Dirk Loomans, Micha-Klaus Müller. Bedrohungs- und Schwachstellenanalysen

Größe: px

Ab Seite anzeigen:

Download "Dirk Loomans, Micha-Klaus Müller. Bedrohungs- und Schwachstellenanalysen"

Edmund Hofer
vor 8 Jahren
Abrufe

1 Dirk Loomans, Micha-Klaus Müller Bedrohungs- und Schwachstellenanalysen

2 Übersicht über die Arbeitshilfen risikoanalyse.doc Das Klammersymbol Checkliste zur Durchführung einer Risikoanalyse im Text verweist auf die entsprechende Datei im Anhang. Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie. Detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN by TÜV Media GmbH, TÜV Rheinland Group, TÜV, TUEV und TUV sind eingetragene Marken der TÜV Rheinland Group. Eine Nutzung und Verwendung bedarf der vorherigen Zustimmung durch das Unternehmen. Gesamtherstellung: TÜV Media GmbH, Köln 2013 Den Inhalt dieses E-Books finden Sie auch in dem Handbuch Information Security Management, TÜV Media GmbH, Köln. Die Inhalte dieses E-Books wurden von Autor und Verlag nach bestem Wissen und Gewissen erarbeitet und zusammengestellt. Eine rechtliche Gewähr für die Richtigkeit der einzelnen Angaben kann jedoch nicht übernommen werden. Gleiches gilt auch für Websites, auf die über Hyperlinks verwiesen wird. Es wird betont, dass wir keinerlei Einfluss auf die Inhalte und Formulierungen der verlinkten Seiten haben und auch keine Verantwortung für sie übernehmen. Grundsätzlich gelten die Wortlaute der Gesetzestexte und Richtlinien sowie die einschlägige Rechtssprechung.

Detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar. ISBN 978-3-8249-1704-4 by TÜV Media GmbH, TÜV Rheinland Group, 2013 www.tuev-media.

3 Bedrohungs- und Schwachstellenanalysen Zum Inhalt Das Risikomanagement von Unterneh - men im Bereich der Informationssicherheit analysiert den Zustand der informationsverarbeitenden Einrichtungen und der Geschäftsprozesse, die den Informationsfluss lenken. Dabei liegt der Fokus der Untersuchung der Schwachstellen und Bedrohungen auf den Schutzzielen Vertraulichkeit, Verfügbarkeit und Inte gri - tät von Unternehmenswerten. In diesem E-Book werden unterschiedliche Möglichkeiten der Risikoanalyse be - leuch tet. Eine Risikoanalyse bezieht sich auf Anforderungen aus bekannten Sicherheitsstandards, beispielsweise der ISO/ IEC Darüber hinaus wird auch die Methodik des BSI Grundschutz-Standards betrach tet, der mithilfe von Grundschutzgefährdungen eine Risikoanalyse für IT-Systeme für Behörden beschreibt. Arbeitshilfen: Checkliste für die Risikoanalyse Autoren: Dr. Micha-Klaus Müller Dr. Dirk Loomans info@loomans-matz.de 1 Allgemeines zur Bedrohungs- und Schwachstellenanalyse Managementpflichten/Ziele ISMS Aufgabe der Unternehmensführung ist es, Risiken, die den Fortbestand des Unternehmens gefährden, und Chancen für eine positive Unternehmensentwicklung frühzeitig zu erkennen. Ersteres ist sogar gesetzlich gefordert (s. 91 AktG, 43 GmbHG). Das Vorgehen nach Best Practice sieht hierfür die Installation eines Überwachungssystems vor, das die Unternehmensinformationssicherheit nachhaltig und effizient gewährleistet. Die Überwachung durch das Management kann im Rahmen eines sogenannten Informationssicherheitsmanagementsystems (ISMS) erfolgen. Das ISMS sieht eine permanente Aufrechterhaltung der Informationssicherheit innerhalb eines vorab definierten Geltungsbereichs vor. TÜV Media GmbH Seite 1

Dabei liegt der Fokus der Untersuchung der Schwachstellen und Bedrohungen auf den Schutzzielen Vertraulichkeit, Verfügbarkeit und Inte gri - tät von Unternehmenswerten.

4 Um der Sorgfalt des ordentlichen Geschäftsmanns entsprechend der Gesetzeslage ausreichend nachzukommen, ist es für die Geschäftsführung erforderlich, das ISMS auf geeignete Informationssicherheitsstandards zu beziehen, die dem aktuellen Stand von Wissenschaft und Forschung entsprechen und auf deren Grundlage ein ISMS den Schutz von Informationen koordiniert. Es sind die geeigneten Maßnahmen des ordentlichen Geschäftsmanns, die durch die Geschäftsführung zu treffen sind, und nicht nur die adäquate Umsetzung von geplanten Sicherheitsmaßnahmen, um der Sorgfaltspflicht im Sinne der oben genannten Gesetze nachzukommen. Denn die Wahrscheinlichkeit dafür, dass Maßnahmen gegen Bedrohungen greifen, ist nur dann hoch, wenn die Geschäftsführung Verantwortung für die Installation, den erfolgreichen Betrieb und die Pflege eines ISMS vollumfänglich übernimmt. Wenn sich ein Unternehmen für den Schutz seiner Informationen bewusst entscheidet, wird es zu Beginn des angestoßenen Sicherheitsprozesses Sicherheitsziele definieren, die bestimmen, welche Unternehmenswerte wie geschützt werden sollen. Es stellt sich also die Frage, welche Unternehmenswerte schutzbedürftig sind. Der Schutzbedarf orientiert sich an den erklärten Sicherheitszielen und wird bezüglich der Schutzziele Vertraulichkeit, Integrität (Unversehrtheit) und Verfügbarkeit von Informationen ermittelt. Verantwortliche, die den Schutzbedarf von Informationen ermitteln, stellen für jeden Unternehmenswert die Frage, welcher realistische Schaden zu erwarten ist, wenn Vertraulichkeit, Integrität und/oder Verfügbarkeit für den betrachteten Unternehmenswert verloren gehen. Die Schutzbedarfsermittlung generell sollte kein Problem darstellen, wenn Pro- Schutzbedarf TÜV Media GmbH Seite 2

Es sind die geeigneten Maßnahmen des ordentlichen Geschäftsmanns, die durch die Geschäftsführung zu treffen sind, und nicht nur die adäquate Umsetzung von geplanten Sicherheitsmaßnahmen, um der

5 zess- und Systemverantwortliche die Schwachstellen der Verfahren und/oder IT-Systeme/Anwendungen kennen. Ziel einer Schutzbedarfsanalyse Ziel einer Schutzbedarfsanalyse ist es, das Hauptaugenmerk auf die wirklich schützenswerten Prozesse zu lenken. Darüber hinaus ist die Höhe des Schutzbedarfs auch für die Beantwortung der Frage nach der Wirtschaftlichkeit von geplanten Maßnahmen ausschlaggebend. Denn bei der Entscheidung, welche Maßnahmen getroffen werden sollen, ist immer abzuwägen, dass Nutzen und Aufwand der Maßnahmenumsetzung in einem angemessenen Verhältnis zu dem Schutzzweck stehen. Sinnvollerweise sollte die Schutzbedarfsermittlung neben den Anforderungen an die Informationssicherheit (Schutz von Informationen) auch jene des Datenschutzgesetzes (BDSG, Schutz von personenbezogenen Daten) umfassen. Der Datenschutz ist weitgehend eine Untermenge des Informationsschutzes, die Bewertung und Einstufung sollte jedoch im Rahmen der Schutzbedarfsermittlung getrennt vorgenommen werden. Der Schutzbedarf einer Information hinsichtlich der relevanten Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit wird in mehrere Kategorien eingeteilt, beispielweise in die Kategorien niedrig, mittel, hoch und sehr hoch. Die Anzahl an Schutzkategorien kann unterschiedlich gewählt werden, in der Praxis haben sich jedoch drei bis fünf bewährt. Im Allgemeinen sollten Unternehmenswerte mit hohem Schutzbedarf einer besonderen Betrachtung unterzogen werden, wie dies explizit in der Schutzbedarfsanalyse nach den BSI-Grundschutzkatalogen (Bundesamt für Sicherheit in der Informationstechnologie) gefordert wird. Hierbei ist zu beachten, dass sich das Risiko, das den Schutzbedarf TÜV Media GmbH Seite 3

Darüber hinaus ist die Höhe des Schutzbedarfs auch für die Beantwortung der Frage nach der Wirtschaftlichkeit von geplanten Maßnahmen ausschlaggebend.

Ähnliche Dokumente

Schulung, Bewusstsein und Kompetenz Schulungsfolien zum Thema UMS

Praxiswissen Umweltmanagement Martin Myska, Ralph Meß Schulung, Bewusstsein und Kompetenz Übersicht über die Arbeitshilfen schulungsfolien_ums.ppt schulungsfolien_erlaeuterungen.doc Erläuterung der einzelnen