Informatiker FA - M166

A) Unbefugtes Eindringen in ein Datenverarbeitungssystem

B) Betrügerischer Missbrauch einer Datenverarbeitungsanlage

(47)

"Durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt."

Der Gesetzgeber gibt zwar keine konkreten Massnahmen vor, erwartet aber diese bis zu einem gewissen Grad. (53)

"Besonders gesichert".

Dabei gilt das gleiche wie beim Datenschutzgesetz. Jedoch ist gerade dieser Punkt "Besonders gesichert" der Streitfall in einer rechtlichen Auseinandersetzung. (2)

Die verschiedenen Bereiche der IT-Infrastruktur sind verschiedenen Bedrohungen ausgesetzt. Zudem enthalten diese Bereiche unterschiedliche Informationen mit verschiedener Sicherheitsrelevanz. Um diese Komplexität bewältigen zu können, wird die Infrastruktur in logische Teilbereiche unterteilt. (8)

In erster Linie gilt der Schutz Daten und Informationen. Die Sicherung der Infrastrukturmittel hängt von der Bedrohungslagen der Daten ab. (14)

A) Risiko gegeben: Wasser beeinträchtigt die Funktion der Hradware und somit Verfügbarkeit.

B) Kein Risiko gegeben: Wasser bewirkt nicht, dass Dritte die Daten einsehen können.

C) Risiko gegeben: Bei einem Systemabsturz kann ein teilweiser Datenverlust entstehen was zu Problemen auf dem Filesystem führen kann. Letzte Änderungen gehen verloren.

(20)

A) USV nicht sinnvoll, da bei einem Stromausfall auch die Mitarbeiter nicht mehr arbeiten können.

B) USV sinnvoll, da die USV ein geordnetes Abschalten des Servers erlaubt. Somit werden die letzten Transaktionen auf der DB ordentlich nachgeschrieben.

(26)

Die Applikation mit den höchsten Sicherheitsanforderungen dominiert die Sicherheitsmassnahmen auf einer Systemkomponente. Somit muss die Verschlüsselung vom alten Server auf den neuen portiert werden. (31)

Vorsätzliche Handlung. (36)

Menschliche Fehlhandlung (42)

Organisatorischer Mangel bezüglich schlechter Wartung. (48)

Organisatorischer Mangel bezüglich Nutzung nicht zugelassener Mittel. (54)

Organisatorischer Mangel, sie wurde nicht ausreichend unterrichtet. (3)

- Datenträgerregelung: Verhindern, dass Datenträger unbeaufsichtigt herumliegen

- Vergabe von Zugriffsrechten: Kontrolliertes Vergeben und deren Gebrauch überprüfen

- Regelung des Passwortgebrauchs: Einhaltung der entsprechenden Regelungen

(9)

- Organisatorisch: Definition eines Virenschutzkonzeptes

- Personal: Weisungen und Schulung für den Umgang mit Viren

- Hardware und Software: Einsatz eines Virenschutzprogramms

- Notfallvorsorge: Datensicherung, falls Daten beschädigt werden

(15)

- Einbau von Passwortschutz

- Einsatz einer Bildschirmsperre

- Einsatz von Virenschutzprogrammen

- Gesichertes Login

- Boot-Reihenfolge im BIOS

- Minimales Betriebssystem (Ausschalten nicht benötigter Funktionen)

(21)

Bei der Infrastruktur. Einbau oder Anpassung einer Klimatisierung.

- Regelung der Verantwortlichkeiten

- Betriebsmittelverwaltung

- Regelung des Passwortgebrauchs

(32)

Das Prozessmanagement funktioniert nach dem Prinzip "Plan - Do - Check - Act". Das Prinzip stellt einen geschlossenen Kreislauf dar, der eine Planungsphase (plan), eine Umsetzungsphase (do), eine Überprüfungsphase (check) und eine Korrekturphase (act) beinhaltet. Auf diese Weise wird sichergestellt, dass sich der Prozess laufend weiterentwickelt. (37)

Ein Prozess wird initialisiert, indem zunächst die Verantwortlichen bestimmt werden. Danach werden die Phasen Plan - Do - Check - Act ausgearbeitet, d.h., es wird der Prozessablauf definiert (plan), was gemacht werden muss (do), wie und was kontrolliert werden muss (check) und wann Korrekturen (act) am Prozess durchgeführt werden müssen. (43)

- Durchführung Gefährdungsanalyse

- Erstellen Sicherheitskonzept

- Umsetzung Sicherheitskonzept

- Sicherstellung des Betriebes (Überwachung)

(49)

- Zeitdauer vom Bekanntwerden einer Sicherheitsschwachstelle bis zur Behebung derselben

- Anzahl zulässiger Sicherheitsschwachstellen bei einer externen Sicherheitsüberprüfung

- Anzahl eingetretener Schadensereignisse pro Zeitabschnitt

(55)

- Er nimmt alle Belange der IT-Sicherheit innerhalb der Organisation wahr.

- Er koordiniert die Erstellung des IT-Sicherheitskonzepts und des Notfallkonzepts etc.

- Er erstellt den Realisierungsplan für IT-Sicherheitsmassnahmen.

- Er überprüft die Realisierung.

- Er stellt den Informationsfluss zur Leistungsebene und zu den IT-Verantwortlichen sicher

(4)

- Ziel

- Zweck

- Umfang

- Geltungsbereich

- Datum

- Massnahmen

(10)

Das IT-Sicherheitskonzept definiert die nötigen Sicherheitsmassnahmen pro Systemkomponente oder Applikation. Es ist somit die Summe aller Massnahme, die ergriffen werden müssen. (16)

Um die betroffenen Infrastrukturkomponenten, geordnet nach Applikationen und IT-Systemen zu identifizieren. (22)

Wenn eine Applikation mit "hoher Schutzbedarf" bezeichnet wird, müssen auch die beteiligten Komponenten entsprechend eingestuft werden. (28)

Der IT-Grundschutz geht davon aus, dass zur Bearbeitung von Daten Applikationen sind. Gilt ein Datenbestand als "hoch schutzbedürftig", ist es die Applikation ebenfalls. (33)

Der Netzplan hat den Vorteil, dass er eine grafische Übersicht schafft und so in der Lage ist, auch bei einer komplexen Infrastruktur eine verständliche Aussage zu machen. Ist eine Datenbank vorhanden, welche die Abhängigkeiten, die bei der Strukturanalyse erarbeitet werden, im gleichen Masse wiedergibt, so muss kein Netzplan erstellt werden. (38)

Um die Komplexität zu vermindern und die Aufgabe zu vereinfachen. Komponenten mit gleichem Verwendungszweck und gleichem Sicherheitsbedarf können zusammengefasst werden. Die definierten Sicherheitsmassnahmen sind dann auf alle Komponenten der Gruppe anzuwenden. (44)

Im Rahmen der Schutzbedarfsfeststellung wird definiert, welche IT-Komponenten bzw. Räume gegen welche Bedrohung wie gesichert werden müssen. (50)

Im wesentlichen ja. Es steht einem Unternehmen jedoch frei, eigene Kategorien zu erstellen. Es ist dabei zu beachten, dass nicht zu viele Kategorien aufgestellt werden, da die Zuordnung schwieriger wird. Die Praxis hat gezeigt, dass eine Einteilung der Kategorien in niedrig, mittel, hoch und sehr hoch das beste Resultat erzielt. (56)

Nein, weist eine Komponente keine Schutzbedarf aus, ist sie aus Sicht des Unternehmens auch nicht nötig und kostet unnötig Geld. Jede Komponente, die für den Geschäftsfortgang wichtig ist, erhält mindestens die Kategorie "gering". (5)

Der IT-Grundschutz beinhaltet abstrahierte und generalisierte Bedrohungsbilder und entsprechende Massnahmen. Bei Komponenten ab "hohem" Schutzbedarf muss davon ausgegangen werden, dass individuelle Bedrohungen (und entsprechende Massnahmen) bestehen, die durch den Grundschutz nicht erfasst werden. (11)