maschinen
- Kosten für Rekonstruktion der Daten oder Programmen
- Personalkosten für die Arbeitsleistungen

- Entgangener Gewinn durch den Betriebsunterbruch
- Nichterfüllung von Dienstleistungen
- Informationsverlust bei Auftragserfüllung

- Vertraulichkeit der Daten (Confidentiality) Betrifft den Datenschutz
- Integrität der Daten (Unversehrtheit, Integrity) Echtheit der Daten
- Verfügbarkeit der Daten ( Availability)
- Authentizität der Daten (Verbindlichkeit, Authenticity) übereinstimmend

Vertraulichkeit in der Datensicherheit! Datenschutzgesetzt und einhaltung der Privatspäre

Integrität in der Datensicherheit, Verlässlichkeit der Informationen auf Richtigkeit und Verlässlichkeit

Verfügbarkeit der Datensicherheit,Daten müssen dem Benutzer jederzeit zur Verfügung stehen

Authentizität in der Datensicherheit, es muss sicher gestellt werden, das die Daten auch vom Absender stammen.

- Technische Massnahmen
- Organisatoriche Massnahmen

- Bauliche Massnahmen (Alarmanlagen)
- Firewall und Virenschutz
- Verschlüsselungssoftware
- Regelmässige, automatische Datensicherung

- Regelmässige Information über aktuelle Gefahren
- Überwachung der Räumlichkeiten und Systemzugriffe
- Festlegung der Berechtigungen für Datenzugriff

Schutz vor fremdem Zugriff auf Personendaten
- Datenschutzgesetz DSG
- Verordnung zum Datenschutz
- Wichtige Leitfäden des eidgenössischen Datenschutzbeauftragten

- Religionszugehörigkeit
- weltanschauliche, politische Ansichten
- Gesundheit, Krankengeschichte
- Intimsphäre
- Sozialer Status
- administrative, strafrechtliche Verfolgung

- Sicherheitsorganisation aufbauen
- Schutzbedarf ermitteln
- Risiken analysieren
- Massnahmen auswählen und umsetzten

- Welche persönliche Daten müssen geschütz werden
- Welche vertrauliche sensiblen Daten  dürfen nicht in an fremde gelangen
- Welche Daten müssen dem Benutzer immer zur Verfügung stehen
- Welche Daten müssen vor absichtlicher oder unabsichtlicher Manipulation geschützt werden

- Unbefugter Datenzugriff
- Unbefugte Datenmanipulation
- Unbefugte Datenverwendung
- Mutwillige Datenbeschädigung
- Mutwillige Datenvernichtung
- Zufälliger Datenverlust
- Datenverlust durch technische Fehler

- Gebäude und Infrastruktur
- Hardware und Software
- Personal und Organisation

1. Anforderungen
2. Risikoanalyse
3. Risikostrategie
4. Massnahmen
5. Verantwortlichkeiten
6. Kosten und Wirtschaftlichkeit

1. Wirkungsanalyse durchführen
2. Vorsorgemassnahmen überprüfen
3. Datensicherungsplan erstellen
4. Notfallhandbuch erstellen
5. Notfallübungen durchführen

1. Sofortmassnahmen

2. Notrufnummern

3. Zuständigkeiten

4. Systemunterlagen

5. Vorgehen zur Wiederherstellung der Komponenten zu System A

6. Vorgehen zur Wiederherstellung der Komponenten zu System B

7. Wiederbeschaffungsmöglichkeiten

Sichere Daten sind gekennzeichnet durch:

Vertraulichkeit:

(Vertrauliche Daten müssen speziell sorgfältig behandelt werden. Die Weitergabe an unberechtigte Nutzer muss verhindert werden)

Integrität:

(Die Daten müssen richtig und unverfälscht, d.h. in unveränderter Orginalform vorliegen)

Verfügbarkeit:

(Die Daten müssen dem bzw. den berechtigten Nutzer stets zur Verfügung stehen.

Authentizität:

(Die Ersteller der Daten muss zweifelsfrei feststehen)

- Speicherort der Daten im Normalbetrieb

- Bestand der gesicherten Daten

- Zeitpunkt der Back-ups

- Back-up-Verfahren: Verfahren zur Sicherung der Daten

- Recovery-Verfahren: Verfahren zur Rekonstruktion der gesicherten Daten

- Aufbewahrungsort der Datensicherung

1. Zu schützende Daten definieren:

(Hier wird festgelegt, welche Datenbestände des Unternehmens einen Schutzbedarf aufweisen)

2. Bedrohungen ermitteln:

(Hier werden die Gefahren ermittelt, die die zu schützenden Daten bedrohen)

3. Verletzbarkeit ermitteln:

(Hier wird ermittelt, wie verletzlich das eigene ICT-System hinsichtlich der ermittelten Bedrohungen ist. Anhand der Verletzbarkeit und Bedrohungen lässt sich das Risiko grob abschätzen)

4. Schadenpotenzial bestimmen:

(Hier wird festgestellt, mit welchem Schadenausmass das Unternehmen beim Eintritt des Risikos rechnen muss)

5. Eintrittwahrscheinlichkeit ermitteln:

(Hier wird untersucht, wie hoch die Wahrscheinlichkeit ist, dass das Risiko effektiv eintritt)

1. Geregelte Einarbeitung bzw. Einweisung neuer Mitarbeiter

2. Erstellung von Sicherheitsrichtlinien für die Systembenutzer

3. Verpflichtung der Mitarbeitenden auf Einhaltung der Sicherheitsrichtlinien

4. Regelung des Passwortgebrauchs

5. Schulung der System- bzw. Anwendungsbenutzung