CosmosDirekt. Theorie und Praxis der IT - Sicherheit. Ort: Saarbrücken, Antonio Gelardi IT - Sicherheitsbeauftragter

Transkript

1 CosmosDirekt Theorie und Praxis der IT - Sicherheit Ort: Saarbrücken, Autor: Antonio Gelardi IT - Sicherheitsbeauftragter

2 Agenda Die Versicherung, CosmosDirekt Der IT Sicherheitsbeauftragte, Aufgaben und Schnittstellen Ein Berg voller Herausforderungen IT Security Prozess Standortbestimmung Vorbereitung Etappe 1: Wie gehe ich am besten vor? Etappe 2: Informationen sammeln Etappe 3: Bisher Erfahrenes auswerten Etappe 4: Lösungsansätze finden Etappe 5: Hilfe holen Etappe 6: Der Weg zum Ziel Etappe 7: Am Gipfel angekommen Etappe 8: Der nächste Berg wartet IT - Security/ /IT 2

3 Die Versicherung, CosmosDirekt Zahlen und Fakten Generali Deutschland Holding Nr. 2 auf dem deutschen Erstversicherungsmarkt Beitragseinnahmen: 16,2 Mrd. Assets under Management (verwaltetes Vermögen): 99,9 Mrd. Konzernergebnis: 416 Mio. Einheit in Vielfalt Die Strategie CosmosDirekt ist der Direktversicherer der Generali Deutschland Gruppe IT - Security/ /IT 3

4 Die Versicherung, CosmosDirekt Struktur Dienstleister Vertriebswege Produktgeber IT - Security/ /IT 4

5 Die Versicherung, CosmosDirekt Zahlen und Fakten Beitragseinnahmen (Mio. ) startete CosmosDirekt als Pionier des Direktvertriebs Jahresüberschuss (Mio. ) ,0 Seit 2003 Deutschlands größter Direktversicherer Kontinuierliches Prämienwachstum seit mehr als 20 Jahren mit Fokus auf Nachhaltigkeit In 2011 mehr als 1,6 Mio. Kunden und rund 1,9 Mrd. Beitragseinnahmen 10,8 6,7 0,1 0, IT - Security/ /IT 5

6 Der IT - Sicherheitsbeauftragte Aufgaben, Schnittstellen Stellenprofil Ansprechpartner für alle Belange der IT - Sicherheit Berater der Fachbereiche Sowohl technische als auch organisatorische Herausforderungen Begleitung verschiedener Projekte Vorgabe von Richtlinien Prüfung der Einhaltung von Richtlinien Direkter Bericht an die IT Leitung / Geschäftsführung Zentraler Ansprechpartner bei Security Incidents IT - Security/ /IT 6

7 Ein Berg voller Herausforderungen Hintergründe: IT Sicherheit im Unternehmen bedeutet Herausforderungen annehmen. Vielfältige und herausfor- dernde Aufgaben Planung und Priorisierung sind wichtig Etappenziele setzen, dann ist der Berg bezwingbar. IT - Security/ /IT 7

8 IT Security Prozess Etappe 7 Etappe 1 Etappe 6 Etappe 2 Etappe 5 Etappe 3 Etappe 4 IT - Security/ /IT 8

9 Standortbestimmung Wo bin ich? Feststellung der Unternehmensspezifika Wie ist mein Unternehmen organisiert? Was ist das Kerngeschäft? Wie ist die grobe Unternehmensstruktur? Wie viele Mitarbeiter hat das Unternehmen? Welcher Branche gehört es an? Könnten spezielle Richtlinien, Gesetze und Verordnungen gelten? Standortbestimmung erfolgt noch vor Eintritt ins Unternehmen bzw. Start der Tätigkeit. IT - Security/ /IT 9

10 Technische Maßnahmen Juristische Vorgaben Organisatorische Maßnahmen Theorie und Praxis der IT Sicherheit Vorbereitung Die drei Säulen der IT - Sicherheit IT - Sicherheit Einführung und War-tung bestimmter Systeme Schaffung Sicherheitsbewusst-sein IT - Security/ /IT 10

11 Vorbereitung Was bringe ich mit? Nach welchen Richtlinien gehe ich vor? BSI Grundschutzkataloge ISO 27001/27002 Solvency II BDSG IT - Security/ /IT 11

12 Etappe 1 Wie gehe ich am besten vor? Wie wird IT Sicherheit aktuell gelebt? Gibt es einen IT Security Prozess? Ist die IT Sicherheit in Projekte einbezogen? Wer ist der aktuelle IT Sicherheitsbeauftragte? Warum verliert er/sie die Rolle? Was wurde in der Vergangenheit umgesetzt? Was lief gut/was schlecht? Welche Richtlinien gibt es? Wie wird auditiert? IT - Security/ /IT 12

13 Etappe 2 Informationen sammeln: Feststellung des Ist Zustandes Gespräche mit Mitarbeitern und Verantwortlichen Testen: Was geht/was geht nicht? Beobachten: z.b. Wie sind Zugänge realisiert? Aufbau eines Netzwerks Schnittstellen definieren Administratoren/Entwickler/DSB IT - Security/ /IT 13

14 Etappe 3 Bisher Erfahrenes auswerten: IT Sicherheit ist immer eine Frage des Risikos Prüfung, welche Risiken bei bestimmten Maßnahmen entstehen Gegenüberstellung von Eintrittswahrscheinlichkeit und Schadensausmaß Formalisierte Bewertung nach definierter Risikomatrix IT - Security/ /IT 14

15 Etappe 4 Hilfe holen: Best Practices prüfen Neuanschaffung / Neuaufbau Zusammenarbeit mit Dienstleistern Partner auswählen: Ausschreibung erstellen Besuch der jeweiligen Anbieter vor Ort Evtl. Referenzbesuche Preisverhandlung Vertragsgespräche / Vertragsabschluss IT - Security/ /IT 15

16 Etappe 5 Der Weg zum Ziel: Umsetzung: Erstellung von Konzepten Abstimmung mit betroffenen Bereichen Steuerung der Maßnahme / des DL Ziel Ziel IT - Security/ /IT 16

17 Etappe 6 Am Gipfel angekommen: Betrieb Übergabe von Projekt in laufenden Betrieb Integration in bestehende Monitoring-/Audit- systeme Durchführung regelmäßiger Audits Anpassung an neue Anforderungen IT - Security/ /IT 17

18 Etappe 7 Der nächste Berg wartet schon: Abschluss einer Maßnahme bedeutet Beginn der nächsten IT Sicherheit muss daher bei allen Projekten und Themen berücksichtigt werden. Etappe 7 Etappe 1 IT Sicherheit muss etablierter Prozess sein! Etappe 6 Etappe 2 IT Sicherheit funktioniert nur, wenn jeder mitmacht. Etappe 5 Etappe 3 Etappe 4 IT - Security/ /IT 18

19 Vielen Dank für Ihre Aufmerksamkeit! IT - Security/ /IT 19