Der IT Security Manager: Aktuelles Praxiswissen für IT Security Manager und IT-Sicherheitsbeauftragte in Unternehmen und Behörden

328 Pages·2012·2.47 MB·German

by  Heinrich Kersten

Edition <kes>
Herausgegeben von
P. Hohl, Ingelheim, Deutschland
Mit der allgegenwärtigen Computertechnik ist auch die Bedeutung der Sicherheit von
Informationen und IT-Systemen immens gestiegen. Angesichts der komplexen Materie
und des schnellen Fortschritts der Informationstechnik benötigen IT-Profi s dazu fun-
diertes und gut aufb ereitetes Wissen.
Die Buchreihe Edition <kes> liefert das notwendige Know-how, fördert das Risiko-
bewusstsein und hilft bei der Entwicklung und Umsetzung von Lösungen zur Sicherheit
von IT-Systemen und ihrer Umgebung.
Herausgeber der Reihe ist Peter Hohl. Er ist darüber hinaus Herausgeber der <kes>–
Die Zeitschrift für Informations-Sicherheit (s.a. www.kes.info), die seit 1985 im Secu-
Media Verlag erscheint. Die <kes> behandelt alle sicherheitsrelevanten Th emen von
Audits über Sicherheits-Policies bis hin zu Verschlüsselung und Zugangskontrolle.
Außerdem liefert sie Informationen über neue Sicherheits-Hard- und -Soft ware sowie
die einschlägige Gesetzgebung zu Multimedia und Datenschutz.
IT-Notfallmanagement mit System
von Gerhard Klett, Klaus-Werner Schröder und Heinrich Kersten

Der IT Security Manager
von Heinrich Kersten, Gerhard Klett, und Klaus-Dieter Wolfenstetter
Information Security Risk Management
von Sebastian Klipper
IT-Sicherheit kompakt und verständlich
von Bernhard C. Witt
Konfl iktmanagement für Sicherheitsprofi s
von Sebastian Klipper
Praxis des IT-Rechts
von Horst Speichert
IT-Sicherheitsmanagement nach ISO 27001 und Grundschutz
von Heinrich Kersten, Jürgen Reuter und Klaus-Werner Schröder
Security Awareness
von Michael Helisch und Dietmar Pokoyski
Rollen und Berechtigungskonzepte
von Alexander Tsolkas und Klaus Schmidt
Heinrich Kersten • Gerhard Klett
Der IT Security Manager
Aktuelles Praxiswissen für IT Security
Manager und IT-Sicherheitsbeauftragte
in Unternehmen und Behörden
3. Aufl age
Mit 24 Abbildungen
herausgegeben von Heinrich Kersten und
Klaus-Dieter Wolfenstetter
PRAXIS
Dr. Heinrich Kersten Dr. Gerhard Klett
Meckenheim, Deutschland Battenberg, Deutschland
Das in diesem Werk enthaltene Programm-Material ist mit keiner Verpflichtung oder Garantie
irgendeiner Art verbunden. Der Autor übernimmt infolgedessen keine Verantwortung und wird
keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung
dieses Programm-Materials oder Teilen davon entsteht.
Höchste inhaltliche und technische Qualität unserer Produkte ist unser Ziel. Bei der Produktion
und Auslieferung unserer Bücher wollen wir die Umwelt schonen: Dieses Buch ist auf säurefreiem
und chlorfrei gebleichtem Papier gedruckt. Die Einschweißfolie besteht aus Polyäthylen und damit
aus organischen Grundstoffen, die weder bei der Herstellung noch bei der Verbrennung Schadstoffe
freisetzen.
ISBN 978-3-8348-1684-9 ISBN 978-3-8348-8287-5 (eBook)
DOI 10.1007/978-3-8348-8287-5
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie;
detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Springer Vieweg
© Vieweg+Teubner Verlag | Springer Fachmedien Wiesbaden 2005, 2008, 2012
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht aus-
drücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlags. Das
gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die
Einspeicherung und Verarbeitung in elektronischen Systemen.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk
berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der
Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann
benutzt werden dürften.
Einbandentwurf: KünkelLopka GmbH, Heidelberg
Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier
Springer Vieweg ist eine Marke von Springer DE. Springer DE ist Teil der Fachverlagsgruppe Springer
Science+Business Media
www.springer-vieweg.de
Vorwort

Das vorliegende Buch richtet sich an Leser, die
— die Rolle eines IT-Sicherheitsbeauftragten oder IT Security
Managers übernommen haben bzw. in Kürze übernehmen
werden,
— in einer Sicherheitsabteilung oder im IT-Bereich tätig sind,
— generell für Sicherheitsbelange einer Organisation verant-
wortlich sind, oder
— sich einfach nur in das interessante Gebiet der Informa-
tionssicherheit einarbeiten möchten.
Die Informationssicherheit als Fachgebiet ist z. T. unter anderen
Überschriften wie
— IT-Sicherheit (IT Security),
— Datensicherheit oder
— Informationsschutz
bekannt und berührt auch Themen wie den Datenschutz, den
Geheimschutz, das Qualitätsmanagement, das Compliance Ma-
nagement, die Ordnungsmäßigkeit der Datenverarbeitung, d. h.
Informationssicherheit ist ein interdisziplinäres und querschnitt-
liches Thema.
Die Informationssicherheit entwickelt sich beinahe ebenso
schnell wie die IT insgesamt, da sie sich permanent auf neue
technologische Gegebenheiten und deren Anwendungen ein-
stellen muss. Wer in dieses dynamische Gebiet einsteigt, kann
deshalb schnell den Überblick verlieren — aber auch nach vielen
Jahren Berufserfahrung immer wieder Neues entdecken. Den-
noch gilt es gerade zu Beginn, sich auf das Wesentliche zu kon-
zentrieren.
Im Grunde muss sich heute jede Organisation, die schützenswer-
te Informationen besitzt und Daten sicher verarbeiten will, mit
diesen Fragen beschäftigen: Informationssicherheit ist zu einem
wichtigen Faktor der Unternehmensvorsorge geworden. Dabei
hat jede Organisation mehr oder weniger eigene Erfahrungen mit
diesem Thema gemacht — oft in der Rolle des Geschädigten. Aus
diesem Grund muss man für Informationssicherheit nicht mehr
besonders werben; wir ersparen uns auch, alle möglichen Hor-
V
Vorwort
ror-Szenarien zu beschreiben — man kennt sie hinlänglich aus
entsprechenden Publikationen. Vorrangig sollen hier die Fragen
behandelt werden,
— mit welcher Strategie man das Thema angeht,
— wie viel Sicherheit1 wirklich benötigt wird,
— wie man die gewünschte Sicherheit erreichen und aufrecht-
erhalten kann,
— wie man die Sicherheit laufend an die Geschäftserforder-
nisse anpasst,
— wie man gegenüber Partnern, Kunden, Aufsichtsbehörden
und Banken die eigene Sicherheit nachweisen kann,
— ob es einen Return on Security Investment (RoSI) gibt und
wie man ihn ggf. erreicht.
In vielen Organisationen haben solche Fragestellungen dazu
geführt, dass ein Sicherheitsmanagement eingerichtet worden ist,
das sich in Gestalt eines IT Security Managers bzw. IT-Sicher-
heitsbeauftragten oder eines entsprechenden Sicherheitsgremi-
ums der Thematik annehmen soll.
Eine zentrale Funktion übernimmt dann neben der Sicherheits-
leitlinie das so genannte Sicherheitskonzept, in dem alle Analysen
und Entscheidungen, die die Informationssicherheit betreffen,
enthalten sind. Um dieses meist umfangreiche Dokument rankt
sich in der Praxis ein ganzes Bündel von begleitenden Doku-
menten — sehr zum Leidwesen der Beteiligten, da „Paperware“
einerseits Schwerstarbeit ist und andererseits allein noch gar
nichts bringt.
Inzwischen sind für die Sicherheitskonzeption mit der Normen-
reihe ISO 27000 und dem IT-Grundschutz zwei Vorgehensmo-
delle quasi gesetzt, d. h. in den meisten Fällen fällt die Wahl auf
eine der beiden Methoden, die bei genauer Betrachtung viele
Gemeinsamkeiten haben.
In der Praxis bleibt das Erstellen von aussagekräftigen und ziel-
führenden Sicherheitskonzepten dennoch ein Kardinalproblem:
Individuelle Risiken, die Wirksamkeit von Gegenmaßnahmen

1 Wir verwenden der einfacheren Lesbarkeit wegen das Wort Sicher-
heit stellvertretend für IT-Sicherheit, Informationssicherheit, etc. —
solange keine Missverständnisse zu befürchten sind.
VI
Vorwort
und das verbleibende Restrisiko können meist nicht berechnet,
sondern bestenfalls aus der Erfahrung geschätzt werden.
Dass bei den Gegenmaßnahmen eine schier unerschöpfliche
Auswahl besteht, sogar umfangreiche Kataloge existieren, in
denen die Bereiche Recht, Organisation, Personal, Technik und
Infrastruktur akribisch behandelt werden, macht die Sicherheits-
konzeption nicht unbedingt leichter — vor allem, wenn es darum
geht, die Eignung, Wirksamkeit und Wirtschaftlichkeit einzelner
Maßnahmen in einem speziellen Einsatzszenario zu bewerten.
„Alle“ Sicherheitsmaßnahmen umfassend und detailliert zu be-
handeln würde den Rahmen dieses Buches sprengen. Es musste
deshalb eine Auswahl getroffen werden: Als Orientierung dien-
ten mehrtägige Seminare zum Thema Informationssicherheit, die
die Autoren in den vergangenen Jahren zahlreich durchgeführt
haben und noch durchführen. Das Feedback der Teilnehmer hat
dabei vielfältige Anregungen zur Überarbeitung von Methodik
und Didaktik gegeben.
Aktualisierungen
Für diese dritte Auflage erschien eine Überarbeitung und Ergän-
zung der bisherigen Texte auch deshalb sinnvoll, weil mit dem
Erscheinen der Normenreihe ISO 27000 viele Unternehmen eine
neue Herausforderung sehen und sich im Zeitalter der Globali-
sierung an diesen internationalen Normen orientieren wollen
bzw. müssen, wenn sie im internationalen Business bestehen
wollen. Inzwischen ist genannte die Normreihe um wichtige
Themen und Anwendungsfälle erweitert worden.
Wichtige Aspekte wie die Business Continuity bzw. das Notfall-
management, das Compliance Management, die „Messung“ der
Sicherheit (bzw. entsprechender Kennzahlen) haben an Bedeu-
tung gewonnen. Entsprechende Kapitel wurden deshalb neu
hinzugefügt bzw. bestehende erweitert. Die bereit gestellten
Informationen zur rechtlichen Sicherheit und zur Internet-Sicher-
heit wurden aktualisiert und erweitert.
Danksagung
In dieses Buch sind viele Kritiken und Vorschläge der Leser frü-
herer Auflagen eingeflossen: hierfür herzlichen Dank.
Dem Verlag und seinem Lektorat danken die Autoren für die
professionelle Unterstützung bei der Neuauflage dieses Buches.
Im Februar 2012, Dr. Heinrich Kersten, Dr. Gerhard Klett.
VII
Inhaltsverzeichnis

1 Zur Motivation und Einführung ................................................................................ 1
2 Wesentliche Elemente des Sicherheitsprozesses ...................................................... 9
2.1 Das PDCA-Modell ........................................................................................... 9
2.2 Unverzichtbar: Sensibilisierung, Schulung, Training .................................. 19
2.3 Lenkung der Dokumentation ....................................................................... 22
2.4 Steuerung der Aufzeichnungen ................................................................... 26
2.5 Interne Audits ............................................................................................... 28
2.6 Die Management-Bewertung ....................................................................... 29
2.7 Grundsätzliches zum Compliance Management ......................................... 30
3 Grundstrukturen der Informationssicherheit .......................................................... 33
3.1 Rollen und Organisation .............................................................................. 34
3.2 Information und Daten ................................................................................. 41
3.3 Datenträger .................................................................................................... 44
3.4 IT-Systeme und Einsatzumgebung .............................................................. 45
3.5 Netzwerk ....................................................................................................... 48
3.6 Infrastruktur .................................................................................................. 50
3.7 Software-Anwendungen ............................................................................... 52
3.8 Geschäftsprozesse ......................................................................................... 53
3.9 Informationsverbund .................................................................................... 55
3.10 Zusammenfassung ........................................................................................ 56
4 Sicherheitsziele auf allen Ebenen ............................................................................ 59
4.1 Informationen und Daten ............................................................................ 59
4.2 IT-Systeme ..................................................................................................... 69
4.3 Geschäftsprozesse ......................................................................................... 73
5 Analysen ................................................................................................................... 77
5.1 Analyse nach IT-Grundschutz ...................................................................... 77
IX
Inhaltsverzeichnis
5.2 Die Schwachstellenanalyse .......................................................................... 85
5.3 Ein Ansatz auf der Basis der ISO 15408 ...................................................... 88
5.4 Risikoanalyse nach ISO 13335-3 ................................................................ 100
5.5 Betrachtungsmodell der ISO 27005 ........................................................... 113
5.6 Restrisiken und ihre Behandlung .............................................................. 124
6 Die Sicherheitsleitlinie ........................................................................................... 125
6.1 Inhalte der Sicherheitsleitlinie .................................................................... 126
6.2 Management der Sicherheitsleitlinie .......................................................... 131
7 Grundsätzliches zu Sicherheitsmaßnahmen ......................................................... 135
7.1 Maßnahmenklassen .................................................................................... 135
7.2 Validierung von Maßnahmen .................................................................... 137
8 Das Sicherheitskonzept .......................................................................................... 141
8.1 Grundsätzliches ........................................................................................... 141
8.2 Sicherheitskonzept nach IT-Grundschutz ................................................. 143
8.3 Klassisches IT-Sicherheitskonzept ............................................................. 144
8.4 Sicherheitskonzept nach ISO 27001 .......................................................... 162
9 Rechtliche Sicherheit .............................................................................................. 169
9.1 Befolgen von Gesetzen .............................................................................. 170
9.2 Vermeidung von Strafprozessen ................................................................ 174
9.3 Outsourcing ................................................................................................. 175
9.4 Verschiedenes ............................................................................................. 178
10 Organisatorische Maßnahmen ............................................................................... 181
10.1 Vorgaben für die Abwicklung von Geschäftsprozessen .......................... 181
10.2 Festlegen von Rollen und Organisationplänen ........................................ 182
10.3 Organisatorische Anweisungen ................................................................. 183
11 Personelle Sicherheit .............................................................................................. 187
11.1 Arbeitsverträge ............................................................................................ 187
11.2 Vertrauliche Personaldaten ........................................................................ 191
11.3 Verantwortung der Mitarbeiter für die Informationssicherheit ................ 193
11.4 Personalmanagement ................................................................................. 196
X