|
Die Erstellung eines Sicherheitskonzepts / Sicherheitsrichtlinie (Security Policy)
Autor: Philipp Schaumann
In einer Sicherheitspolicy (auch Security Policy oder Sicherheitspolitik genannt) gibt die Geschäftsleitung generelle Richtlinien für die Implementierung von Sicherheit im Unternehmen. Deswegen wären Sicherheitskonzept oder Sicherheitsrichtlinie ebenfalls gute Beschreibungen. Diese gibt die grundlegenden Regeln vor und bestimmt, welchen Grad von Sicherheit das Unternehmen implementieren möchte. Dies kann durchaus unterschiedlich sein. So kann die eine Firma entscheiden, dass sie wegweisend und vorbildhaft sein möchte, eine andere kann aber durchaus auch klarstellen, dass eine Einhaltung der gesetzlichen Bestimmungen für dies Unternehmen ausreichend ist. [Hier finden Sie übrigens eine Liste einiger für den Schutz von Vertraulichkeit, Privatsphäre und personenbezogenen Daten relevante Gesetze in Österreich. Wo man in Österreich die Gesetzestexte findet ist in den Links.]
Der folgende Text wird sich auf die Informationssicherheit konzentrieren. Eine Sicherheitspolicy kann sich sehr wohl auch mit der Sicherheit der Produktion oder anderer Geschäftsaspekte beschäftigen. Brandschutz und Arbeitnehmerschutz wären weitere Beispiele dafür. Auf Grund der großen Abhängigkeit aller Geschäftsprozesse von der EDV spielt diese bei der Sicherheit eine wichtige Rolle. Es geht um Informationssicherheit und das ist mehr als IT-Sicherheit. Informationssicherheit ist auch verantwortlich für Informationen, die nicht in der EDV verarbeitet werden, d.h. z.B. auch Papierarchive und die Geschäftsdokumente auf den Schreibtischen und in den Papierkörben.
Worum geht es bei der Informationssicherheit?
- Vertraulichkeit (sicherstellen, dass die Informationen nur denen zur Verfügung stehen, die die Erlaubnis dafür haben)
- Integrität (sicherstellen, dass die Informationen nicht gelöscht oder unberechtigt verändert werden)
- Verfügbarkeit (sicherstellen, dass die Informationen und EDV-Anwendungen wenn sie für einen Geschäftsprozess benötigt werden, wirklich zur Verfügung stehen)
- Authentizität (sicherstellen, dass der wirkliche Absender von Informationen bekannt und sicher identifiziert ist)
Um diese Anforderungen zu erfüllen, müssen eine ganze Reihe von Maßnahmen, technischer und organisatorischer Art, getroffen werden. Die Beschreibung dieser Maßnahmen ist der Inhalt der Information Security Policy. (Es gibt übrigens eine Reihe von Vorlagen, die für die Erarbeitung genutzt werden können. Einige werden weiter hinten vorgestellt).
Wie beginne ich, eine solche Policy zu erstellen?
Der wichtigste Punkt ist, dass ein solches Projekt nur gelingen kann, wenn die Geschäftsleitung hinter diesem Unterfangen steht, und zwar deutlich sichtbar. Sie muss nicht nur das nötige Budget sicherstellen und erreichen, dass alle betroffenen Abteilungen ihre Arbeitszeit einbringen, sie muss auch deutlich und öffentlich dokumentieren, dass sie hinter diesem Projekt steht, das nämlich vermutlich auch etwas unpopuläre Maßnahmen mit sich bringen wird.
Wie umfangreich sollte die Policy sein? Das hängt ganz von den Umständen ab. Ein kurzer Text von wenigen Seiten ist besser als gar kein Text. Ein sinnvoller Umfang liegt wohl zwischen 30 und 60 Seiten. Vertiefende Einzelheiten werden dann in separaten Dokumenten niedergelegt.
Es empfiehlt sich eine gewisse Standardstruktur für die Policy. Oft werden 3 verschiedene Teile unterschieden:
- Eine allgemeine Beschreibung der Sicherheitsgrundlagen und Sicherheitsorganisation des Unternehmens
- Implementierungsregeln für die einzelnen Aspekte der Sicherheitspolicy
- Regeln für die Endnutzer der EDV-Systeme (Anleitungen hierfür finden sich in Kapitel Was darf der Anwender?)
Oft wird in einem ersten Schritt erst mal nur das dritte Dokument erstellt. Dies sollte nicht länger als höchstens 10 Seiten sein. Es ist sinnvoll, dieses Dokument so zu konzipieren, dass alle Mitarbeiter dieses Dokument unterschreiben. Dies hat nicht nur einige rechtliche Aspekte, es hat auf jeden Fall auch einen starken psychologischen Aspekt, wenn die Mitarbeiter ausdrücklich auf gewisse Regeln hingewiesen werden.
Sicherheitsgrundlagen und Sicherheitsorganisation im Unternehmen
Dieser Teil der Policy folgt auf die Einleitung der Policy, in der die Ziele und den Grad an Sicherheit die es zu erzielen gilt vorgegeben werden und behandelt die Struktur des Sicherheitsmanagements.
Jedes Unternehmen sollte über einen Sicherheitsbeauftragten verfügen. Dies kann eine hauptamtliche Stelle sein, in kleinen Unternehmen wird dies jedoch kaum möglich sein. Diese Person hat folgende Aufgaben:
- sie ist verantwortlich für die Erstellung und Pflege der Sicherheitspolicy
- sie sollte sich ein Gremium zur Unterstützung aufbauen, z.B. Sicherheits-Forum
- sie ist zuständig für die Bewusstseinsbildung und die kontinuierliche Information aller Mitarbeiter
- sie ist zuständig für die Organisation von Audits
- sie sollte die erste Anlaufstelle („Security Helpdesk“) für alle Fragen der Informationssicherheit im Unternehmen sein
- Informeller Ansprechpartner und Vertrauensperson in beiden Richtungen
Diese Stelle ist optimal unter der Geschäftsführung aufgehängt, aber in vielen kleinen Unternehmen wird sie Teil der EDV-Organisation sein. Dies ist nicht optimal, aber immerhin besser als diese Funktion gar nicht zu besetzen.
Um im Unternehmen wirken zu können, braucht diese Person ein Gremium, mit dessen Hilfe sie Probleme erörtern und in den Entscheidungsprozess des Unternehmens einbringen kann. Dies kann z.B. ein Sicherheitsforum sein, bestehend aus Vertretern der Fachabteilungen des Unternehmens. Dies können die Abteilungsleiter sein, aber oft ist es sinnvoller, wenn dort Personen sitzen, die sich speziell für dieses Thema interessieren. Dieses Gremium
- diskutiert und einigt sich über Methoden und Prozesse
- fördert die Informationssicherheit in allen Bereichen des Unternehmens
- wird über Sicherheitsvorfälle informiert und bespricht Lösungen
Für einzelne Systeme und Anwendungen im Unternehmen sollte es sogenannte Informationsverantwortliche geben. Dies werden oft die Fachvorgesetzten sein, so z.B. der Chef der Buchhaltung oder des Einkaufs. Diese Personen haben folgende Aufgaben:
- bestimmt den Schutzbedarf der jeweiligen Daten und Systeme auf Grund von Geschäftsprozessen und -prioritäten, d.h. setzt fest wie vertraulich die Informationen zu behandeln sind und welche Verfügbarkeitsanforderungen für diese Systeme nötig sind. 100% Verfügbarkeit setzt dann aber auch voraus, dass ein entsprechend hohes Budget zur Verfügung gestellt werden kann
- er vergibt Zugriffsrechte für „seine“ Anwendung oder „sein“ System. D.h. dies sollte die Stelle sein, die über die Rechte der einzelnen Benutzer entscheiden darf
Er kann (und wird in der Regel) die Verarbeitung der Daten an einen Treuhänder delegieren. Dieser Treuhänder wird in vielen Fällen das betriebseigene Rechenzentrum sein, in manchen Fällen sind dies jedoch auch externe Dienstleister, speziell für Aufgaben wie Web-Anbindung. Egal wer dieser Treuhänder ist, auf jeden Fall sollte zwischen dem Informationsverantwortlichen und dem Treuhänder ein Vertrag bestehen, ein sog. SLA (Service Level Agreement). Hierin wird geregelt, welche Erwartungen, z.B. in Bezug auf Verfügbarkeit, die Fachabteilung und damit das Unternehmen an den internen oder externen Dienstleister hat.
Welchen Schutzbedarf haben die Daten, Anwendungen und Systeme?
Dies führt zur Frage des Schutzbedarfes der Daten und auch der einzelnen Anwendungen und Systeme. Bevor man diese sinnvoll schützen kann, muss man eine Vorstellung über den jeweiligen Schutzbedarf haben, hauptsächlich bezüglich Vertraulichkeit und Verfügbarkeit.
Bei der Frage der Vertraulichkeit könnten folgende Kriterien hilfreich sein:
Sehr hoch:
Verletzung der Vertraulichkeit kann zu Verlust der persönlichen Unversehrtheit führen, Gefahr für Leib und Leben, schwerwiegende juristische Konsequenzen, Verlust von Kunden oder zukünftigem Umsatz, ruinöse Haftungsschäden, möglicher Missbrauch von personenbezogen Daten der zu gesellschaftlichen oder wirtschaftlichen Ruin führen kann
Hoch:
Verletzung der Vertraulichkeit kann zu erheblichem Schaden für das Unternehmen und budgetüberschreitenden Kosten führen, erhebliche juristische Konsequenzen, direkte Auswirkungen auf Umsatz, Imageverlust kann eintreten, möglicher Missbrauch von personenbezogenen Daten kann Auswirkung auf gesellschaftliche Stellung und wirtschaftliche Verhältnisse haben
Mittel:
Verletzung der Vertraulichkeit kann zu geringem finanziellen Schaden und geringem, vorübergehenden Imageverlust führen, nur geringfügige juristische Konsequenzen, ein möglicher Missbrauch personenbezogener Daten hat nur geringe Auswirkungen
Niedrig:
Öffentlich zugängliche Daten
Das ist zumindest das, was man in den einschlägigen Lehrbüchern und Sicherheitsstandards findet. Ich habe einen etwas anderen Ansatz, denn Vertraulichkeit ist kontextbezogen (Mehr zur Theorie der Privatsphäre hier). Was ich damit sagen will sind 2 Punkte.
1. Nur die Abteilung selbst (d.h. die "Information Owner") kann letztendlich entscheiden, was bei ihnen welche Vertraulichkeit braucht, weil nur die Mitarbeiter selbst wissen, welche Informationen anfallen (nicht nur in der IT, sondern auch in den Köpfen) und welche Schäden durch einen Vertraulichkeitsverlust entstehen können
2. Kontextabhängig heißt ganz konkret, dass in jedem Einzelfall entschieden werden muss, wer welche Information braucht und/oder haben darf. Dies betrifft Kunden, Partner und auch Kollegen. Den einen Kunden kann man über zukünftige Pläne informieren, weil er schweigen kann, bei einem anderen Kunden weiß man, dass er alles zur Konkurrenz trägt. Und für den einen Kunden ist es für seine Entscheidung wichtig, eine gewisse Information zu haben, in anderen Fällen ist es nicht relevant.
D.h. jeder Mitarbeiter muss eine Selbstverantwortung für die Vertraulichkeit der Informationen übernehmen, mit denen er zu tun hat. Dies ist sinnvoller und effektiver, als eine unternehmensweite Definition, mit der im konkreten Fall dann niemand was anfangen kann. Ich führe zu diesem Zweck Workshops in den verschiedenen Abteilungen durch, in denen ich z.B. frage, welche Informationen die Mitarbeiter gern über die Konkurrenz hätten, welchen Wert diese Informationen für Sie hätten, etc. Dadurch, dass ich mich in die Position eines Angreifers begebe, verstehe ich besser, welchen Wert oder welches Schadenspotential eine Information hat.
Bei der Verfügbarkeit hängen die Anforderungen ganz stark von der Art der Geschäftstätigkeit ab. Daher muss eine Erhebung der Geschäftsabläufe des Unternehmens immer der erste Schritt sein. Ich führe zu diesem Zweck Workshops mit den verschiedenen Abteilungen durch (am besten alle gemeinsam: Einkauf, Verkauf, Produktionsplanung, Produktion, Logistik, etc.). An einem Flipchart kann man die Abläufe durchspielen und bald erkennt man, welche Abhängigkeiten bestehen. Die große Frage ist dann immer: Wie lange können Sie ohne größere Schäden ohne die Unterstützung der anderen Abteilungen, Anwendungen oder IT-Systeme auskommen? Und wie groß darf der Datenverlust bei einem Ausfall sein?
Im nächsten Schritt muss dann die EDV-Landschaft des Unternehmens analysiert werden. Je nach Größe des Unternehmens und Tiefe der Erhebung kann dies zwischen 2 Tagen und mehreren Monaten dauern. Dabei sollten nicht nur der Schutzbedarf, sondern auch die Verantwortlichkeiten für die einzelnen Systeme und Anwendungen erhoben werden.
Eine Regelung könnte z.B. so aussehen
Sehr hoher Verfügbarkeitsbedarf:
Ausfall führt zu Stillstand der Produktion, maximal bis 1 Stunde tolerierbar, Ausfall von mehreren Tagen gefährdet die Existenz des Unternehmens
Hoher Verfügbarkeitsbedarf:
Bearbeitung von Hand nur schwer möglich, bis zu 24 Stunden tolerierbar, Ausweichgeräte müssen erst installiert werden
Niedrig bis mittel:
Bearbeitung von Hand möglich, andere Geräte können eingesetzt werden
Diese Werte können erheblich schwanken. Es gibt Unternehmungen, bei denen ein Ausfall von einer Stunde bereits nicht tolerabel ist. In diesem Fall müssen entsprechend hochverfügbare Systeme eingesetzt werden. Eine Forderung noch so hoher Verfügbarkeit ist natürlich nur sinnvoll, wenn die Geschäftsprozesse eine entsprechende Budgetzuweisung für diese zum Teil sehr teuren Maßnahmen rechtfertigen. Mit der Frage der Verfügbarkeit müssen wir uns im Bereich der Business Continuity und Disaster Recovery noch eingehender beschäftigen. Ein sehr hilfreiches Schema, das sich bei vielen Unternehmen mittlerer Größe im aktiven Einsatz bewährt hat, findet sich in dieser Vorlage für eine DR-Konzept Detailanalyse.
Was sind die Policy-Themen der EDV-Organisation?
Sicherheit der technischen Infrastruktur:
Hier geht es darum, dass kritische EDV-Installation gegen Ausfall von Strom, Klima und die Folgen von Blitzschlägen (auch indirekte Schäden durch Induktion) geschützt werden müssen.
Wie schützen Sie sich gegen Diebstahl von EDV-Geräten, speziell Laptops? Sind Sie versichert? Haben Sie die Daten auf den Festplatten verschlüsselt? Könnten Sie wieder gefundene Geräte sicher identifizieren.
Zutritt zu kritischen Bereichen:
Wie ist der Zutritt zum Rechenzentrum oder anderen Bereichen mit wichtigen EDV-Installationen geschützt. Dies betrifft z.B. auch Netzwerkgeräte außerhalb des Rechnerraums.
Patch Management und Schwachstellen Management:
Gibt es klare und dokumentierte Zuweisungen für die Verantwortung? Ist sichergestellt, dass alle Server einen angemessenen Sicherheitsstand haben? Wer ist dafür verantwortlich zu entscheiden, ob Patches auf Systemen eingefahren werden? Werden Patches getestet, bevor sie installiert werden? Werden alle Systeme gehärtet, z.B. durch Entfernen von Default-Accounts, Programmbeispielen und ungenutzten Diensten?
Vulnerability Checks
(d.h. ein Überprüfung auf bekannte Schwachstellen in der installierten Software) müssen regelmäßig durchgeführt werden. Dafür stehen Produkte und auch externe Services zur Verfügung. In der Policy müssen Sie festlegen, wie oft welche Systeme mit welchen Tools überprüft werden sollen. Diese Aufstellung enhält interessante wissenschaftliche Papiere zu Schwachstellen und Patches.
NIST Standards sind immer hilfreich, dies ist der neu-überarbeitete NIST SP800-40v2 - Patch and Vulnerability Management.
Ein anderer Sicherheitstest sind die sog. Pen Tests. Dabei wird jemand beauftragt, ein System so zu prüfen, wie das ein Angreifer auch tun würde. Aus solchen Tests lernt man wichtige Informationen über den eigenen Sicherheitsstand.
Reparatur und Entsorgung:
Was geschieht bei der externen Reparatur von Geräten? Werden Festplatten vorher entfernt, bevor ein Laptop als Garantiefall eingeschickt wird? Verlassen die Geräte für die Reparatur den EU-Raum?
Vernichtung von Altsystemen und Altpapier:
Gibt es klare Regeln die sicherstellen, dass vernichtete oder verkaufte Altsysteme keine vertraulichen Daten mehr enthalten (ein Formatieren der Festplatte reicht dafür nämlich nicht aus). Wird Altpapier, z.B. Programmlisten, so entsorgt, dass diese nicht in falsche Hände fallen können?
Netzwerkpolicy
Wie ist Ihr Internet-Anschluss abgesichert? Ist Ihr Web-Server für das Unternehmen so wichtig, dass er redundant ausgelegt werden muss? Sollten Sie auch eine redundante Anbindung an das Internet haben?
Wo steht Ihr Web Server (hoffentlich nicht innen im LAN, sondern entweder in einem separaten Netzsegment des Firewalls, der sog. DMZ, oder an einem speziellen Interface des Routers, das über Filterregeln abgesichert ist). Oder steht Ihr Web-Server bei einem Provider? In diesem Fall ist zu fragen, wie es dort mit der Sicherheit bestellt ist? Fast nie stellen Provider eine Firewall zur Verfügung!
Wer ist für die Inhalte auf dem Web-Server verantwortlich? Wie werden diese freigegeben? Ist sichergestellt, dass keine internen Informationen dort veröffentlicht werden? Falls Ihr Web-Server Daten sammelt, z.B. Registrierungsdaten oder sogar Kreditkarteninformationen, haben sie dafür gesorgt, dass diese sensiblen Daten nicht auf dem Web-Server selbst gespeichert werden?
Haben Sie FunkLANs (wireless LAN, WLAN) im Einsatz? Diese können selbst mit Verschlüsselung und Authentifizierung noch ein Sicherheitsrisiko darstellen. Mehr dazu im separaten Kapitel zu WLAN.
Trennen Sie interne Netzbereiche voneinander ab oder kann jeder in Ihrem LAN jeden Rechner erreichen? Die nachfolgende Grafik stellt eine logische Segmentierung in einem komplexen Netzwerk dar. Alle diese Firewallfunktionalitäten können, speziell bei kleineren Unternehmen, auch durch einen einzigen Firewall abgedeckt werden. Diese Auftrennung der Netzbereiche lässt sich sehr schön mit Hilfe von Switches implementieren, die VLAN (Virtual LAN)-fähig sind.
 | |
Trennung in separate Netze mittels VLAN |
Wie wird bei Ihnen die Fernwartung durchgeführt? Ist das sicher genug? Wählen sich Ihre Systemadministratoren von zu Hause ins Unternehmen ein? Wie stellen Sie sicher, dass dadurch keine Gefahren entstehen.
Wie tauschen Sie Daten mit Geschäftspartnern aus? Haben Sie dafür einen separaten Extranetbereich? Wie authentifizieren Sie die Zugriffe Ihrer Geschäftspartner?
Haben Sie Mitarbeiter, die im Home-Office arbeiten? Wie stellen Sie sicher, dass diese Rechner auch einen angemessenen Sicherheitsstandard haben? Wie stellen Sie eine sichere Verbindung zwischen diesen Rechnern und Ihren internen Systemen her (VPN, CITRIX Metaframe, Zugriff über speziellen Web-Server)?
Wie administrieren sie ihre Firewall(s)? Gibt es klare Verantwortlichkeit bezüglich wer dort die Regeln verändern kann? Werden diese Veränderungen dokumentiert und regelmäßig überprüft und hinterfragt? Mehr Details zu Firewalls
Mehr Details zu Web-Servern
Archivierungsfragen
Es gibt zwei Gründe, Daten langfristig zu archivieren. Erstens gibt es für bestimmte Daten gesetzliche Verpflichtungen für eine Aufbewahrung von entweder 7 oder oft auch 30 Jahren (z.B. Patientendaten). Zum anderen werden Daten archiviert, um diese auf kostengünstigere Datenmedien auszulagern. In beiden Fällen muss man die Haltbarkeit betrachtet. So sind Magnetbänder nur für eine recht begrenzte Zeit, oft nur 1 Jahr, garantiert, viele Technologien wie WORM oder verschiedene Typen von Magnetbändern haben die Problematik, dass die Lesegeräte extrem schnell veralten und oft dann nicht mehr nachgekauft werden können, wenn das Gerät ausfällt. Wie stellen Sie sicher, dass Sie Ihren Verpflichtungen hier nachkommen?
In Fällen, in denen eine lange Datenverfügbarkeit aus juristischen oder praktischen Gründen notwendig ist, werden heute spezielle Hardware-Archivierungssysteme eingesetzt, die das unvermeidbare Umkopieren auf neue Datenträger vollständig automatisieren. Grund für das Umkopieren sind
- das Ablaufdatum für das jeweilige Medium,
- Nicht-mehr-Verfügbarkeit der Lesegeräte für das alte Medium
- Bessere Speicherausnutzung durch Verwendung neuer Technologien
Solche Systeme erreichen eine vollständige Automatisierung und ermöglichen auch eine automatische Auslagerung an andere Standorte.
Verschlüsselungspolicy
Vertrauliche Daten, speziell auf Laptops oder beim Versenden, sollten immer verschlüsselt sein. Zu diesem Zweck stehen Festplattenverschlüsselung, Dateiverschlüsselung, E-Mailverschlüsselung und ähnliche Technologien zur Verfügung. Aber auch hier gibt es eine ganze Reihe von Fragen zu klären. Z.B. die Fragen, ob sie eine spezifische Lösung für ein Teilproblem, oder eine integrierte Lösung suchen?
Bedenken Sie auch, dass auf die Firmendaten auch dann noch zugegriffen werden muss, wenn der Mitarbeiter aus irgendwelchen Gründen nicht mehr zur Verfügung steht. Dafür gibt es Technologien (Schlüssel-Recovery, Key Escrow), die es einem oder mehreren Administratoren (4-Augen-Prinzip) erlauben, auch ohne den Mitarbeiter auf die Daten zuzugreifen. Ähnliche Methoden werden auch benötigt, wenn der Mitarbeiter das Passwort vergessen hat.
Wenn Sie die Verschlüsselung wirklich sicher haben wollen, so verwenden Sie eine starke a href="#auth" class="int" >Authentisierung mit Smart-Card oder USB-Stick mit einem digitalen Zertifikat oder One-Time-Passwort Token.
Mehr zu Verschlüsselung.
Smartphones (und andere mobile Geräte)
Wie halten Sie es im Unternehmen mit Smartphones? Erlauben Sie das Speichern von Firmendaten (z.B. Termine oder Adressen) auf privaten Geräten - was heute oft unter BYoD läuft (Bring your own Device)?
Smartphones können einiges an vertraulichen Daten speichern, z.B. die Adressen der Kunden und auch die E-Mails. Erlauben sie das Speichern von Unternehmensdaten (E-Mails) auf solchen Geräten? Falls ja, bieten Sie Ihren Mitarbeitern zumindest Sicherheitssoftware wie z.B. Verschlüsselung und Power-On Schutz mit Passworteingabe an? Und gibt es einen zentralen Support für diese Geräte, d.h. haben die Mitarbeiter jemanden, der ihnen Sicherheitstipps geben kann und der ihnen hilft, die Geräte sicher zu konfigurieren?
Setzen Sie evt. Bluetooth ein? - Das eröffnet eine ganze Reihe von Angriffsmöglichkeiten. Wissen Ihre Mitarbeiter, dass ein Gerät mit dem sie einmal ein sog. "Pairing" durchgeführt haben, immer wieder auf ihr Gerät zugreifen kann? Und dass es mittlerweile auch Viren für Smartphones gibt und dass sie deswegen nicht auf OK klicken dürfen, wenn attraktive Dateinamen "nackte Tatsachen" versprechen?
Eine Sicherheitspolicy für mobile Geräte sollte regeln
- Welche Geräte eingesetzt und unterstützt werden
- Welche Daten dort gespeichert werden dürfen
- Wie diese gegen Diebstahl und Verlust geschützt werden
- Welche Kommunikationsmethoden zum Firmennetz erlaubt werden (falls überhaupt)
- Wie diese abgesichert werden (VPN oder ähnliche Software)
- Wie die Authentisierung des Gerätes UND des Mitarbeiters UND des Firmennetzes sichergestellt werden kann (siehe MITM-Angriffe)
- Wie die Geräte, wenn sie außerhalb des Firmennetzes genutzt werden und sich ins Internet verbinden (öffentlicher Hotspot, Hotel-LAN, Kabelnetz zu Hause), trotzdem geschützt werden können
Im Zweifel sollten Sie sich von Profis helfen lassen. Hier ein Übersichtsartikel zu mobiler Kommunikation.
Malicious Code (Viren, Würmer, Trojaner u.ä.)
Dies stellt eine sehr kostspielige Gefahrengruppe dar, in jedem Unternehmen treten diese Probleme auf. Wie stellen Sie sicher, dass die Mitarbeiter über sicheren Umgang mit Attachments in E-Mails informiert sind? Haben Sie einen mehrstufigen Virenschutz, der automatisch täglich auf den neusten Stand gebracht wird? Verhindern sie bei MS-Office-Anwendungen das automatische Ausführen von Macros? Sind die Web-Browser der Anwender sicher eingestellt? Bieten Sie Ihren Mitarbeitern alternative Web-Browser, die zum Teil sicher sind (z.B. den Firefox)? (Aber auch diese Software hat leider Schwachstellen und muss regelmäßig aktualisiert werden).
Hier gibt es mehr Hintergründe zur großen Problematik der Schadsoftware.
Zugriffsrechte und Benutzeraccounts
Wer ist für die Vergabe von Zugriffsrechten und Benutzeraccounts zuständig? Wie stellen Sie sicher, dass auch beim Ausscheiden eines Mitarbeiters und sogar bei einer Veränderung der Aufgabenbereiche die Zugriffsrechte gesperrt oder angepasst werden? Haben Sie Prozeduren, die sicherstellen, dass Zugriffsrechte regelmäßig überprüft und hinterfragt werden? Arbeiten mehrere Benutzer mit denselben Accounts? Wie stellen Sie sicher, dass die Passworte sicher sind?
Authentifizierung der Anwender
Ein wichtiger Aspekt der Informationssicherheit ist die Authentifizierung der Anwender. Die traditionelle Technik dafür ist die Kombination von Benutzername und Passwort. Passworte sind einfach, sehr gut akzeptiert, aber haben eine Reihe von Problemen. Eines der Probleme ist, dass jeder moderne Mensch einfach zu viele davon hat und dass es daher kaum möglich ist, sich diese alle zu merken. Zusammen mit den PINs für Kredit- und Bankomatkarte und den vielen Web Sites auf denen man sich registrieren muss kommt man spielend auf 20 bis 50 Passworte. Und das führt dazu, dass Abkürzungen benutzt werden, z.B. so viel Passworte wie möglich gleich lautend zu halten. Oder die Passworte werden eben doch notiert, auch wenn davon überall dringend abgeraten wird. Andererseits könnte sich niemand so viele unterschiedliche merken. Wenn Passworte notiert werden, dann aber auf jeden Fall an einem sicheren Ort und nicht unter der Tastatur oder gar mit gelbem Sticker am Bildschirm. Ein Zettel in der Geldbörse oder verschlüsselt im PDA sind mögliche Alternativen.
Besser jedoch wäre, zumindest im Unternehmen die Zahl der Passworte zu minimieren, z.B. durch ein Single-Signon System. Dabei muss der Benutzer sich nur einmal anmelden und authentifizieren, alle anderen Anmeldungen führt das System selbstständig durch. Ein solches Single-Signon System sollte aber nicht mit einfachen Passworten betrieben werden. Dafür gibt es sicherere Alternativen.
Welche besseren Methoden der Authentifizierung gibt es?
Prinzipiell können für die Authentifizierung folgende Techniken verwendet werden:
- Etwas, was ich weiß (Passwort, PIN)
- Etwas, was ich besitze (Token, Smart-Card)
- Eine Eigenschaft des Anwenders (Biometrie, d.h. Stimme, Gesicht, Fingerabdruck, Retina)
Bei wirklich sicheren Systemen wird eine Kombination von 2 dieser Verfahren gewählt.
Eine einfache Methode, die erheblich sicherer ist als das einfache Passwort sind sog. One-Time Passwords (OTP). Dieses Verfahren vermeidet das Problem, dass jemand der eine Leitung abhört, das Passwort kennt und wieder verwenden kann. Dies ist bei Einmalpassworten nicht möglich. E-Banking Nutzer kennen das Prinzip von den TANs. Eine TAN-Liste ist eine Liste von Einmalpassworten. Für den täglichen Betrieb im Unternehmen sind TAN-Listen nicht sehr praktikabel, daher gibt es sog. Token, die Einmalpassworte dynamisch erzeugen.
Diese Geräte zeigen alle 60 Sekunden ein neues Passwort an. Dies wird in der Regel mit einer PIN kombiniert. Bei manchen Geräten wird die PIN direkt auf dem Gerät eingegeben, bei anderen wird die PIN an die automatisch generierte Zahl angehängt. Auch ein Einsatz ohne PIN ist möglich. Vorteil dieser Geräte ist, dass keinerlei zusätzliche Hardware oder Software bei den Systemen der Anwender benötigt werden.
Ein weiteres Verfahren, das sich durch Benutzerfreundlichkeit auszeichnet, ist die Biometrie. Hierbei werden unveränderliche Eigenschaften des Nutzers erfasst und verglichen. Dies können Fingerabdrücke, Retinamuster, Gesichtsform oder auch die Stimme sein. Auch diese Verfahren werden mit einem PIN kombiniert.
Eine andere Möglichkeit sind X.509-Zertifikate, entweder direkt auf der Platte oder auf einer Smart-Card gespeichert. Auch diese werden wieder über eine zusätzliche PIN abgesichert. Solche Zertifikate und Smart-Cards können entweder im Unternehmen selbst mit Hilfe einer PKI erzeugt werden, oder sie können über Stellen wie A-Trust bezogen werden.
Wie identifizieren und authentisieren Sie Ihre Anwender?
Das Passwort ist nicht unbedingt die sicherste Methode zur Authentisierung, speziell wenn das Passwort über das Internet eingegeben wird, es gibt heute bessere Methoden wie z.B. One-time-passwort Token, die alle 60 Sekunden ein neues Passwort anzeigen, oder Smart-Cards. Solche Systeme sind insbesondere zu empfehlen, wenn Single-Signon Systeme eingesetzt werden. Dabei meldet sich der Anwender nur einmal an und das System gibt dann automatisch den Zugriff auf alle jene Systeme frei, für die dieser Anwender validiert ist. In diesem Fall muss natürlich der Zugriff noch besser abgesichert werden.
Und wie stellen Sie sicher, dass Ihre Kunden und Partner authentisiert werden? Hier können bei Web-Zugriffen z.B. Client-Zertifikate eingesetzt werden.
Systemaccounts
Wie organisieren Sie Ihre Systemaccounts sicher? Vergeben Sie separate Systemaccounts für jedes Mitglied des Administrationsteams? Falls nicht, wie stellen Sie sicher, dass nach dem Ausscheiden eines Admin-Mitarbeiters Ihre Rechner noch sicher sind? Woher können Sie Ihre Admins im Notfall kontrollieren, wenn alle mit dem selben Benutzeraccount arbeiten? Haben alle Ihre Desktop- Systeme und Laptop ein und dasselbe lokale Administrator-Passwort (hoffentlich nicht)? Hinterlegen Sie die Admin-Passworte in einem Safe, so dass diese auch im Katastrophenfall verfügbar wären?
Die Lösung: Verwenden Sie für Windows Systeme persönliche Domain-Passworte für jeden Administrator und für UNIX/Linux ebenfalls persönliche Accounts (umschalten mit su -). Root sollte nur in Notfällen und von der lokalen Konsole aus benutzt werden. Die lokalen Administrator- und Root-Passworte sollten für jeden Rechner unterschiedlich sein und liegen für Notfälle in verschlossenen Umschlägen bereit.
Systementwicklung und -beschaffung, Quellcodeverwaltung
Bei jedem Ihrer Projekte muss die Sicherheitsproblematik von Anfang an berücksichtigt werden. D.h. schon im Projektantrag sollte ein Absatz über die zu implementierende Sicherheit stehen. Im Projektdesign muss Sicherheit dann ein eigenes Kapitel sein. Und das muss sich durchziehen bis zu den Abnahmekriterien. Wie kann das sichergestellt werden? Entweder ist der Sicherheitsbeauftragte in allen solchen Projekten von Anfang an involviert oder jeder Projektmanager hat die Aufgabe, darauf zu achten, dass Sicherheit ein Kernbestandteil jedes Projektes ist.
Bei der Durchführung von EDV-Projekten muss sichergestellt werden, dass eine Testumgebung zur Verfügung steht die sicherstellt, dass die Produktionssysteme vom Testen nicht betroffen werden. Und wenn sensitive Daten, z.B. Personendaten, verarbeitet werden, müssen Testdaten erstellt werden, die anonymisiert sind.
Um eine sichere Programmentwicklung durchführen zu können, brauche ich eine Quellcodeverwaltung die dokumentiert, welche Änderung von wem, wann und warum gemacht wurde. Sie muss in der Lage sein, Änderungen jederzeit wieder rückgängig machen zu können.
Hier gibt es einige Glossen, aber auch ernsthafte Informationen zum Thema Software-Entwicklung und sogar einen Test für das Entwicklungsteam.
Um zu verhindern, dass Hintertürchen oder offensichtliche Programmfehler eingebaut werden, sollte in Entwicklungsprojekten genügend Zeit für Code Reviews vorgesehen werden. Dies ist speziell dann wichtig, wenn betriebsfremde Kräfte bei der Entwicklung mithelfen.
Bei der Mitarbeit von betriebsfremden Kräften sollte auch geregelt sein, dass diese nie die Systempassworte kennen, dass Vertraulichkeitserklärungen unterschrieben werden und dass diese externen Mitarbeiter nie allein in sensiblen Bereichen arbeiten dürfen.
Hier einige Glossen, die sich mit dem Thema Software Qualität beschäftigen.
Der Wahn nach Features und warum das oft zu lausiger Software führt, Haftung für Software und Tipps bez. Softwarekauf.
Ein anderer wichtiger Aspekt der Qualität der EDV betrifft die Integrität der Daten. Hier eine Glosse: Datenschrott - Ich fürchte mich vor falschen Daten
Change Management
Die Durchführung von Änderungen an EDV-Systemen sollte ein Prozess sein, bei dem es keine Ausnahmen gibt. Allzu oft haben winzige und harmlose Änderungen, "bei denen nun wirklich nichts schief gehen kann", die EDV-Anwendungen zum Teil für längere Zeit lahm gelegt oder zu Datenverlusten geführt.
Die Durchführung der Änderung wird nur dann genehmigt, wenn die Änderungen dokumentiert, begründet und getestet sind und wenn ein Plan vorliegt, wie die Installation bei Misserfolg wieder rückgängig gemacht werden kann (Change Management Prozedur). Hier ein Beispiel für ein Change Coordination Sheet.
Haben Sie ein Datensicherungskonzept?
Daten können aus vielfältigen Gründen verloren gehen, selbst dann wenn Sie z.B. Datenspiegelungen einsetzen. Niemand kommt um eine Datensicherung herum. Hier einige wichtige Fragen, die sich jeder stellen muss.
- Wie werden bei Ihnen die Daten gesichert?
- Wissen die Mitarbeiter, welche Daten (z.B. lokale Laufwerke) nicht gesichert werden?
- Wie lange werden die Datensicherungen aufbewahrt?
- Reicht das aus, um auch spät entdeckte Verluste wiederherstellen zu können?
- Haben Sie geeignete Datensicherungsprozeduren für Datenbanken (die mit Standardsicherungsprogrammen nicht gesichert werden können, weil diese immer im schreibenden Zugriff sind)?
- Wie oft testen Sie das Zurückladen der Sicherungen?
- Wie schnell geht eine Wiederherstellung einer Datenbank?
- Ist das schnell genug?
- Wo lagern Sie Ihre Datensicherungen aus?
- Ist das weit genug entfernt?
- Sind die Sicherungskassetten dort sicher?
- Werden auch wirklich alle Systeme gesichert (auch z.B. die Systeme in der DMZ)?
Hier gibt es detaillierte Hinweise bezüglich Datensicherung für KMUs.
Notfallpläne, Business Continuity und Desaster Recovery
Auch dieses Thema sollte Teil einer umfassenden Sicherheitspolicy sein. Die Problematik wird im Kapitel Desaster Recovery ausführlicher behandelt.
Personalsicherheit
In diesem Kapitel der Security Policy geht es darum, wie personelle Sicherheitsfragen angegangen werden sollen. Dazu gehört z.B., dass schon bei der Einstellung einige grundlegende Überprüfungen stattfinden. So sollte die Korrektheit des Lebenslaufes durch Anrufe bei früheren Arbeitgebern überprüft werden. Zeugnisse und Abschlüsse gehören in die Personalakte, und bei sicherheitskritischen Stellen sollte auch das Anfordern eines polizeilichen Führungszeugnisses erwogen werden.
Alle Mitarbeiter sollten eine Vertraulichkeitserklärung und die Kenntnisnahme der Nutzungsregeln für EDV-Nutzer unterschreiben.
Auch die Verantwortung für die kontinuierliche Weiterbildung und Schulung auf dem Gebiet der Sicherheit und des Schutzes muss hier verankert werden.
Auch das Thema Motivation und Mitarbeiterzufriedenheit spielt als Sicherheitsfaktor eine große Rolle. Nur Firmen mit zufriedenen und loyalen Mitarbeitern können ein hohes Sicherheitsniveau erreichen. Entsprechende Umfragen und aktive Verbesserungsmaßnahmen sind notwendig, um dies sicherzustellen.
Weiters müssen Regeln getroffen werden, wie auch die betriebsfremden Mitarbeiter, z.B. Reinigungspersonal überprüft und überwacht werden können.
Mehr zum Thema Regeln für Mitarbeiter.
Audit und Revision
Sicherheit im Unternehmen ist keine statische Angelegenheit. Sie müssen sicherstellen, dass der Sicherheitsstand kontinuierlich, z.B. jährlich überprüft wird. Regeln Sie in der Policy wer, wann und mit welcher Detailtiefe diese Überprüfung durchführen wird.
Juristisches zum Thema Fernwartung
(der folgende Abschnitt ist dem empfehlenswerten Newsletter der ARGE DATEN übernommen, der Link hier führt zu den Details und hilfreichen Vorlagen)
Was ist Fernwartung?
Im modernen EDV-Alltag kommt es regelmäßig vor, dass Computersysteme nicht mehr lokal, sondern per Internet aus der Ferne bedient werden. Erfolgt die Fernwartung von Systemen dabei durch Fremdfirmen (Wartungsfirmen), müssen einige Punkte beachtet werden.
Fernwartung als datenschutzrechtliche Dienstleistung
Unabhängig von sonstigen vertraglichen Vereinbarungen, liegt ein datenschutzrechtliches Dienstleistungsverhältnis vor, sobald für eine Wartungsfirma eine Zugriffsmöglichkeit auf personenbezogene Daten besteht. Beispielsweise bei Übernahme des Betriebs, der Wartung, oder der Sicherung der von EDV-Systemen auf denen sich personenbezogene Daten befinden.
Critical Success Factors nach ISO 27000
Diese sind
- Die Sicherheitspolicy und -maßnahmen müssen im Einklang mit der Geschäftspolitik sein
- Das Vorgehen muss im Einklang mit der Unternehmenskultur stehen
- Deutlich sichtbare Unterstützung durch das Management ist erforderlich
- Ebenso ein gutes Verständnis der Sicherheitsanforderungen und des Risikomanagements (mehr zu Risikomanagement)
- Weiters ein effektives Marketing der Sicherheit an alle Manager und Mitarbeiter
- Informationen müssen an alle Mitarbeiter (intern, extern) und Partner verteilt werden
- Nur ausreichende Schulungen sichern die Kommunikation der Sicherheitsaspekte
- Ein umfassendes und ausgewogenes System von Kontrollen, mit Rückmeldungen für stete Verbesserungen machen aus der Policy ein lebendes Dokument
 Zurück zum Inhaltsverzeichnis
| 
