IT-Grundschutz praktisch im Projekt Nationales Waffenregister

Größe: px

Ab Seite anzeigen:

Download "IT-Grundschutz praktisch im Projekt Nationales Waffenregister"

Martin Lang
vor 8 Jahren
Abrufe

1 IT-Grundschutz praktisch im Projekt Nationales Waffenregister Günther Ennen Bundesamt für Sicherheit in der Informationstechnik 19. Berliner Anwenderforum E-Government am 19. und 20. Februar 2013 Fachforum 6 Informationssicherheit im E-Government Günther Ennen, BSI

Berliner Anwenderforum E-Government am 19. und 20.

2 Themen IT-Sicherheit in komplexen IT-Vorhaben oder Herausforderungen und Akzeptanz Der Schutzbedarf von Informationen oder Die Einsicht zur Selbstverpflichtung IT-Sicherheitsmanagement oder Das Pareto-Prinzip Vertrauen auf die Übernahme von Verantwortung oder Was ist zu tun - was bleibt zu tun? Günther Ennen, BSI Folie 2

IT-Sicherheitsmanagement oder Das Pareto-Prinzip Vertrauen auf die Übernahme von

3 Projektstart Situationsbeschreibung der Projektleitung NWR... vor NWR unterschiedliche IT- Systeme nicht einheitlich nicht vernetzt unterschiedlich detailliert nicht hinreichend auswertbar nicht hinreichend aktuell mangelhafte Datenqualität Wenige Behörden hatten noch keine elektronische Verwaltung nicht hinreichend für zukunftsorientierte Lösungen Quelle: Vortrag PL NWR in Fachforum 3 Günther Ennen, BSI Folie 3

hinreichend auswertbar nicht hinreichend aktuell mangelhafte Datenqualität Wenige Behörden hatten noch

4 Projektergebnisse zum Start NWR Situationsbeschreibung der Projektleitung NWR... Ergebnisse.. Modernisierung des deutschen Waffenwesens.. Sicherheit schaffen Zentrale Komponente rechtzeitig fertig Alle haben IT SiKo s Geräuschloser Produktiv-Start.. kaum einer hat es geglaubt Alle WaffB über sichere Netze angeschlossen Zentrale Auskünfte bereits möglich Sicherheitsbehörden können zugreifen Statistik verfügbar Quelle: Vortrag PL NWR in Fachforum 3 Günther Ennen, BSI Folie 4

. Sicherheit schaffen Zentrale Komponente rechtzeitig fertig Alle haben IT SiKo s Geräuschloser Produktiv-Start.

Quelle: egovernment COMPUTING Quelle: Vortrag PL

5 Das Nationale Waffenregister Konstruktion des NWR Das Nationale Waffenregister (Graphik: BMI) Quelle: egovernment COMPUTING Quelle: Vortrag PL NWR in Fachforum 3 Günther Ennen, BSI Folie 5

6 Sicherheitskonzeption Strukturanalyse Informationsverbund Strukturanalyse Analyse des Ist-Zustands Welche Systeme und Anwendungen? Feststellung des Schutzbedarfs - Infrastruktur - Organisation - Personal - Technik IT-Grundschutzanalyse: Modellierung des Informationsverbundes (Auswahl der Maßnahmen) Basis-Sicherheitscheck (Soll-Ist-Vergleich) ergänz. Sicherheitsanalyse bei hohem Schutzbedarf Konsolidierung der Maßnahmen Realisierung der Maßnahmen Günther Ennen, BSI Folie 6

Feststellung des Schutzbedarfs - Infrastruktur - Organisation - Personal - Technik IT-Grundschutzanalyse: Modellierung

7 Das Nationale Waffenregister Generische IT-Architektur!!! Das Nationale Waffenregister (Graphik: BMI) Quelle: egovernment COMPUTING Günther Ennen, BSI Folie 7

8 Sicherheitskonzeption Strukturanalyse - Übersicht Erfassung des Informationsverbunds Netzplanerhebung Auswertung eines Netzplans Erhebung der Systeme Erfassung der Anwendungen und der zugehörigen Informationen Erfassung der Räume Komplexitätsreduktion durch Gruppenbildung Günther Ennen, BSI Folie 8

Systeme Erfassung der Anwendungen und der zugehörigen Informationen Erfassung

9 IT-Sicherheitskonzeption Schutzbedarfsfeststellung [1] Informationsverbund Strukturanalyse Analyse des Ist-Zustands Welche Systeme und Anwendungen? - Infrastruktur - Organisation - Personal - Technik Feststellung des Schutzbedarfs IT-Grundschutzanalyse: Modellierung des Informationsverbund (Auswahl der Maßnahmen) Basis-Sicherheitscheck (Soll-Ist-Vergleich) ergänz. Sicherheitsanalyse bei hohem Schutzbedarf Konsolidierung der Maßnahmen Realisierung der Maßnahmen Günther Ennen, BSI Folie 9

- Infrastruktur - Organisation - Personal - Technik Feststellung des Schutzbedarfs IT-Grundschutzanalyse: Modellierung des

10 IT-Sicherheitskonzeption Schutzbedarfsfeststellung [2] Grundwerte der Informationssicherheit Vertraulichkeit, Integrität, Verfügbarkeit. Schutzbedarfskategorien Normal, Hoch, Sehr Hoch Betrachtung von Schadensszenarien Was muss gewährleistet sein! Was muss verhindert werden!" Missachtung von Gesetzen, Vorschriften und Verordnungen Beeinträchtigung des informellen Selbstbestimmungsrechtes Beeinträchtigung der persönlichen Unversehrtheit Negative Innen- oder Außenwirkung Finanzielle Auswirkungen Günther Ennen, BSI Folie 10

11 IT-Sicherheitskonzeption Schutzbedarfsfeststellung [3] Grundwerte und Kategorien Vertraulichkeit Integrität, Verfügbarkeit Hoch Normal Der Umstand, dass bestimmte Personen im NWR geführt werden und diese öffentlich bekannt werden, kann zu hohen Regressforderungen führen. Bedrohung : Verlust der Vertraulichkeit Unbefugter Zutritt zu Betriebsräumen Unbefugter Zugang zu den Systemen Unbefugter Zugriff auf gespeicherte oder übertragene Daten Günther Ennen, BSI Folie 11

werden, kann zu hohen Regressforderungen führen.

IT-Sicherheitskonzeption Sicherheitscheck [1] Informationsverbund Strukturanalyse Analyse des Ist-Zustands Welche Systeme und Anwendungen?

12 IT-Sicherheitskonzeption Sicherheitscheck [1] Informationsverbund Strukturanalyse Analyse des Ist-Zustands Welche Systeme und Anwendungen? Feststellung des Schutzbedarfs - Infrastruktur - Organisation - Personal - Technik IT-Grundschutzanalyse: Modellierung des Informationsverbundes (Auswahl der Maßnahmen) Sicherheitscheck (Soll-Ist-Vergleich) Festlegung erforderlicher Maßnahmen ergänz. Sicherheitsanalyse bei hohem Schutzbedarf Konsolidierung der Maßnahmen Realisierung der Maßnahmen Günther Ennen, BSI Folie 12

Feststellung des Schutzbedarfs - Infrastruktur - Organisation - Personal - Technik IT-Grundschutzanalyse: Modellierung des

13 IT-Sicherheitskonzeption Basis-Sicherheitscheck [2] IT-Grundschutz Modell (Soll-Zustand) Netzanalyse (Ist-Zustand) Maßnahmenempfehlungen Entscheidung über Umsetzung Soll-/Ist- Vergleich der Maßnahmen erforderliche realisierte Maßnahmen umzusetzende Maßnahmen Sicherheitskonzept Günther Ennen, BSI Folie 13

über Umsetzung Soll-/Ist- Vergleich der Maßnahmen erforderliche realisierte

14 IT-Sicherheitskonzeption Sicherheitscheck Quelle: NWR Vorgehensmodell Günther Ennen, BSI Folie 14

15 Sicherheitskonzept Örtliches Waffenverwaltungssystem (ÖWS) Quelle: NWR Vorgehensmodell Günther Ennen, BSI Folie 15

16 Sicherheitskonzept Örtliches Waffenverwaltungssystem (ÖWS) Jedes ÖWS hat eigene organisatorische und technische Gegebenheiten Technische Ausprägungen werden durch Lotsen erfragt Checkliste bildet die technische Gegebenheit in der ÖWS ab Lotse generiert für jedes ÖWS spezifische Maßnahmenbündel Maßnahmenbündel sind die Anforderungen der IT-Sicherheit Mit diesem Vorgehen sind für die ÖWS der überwiegende Teil der konzeptionellen Arbeiten zur Erstellung eines IT-Sicherheitskonzeptes erfolgt Günther Ennen, BSI Folie 16

jedes ÖWS spezifische Maßnahmenbündel Maßnahmenbündel sind die Anforderungen der IT-Sicherheit Mit diesem Vorgehen sind für die ÖWS

17 ÖWS Checklisten Pool Günther Ennen, BSI Folie 17

18 Lotse Günther Ennen, BSI Folie 18

19 Checkliste Günther Ennen, BSI Folie 19

20 Sicherheitskonzept Örtliches Waffenverwaltungssystem (ÖWS) Quelle: NWR Vorgehensmodell Günther Ennen, BSI Folie 20

21 Ganzheitliche Sicherheit Waffenbehörden: IT-Sicherheitskonzept Realisierung offener Maßnahmen Zuverlässigkeit des Personals Sicherheitsbereiche Netze / Kommunikation: Sicherheitszonen OSCI-Komponente Authentizität der Kom.-Partner ZWR: ISMS ; Rollenkonzept Separate Sicherheitsbereiche IS-Revision vor Betriebsaufnahme Regelmäßige Penetrationstests Günther Ennen, BSI Folie 21

22 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Informationssicherheitsberatung Godesberger Allee Bonn Tel: Fax: bsi.bund.de Günther Ennen, BSI Folie 22

Ähnliche Dokumente

Initiierung des Sicherheitsprozesses: -Erstellen einer IT-Sicherheitsleitlinie -Einrichten eines IT-Sicherheitsmanagements

Cloud Security (Minimal-)vorgaben des BSI Kai Wittenburg, Geschäftsführer & ISO27001-Auditor (BSI) neam IT-Services GmbH Vorgehensweise Initiierung des Sicherheitsprozesses: -Erstellen einer IT-Sicherheitsleitlinie