Taxifahrende Notebooks und andere Normalitäten. Frederik Humpert

Transkript

1 Taxifahrende Notebooks und andere Normalitäten Frederik Humpert

2 Ein paar Zahlen Von September 2004 bis Februar 2005 wurden weltweit Laptops Handhelds Mobiltelefone in Taxis vergessen und fahren seitdem spazieren. Was passiert mit den Daten? Wie vertraulich sind die Informationen? Wissen Sie das in Ihrem Unternehmen? Sind die Informationen gesichert?

3 Was tun? Eine Strategie für Sicherheit.

4 Wichtige Phasen auf dem Weg zur Sicherheit Phase 1 Erkennen der Grundwerte von Informationssicherheit Phase 2 Erkennen der Schutzbedürfigkeit von Informationen Phase 3 Phase 4 Einbetten der mobilen Sicherheitswünsche in die allgemeine Strategie. Ergreifen von Standard- Sicherheitsmaßnahmen, danach weitere Maßnahmen

5 Grundwerte der Informationssicherheit Phase 1 IT-Sicherheit Schutz der Vertraulichkeit Schutz der Integrität Schutz der Verfügbarkeit Information nur für Berechtigte Unversehrtheit und Korrektheit der Information zur rechten Zeit am rechten Ort Kennen Sie die Anforderungen an ihre mobilen Informationen in Verfügbarkeit, Vertraulichkeit und Integrität? Welche Schäden entstehen bei Verlust von Verfügbarkeit, Vertraulichkeit und Integrität?

6 Schutzbedarf von Informationen Der Schutzbedarf orientiert sich an den Grundwerten der Sicherheit. Phase 2 Jede Säule hat ihren eigenen Schutzbedarf (ein hochverfügbares System muss nicht zwingend vertrauliche Daten speichern und umgekehrt) Die Theorie ermöglicht, Sicherheit auf Basis der Informationen und Daten festzulegen. Der Schutzbedarf schaltet die allgemeine Willkür i.d.r. aus. Kennen Sie den Schutzbedarf Ihrer Informationen auf den Laptops?

7 Einbetten in die Strategie Sicherheitsziele Sicherheitsfeinziele, organisatorische Konzepte Phase 3 Sicherheitseinzelkonzepte für die einzelnen Systeme und Anwendungen, Sicherheitskonzept für mobile Arbeitsplätze Wie ist Ihre Sicherheitsstrategie?

8 Ergreifen von Standard- Sicherheitsmaßnahmen Organisatorische Maßnahmen, Z.B. Nutzungsverbot nicht freigegebener Hard- und Software Überprüfung des Hard- und Software-Bestandes Ordnungsgemäße Entsorgung von Disketten und CDs Hinterlegen des Passwortes Herausgabe einer Laptop-Richtlinie Geregelte Übergabe und Rücknahme eines tragbaren PC Phase 4

9 Ergreifen von Standard- Sicherheitsmaßnahmen Technische Maßnahmen, z.b. Bildschirmsperre Regelmäßiger Einsatz eines Viren-Suchprogramms Umgang mit Laufwerken für Wechselmedien und externen Datenspeichern Passwortschutz am tragbaren PC Software-Reinstallation bei Benutzerwechsel eines tragbaren PC Nutzung der in Anwendungsprogrammen angebotenen Sicherheitsfunktionen Sicherstellung der Energieversorgung im mobilen Einsatz Prüfung eingehender Dateien auf Makro-Viren Phase 4 Welche Maßnahmen haben Sie schon ergriffen?

10 Was bleibt? Ein Konzept, das die Kosten für Sicherheit im Rahmen lässt. Eine Dokumentation, die informiert, was verarbeitet wird und wie schutzbedürftig es ist. Eine Liste von Systemen mit erhöhtem Schutzbedarf = ein Hinweis, wo überhaupt erweiterte Sicherheitsmaßnahmen notwendig sind Im Ergebnis: Ein Maßhemd für IT-Sicherheit im gesamten Unternehmen und beim mobilen User.

11 Die Schwachstelle Mensch

12 Standard-Sicherheitsmaßnahmen Sicherheit gliedert sich in mehrere Dimensionen: Organisation Personal Technik Technische Maßnahmen (automatische Bildschirmsperre, etc.) beugen Vertraulichkeits- Problemen auf Reise vor. Die Schwachstelle Mensch ist sonst nur schwer zu kontrollieren. Was tun? Sensibilisieren und über die Schutzbedürftigkeit der Informationen aufklären.

13 Mensch kontrollieren Daten verschlüsseln Verschlüsselung garantiert Vertraulichkeit, auch bei Verlust. Verschlüsselung birgt Gefahren: Ausfall des Kryptoprozessors = Verlust der Verfügbarkeit Vergessen des Kennwortes = Verlust der Verfügbarkeit Fehler im Algorithmus = Verlust der Integrität Welche Schäden entstehen durch Verlust der Verfügbarkeit In China kurz vor einer Präsentation? In München kurz vor einem Vertragsabschluss? Vorteil einer Sicherheits-Strategie: Die Kosten und Gefahren bei Krypto- Maßnahmen halten sich in Grenzen, da sie nur bei Bedarf eingesetzt werden.

14 Der Fingerabdruck eine Lösung?

15 Das Vorgehen Nicht alle mobilen Daten im Hause Humpert & Partner haben einen hohen Schutzbedarf an Vertraulichkeit. Alle mobilen Systeme haben einen hohen Schutzbedarf der Verfügbarkeit. Eine allgemeine Verschlüsselung mit Passwörtern oder Token mit PIN-Nummern führt zu Verwirrung und erhöht den Verwaltungsaufwand. Wunsch: Eine Verschlüsselung von Daten auf mobilen Geräten mit hoher Schlüsselstärke, gleichzeitig Kombination von Besitz eines Merkmals und einer Hardware als Logon-Voraussetzung. Ergebnis: Die Logon-Software authention und der Speicher-Token BioSlimDisk

16 zwei Lösungen ein Vergleich Biometrischer USB- Speichertoken mit Software Festplattenverschlüsselung mit PKCS#11-Token + Keine Passwörter und PIN- Nummern mehr. + Daten sind verschlüsselt auf dem Token abgelegt. + Schnelle Zugriffszeiten + kurze Amortisierung - Nur für vertrauenswürdige Mitarbeiter geeignet! - keine Ablage weiterer Schlüssel möglich + vollständige Verschlüsselung aller Daten + Ablage weiterer Zertifikate und Schlüssel möglich + variabler Schlüsselalgorithmus + für alle geeignet - ggf. Verlust der Verfügbarkeit des Gesamtsystems