IT Sicherheit 10

Unterschiede zwischen Datenschutz und IT-Sicherheit

• Datenschutz konzentriert sich auf den Schutz personenbezogener Daten vor unbefugtem Zugriff, Missbrauch und Verlust und zielt darauf ab, die Rechte von Individuen in Bezug auf ihre persönlichen Daten zu wahren.
• IT-Sicherheit umfasst den Schutz von IT-Systemen, Netzwerken und Daten vor einer Vielzahl von Bedrohungen wie unbefugtem Zugriff, Angriffe und Ausfälle, unabhängig davon, ob personenbezogene Daten betroffen sind.

Gemeinsamkeiten von Datenschutz und IT-Sicherheit

• Artikel 32 der DSGVO behandelt diese Gemeinsamkeiten.
• Verantwortliche und Auftragsverarbeiter müssen unter Berücksichtigung des Stands der Technik, der Kosten, des Verarbeitungszwecks und des Risikopotenzials geeignete Maßnahmen ergreifen, um ein angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten.
• Zu diesen Maßnahmen gehören Pseudonymisierung, Verschlüsselung, Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit sowie regelmäßige Überprüfung und Bewertung der Sicherheitsmaßnahmen.

Sicherheitsziele des IT-Managements

• Die drei zentralen Sicherheitsziele des IT-Managements sind Vertraulichkeit, Integrität und Verfügbarkeit.
• Vertraulichkeit stellt sicher, dass sensible Informationen nur von autorisierten Personen eingesehen oder genutzt werden können.
• Integrität gewährleistet, dass Daten und Systeme vor unbefugter Veränderung geschützt sind und zuverlässig bleiben.
• Verfügbarkeit bedeutet, dass Systeme, Anwendungen und Daten jederzeit für autorisierte Benutzer zugänglich sind.
• Diese Sicherheitsziele bilden die Grundlage für den Schutz von IT-Ressourcen und die Minimierung von Risiken im Unternehmen.

PDCA-Modell

• Managementsysteme verwenden verschiedene Methoden und Werkzeuge, um definierte Aufgaben des Managements und spezifische Anforderungen an Prozesse effizient zu erfüllen.
• Zahlreiche Standards orientieren sich am PDCA-Modell (Plan-Do-Check-Act), das einen kontinuierlichen Verbesserungsprozess unterstützt.
• Das Modell umfasst Planung, Umsetzung, Überprüfung und Anpassung von Maßnahmen.
• Die Planungsphase definiert Ziele und Vorgehensweisen, während die Umsetzungsphase die geplanten Maßnahmen implementiert.
• In der Überprüfungsphase werden Ergebnisse analysiert, um Abweichungen oder Verbesserungspotenziale zu identifizieren.
• Die Anpassungsphase optimiert und entwickelt Prozesse weiter, um den langfristigen Erfolg des Managementsystems zu gewährleisten.

Ziel der IT Governance

• Das Ziel der IT Governance ist es, sicherzustellen, dass die IT-Ressourcen eines Unternehmens effektiv und effizient eingesetzt werden, um die Geschäftsziele zu unterstützen.
• Sie zielt darauf ab, IT-Investitionen an den strategischen Zielen des Unternehmens auszurichten und IT-Risiken angemessen zu managen.
• IT Governance stellt sicher, dass gesetzliche und regulatorische Anforderungen eingehalten werden.
• Sie fördert Transparenz und Verantwortlichkeit innerhalb der IT-Organisation durch klare Prozesse und Zuständigkeiten.
• Eine gute IT Governance hilft, den Wert der IT für das Unternehmen zu maximieren und gleichzeitig potenzielle Risiken zu minimieren.

IT Compliance

• IT Compliance bezieht sich auf die Einhaltung rechtlicher, regulatorischer und unternehmensinterner Vorgaben für die Nutzung und Verwaltung von IT-Systemen und Daten.
• Dies umfasst Gesetze, IT-Sicherheitsstandards und branchenspezifische Regelungen.
• Ziel ist die Minimierung von Risiken und die Gewährleistung der Einhaltung gesetzlicher Anforderungen unter Wahrung der Integrität und Vertraulichkeit von Informationen.
• Unternehmen müssen geeignete Maßnahmen zur Compliance-Sicherstellung ergreifen, wie Audits und Mitarbeiterschulungen.
• Eine fehlende oder unzureichende IT Compliance kann zu rechtlichen Konsequenzen, finanziellen Verlusten und Reputationsschäden führen.

COBIT

• COBIT (Control Objectives for Information and Related Technologies) ist ein umfassendes Rahmenwerk zur Governance und zum Management von IT in Unternehmen.
• Es unterstützt Organisationen bei der Steuerung ihrer IT-Prozesse, dem Management von Risiken und der Maximierung des Werts von IT-Investitionen.
• COBIT bietet eine strukturierte Methodik zur Sicherstellung der Ausrichtung von IT-Aktivitäten auf die strategischen Unternehmensziele.
• Es verbessert zudem die Effizienz und Effektivität von IT-Prozessen durch klare Vorgaben und Best Practices und trägt zur Einhaltung gesetzlicher Vorschriften und zur IT-Compliance bei.

IT Controlling, IT Scorecard, KPIs

• IT Controlling ist ein Managementinstrument zur Steuerung, Überwachung und Optimierung der IT-Aktivitäten eines Unternehmens, um sicherzustellen, dass IT-Investitionen die gewünschten Geschäftsergebnisse erzielen.
• Es umfasst Planung, Kontrolle und Analyse von IT-Kosten, Leistungen und Risiken, um den Wert der IT für das Unternehmen zu maximieren.
• Eine IT Scorecard ist ein strategisches Managementtool, das die IT-Leistung anhand festgelegter Ziele misst und visuell darstellt, um eine transparente Bewertung der IT-Strategie und -Ziele zu ermöglichen.
• Sie wird zur Überwachung der IT-Performance und Erreichung von Unternehmenszielen verwendet.
• KPIs (Key Performance Indicators) sind messbare Kennzahlen zur Bewertung der Effektivität und Effizienz von IT-Prozessen, die die Leistung der IT in Bereichen wie Kosten, Qualität und Kundenzufriedenheit bewerten.
• Die Kombination von IT Controlling, IT Scorecard und KPIs ermöglicht es Unternehmen, ihre IT-Strategie besser zu steuern, die Ressourcennutzung zu optimieren und den Geschäftserfolg sicherzustellen.

Schritte der Strukturanalyse des BSI-Grundschutzes

• Bestimmung des Anwendungsbereichs (Scope).
• Identifikation von Geschäftsprozessen und IT-Strukturelementen.
• Erstellung eines IT-Strukturmodells.
• Kategorisierung der Strukturelemente gemäß den BSI-Grundschutz-Bausteinen.
• Dokumentation der Strukturanalyse.

Schutzbedarfsfeststellung im Sinne des BSI IT-Grundschutzes

• Dies ist ein strukturierter Prozess, der die Grundlage für die Auswahl der richtigen Sicherheitsmaßnahmen bildet.
• Er hilft Organisationen bei der effizienten und zielgerichteten Planung ihrer Sicherheitsmaßnahmen, um den Anforderungen der verschiedenen Schutzziele gerecht zu werden.
• Durch eine präzise Schutzbedarfsanalyse lassen sich die relevanten Risiken priorisieren und geeignete Maßnahmen zur Absicherung von Informationen und Systemen ableiten.

Hauptaspekte der Risikobewertung im Sinne des BSI Grundschutzes

• Wahrscheinlichkeit des Eintritts eines bestimmten Risikos oder einer Bedrohung.
• Bewertung der Schwere der Auswirkungen im Schadensfall.

ISO/IEC 27001

• ISO/IEC 27001 ist eine internationale Norm für das Management von Informationssicherheit, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) definiert.
• Sie hilft Organisationen, die Informationssicherheit systematisch zu managen und Risiken zu minimieren, indem sie klare Richtlinien und Prozesse zur Identifikation, Bewertung und Behandlung von Sicherheitsbedrohungen vorgibt.
• Die Norm umfasst sowohl technische als auch organisatorische Maßnahmen und legt fest, dass Unternehmen die Wirksamkeit ihrer Sicherheitsvorkehrungen kontinuierlich überwachen und verbessern müssen.
• ISO/IEC 27001 ist weltweit anerkannt und ermöglicht es Organisationen, ihre Sicherheitspraktiken zu standardisieren und Vertrauen bei Kunden, Partnern und Aufsichtsbehörden aufzubauen.
• Die Zertifizierung nach ISO/IEC 27001 zeigt, dass eine Organisation Informationssicherheit ernst nimmt und entsprechend internationaler Standards umsetzt.

ISO/IEC 27002

• ISO/IEC 27002 ist eine internationale Norm, die Leitlinien für die Umsetzung und Verwaltung von Informationssicherheitsmaßnahmen innerhalb eines Informationssicherheits-Managementsystems (ISMS) bietet.
• Sie stellt eine Sammlung von Best Practices und Empfehlungen dar, die Unternehmen helfen, ihre IT-Sicherheitsrichtlinien und -prozesse zu gestalten und zu optimieren.
• Die Norm deckt eine Vielzahl von Sicherheitsbereichen ab, darunter die physische Sicherheit, Zugriffskontrollen, Risikomanagement, Mitarbeiterschulungen und Notfallmanagement.
• ISO/IEC 27002 dient als ergänzende Ressource zur ISO/IEC 27001, indem sie detaillierte Empfehlungen für die praktische Umsetzung der Sicherheitsanforderungen bietet.
• Unternehmen, die diese Norm anwenden, können ihre Sicherheitsmaßnahmen verbessern und die Compliance mit verschiedenen regulatorischen Anforderungen sicherstellen.

KRITIS und NIS2

• KRITIS (kritische Infrastrukturen) bezeichnet in Deutschland Sektoren mit schwerwiegenden Auswirkungen bei Ausfall und verpflichtet Betreiber zu erhöhten Sicherheitsmaßnahmen.
• Das IT-Sicherheitsgesetz regelt Anforderungen an die IT-Sicherheit für KRITIS-Betreiber, insbesondere die Meldung von Sicherheitsvorfällen und die Umsetzung von Schutzmaßnahmen.
• NIS2 ist eine EU-weite Richtlinie, die ähnliche Anforderungen an Betreiber wesentlicher und wichtiger Dienste in allen EU-Mitgliedstaaten stellt und die Cybersicherheit auf europäischer Ebene harmonisiert.
• NIS2 erweitert den Geltungsbereich von NIS und legt strengere Anforderungen an Risikomanagement, Sicherheitsmaßnahmen und die Meldung von Vorfällen fest.
• KRITIS konzentriert sich auf Deutschland, während NIS2 darauf abzielt, die Cybersicherheit in der gesamten EU zu verbessern und eine einheitliche Umsetzung in den Mitgliedstaaten sicherzustellen.

Haftungsfolgen bei Verstößen gegen IT-Sicherheitsvorgaben

• Verstöße gegen IT-Sicherheitsvorgaben oder Datenschutzgesetze können zu Geldbußen, Umsatzeinbußen und Vermögensschäden führen, z.B. bei Verstößen gegen die DSGVO oder Beeinträchtigung des Geschäftsbetriebs durch einen Sicherheitsvorfall.
• Es können Imageschäden und ein Verlust des Kundenvertrauens auftreten, was langfristig die Unternehmensreputation schädigen kann.
• In schwerwiegenden Fällen können auch Freiheitsstrafen für verantwortliche Personen und Kürzungen von Versicherungsleistungen die finanziellen und rechtlichen Folgen für ein Unternehmen verstärken.

Motive für Hacking

• Finanzielle Bereicherung: Stehlen von persönlichen Informationen für Identitätsdiebstahl oder Betrug. Beispiel: Diebstahl von Kreditkarteninformationen.
• Politische oder ideologische Gründe: Hacktivisten machen auf soziale oder politische Missstände aufmerksam. Beispiel: Angriffe auf Webseiten von Regierungen.
• Spionage: Stehlen von Informationen im Auftrag von Staaten oder Unternehmen für wirtschaftliche oder strategische Vorteile. Beispiel: Cyberspionage.
• Rache oder persönliche Konflikte: Rache an Einzelpersonen oder Organisationen. Beispiel: Insider-Angriff durch ehemalige Mitarbeiter.
• Herausforderung und Ruhm: Testen der Fähigkeiten und Erlangen von Anerkennung in der Hacker-Community. Beispiel: Angriffe auf Systeme ohne konkrete Agenda.

Social Engineering

• Social Engineering ist gefährlich, da es menschliche Schwächen ausnutzt, anstatt technische Schwachstellen.
• Angreifer setzen psychologische Manipulation ein, um Personen dazu zu bringen, vertrauliche Informationen preiszugeben oder Sicherheitsmaßnahmen zu umgehen.
• Diese Angriffe sind schwer zu erkennen, da sie auf Vertrauen und Gutgläubigkeit abzielen.
• Ein Beispiel ist Phishing, bei dem gefälschte E-Mails Mitarbeiter dazu verleiten, auf schadhafte Links zu klicken.
• Social Engineering kann selbst bei starker technischer Sicherheitsinfrastruktur erfolgreich sein.
• Die Folgen können zu Datenverlusten, finanziellen Schäden und Reputationsverlusten führen.

Ransomware-Angriffe verhindern

• Regelmäßige Software-Updates, um bekannte Sicherheitslücken zu schließen.
• Regelmäßige Backups wichtiger Daten an einem sicheren Ort, der vom Hauptnetzwerk getrennt ist.
• Schulung, die Mitarbeiter für Phishing-Angriffe und Social Engineering sensibilisiert.
• Einsatz von Anti-Ransomware-Software, die Ransomware erkennt und blockiert.
• Netzwerksegmentierung, um die Ausbreitung von Ransomware zu verhindern.
• Strenge Zugriffskontrollen und Rechteverwaltung, um den potenziellen Schaden im Falle einer Infektion zu minimieren.

Ziele von Penetrationstests

• Bewertung und Verbesserung der IT-Sicherheitslage von Unternehmen und Organisationen.
• Identifizierung und Schließen von Schwachstellen, um das Risiko von Cyberangriffen zu verringern.
• Regelmäßige Durchführung von Penetrationstests, insbesondere nach größeren Änderungen an der IT-Infrastruktur.

Unterschiede und Gemeinsamkeiten von Datenschutz und IT-Sicherheit werden erläutert. Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus gemäß Artikel 32 DSGVO werden betrachtet. Zentrale Sicherheitsziele des IT-Managements werden identifiziert.