IT Sicherheit 6

IT-Sicherheit im Überblick

• Gesetzliche Vorgaben in der Cybersicherheit verpflichten Organisationen zu bestimmten Sicherheitsstandards.
• Der BSI-Grundschutz bietet Unternehmen eine praxisorientierte Grundlage zur Umsetzung dieser Anforderungen.
• Die DIN ISO 2700x-Normenreihe stellt international anerkannte Standards für ISMS dar.
• Das deutsche IT-Sicherheitsgesetz verpflichtet Betreiber kritischer Infrastrukturen zur Umsetzung von Sicherheitsmaßnahmen und zur Meldung von IT-Sicherheitsvorfällen.
• KRITIS umfasst kritische Infrastrukturen wie Energieversorgung und Gesundheit. Deren Ausfall hätte gravierende Auswirkungen.
• Die NIS2-Richtlinie der EU stärkt die Anforderungen an die Cybersicherheit für Betreiber wesentlicher Dienste.
• Unternehmen können sich durch die Befolgung des BSI-Grundschutzes und der ISO 27001-Normen gegen verschiedene Bedrohungen absichern.
• Unternehmen müssen die spezifischen Anforderungen des IT-Sicherheitsgesetzes sowie der KRITIS- und NIS2-Richtlinie beachten, wenn sie in kritischen Bereichen tätig sind.

BSI-Grundschutz

• Der BSI IT-Grundschutz ist ein Rahmenwerk für Informationssicherheit des Bundesamtes für Sicherheit in der Informationstechnik (BSI).
• Er bietet eine systematische Herangehensweise zur Identifikation und Implementierung von Sicherheitsmaßnahmen.
• Der IT-Grundschutz unterstützt Organisationen dabei, ein wirtschaftliches und wirksames Sicherheitsniveau aufzubauen.
• Der IT-Grundschutz dient als Leitfaden zur Implementierung und Aufrechterhaltung eines ISMS nach internationalen Standards wie ISO/IEC 27001.

Überblick über den BSI IT-Grundschutz

• Der IT-Grundschutz basiert auf Standard-Sicherheitsanforderungen für IT-Systeme und Geschäftsprozesse.
• Er bietet umfassende Bausteine und Maßnahmenkataloge.
• Der Ansatz zielt darauf ab, die typischen Sicherheitsanforderungen mit angemessenen Maßnahmen zu erfüllen, ohne individuelle Risikoanalysen durchführen zu müssen.
• Zu den Hauptbestandteilen des IT-Grundschutzes gehören: das IT-Grundschutz-Kompendium, BSI-Standards, IT-Grundschutz-Profile und die IT-Grundschutz-Zertifizierung.

IT-Grundschutz-Kompendium

• Zentrale Sammlung von Bausteinen, Gefährdungen und Maßnahmen, die IT-Systeme und Prozesse für die Informationssicherheit absichern.
• Die Bausteine sind in verschiedene Schutzbedarfskategorien unterteilt (Basis-, Standard- und erhöhter Schutzbedarf) je nach Kritikalität der Informationen und Systeme.

BSI-Standards

• Bieten Leitlinien und Empfehlungen für die Planung, Implementierung und Aufrechterhaltung eines ISMS.
• Zu den BSI-Standards gehören: BSI-Standard 200-1 (ISMS), BSI-Standard 200-2 (IT-Grundschutz-Methodik) und BSI-Standard 200-3 (Risikoanalyse auf der Basis des IT-Grundschutzes).

IT-Grundschutz-Profil

• Ein anpassbares Profil für unterschiedliche Branchen und spezifische Anwendungen.
• Basiert auf den Grundschutzbausteinen und zeichnet den Weg zur Umsetzung eines ISMS vor.

IT-Grundschutz-Zertifizierung

• Unternehmen und Behörden können sich zertifizieren lassen, wenn sie die Anforderungen des IT-Grundschutzes erfüllen und ein ISMS betreiben.
• Je nach Schutzbedarf und Komplexität der Organisation gibt es verschiedene Zertifizierungsstufen.

Anwendung des BSI IT-Grundschutzes

• Die Umsetzung des IT-Grundschutzes erfolgt in einem mehrstufigen Prozess.
• Dieser Prozess stellt sicher, dass die Organisation einen strukturierten Weg zur Informationssicherheit beschreitet.

Strukturanalyse

• Die Strukturanalyse gliedert sich in mehrere Schritte:
  • Bestimmung des Anwendungsbereichs (Scope)
  • Identifikation von Geschäftsprozessen und IT-Strukturelementen
  • Erstellung eines IT-Strukturmodells
  • Kategorisierung der Strukturelemente nach BSI-Grundschutz-Bausteinen
  • Dokumentation der Strukturanalyse

Bestimmung des Anwendungsbereichs (Scope)

• Zunächst wird festgelegt, welche Teile der Organisation, Geschäftsprozesse, Informationen und IT-Komponenten durch das ISMS abgedeckt werden sollen.
• Der Anwendungsbereich kann auf das gesamte Unternehmen oder nur auf bestimmte Abteilungen, Standorte oder Systeme beschränkt sein.
• Der festgelegte Scope bildet die Grundlage für alle weiteren Sicherheitsmaßnahmen und Schutzbedarfsbewertungen.

Identifikation von Geschäftsprozessen und IT-Strukturelementen

• Alle relevanten Geschäftsprozesse und die unterstützende IT-Infrastruktur werden identifiziert.
• Dazu gehören Server, Netzwerke, Datenbanken, Anwendungen, Arbeitsplätze und mobile Geräte.
• Diese IT-Komponenten und Prozesse werden als Strukturelemente bezeichnet und in Kategorien unterteilt, z. B. nach Art der Geräte, Anwendungen oder Prozesse.

Erstellung eines IT-Strukturmodells

• Die gesammelten Informationen werden in einem Strukturmodell dargestellt
• Das Modell visualisiert die Beziehungen und Abhängigkeiten zwischen den verschiedenen Strukturelementen und Prozessen.
• Ein solches Modell hilft, Schwachstellen und kritische Knotenpunkte zu identifizieren

Kategorisierung der Strukturelemente nach BSI-Grundschutz-Bausteinen

• Nach der Identifikation werden die Strukturelemente den passenden Bausteinen des BSI IT-Grundschutz-Kompendiums zugeordnet.
• Dies erfolgt gemäß den spezifischen Sicherheitsanforderungen, die für bestimmte IT-Komponenten und Geschäftsprozesse festgelegt sind.
• Jedes Strukturelement wird einem oder mehreren IT-Grundschutz-Bausteinen zugeordnet, die auf typische Sicherheitsanforderungen und Bedrohungen zugeschnitten sind.

Dokumentation der Strukturanalyse

• Alle Ergebnisse und Entscheidungen der Strukturanalyse werden dokumentiert.
• Dies umfasst eine Übersicht der identifizierten Strukturelemente, das Strukturmodell sowie die Zuordnung zu den IT-Grundschutz-Bausteinen.
• Diese Doku dient als Grundlage für die weiteren Schritte der IT-Grundschutz-Methodik, einschließlich der Schutzbedarfsfeststellung und der Maßnahmenplanung.

Geschäftsprozesse

• Für jeden Geschäftsprozess sollten Angaben wie eine eindeutige Kennung, ein Name, eine Beschreibung des Ziels und der Abläufe, die Verantwortlichen sowie wichtige Anwendungen vermerkt werden.

Anwendungen erheben

• Für jede als wesentlich identifizierte Anwendung sollten Angaben wie eine eindeutige Kennung, ein Name, eine Beschreibung des Ziels, die Verantwortlichen und die Benutzer erfasst werden.

Netzplan erheben

• Der Netzplan sollte mindestens die in das Netz eingebundenen IT-Systeme, die Verbindungen zwischen diesen und die Außenverbindungen der IT-Systeme enthalten.

IT-Systeme

• Zu den IT-Systemen zählen alle im Netz vorhandenen Computer (Clients und Server), industrielle Steuerungen (ICS), Telekommunikationsgeräte, Mobiltelefone und Objekte aus dem Bereich des Internet of Things (IoT).
• Eine tabellarische Übersicht sollte für jedes IT-System eine eindeutige Bezeichnung, Anzahl (bei Gruppen), Beschreibung (Einsatzzweck und Typ) enthalten.

Räume

• Umfassen alle Gebäude und Räume, die im Zusammenhang mit den betrachteten Informationen und Geschäftsprozessen bedeutsam sind, einschließlich Serverräume, Büroräume, Schulungs- und Besprechungsräume oder Archivräume.

Vorteile der Strukturanalyse:

• Klarheit und Transparenz: Die Organisation erhält eine umfassende Übersicht über alle relevanten Systeme und Prozesse.
• Effizienter Ressourceneinsatz: Durch die Zuordnung der Strukturelemente können Sicherheitsmaßnahmen effizient geplant und umgesetzt werden.
• Basis für das Risikomanagement: Die Strukturanalyse bildet die Grundlage für die Schutzbedarfsfeststellung.

Zusammenfassung (Strukturanalyse):

• Die Strukturanalyse im Sinne des BSI IT-Grundschutzes ist ein wesentlicher erster Schritt zur Entwicklung eines ISMS, da sie den Geltungsbereich festlegt, relevante Strukturelemente identifiziert und die Basis für die spätere Schutzbedarfsfeststellung bildet.

Schutzbedarfsfeststellung

• Die Schutzbedarfsfeststellung ist ein zentraler Schritt, um den erforderlichen Schutzlevel für Informationen, IT-Systeme und Geschäftsprozesse zu ermitteln.
• Festlegung welches Schutzniveau jedes Strukturelement benötigt.
• Hilft Maßnahmen auszuwählen und priorisierte Bereiche für die Informationssicherheit zu identifizieren.

Schritte der Schutzbedarfsfeststellung:

- Festlegung der Schutzbedarfs-Kriterien für Vertraulichkeit, Integrität und Verfügbarkeit.
- Einstufung des Schutzbedarfs pro Schutzziel in Kategorien(normal, hoch, sehr hoch).
- Erstellung einer Schutzbedarfsmatrix, um den Schutzbedarf übersichtlich darzustellen.
- Berücksichtigung von Abhängigkeiten zwischen Strukturelementen.
- Dokumentation der Schutzbedarfsfeststellung und Entscheidungen.

Beispiel: Schutzbedarfsfeststellung in der Praxis

• Vertraulichkeit: Hoher Schutzbedarf für Personal- und Finanzdaten im ERP-System.
• Integrität: Sehr hoher Schutzbedarf für Finanzdaten, da fehlerhafte Daten zu falschen Entscheidungen führen könnten.
• Verfügbarkeit: Hoher Schutzbedarf für das ERP-System, da ein Ausfall den gesamten Betriebsablauf beeinträchtigen würde.

Vorteile der Schutzbedarfsfeststellung:

- Ressourcenschonung: Gezielte Maßnahmen für kritische Bereiche durch die Schutzbedarfsfeststellung.
- Effiziente Priorisierung: Fundierte Priorisierung durch die Schutzbedarfsfeststellung.
- Grundlage für die Auswahl geeigneter Sicherheitsmaßnahmen: Ableitung passgenauer Maßnahmen anhand des Schutzbedarfs.

Zusammenfassung (Schutzbedarfsfeststellung):

• Die Schutzbedarfsfeststellung ist ein strukturierter Prozess, der die Basis für die Wahl der richtigen Sicherheitsmaßnahmen bildet und Organisationen hilft, ihre Sicherheitsmaßnahmen effizient und zielgerichtet zu planen.

IT-Grundschutz-Check

• Dies ist eine systematische Überprüfung der vorhandenen IT-Sicherheitsmaßnahmen
• Dient der kontinuierlichen Verbesserung des Sicherheitsniveaus

Ziele des IT-Grundschutz-Checks

• Schwachstellen und Abweichungen von Sicherheitsmaßnahmen zu identifizieren
• Sicherheitslücken aufzudecken
• Reifegrad der Sicherheitsmaßnahmen zu bestimmen
• Planungsgrundlage für die Verbesserung der IT-Sicherheit zu schaffen

Vorgehensweise des IT-Grundschutz-Checks

• Vorbereitung des Checks:
  • Festlegung des Anwendungsbereichs
  • Sammlung aller relevanten Informationen
• Soll-Ist-Vergleich:
  • Vergleich der Umsetzung der Sicherheitsmaßnahmen mit den Anforderungen der IT-Grundschutz-Bausteine
• Dokumentation von Abweichungen:
  • Dokumentation aller festgestellten Abweichungen der Soll-Maßnahmen

Maßnahmenplanung

• Auf Grundlage der festgestellten Abweichungen wird ein Maßnahmenplan entwickelt
• Maßnahmen werden priorisiert, um kritische Schwachstellen als erstes zu beheben

Überwachung und Nachkontrolle

• Nach Umsetzung der Maßnahmenen werden diese regelmäßig überprüft, um sicherzustellen, dass der angestrebte Schutzgrad erreicht ist
• Der IT-Grundschutzcheck wird regelmäßig wiederholt, um auf neue Bedrohungen oder Änderungen in der IT-Struktur zu reagieren

Vorteile des IT-Grundschutz-Checks

• Strukturierte Schwachstellenanalyse
• Effektive Ressourcenallokation
• Nachweisbare Sicherheitsverbesserungen
• Kontinuierliche Verbesserung

Zusammenfassung (IT-Grundschutz-Check)

• Der IT-Grundschutz-Check ist eine umfassende Überprüfung der umgesetzten IT-Sicherheitsmaßnahmen
• Durch Soll-Ist-Vergleiche werden Schwachstellen identifiziert und es wird ein klarer verbesserungsplan erstellt

Risikobewertung und -behandlung

• Strukturierter Prozess, in dem Gefährdungen für die Informationssicherheit und deren Auswirkungen analysiert werden
• Zwei Hauptaspekte die betrachtet werden: Wahrscheinlichkeit des Eintritts und Auswirkungen des Schadensfalls

Schritte der Risikobewertung

• Identifikation von Risiken und Bedrohungen (sowohl externe als auch interne).
• Bewertung der Risiken hinsichtlich Wahrscheinlichkeit und Auswirkungen (z. B. niedrig, mittel, hoch).
• Risikoanalyse: Zusammenfassung der Ergebnisse, um das Risiko besser zu verstehen.

Strategien zur Risikobehandlung

• Vermeidung (Risikovermeidung): Prozesse oder Technologien werden verändert, sodass die Bedrohung nicht mehr auftritt.
• Verminderung (Risikominderung): Maßnahmen zur Reduzierung der Risikowahrscheinlichkeit- oder auswirkungen.
• Übertragung (Risikotransfer): Übertragung der Risiken auf Dritte, z.B. Versicherungen oder Outsourcing
• Akzeptanz (Risikoresiduum): Akzeptieren des Risikos.

Risikobewertung

• Wahrscheinlichkeit: Mittel (potenzielle Angreifer könnten auf das System zugreifen).
• Auswirkungen: Hoch (Verletzung der Vertraulichkeit).

Risikobehandlung

• Vermeidung: Speichern von sensiblen Daten in einer zentralen Datenbank überprüfen
• Verminderung: Stärkere Zugangskontrollen und Verschlüsselung der Datenbank
• Übertragung: Versicherung gegen Datenlecks abschließen
• Akzeptanz: Risiko eines geringfügigen Angriffs wird akzeptiert

Zusammenfassung (Risikobewertung und -behandlung)

• Risiken werden identifiziert und diese werden bewertet und passende Maßnahmenen werden getroffen
• Organisation sind gezielt in der Lage auf Bedrohungen zu reagieren und IT-Infrastruktur und Daten optimal zum Schutz

Maßnahmenumsetzung:

• Basierend auf der Schutzbedarfsfeststellung und der Risikobewertung werden die notwendigen Sicherheitsmaßnahmen implementiert.
• Der IT-Grundschutz umfasst technische, organisatorische und physische Maßnahmen.

Planung der Maßnahmenumsetzung:

• Bevor mit der Umsetzung begonnen werden kann, müssen die erforderlichen Schritte sorgfältig geplant werden.
• Es muss die Priorisierung der Maßnahmen, Ressourcenplanung, Verantwortlichkeiten und Zeitplanung beachtet werden.

Umsetzung der Sicherheitsmaßnahmen:

• Die Umsetzung der Sicherheitsmaßnahmen erfolgt typischerweise in mehreren Schritten.
• Beispiele für umgesetzte sicherheitsmaßnahmen sind technische, organisatorische und physische Maßnahmen.

Technische Maßnahmen:

• Technische Maßnahmen beziehen sich auf IT-Sicherheitslösungen.
• Es werden die Infrastruktur implementiert, um IT System und Daten zu schützen
• Beispiele sind zum Beispiel Zugriffssteuerung, Verschlüsselung, Firewalls und Antivirensoftwares

Organisatorische Maßnahmen:

• Organisatorische Vorkehrungen umfassen alle Maßnahmen, die Informationssicherheit gewährleisten sollen.
• Beispele sind z.B.: Schulung, Sensibilisierung von Mitarbeitern, Notfallmanagement und Vertragsmanagement

Physische Sicherheitsmaßnahmen:

• Schutz der IT-Infrastruktur durch: Zugangskontrollen (z. B. in Rechenzentren), Überwachungssysteme (Kameras).

Test und Validierung der Maßnahmen:

• Durch Durchführung von Tests, Audits oder Überwachung der Maßnahmen werden diese auf Ihre Wirksamkeit hin geprüft

Dokumentation der Maßnahmenumsetzung:

• Die Dokumentation ist ein wesentlicher Aspekt, um zum einen Sicherheitsmaßnahmen nachvollziehbar zu machen.
• Zum anderen ist dies sinnvoll, da es als Grundlage für spätere Audits und Bewertung dienen kann

Kontinuierliche Verbesserung (PDCA Zyklus):

• Die Umsetzung der Sicherheitsmaßnahmen ist kein einmaliger Prozess
• Durch kontinuierliche Verbesserung ist gewährleistet das die Umsetzung ein wichtiger und richtiger Bestandteil des IT Grundschutzes ist

Zusammenfassung (Maßnahmenumsetzung):

• Maßnahmenumsetzung im Sinne des BSI IT Grundschutz umfasst eine Vielzahl von organisatorischen, technischen und physischen Maßnahmen, um die informationssicherheit zu dauerhaft zu gewährleisten.

Information Sicherheitsmanagement System (ISMS) Aufbau und Dokumentation

• Der Aufbau und die Dokumentation eines Informationssicherheits-Management-Systems (ISMS) im Sinne des BSI IT-Grundschutzes stellt sicher, dass eine Organisation ihre Informationssicherheit systematisch, kontinuierlich und unter Einhaltung gesetzlicher sowie regulatorischer Anforderungen verwaltet.

Schritte im Aufbau eines ISMS:

- Management Engagement und Governance
- Festlegung des Anwendungsbereichs des ISMS
- Strukturanalyse
- Schutzbedarfsfeststellung
- Risikoanalyse und Riskomanagement
- Definition von Sicherheitsmaßnahmen
- Einführung und Umsetzung von Sicherheitsmaßnahmen
- Überwachung und kontinuierliche Verbesserung

Dokumentation eines ISMS nach dem BSI IT-Grundschutz

- Informationssicherheitsrichtlinien
- Schutzbedarfsfeststellung und Strukturanalyse
- Risikomanagement-Dokumentation
- Sicherheitsmaßnahmen und -prozesse
- Überwachungs- und Prüfungsprotokolle
- Berichterstattung und Managementbewertung

Vorteile der Dokumentation und des ISMS-Aufbaus nach BSI IT-Grundschutz

- Klarheit und Transparenz
- Nachhaltigkeit und kontinuierliche Verbesserung
- Auditierbarkeit und Compliance
- Risikomanagement

Zusammenfassung (Information Sicherheitsmanagement System)

• Überblick über die Dokumentation eines Informationssicherheits-Management-Systems
• Hier sind die Schritte zu erfassen und zu dokumentieren

Überwachung und Verbesserung

• Bei der Überwachung sollte die Informationssicherheit dauerhaft und stetig gesteigert werden. (regelmäßige Überprüfungen, Anpassungen und konsequente Risiko und Bedrohungsbewertung)
• Organisationen sollten auf neue Herausforderungen stets angemessen regieren können
• Der kontinuierliche Verbessungsprozess sorgt immer dafür das alle Sicherheitsmaßnahmen stets auf dem neuesten Stand sind

Vorteile und Einsatzbereiche des BSI IT-Grundschutzes

• Das BSI IT-Grundschutz ist ein bewährtes Framework zum Aufbau und zur Pflege des ISMS
• Unterstützt Organisationen beim Aufbau
• Geeignet für Organisationen jeder Größe, da Bausteine und Maßnahmen flexibel auf individuelle Schutzbedarfe zugeschnitten werden können

Übersicht über die ISO / IEC 2700 X Normenreihe

- Sammlung von Standards, die Best Practices für Informationssicherheitsmanagementsysteme (ISMS) bereitstellt.

Bereiche

- Normativer Standard: der befolgt werden muss, um den Standard zu erhalten
- Informativer Standard: bietet Hilfe und Unterstützung bei der Erfüllung

ISO Norm 27002

- Eine internationale Norm für Informationssicherheits-Managementsysteme (ISMS), die die Anforderungen an den Aufbau, die Umsetzung, das Management und die kontinuierliche Verbesserung der Informationssicherheit in einer Organisation festlegt

ISO 27002 :

• Sie ergänzt die ISO/IEC 27001
• Bietet detaillierte Empfehlungen und bewährte Praktiken, um das Informationssystem zu gestalten
• Beschreibt Handlungsempfehlungen für Unternehmen, die ein ISMS einrichten oder verbessern möchten.
• Gliedert sich in :
• Einleitung
• Zielsetzung und Grundsätze der Informationssicherheit
• Steuerung der Informationssicherheit
• Kontrollziele und Sicherheitsmaßnahmen

Einführung und Kontext der Organisation:

• Die Norm verlangt, dass Unternehmen den Kontext ihrer Organisation verstehen
• und relevante interne und externe Faktoren analysieren, die die Informationssicherheit beeinflussen könnten.

KRITIS (Kritische Infrastrukturen) im deutschen Recht

• Das Thema KRITIS ist gesetzlich im BSI-Gesetz geregelt
• Betreiber müssen ihre IT-Sicherheitsmaßnahmen und Notfallpläne regelmäßig überprüfen

Aufgaben des Informationssicherheitsbeauftragte (ISB):

• Schutz der IT-Systeme vor Angriffen
• Sicherstellung der Funktionsfähigkeit der kritischen Infrastruktur
• Meldung von Sicherheitsvorfällen
• Schnittstelle zwischen der Organisation, den Behörden und internen Teams
• Aufrechterhaltung der Cybersicherheit auf einem hohen Niveau

KRITIS

• Deutsches Konzept, bezieht sich auf Organisationen und Systeme, deren Ausfall oder Beeinträchtigung erhebliche Folgen für die Gesellschaft und Wirtschaft hätte
• Umfasst beispielsweise Energieversorgung, Gesundheitswesen, Finanzwesen

NIS2-Richtlinie

• Europäische Richtlinie,
• Anforderungen zum Schutz von Netzwerk- und Informationssystemen
• Betrifft eine breitere Auswahl von wesentlichen und wichtigen Diensten
• Die NIS2-Richtlinie erweitert die Meldepflichten für Cybersicherheitsvorfälle, fordert umfassendere Sicherheitsmaßnahmen (einschließlich Risikomanagement und Schwachstellenanalyse) und legt strengere Sanktionen für Verstöße fest
• Sie verfolgt einen europäischen Ansatz und zielt darauf ab, die Cybersicherheit in der EU zu harmonisieren und zu stärken