Zum Inhalt springen

Diskussion:Skript/ISMS

Aus Foxwiki

Artikel

1 Einführung
2 Begriffe
3 ISO/27000|ISO/IEC 27000]]
4 Management der Informationssicherheit
5 Rahmenbedingungen
6 IT-Sicherheitsgesetz
7 Kritische Infrastrukturen
8 NIS2
9 ISO/IEC 27001
10 Normen, Standards, Rahmenwerke
11 IT-Grundschutz
12 Umsetzung

ISO/IEC 27000

Normreihe ISO/IEC 2700x

ISO/27000 - ISMS - Überblick und Terminologie

Beschreibung

ISO/IEC 27000 - Informationssicherheitsmanagementsystem - Überblick und Terminologie

  • Informationstechnik - Sicherheitsverfahren - Informationssicherheits-Managementsysteme - Überblick und Terminologie
  • Informativer Standard
  • Einführung in ISO 27000 ff.
Definition relevanter Begriffe
  • Beschreibt Begriffe nicht abschließend
  • Nicht alle Begriffe der ISO 27000 ff.
Umsetzung eines ISMS
  • Grundsätze
  • Generelle Aussagen zur Anwendung, Bedeutung und Wirkung der ISO 27000 ff.
  • Aufzählung der wesentlichen Schritte für die Umsetzung des ISMS
ISO/IEC 2700X/270XX
  • Internationale Standard Familie
  • Baut auf ISO 17799 und dem British Standard BS 7799 auf
  • Diese Standards unterliegen häufigen Änderungen
Über 20 Normen zu Informationssicherheit
Aspekte
Regeln und Richtlinien zur Informationssicherheit
Organisation von Sicherheitsmaßnahmen und Managementprozessen
Personelle Sicherheit
Asset-Management
Physikalische Sicherheit und Zugangsdienste
Zugriffskontrolle (Access Control)
Umgang mit sicherheitstechnischen Vorfällen
Systementwicklung und deren Wartung
Planung einer Notfallvorsorge
Einhaltung gesetzlicher Vorgaben
Überprüfung durch Audits
Standards zur Informationssicherheit
Zusammenarbeit von ISO und IEC
ISMS

Normen

Informationssicherheits-Managementsysteme

Informationssicherheits-Managementsysteme (2700X)

ISO/IEC Beschreibung
27000 Übersicht und Vokabular Begriffe und Definitionen
27001 Anforderungen Anforderungen an ein ISMS
27002 Code of practice Kontrollmechanismen für Informationssicherheit
27003 Implementation Guidelines Leitfaden zur Umsetzung der ISO/IEC 27001
27004 Measurements Information Security Management Measurement
27005 Information security risk management IS-Risikomanagement
27006 Informationstechnik - Sicherheitstechniken - Anforderungen Kriterien der Auditierung und Zertifizierung
27007 Informationstechnik - Sicherheitstechniken - Leitfaden Leitfaden für die Auditierung
27008 Informationstechnik - Sicherheitstechniken - Leitfaden für Auditoren Kontrolle eines ISMS

Fachspezifische Normen

Fachspezifische Subnormen (270XX)

ISO/IEC Beschreibung
27010 Informationssicherheitsmanagement für sektor- und organisationsübergreifende Kommunikation
27011 Informationssicherheitsmanagement-Richtlinien für Telekommunikationsorganisationen
27013 Integrierte Implementierung von ISO/IEC 20000-1 und ISO/IEC 27001
27014 Governance der Informationssicherheit
27015 Informationssicherheitsmanagement für Finanzdienstleistungen (zurückgezogen)
27016 Auditing und Überprüfungen
27017 Sicherheitstechniken - Verhaltenskodex - Informationssicherheitskontrollen für Cloud-Computing-Dienste
27018 Sicherheitstechniken - Verhaltenskodex - Kontrollen zum Schutz personenbezogener Daten, die in öffentlichen Cloud-Computing-Diensten verarbeitet werden
27019 Informationssicherheitsmanagement basierend auf ISO/IEC 27002 für Prozessleitsysteme speziell für die Energiewirtschaft
27031 Geschäftskontinuität
27032 Richtlinien für Cybersecurity
27033 Netzwerksicherheit - Überblick und Konzepte
27034 Richtlinien für Anwendungssicherheit
27035 Management von Informationssicherheitsvorfällen

Weitere

ISO/IEC Beschreibung
15408 Common Criteria
22301 Business Continuity Management
27799 Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002
31000 Risikomanagement

Übersicht

ISO/IEC 27000
Scope Geltungsbereich
Asset Wert/Schutzobjekt
SOA Statement of Applicability
RTP Risk Treatment Plan
BCP Business Continuity-Plan
Logs Log Files

Quelle: www.iso27000.es

Quelle

Ausbildung und Zertifizierung

Option Beschreibung
Organisationen Ein Information Security Management System kann gegen den normativen Teil ISO/IEC 27001 geprüft und zertifiziert werden
Personen Für Personen existieren verschiedene Schemata zur Ausbildung und Zertifizierung



Management der Informationssicherheit

Information Security Management System (ISMS) - Managementsystem für Informationssicherheit

Beschreibung

IT-Sicherheitsmanagement

Managementsystem zur Gewährleistung der Informationssicherheit/IT-Sicherheit

Aufgaben
  • Systematische Absicherung eines IT-Verbundes
  • Gefahren und Bedrohungen abwehren
  • Auswahl und Umsetzung von IT-Sicherheitsmaßnahmen
    • für Geschäftsprozesse
  • Vorgehensweise
    • Eine normierte Vorgehensweise durch Verwenden von IT-Standards ermöglichen
Begriffsherkunft

Der Begriff des IT-Sicherheitsmanagements taucht erstmals mit der Veröffentlichung der Green Books im Jahre 1989 auf

  • Aus einem Teil der Green Books entwickelte sich die BS-7799-Norm für Informationssicherheit
  • Gleichwohl wurden bereits von amerikanischen Behörden in den 1970er-Jahren Methoden für ein strukturiertes Vorgehen zur Absicherung gegen Bedrohungen der Informationssicherheit verwendet
  • In den 1980er-Jahren folgten im englischsprachigen Bereich einige Studien und Aufsätze zum Thema computer abuse and security und wie eine effektive Informationssicherheit durch organisatorische Maßnahmen in einem Unternehmen erreicht werden konnte

Sicherheitstechnik

Institutionen nutzt Sicherheitstechnik

Beispielsweise um sich vor Gefahren aus dem Internet abzusichern

  • Virenschutzprogramme
  • Spamfilter
  • gestaffelte Firewalls
  • Software zur Angriffserkennung

Sicherheitsorganisation

Organisatorische Maßnahme

Richtlinien

  • Für die Benutzung mobiler Systeme
  • Mitarbeiter über Gefahren im Internet informieren
  • ...
Fehlende Konzeption

Sowohl die Anwendung von Technik als auch die Einführung organisatorischer Maßnahmen erfolgt oft jedoch ohne Konzept und Erfolgskontrolle

Isolierte Maßnahmen

Für eine angemessene Informationssicherheit ist die isolierte Umsetzung einzelner technischer oder organisatorischer Maßnahmen erfahrungsgemäß, allerdings weder effektiv noch effizient

  • Vielmehr ist ein Rahmen erforderlich, der dafür sorgt, dass alle Maßnahmen zielgerichtet gesteuert und überwacht werden
Komponenten eines Managementsystem für Informationssicherheit
Managementprinzipien
  • etwa der Vorgabe von Zielen in der Organisation, der Erstellung von Kommunikationsgrundsätzen oder Regelungen für Kosten-Nutzen-Analysen,
Ressourcen und Mitarbeitern
  • Steuerung des Einsatzes von Technik und Personal
  • Beschreibung des Sicherheitsprozesses
Worauf sollten Sie beim Aufbau und Betrieb eines ISMS achten?

BSI-Standard 200-1: Managementsysteme für Informationssicherheit

  • Die dort genannten Empfehlungen werden im -Standard 200-2: -Grundschutz-Methodik konkretisiert
  • In den Kapiteln 3 und 4 erfahren Sie dort beispielsweise, worauf bei der Initiierung und Organisation des Sicherheitsprozesses zu achten ist
Aspekte des Managements von Informationssicherheit gemäß IT-Grundschutz
Aspekt Beschreibung
Sicherheitsprozess
Managementprinzipien
Sicherheitsorganisation
Sicherheitsleitlinie
Sicherheitskonzept
Dokumentation

Aufgabe

Systematische Absicherung eines Informationsverbunds
  • Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
  • Die Auswahl und Umsetzung von IT-Sicherheitsstandards zählt zu den Aufgaben des IT-Sicherheitsmanagements

Standards

IT-Grundschutz des BSI
  • Die IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen
  • Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
  • Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor
ISO/IEC 27001
Norm für Informationssicherheitsmanagementsysteme (ISMS)
ISO/IEC 27002
Leitfaden für das Informationssicherheitsmanagement

Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm

Folgende Standards werden dem IT-Sicherheitsmanagement zugerechnet

Weltweit am stärksten verbreitet ist die ISO/IEC-27001-Norm

IT-Grundschutz des BSI IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Anforderungen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen (Waschzettel)
Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
Die Grundschutz-Kataloge sind primär in Deutschland bekannt liegen allerdings auch englischsprachig vor
ISO/IEC 27001 Norm für Informationsicherheitsmanagementsysteme (ISMS)
ISO/IEC 27002 Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
BS 7799-1 und BS 7799-2 Vorgänger der ISO/IEC 27001 und ISO/IEC 27002
Weitere Standards mit IT-Sicherheitsaspekten
ITIL Best-Practices-Sammlung für das IT-Servicemanagement
ISO/IEC 20000 die ISO/IEC-Norm für IT-Servicemanagement
BS 15000 Britischer Standard für IT-Servicemanagement
COBIT IT-Governance-Framework
ISO/IEC 13335 Ehemalige Normenreihe zum Sicherheitsmanagement in der Informations- und Kommunikationstechnik
EN ISO 27799 Medizinische Informatik – Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002 (speziell für den Gesundheitsbereich)
VdS 10005 Richtlinie für IT-Sicherheit im kleinen Mittelstand
Payment Card Industry Data Security Standard (PCI-DSS) Regelwerk für die Abwicklung von Kreditkartentransaktionen
Benchmarks des Center for Internet Security
Federal Information Processing Standards (FIPS) weitere des US National Institute of Standards and Technology (NIST)

Verfahren und Regeln

Verfahren und Regeln innerhalb einer Organisation
Informationssicherheit
  • definieren
  • steuern
  • kontrollieren
  • aufrechterhalten
  • fortlaufend verbessern
Begriff wird im Standard ISO/IEC 27002 definiert
Deutscher Anteil an dieser Normungsarbeit

Informationssicherheit und Datenschutz

Überschneidende Zuständigkeiten
Informationssicherheitsbeauftragte (ISB) und Datenschutzbeauftragter (DSB)
  • Sollten personell getrennt wahrgenommen werden
ISO/IEC 27701

Mit der ISO/IEC 27701 wird das klassische Informationssicherheitsmanagementsystem um Datenschutzaspekte erweitert

  • Sodass beide Beauftragte über das gleiche Dokumentenwerk gegenseitig zuarbeiten können

Allgemeine Ansätze

Ansatz Beschreibung
Verankerung in der Organisation Die Verantwortlichkeiten und Befugnisse für den Informationssicherheitsprozess werden vom obersten Management eindeutig und widerspruchsfrei zugewiesen
  • Insbesondere wird ein Mitarbeiter bestimmt, der umfassend verantwortlich für das Informationssicherheitsmanagementsystem ist (in der Regel Informationssicherheitsbeauftragter oder kurz ISB genannt)
  • Alternativ kann sich die Organisation auch eines externen Dienstleisters bedienen, der den ISB stellt
Verbindliche Ziele Die durch den Informationssicherheitsprozess zu erreichenden Ziele werden durch das Topmanagement vorgegeben.
Richtlinien Verabschiedung von Sicherheitsrichtlinien (Security Policy), die den sicheren Umgang mit der IT-Infrastruktur und den Informationen definieren durch das oberste Management
Personalmanagement Bei Einstellung, Einarbeitung sowie Beendigung oder Wechsel der Anstellung von Mitarbeitern werden die Anforderungen der Informationssicherheit berücksichtigt.
Aktualität des Wissens Es wird sichergestellt, dass das Unternehmen über aktuelles Wissen in Bezug auf Informationssicherheit verfügt.
Qualifikation und Fortbildung Es wird sichergestellt, dass das Personal seine Verantwortlichkeiten versteht und es für seine Aufgaben geeignet und qualifiziert ist.
Adaptive Sicherheit Das angestrebte Niveau der Informationssicherheit wird definiert, umgesetzt und fortlaufend an die aktuellen Bedürfnisse sowie die Gefährdungslage angepasst (Kontinuierlicher Verbesserungsprozess)
Vorbereitung Das Unternehmen ist auf Störungen, Ausfälle und Sicherheitsvorfälle in der elektronischen Datenverarbeitung vorbereitet

Zertifizierung

IT-Grundschutz/Zertifizierung


IT-Sicherheitsgesetz

Informationssicherheitsgesetz - Anforderungen an Betreiber von kritischen Infrastrukturen (KRITIS)

Beschreibung

Seit 2015

Ziele
  • Schutz der Bürger
  • Stärkung des Staates
  • Schutz der öffentlichen Informationstechnik
  • Informationstechnisch robuste Wirtschaft
  • Festlegung kritischer Infrastrukturen
Pflichten
  • ISMS inkl. IT-Risikoanalysen
  • Krisenreaktionsplänen in Abstimmung mit den Aufsichtsbehörden (BCM)
  • Systeme zur Angriffserkennung (SIEM)
ISMS und BCM

Business Continuity Management und Informationssicherheitsmanagement

IT-risikospezifische Verbindung zwischen

für einen sicheren und konformen IT-Betrieb bei KRITIS-Betreibern


Kritische Infrastrukturen

Kritische Infrastrukturen - Infrastrukturen mit wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen

Beschreibung

Kritis-Seite beim BSI
Was sind Kritische Infrastrukturen?
Störungen mit erheblichen Auswirkungen

Wirtschaftliches/soziales Wohlergehen der Bevölkerung

Allgemeines

Definition KRITIS
Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.

Infrastrukturen sind jedermann zugängliche staatliche oder private Anlagen oder Einrichtungen, die in einem festgelegten organisatorischen und/oder geografischen Bereich Dienstleistungen zur Verfügung stellen

Dazu gehören auch die ablaufenden Prozesse, die eingesetzte Informationstechnik sowie die tätigen Arbeitskräfte

  • Kritische Infrastrukturen sind dementsprechend "Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden."
  • "Kritisch" bezieht sich auf die Systemrelevanz der Infrastrukturen, also auf die für das Gesamtsystem und die Daseinsvorsorge besonders bedeutsamen Einrichtungen

Es bedarf auch des Schutzes Kritischer Informationsinfrastrukturen (, CIIP). "Kritisch" meint hierbei nicht, dass die Eintrittswahrscheinlichkeit von Störungen hoch ist

  • Es ist vielmehr so zu verstehen, dass Störungen oder Ausfälle weitreichende Folgen bis hin zu katastrophalen Auswirkungen für Staat, Wirtschaft und/oder große Teile der Bevölkerung haben können

Sektoren

Sektoren Kritischer Infrastrukturen
  1. Energie
  2. Informationstechnik und Telekommunikation
  3. Transport und Verkehr
  4. Gesundheit
  5. Medien und Kultur
  6. Wasser
  7. Ernährung
  8. Finanz- und Versicherungswesen
  9. Siedlungsabfallentsorgung
  10. Staat und Verwaltung

Alle Organisationen aus diesen Sektoren zählen unabhängig von ihrer Größe zu den Kritischen Infrastrukturen (KRITIS)

  • Die Sektoren Staat und Verwaltung sowie Medien und Kultur unterliegen jedoch nicht der Regulierung durch das BSIG
Durch das BSIG regulierte KRITIS-Sektoren

Gemäß § 2 Absatz 10 BSIG sind Kritische Infrastrukturen im Sinne dieses Gesetzes Einrichtungen, Anlagen oder Teile davon, die den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung angehören und von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden. Die Kritischen Infrastrukturen im Sinne dieses Gesetzes werden durch die Rechtsverordnung nach § 10 Absatz 1 BSIG (BSI-Kritisverordnung) näher bestimmt:

Arten

Kritische Infrastrukturen setzen sich zusammen aus technischen Basisinfrastrukturen und sozioökonomischen Infrastrukturen

Technische Basisinfrastrukturen gewährleisten die
  • Energieversorgung
  • Trinkwasserversorgung sowie Abwasserentsorgung und
  • ermöglichen Informationsaustausch, Kommunikation sowie
  • Transport und Verkehr bis hin zu
  • Absatz- und Lieferketten
Sozioökonomische Infrastrukturen betreffen

Teilweise sind sie interdependent wie beispielsweise Transport und Nahrungsmittelversorgung (Lieferketten)

Rechtsfragen

Im Sinne der EU-Richtlinie des Rates vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer Kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern, ist eine Kritische Infrastruktur eine Anlage, ein System oder ein Teil davon, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen hätte, da ihre Funktionen nicht aufrechterhalten werden könnten

Die CER-Richtlinie (EU 2022/2557) reguliert die Resilienz bei Kritischen Infrastrukturen in der EU durch Maßnahmen in Unternehmen und staatliche Aufsicht

Die NIS-2-Richtlinie weitet Cybersicherheitsvorgaben auf mehr Sektoren und mehr Unternehmen aus

Dienstleistungen und Schwellenwerte

BSI-Kritisverordnung definiert kritische Dienstleistungen und Schwellenwerte

Welche Einrichtungen, Anlagen oder Teile davon wegen ihrer Bedeutung für die Versorgung der Bevölkerung und damit für das Funktionieren des Gemeinwesens als Kritische Infrastrukturen im Sinne des BSIG gelten, wird durch die BSI-Kritisverordnung definiert. Ob ein bedeutender Versorgungsgrad vorliegt, ist vom Erreichen oder Überschreiten von in der BSI-Kritisverordnung aufgeführten Schwellenwerten abhängig. Werden diese Schwellenwerte erreicht oder überschritten, gelten für KRITIS-Betreiber die gesetzlichen Melde- und Nachweispflichten des BSIG.

Auch wenn Ihre Anlagen die Schwellenwerte der BSI-Kritisverordnung unterschreiten, empfehlen wir Ihnen die Teilnahme am UP KRITIS

  • Ergänzende Informationen auf der Website des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK)

Internetseiten des BBK zum Schutz Kritischer Infrastrukturen

Wirtschaftliche Aspekte

Aufgrund der Vernetzung Kritischer Infrastrukturen sowohl sektorübergreifend als auch grenzüberschreitend bestehen starke, nicht-lineare Interdependenzen

  • Dies kann dazu führen, dass sich eine Störung von einem Betreiber einer Kritischen Infrastruktur durch Kaskadeneffekt auf andere Betreiber ausbreitet und somit die Bevölkerung gefährdet
  • Betreiber ist nach Vorlage:§ Nr. 2 BSI-KritisV eine natürliche oder juristische Person, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf die Beschaffenheit und den Betrieb einer Anlage oder Teilen davon ausübt


NIS2

NIS2-Richtlinie - Network and Information Security Directive 2

Beschreibung

EU-Richtlinien zur Netzwerk- und Informationssicherheit

Einheitliche Maßnahmen für ein hohes Cybersicherheitsniveau in der gesamten EU

Cybersicherheit

EU Gesetzgebung zur Cybersicherheit

Steigerung des Gesamtniveaus der Cybersicherheit in der EU

Die 2016 eingeführten Cybersicherheitsvorschriften der EU wurden durch die 2023 in Kraft getretene NIS2-Richtlinie aktualisiert

  • Es modernisierte den bestehenden Rechtsrahmen, um mit der zunehmenden Digitalisierung und einer sich entwickelnden Bedrohungslandschaft für Cybersicherheit Schritt zu halten
  • Durch die Ausweitung des Anwendungsbereichs der Cybersicherheitsvorschriften auf neue Sektoren und Einrichtungen verbessert sie die Resilienz- und Reaktionskapazitäten öffentlicher und privater Stellen, der zuständigen Behörden und der EU insgesamt weiter

Die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union (NIS2-Richtlinie) sieht rechtliche Maßnahmen vor, um das Gesamtniveau der Cybersicherheit in der EU zu erhöhen, indem Folgendes gewährleistet wird:

  • Vorbereitung der Mitgliedstaaten, indem sie verlangt, dass sie angemessen ausgerüstet sind
  • Zum Beispiel mit einem Computer Security Incident Response Team (CSIRT) und einer zuständigen nationalen Behörde für Netzwerk- und Informationssysteme (NIS)
  • Zusammenarbeit zwischen allen Mitgliedstaaten durch Einsetzung einer Kooperationsgruppe
  • zur Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten
  • eine Kultur der Sicherheit in allen Sektoren, die für Wirtschaft und Gesellschaft von entscheidender Bedeutung sind und stark auf IKT angewiesen sind, wie Energie, Verkehr, Wasser, Banken, Finanzmarktinfrastrukturen, Gesundheitsversorgung und digitale Infrastruktur
Sicherheitsmaßnahmen und Meldepflichten

Unternehmen, die von den Mitgliedstaaten als Betreiber wesentlicher Dienste in den oben genannten Sektoren eingestuft wurden, müssen geeignete Sicherheitsmaßnahmen ergreifen und die zuständigen nationalen Behörden über schwerwiegende Vorfälle informieren

  • Wichtige Anbieter digitaler Dienste wie Suchmaschinen, Cloud-Computing-Dienste und Online-Marktplätze müssen die Sicherheits- und Benachrichtigungsanforderungen der Richtlinie erfüllen.

Netz- und Informationssicherheit

Richtline zur Netz- und Informationssicherheit

Muss bis Oktober 2024 umgesetzt werden

Anfang 2023 ist die zweite Fassung der Richtlinie zur Netzwerk- und Informationssicherheit (NIS 2) EU-weit in Kraft getreten

  • Die EU-Mitgliedsstaaten müssen NIS 2 bis zum 17. Oktober 2024 in nationales Recht umsetzen
  • In Deutschland liegt bereits jetzt ein Referentenentwurf des Bundesinnenministeriums zum NIS-2-Umsetzungsgesetz (NIS2UmsuCG) vor

Daraus geht hervor, dass nicht nur die Zahl der betroffenen Unternehmen massiv ansteigen, sondern es zusätzlich auch noch wesentlich höhere Anforderungen geben wird

Cybersicherheit

Klarere Vorgaben für die Cybersicherheit

Die Europäische Union hat im Jahr 2016 mit der Richtlinie zur Netzwerk- und Informationssicherheit (Network and Information Security Directive, NIS 1) Vorschriften zur Cybersicherheit eingeführt

  • NIS 1 verpflichtete die EU-Mitgliedsstaaten Betreiber "kritischer Dienste" zu ermitteln und für diese bestimmte Verfahren zur Cybersicherheit und Meldepflichten für Sicherheitsvorfälle einzuführen
Die Richtlinie wurde zeitnah in nationale Regelungen überführt

In Frankreich z. B. wurden Unternehmen zu Operateurs de Services Essentiels (OSE) erklärt, in Deutschland zu KRITIS-Betreibern (KRITIS = Kritische Infrastrukturen)

Die nationalen Umsetzungen erfolgten jedoch uneinheitlich und sehr unterschiedlich, sodass vergleichbare Unternehmen in manchen der 27 EU-Staaten als kritische Dienste oder Betreiber eingestuft wurden, in anderen dagegen nicht:

  • Je nach EU-Mitgliedsstaat lag die Zahl der kritischen Dienste daher zwischen 12 und 87 und die der Betreiber zwischen 20 und 10.897
Neufassung der NIS-Richtlinie (NIS 2)
  • Mit der Neufassung der NIS-Richtlinie (NIS 2) schafft die EU nun Klarheit und legt genau fest, welche Unternehmen zu den kritischen Diensten gehören und welche Anforderungen für sie gelten
  • Die Unternehmen werden verpflichtet, ihre Maßnahmen zum Schutz vor Cyberangriffen zu erhöhen, strengere Sicherheitsstandards zu etablieren und ihre IT-Systeme stets auf dem neuesten Stand zu halten

Geltungsbereich

Ausweitung des Geltungsbereichs

Der Geltungsbereich der neuen NIS-Richtlinie geht weit über die bisher bekannten Schlüsselunternehmen im Bereich der kritischen Infrastrukturen hinaus

"wesentlichen Einrichtungen" und "wichtigen Einrichtungen"

Konkret wird bei NIS 2 zwischen "wesentlichen Einrichtungen" und "wichtigen Einrichtungen" unterschieden

Wesentliche Einrichtungen (Essential Entities)
Energie Lieferung, Verteilung, Übertragung und Verkauf von Strom, Gas, Öl, Wasserstoff, Heizung sowie Ladestationen für die Elektromobilität
Straßen-, Schienen, Luft- und Schiffsverkehr dazu zählen auch Reedereien, Hafenanlagen und Flughäfen
Wasser Trink- und Abwasserversorgungsunternehmen
Digitale Infrastruktur und IT-Dienste dazu zählen auch Rechenzentren, Cloud-Dienste, elektronische Kommunikationsdienste, Internetknoten sowie Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste
Bank- und Finanzwesen Kredit, Handel, Markt, Infrastruktur und Versicherungswesen
Gesundheit Gesundheitsdienstleister, Pharmazeutika, Hersteller medizinischer Geräte, Forschungseinrichtungen
Öffentliche Verwaltung
Raumfahrt
Einrichtungen (Important Entities)
Abfallwirtschaft
Post- und Kurierdienste
Chemische Erzeugnisse Produktion und Vertrieb
Lebensmittel Produktion und Vertrieb
Hersteller Computer, Elektronik, Optik, Maschinen, Kraftfahrzeuge und Anhänger, Transportmittel
Digitale Anbieter Suchmaschinen, soziale Netzwerke, Online-Marktplätze
Forschungseinrichtungen
Unternehmensgröße und Umsatz

Welche Unternehmen die NIS-2-Vorgaben erfüllen müssen, richtet sich nach der Unternehmensgröße und dem Umsatz

Unterschieden werden dabei mittlere und große Unternehmen:

Mittelgroße Unternehmen 50 bis 250 Mitarbeiter, 10 bis 50 Millionen EUR Umsatz, Bilanzsumme kleiner als 43 Millionen EUR
Große Unternehmen mehr als 250 Mitarbeiter, mehr als 50 Millionen EUR Umsatz, Bilanzsumme größer als 43 Millionen EUR

Die konkreten Angaben zur Bemessung der Unternehmensgröße haben zur Folge, dass sich die Zahl der Unternehmen, die zum Bereich der kritischen Infrastrukturen gezählt werden, massiv erhöht

  • NIS 2 sorgt dafür, dass Maßnahmen zur Stärkung der Cybersicherheit für die breite Masse der Unternehmen in ganz Europa obligatorisch werden
  • Allein in Deutschland werden etwa 30.000 Unternehmen von NIS 2 betroffen sein
Betroffenheit muss selbst ermittelt werden

Unternehmen, für die NIS 2 gilt, müssen ein Risikomanagement einführen und technische sowie organisatorische Vorkehrungen treffen, um die Sicherheit ihrer Anlagen, Netzwerke, IT-Systeme und Lieferketten zu erhöhen und abzusichern

  • Das Besondere dabei ist, dass die Unternehmen anhand der genannten Kriterien selbst ermitteln müssen, ob NIS 2 für sie zutrifft
  • Ihnen wird von behördlicher Seite nicht mitgeteilt, dass für sie die NIS-2-Vorgaben gelten

Meldepflichten

Verschärfung der Meldepflicht

Unternehmen müssen ihrer nationalen Cyber Security Authority unverzüglich signifikante Störungen, Vorfälle und Cyber Threads melden

  • In Deutschland ist die zuständige Behörde das Bundesamt für Sicherheit in der Informationstechnik (BSI)
Dreistufiger Prozess
  1. Innerhalb von 24 Stunden muss direkt nach Bekanntwerden eines Vorfalls ein vorläufiger Bericht übermittelt werden
  2. Innerhalb von 72 Stunden muss ein vollständiger Bericht folgen, der auch eine erste Bewertung des Vorfalls enthält
  3. Innerhalb eines Monats muss ein Abschlussbericht eingereicht werden, der detaillierte Beschreibungen des Vorfalls, der Art der Bedrohung und der grenzüberschreitenden Auswirkungen enthält

Sanktionen

Verschärfung der Sanktionsmaßnahmen

Außer der Meldepflicht für Vorfälle verschärft NIS 2 auch die Sanktionen für die Missachtung der Vorgaben

  • Bei wesentlichen Einrichtungen können die Bußgelder bis zu 10 Millionen EUR oder 2 Prozent des weltweiten Jahresumsatzes betragen, je nachdem welcher Betrag höher ist
  • Bei wichtigen Einrichtungen ist das maximale Bußgeld auf 7 Millionen EUR oder 1,4 Prozent des weltweiten Jahresumsatzes gedeckelt
Referentenentwurf des Bundesinnenministeriums

Der Referentenentwurf des Bundesinnenministeriums sieht außerdem vor, dass

  • Geschäftsführer und andere Leitungsorgane von Unternehmen für die Einhaltung der Risikomanagementmaßnahmen mit ihrem Privatvermögen haften
  • Das Bußgeld kann dabei maximal 2 Prozent des weltweiten Jahresumsatzes betragen

Nationale Umsetzung

Nationale Umsetzung und Rolle des BSI

NIS-2-Richtlinie in Kraft getreten

Am 27.12.2022 wurde die zweite -Richtlinie zur Netzwerk- und Informationssicherheit im Amtsblatt L333 der Europäischen Union veröffentlicht

  • Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen
  • Die aktuelle stellt eine Weiterentwicklung der (ersten) aus dem Jahr 2016 dar ("EU-Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union")

Das nationale Gesetz zur Umsetzung der wird derzeit erarbeitet

  • Die Federführung dafür liegt beim Bundesministerium des Innern und für Heimat
  • Wir bitten um Verständnis, dass das sich nicht zu Gesetzgebungsvorhaben äußert, deren Abstimmung innerhalb der Bundesregierung noch nicht abgeschlossen ist
Historie der aus dem Jahr 2016

Das Gesetz zur Umsetzung wurde am 29.06.2017 verkündet

  • Es diente im Wesentlichen der Umsetzung der in deutsches Recht
  • Die definiert Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Europäischen Union
  • Mit der wurde ein einheitlicher Rechtsrahmen für den -weiten Aufbau nationaler Kapazitäten für die Cybersicherheit geschaffen
  • Insbesondere sieht die eine stärkere Zusammenarbeit der Mitgliedstaaten sowie Mindestsicherheitsanforderungen und Meldepflichten für Kritische Infrastrukturen () sowie für bestimmte Anbieter digitaler Dienste vor
  • Das erhielt vor diesem Hintergrund neue Aufgaben und Befugnisse

In Deutschland existierte mit dem -Sicherheitsgesetz (-SiG) bereits seit Juli 2015 ein einheitlicher Rechtsrahmen für die Zusammenarbeit von Staat und Unternehmen für mehr Cybersicherheit bei

  • Das -SiG sieht vor, dass -Betreiber sich beim registrieren, ihre -Sicherheit nach dem "Stand der Technik" umsetzen und erhebliche -Sicherheitsvorfälle an das melden

Befugnisse des BSI

Erweitert die Befugnisse des BSI und stärkt gleichzeitig die Kooperation von Staat und Wirtschaft

Das setzt sich dafür ein, dass der mit dem gelebte kooperative Ansatz im Zuge der nationalen Umsetzung der intensiviert wird, da die erheblichen Herausforderungen im Bereich der -Sicherheit nur von Staat und Wirtschaft gemeinsam bewältigt werden können

  • Damit wird das seiner Vorreiterrolle innerhalb der auf dem Gebiet der Cybersicherheit gerecht
Das unterstützt -Betreiber aktiv, auch vor Ort

sind ein attraktives Ziel für Cyberangriffe, die potenziell zu hohen wirtschaftlichen Schäden bis hin zu Versorgungsausfällen führen können

  • Um die Betreiber Kritischer Infrastrukturen noch wirksamer zu unterstützen, hat das Mobile Incident Response Teams (MIRT) eingerichtet
  • Diese Spezial-Task-Forces bestehen aus Cybersicherheitsexpertinnen und -experten des , die auf Wunsch der -Betreiber besonders schwerwiegende Cyberangriffe vor Ort untersuchen und bei deren Bewältigung helfen

Gesetzliche Grundlagen

  • EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie)
  • EU-Richtlinie 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-Richtlinie)
  • Gesetz zur Umsetzung der NIS-Richtlinie


Organisatorisch
  • Aufbau-Organisation
  • Ablauf-Organisation

ISO/IEC 27001

  • Anforderungen
  • Bestandteile

ISO/27001 - Anforderungen an ein Informationssicherheitsmanagementsystem

Beschreibung

ISO/IEC 27001

Internationale Norm

  • Informationstechnologie - Sicherheitstechniken - Informationssicherheitsmanagementsysteme - Anforderungen
  • Information technology – Security techniques – Information security management systems – Requirements

Dokumentiertes Informationssicherheits-Managementsystems

  • unter Berücksichtigung des Kontexts einer Organisation
Anforderungen an ein ISMS
Einrichtung
Umsetzung
Aufrechterhaltung
Fortlaufende Verbesserung
Beurteilung und Behandlung von Informationssicherheitsrisiken

Weiterhin beinhaltet die Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation

  • Hierbei werden sämtliche Arten von Organisationen (z. B. Handelsunternehmen, staatliche Organisationen, Non-Profitorganisationen) berücksichtigt
  • Die Norm wurde auch als DIN-Norm veröffentlicht und ist Teil der ISO 27000-Reihe

Die Norm spezifiziert Anforderungen für die Implementierung von geeigneten Sicherheitsmechanismen, welche an die Gegebenheiten der einzelnen Organisationen adaptiert werden sollen

Inhalte

Anwendung

Bereiche
  • Formulierung von Anforderungen und Zielsetzungen zur Informationssicherheit
  • Kosteneffizientes Management von Sicherheitsrisiken
  • Sicherstellung der Konformität mit Gesetzen und Regulatorien
  • Prozessrahmen für die Implementierung und das Management von Maßnahmen zur Sicherstellung von spezifischen Zielen zur Informationssicherheit
  • Definition von neuen Informationssicherheits-Managementprozessen
  • Identifikation und Definition von bestehenden Informationssicherheits-Managementprozessen
  • Definition von Informationssicherheits-Managementtätigkeiten
  • Gebrauch durch interne und externe Auditoren zur Feststellung des Umsetzungsgrades von Richtlinien und Standards

Anforderungen

Anhang (Normativ)

Beispiele für Anforderungen

Zuordnung ISO und IT-Grundschutz

Zuordnung ISO und IT-Grundschutz

Zertifizierung

Managementsysteme

Viele Einrichtungen haben interne Sicherheitsrichtlinien für ihre IT

  • Durch eine interne Begutachtung (Audit) können Unternehmen ihr korrektes Vorgehen im Abgleich mit ihren eigenen Vorgaben überprüfen
  • Unternehmen können damit allerdings ihre Kompetenzen im Bereich der IT-Sicherheit nicht öffentlichkeitswirksam gegenüber (möglichen) Kunden aufzeigen
  • Dazu ist eine Zertifizierung z. B. nach ISO/IEC 27001, ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz oder nach IT-Grundschutz sinnvoll
Konformität zu Normen und Standards
  1. Konformität von sich aus verkünden
  2. Kunden bitten, die Konformität zu bestätigen
  3. Unabhängiger externen Auditor kann die Konformität verifizieren
  4. Begutachtung durch eine staatliche Stelle (z. B.  das BSI)
Die ISO selbst führt keine Zertifizierungen durch
  • Gibt den Rahmen vor

Personen

Es existieren verschiedene, meist modulare, Schemata zur Ausbildung und Zertifizierung von Personen im Bereich der ISO/IEC 27000-Reihe


Normen, Standards, Rahmenwerke

Weitere relevante Standards ISMS/Standard - Standards zur Informationssicherheit

Beschreibung

Normen und Standards im Überblick

Gründe für Standards

Aufwand für die Sicherung von IT-Ressourcen kann sehr hoch sein

  • Traditionell
    • wird zuerst eine Analyse der vorhandenen schützenswerten Objekte (Assets) und eine Risiko-/Bedrohungsanalyse durchgeführt
  • Danach
    • werden die notwendigen Sicherheitsmaßnahmen ausgewählt
    • die zum Schutz der jeweiligen Assets für nötig erachtet werden

Um den Zeit- und Arbeitsaufwand für die Sicherung reduzieren

  • zu können und unternommene Sicherheitsbemühungen besser vergleichen zu können, werden in der Praxis oft Kriterienkataloge angewandt, die den Sicherheitsverantwortlichen bei seiner Arbeit unterstützen
  • Die verschiedenen Kriterienwerke haben aber eine unterschiedliche Auslegung bezüglich der Anwendung, der verwendeten Methoden und der betrachteten Problemstellungen

Normen und Standards

ISO/27000

In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements an der ISO/IEC-27000-Reihe

  • Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
  • Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
  • Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von "Industrial Automation and Control Systems" (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller

Nutzen von Sicherheitsstandards

Option Beschreibung
Kostensenkung
  • Praxiserprobte Vorgehensmodelle
  • Methodische Vereinheitlichung
  • Nachvollziehbarkeit
  • Ressourceneinsparung durch Kontinuität und einheitliche Qualifikation
  • Interoperabilität
Angemessenes Sicherheitsniveau
  • Orientierung am Stand der Technik und Wissenschaft
  • Gewährleistung der Aktualität
  • Verbesserung des Sicherheitsniveaus durch die Notwendigkeit der zyklischen Bewertung
Wettbewerbsvorteile
  • Zertifizierung des Unternehmens sowie von Produkten
  • Nachweisfähigkeit bei öffentlichen und privatwirtschaftlichen Vergabeverfahren
  • Verbesserung des Unternehmensimage
Rechtssicherheit
  • Stärkung der Rechtssicherheit

Zweck und Struktur relevanter Normen und Richtlinien

Arten von Normen und Standards

Standards zur Informationssicherheit im Überblick

Beispiele

Beispiele für Normen und Standards

Kriterienwerke

Standard Beschreibung
IT-Grundschutz/Kompendiumn
BSI
ISO/IEC 13335
ISO/IEC 19790
ISO/27000
Common Criteria/ITSEC/ISO/IEC 15408
COBIT
ITIL
DIN EN 50600
Common Criteria
ISIS12
COSO
ITIL IT_Infrastructure_Libary
ISO/IEC 13335
ISO/IEC 9000

Verbindlichkeit

Normen/Modalverben - Modalverben beschreiben die Verbindlichkeit einer Anforderung

Beschreibung
MUSS und SOLL
Ausdruck Verbindlichkeit
MUSS
DARF NUR		 Anforderung muss unbedingt erfüllt werden
DARF NICHT
DARF KEIN		 Darf in keinem Fall getan werden
SOLLTE Anforderung ist normalerweise zu erfüllt (MUSS, wenn kann). Abweichung in stichhaltig begründeten Fällen möglich
SOLLTE NICHT
SOLLTE KEIN		 Etwas darf normalerweise nicht getan werden. Abweichung in stichhaltig begründeten Fällen möglich
Ausdruck Verbindlichkeit
MUST, MUST NOT
SHALL, SHALL NOT		 Anforderung muss zwingend eingehalten werden
SHOULD, SHOULD NOT
RECOMMENDED, NOT RECOMMENDED		 Empfohlene Anforderung, Abweichung in begründeten Einzelfällen möglich.
MAY, OPTIONAL Anforderung liegt im Ermessen des Herstellers



IT-Grundschutz

IT-Grundschutz - Vorgehensweise zum Aufbau eines Informationssicherheits-Managementsystem (ISMS)

Beschreibung

Standards
200-1 Anforderungen an ein ISMS
200-2 Umsetzung der Anforderungen
200-3 Risikoanalyse
200-4 Business Continuity Management
Kompendium
Kapitel 1 IT-Grundschutz/Kompendium/Vorspann
Kapitel 2 Schichtenmodell / Modellierung
Elementare
Gefährdungen		 Elementare Gefährdungen
Schichten Prozesse
Systeme


Identifizieren und Umsetzen von Sicherheitsmaßnahmen

Bestandteile
Standards Vorgehen zur Gewährleistung von Informationssicherheit, Organisatorischer Rahmen
Kompendium mit dem die in den Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können
Sicherheitsniveau
  • Mittel
  • Im Allgemeinen ausreichend und angemessen
  • Erweiterbar für erhöhten Schutzbedarf


Anforderungen

Bereich Beschreibung
Technisch Geräte, Netzwerke, Strukturen, ...
Infrastrukturell Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ...
Organisatorisch Ablauforganisation, Aufbauorganisation
Personell Rollen, Zuständigkeiten, Schnittstellen, Informationsaustausch, ...

Zertifizierung

ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz

Nachweis eines

Bedeutung von Informationen

Wichtigkeit und Bedeutung von Informationen

Für Unternehmen und Behörden ist es unerlässlich, dass Informationen

  • korrekt vorliegen
  • vertraulich behandelt werden
Entsprechend wichtig ist, dass

Technischen Systeme, mit denen Informationen gespeichert, verarbeitet oder übertragen werden

  • reibungslos funktionieren
  • wirksam gegen vielfältige Gefährdungen geschützt sind

IT-Grundschutz des BSI

Grundlage
  • Herausforderungen professionell gerecht werden
  • Bemühungen für Informationssicherheit strukturieren
IT-Grundschutz ermöglicht
  • Systematische Schwachstellensuche
  • Prüfen der Angemessenheit von Schutzmaßnahmen
  • Sicherheitskonzepte entwickeln und fortschreiben
    • passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
  • Allgemein anerkannten Standards zu genügen
  • Best Practice

Wege zur Informationssicherheit

Es gibt viele Wege zur Informationssicherheit

  • Mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten
  • Grundschutz will nicht nur eine Landkarte, sondern ein Wegweiser für Informationssicherheit sein

Herausforderungen

Herausforderung Beschreibung
Komplexität Komplexität der Gefährdungslage
  • Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt
Ganzheitlichkeit Ganzheitlichkeit der Sicherheitskonzepte
  • Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe
Zusammenwirken Zusammenwirken der Sicherheitsmaßnahmen
  • Damit die eingesetzten Sicherheitsmaßnahmen die komplexe Gefährdungslage hinreichend in den Griff bekommen können, müssen die organisatorischen, technischen und infrastrukturellen Schutzvorkehrungen zu der jeweiligen Institution passen, an der tatsächlich bestehenden Gefährdungslage ausgerichtet sein, sinnvoll zusammenwirken und von der Leitung und den Beschäftigten unterstützt und beherrscht werden
Angemessenheit Angemessenheit der Sicherheitsmaßnahmen
  • Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten
  • Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern
  • Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden
Externe Anforderungen Erfüllung externer Anforderungen
  • Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben
  • Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet
Nachhaltigkeit Nachhaltigkeit der Sicherheitsmaßnahmen
  • Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand
  • Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter
  • Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln


Konzept

Verzicht auf initiale Risikoanalysen

Pauschale Gefährdungen

  • Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird zunächst verzichtet

Schutzbedarf

Drei Schutzbedarfskategorien

Schutzbedarf des Untersuchungsgegenstandes festlegen

Kategorie Schaden
Normal überschaubar
Hoch beträchtlich
Sehr Hoch existenzgefährdend

Anforderungen

Sicherheitsmaßnahmen

Passende Sicherheitsmaßnahmen auswählen

IT-Grundschutz-Kompendium
  • personell
  • technisch
  • organisatorisch
  • infrastrukturell

Kochrezepte

Basierend auf dem IT-Grundschutz-Kompendium

BSI-Standard 200-2 bietet "Kochrezepte" für ein Normales Schutzniveau

Eintrittswahrscheinlichkeit und Schadenshöhe

Dabei werden neben Eintrittswahrscheinlichkeiten und potenzieller Schadenshöhe auch die Kosten der Umsetzung berücksichtigt

IT-Grundschutz-Kompendium

Durch die Verwendung des IT-Grundschutz-Kompendiums entfällt eine aufwendige Sicherheitsanalyse

  • das Expertenwissen erfordert
  • da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
  • Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen
Erfolgreiche Umsetzung

Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines Informationssicherheitsmanagementsystems (ISMS) wird vom BSI ein Zertifikat ISO/IEC 27001 auf Basis von IT-Grundschutz vergeben

  • Basis dieses Verfahrens sind die neuen BSI-Sicherheitsstandards
  • Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
  • Unternehmen, die sich nach dem ISO/IEC 27001-Standard zertifizieren lassen, sind zur Risikoanalyse verpflichtet
  • Um es sich komfortabler zu gestalten, wird meist auf die Schutzbedarfsfeststellung gemäß IT-Grundschutz-Katalogen ausgewichen
  • Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ISO/IEC 27001, als auch eine Konformität zu den strengen Richtlinien des BSI
  • Darüber hinaus bietet das BSI einige Hilfsmittel wie Musterrichtlinien an
Datenschutz

Es liegt auch ein Baustein für den Datenschutz vor, der von dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die IT-Grundschutz-Kataloge integriert wurde

  • Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung


Umsetzung

Umsetzung eines ISMS nach ISO 27001

  • Theoretisch
  • Praktisch
  • Zertifizierung
Abgerufen von „https://wiki.foxtom.de/index.php?title=Diskussion:Skript/ISMS&oldid=115505“