Unternehmenssicherheit

Gesetze, Standards und Regelwerke

Interne Reglementierung

Aufbauorganisation der IT SIcherheit

Prozesse und Verfahren zur Strg und Kontrolle der IT-Sec

Dokumentation der Sec-Strategie, -konzepte, -massnahmen

Daten (Erstellt / Gültig)

Adressat

Ausgangsalge

Ziele

Geltungsbereich

Bestimmungen

Hilfe bei Unklarheiten

Haftung

Unterschriften

Religiöse Ansichten oder Tätigkeiten

Weltanschauliche Ansichten oder Tätigkeiten

Politische Ansichten oder Tätigkeiten

Gewerkschaftliche A oder T

Gesundheit

Intimsphäre

Ethnische Zugehörigkeit

Soziale Unterstützungsmassnahmen

Infos über administrative / strafrechtliche Verfahren

Incident MGMT

Configuration MGMT

Change MGMT

Problem MGMT

Release MGMT

Systematische und unabhängige Überprüfung des IST Zustand der IT Sicherheit. Ob Prozesse, Tätigkeiten, Ergebnisse definierten qualitativen und quantitativen Anforderungen entsprechen. Klarer Auftrag definieren, was soll gesehen werden. Durchführung und Schlussbericht, Tipp zur Risikenbereinigung.

Systeme auf bekannte Schwachstellen mit entsprechenden Tools prüfen. Schwachstellen werden ermittelt, aber nicht ausprobiert. = Keine Störung des Betriebs

Sicherheitsprüfung der Anwendungen und Komponenten eines NW- / SW-Systems durch gezieltes Eindringen in das betreffende System. Ermittelt die Empfindlichkeit des zu testenden Systems gegenüber möglichen Angriffen.

Hacken im Auftrag. Gegenüber Vulnerabilitäts Analyse keine Vorgaben. Der Angreifer ist bei Wahl der Methoden frei.

Was getan werden muss, wenn ein Risiko eintrifft. (BCM)

Anforderungen der Fachabteilungen

IT Secverantwortlicher muss entsprechende NFMassnahmen aufeinander abstimmen

Aus einem Notfallhandbuch, dass Notfallpläne für verschiedene Szenarien enthält, Ablauf und Zuständigkeiten regelt.

Redundanz, Kaltstart, Warmstart, Hot-Fallback

Identifikation der SIcherheitsrisiken. Realistische und allgemein formulierte Szenarien werden herangezogen

Das Informations Managementsystem besteht aus MGMT-Prinzipien, Ressource, Mitarbeiter und Sicherheitsprozesse

Awareness

Auditierungsprozess

Notfallvorsorge

Technische Massnahmen

Organisatorische Massnahmen

Personelle Massnahmen

Infrastrukturelle Massnahmen

Umsetzung eines ISMS

Vorbeugend:

Risikoanalyse, Back-Up, Berechtigung, Zutrittskontrolle, Datenauslagerung

Aufdeckend/Korrigierend:

Auditing, Monitoring, Ausweichverfahren, Log-Informationen, Recovery/Restart

Lenkend:

Politik/Strategie, ORganisation, Funkt.beschreibungen, Richtlinien, Kennzahlen

Infrastruktur: bauliche Massnahmen, Zutrittsschutz, Überwachung

Personal: Schulung, Weisungen

Organisation: Strategie, Abläufe, Konzepte

HW & SW: Zugriffverfahren, Rechtevergabe, Redundanz, Betrieb

Kommunikation: Protokolle, Kryptografie, NW-Dienste

Notfallvorsorge: Datensicherung, Notfallkonzepte

Kader, Fest angestellte MA, temporäre MA, Externe MA

Sorgfalt bei Rekrutierung, Vertraulichkeitserklärung, Mitarbeiterförderung, Präventaionsmassnahmen, Reaktionsmassnahmen, Schulungen, Regelungen

Informationsbasis (Blackbox / Whitebox)

Aggresivität (passiv, vorsichtig, abwägend, aggressiv)

Umfang (vollständig, begrenzt, fokussiert)

Vorgehensweise (offen, verdeckt)

Technik (NWZugang, physischer Zugang, Kommunikation)

Ausganspunkt (intern, extern)

Das Gefahrenpotenzial für geschäftsrelevante Daten und Informationen, die durch ICT Systeme gespeichert und verarbeitet werden, auf ein verkraftbares Niveau zu senken

Schutz der Daten und Informationen vor Missbrauch, unberechtigter Einsichtnahme, Verwendung, Änderungen oder Verfälschung

Den umfassenden Schutz der Daten und Informationen bezüglich Integrität, Verfügbarkeit, Vertraulichkeit und Verbindlichkeit

Alle organisatorischen und technischen Vorsorgemassnahmen um ViVV sicherzustellen

Alle personellen, organisatorischen und technischen Vorsorgemassnahmen, die bei Störungen zum Tragen kommen die ViVV beeinträchtigen

Ein mögliches Ereignis, das zu einem Schaden führen kann

Höhrere Gewalt

Organisatorische Mängel

Menschliche Fehlhandlungen

Vorsätzliche Handlungen

Technisches Versagen

Eine Bedrohung die so wahrscheinlich ist, dass mit dem Eintreffen des Ereignisses gerechnet werden muss

Ein Mangel an einem Objekt / Anfälligkeit eines Objekts in Bezug auf bestimmte Schutzziele

Durch Schadenpotenzial und Eintrittswahrscheinlichkeit

Das Zusammenwirken von Bedrohung, Verletzbarkeit, Schadenpotenzial und Eintrittswahrscheinlichkeit

Sicherheitsmassnahmen

In der Regel nimmt die Komplexität zu und die Durchlaufgeschwindigkeit wird reduziert. Sicherheitsmassnahmen müssen so gestatlet werden das der Prozess nicht zu fest beeinträchtigt wird

Technische

Organisatorische und personelle

Welches Sicherheitsniveau ein Unternehmen anstrebt oder benötigt. Es beschreibt quasi den Sollzustand des SIcherheitsniveaus

Die bereitgestellten Ressourcen und die Risikobereitschaft

Für die Wahrnehmung aller Belange der IT Sicherheit innerhalb eines Unternehmens

Die Geschäftsleitung bei der Erfüllung der Sicherheitsanforderungen zu beraten und bei der Umsetzung zu unterstützen.

Sicherheitskonzept erstellen

Notfallvorsorge planen und organisieren

Sicherheitsstukturen und -prozesse etablieren und anpassen

Richtlinien und Anweisungen erlassen

Sicherheitsmassnahmen initieren und prüfen