IT-Sicherheit mit System - Sicherheitspyramide - Sicherheits-, Kontinuitäts- und Risikomanagement - Normen und Practices - SOA und Softwareentwicklung

Vorwort

Inhaltsübersicht

Inhaltsverzeichnis

1 Ausgangssituation und Zielsetzung

1.1 Ausgangssituation

1.1.1 Bedrohungen

1.1.2 Schwachstellen

1.1.3 Schutzbedarf

1.2 Zielsetzung des Sicherheits-, Kontinuitäts- und Risikomanagements

1.3 Lösung

1.4 Zusammenfassung

2 Kurzfassung und Überblick für Eilige

3 Zehn Schritte zum Sicherheitsmanagement

4 Definitionen zum Sicherheits-, Kontinuitäts- und Risikomanagement

4.1 Unternehmenssicherheitsmanagementsystem

4.2 Informationssicherheitsmanagementsystem

4.3 Sicherheitsmanagement

4.4 ITK-Sicherheitsmanagement

4.4.1 ISO/IEC 13335-1:2004

4.4.2 ISO/IEC 17799:2005, ISO/IEC 27002:2005

4.4.3 ISO/IEC 27001:2005

4.4.4 ISO/IEC 27000-Reihe

4.4.5 ITIL® Security Management

4.4.6 IT-Grundschutzhandbuch, IT-Grundschutzkataloge des BSI

4.4.7 COBIT®, Version 4.0

4.4.8 BS 25999-1:2006

4.4.9 BS 25999-2

4.4.10 Fazit: Normen und Practices versus Sicherheitspyramide

4.5 Ingenieurmäßige Sicherheit – Safety, Security, Continuity Engineering

4.6 Sicherheitspyramide

4.7 Sicherheitspolitik

4.7.1 ... nach IT-Grundschutzhandbuch/-katalogen (IT-GSHB 2006)

4.7.2 ... nach ITSEC

4.7.3 ... nach ISO/IEC 13335-1:2004

4.7.4 ... nach ISO 15408 (Common Criteria)

4.7.6 ... nach ISO/IEC 27001:2005

4.7.7 ... nach Dr.-Ing. Müller

4.7.8 Vergleich

4.8 Sicherheit im Lebenszyklus

4.9 Ressourcen, Schutzobjekte und -subjekte sowie -klassen

4.10 Sicherheitskriterien

4.11 Geschäftseinflussanalyse (Business Impact Analysis)

4.12 Geschäftskontinuität (Business Continuity)

4.13 Sicherheit und Sicherheitsdreiklang

4.14 Risiko und Risikodreiklang

4.15 Risikomanagement

4.16 Zusammenfassung

5 Die Sicherheitspyramide – Strategie und Vorgehensmodell

5.1 Überblick

5.2 Sicherheitshierarchie

5.2.1 Sicherheits-, Kontinuitäts- und Risikopolitik

5.2.2 Sicherheitsziele / Sicherheitsanforderungen

5.2.3 Sicherheitstransformation

5.2.4 Sicherheitsarchitektur

5.2.5 Sicherheitsrichtlinien

5.2.6 Spezifische Sicherheitskonzepte

5.2.7 Sicherheitsmaßnahmen

5.3 PROSim

5.4 Lebenszyklus von Prozessen, Ressourcen, Produkten und Leistungen (Services)

5.4.1 Geschäfts-, Support- und Begleitprozess-Lebenszyklus

5.4.2 Ressourcen-/Systemlebenszyklus

5.4.3 Dienstleistungs- und Produktlebenszyklus

5.5 Sicherheitsregelkreis

5.6 Sicherheitsmanagementprozess

5.7 Zusammenfassung

6 Sicherheits-, Kontinuitäts- und Risikopolitik

6.1 Zielsetzung

6.2 Umsetzung

6.3 Inhalte

6.4 Checkliste

6.5 Praxisbeispiele

6.5.1 Sicherheits-, kontinuitäts- und risikopolitische Leitsätze Versicherung

6.5.2 Sicherheits-, Kontinuitäts- und Risikopolitik

6.6 Zusammenfassung

7 Sicherheitsziele / Sicherheitsanforderungen

7.1 Schutzbedarfsklassen

7.2 Schutzbedarfsanalyse

7.2.1 Prozessarchitektur und Prozesscharakteristika

7.2.2 Externe Sicherheitsanforderungen

7.2.3 Geschäftseinflussanalyse (Business Impact Analysis)

7.2.4 Betriebseinflussanalyse (Operational Impact Analysis)

7.3 Tabelle Schadensszenarien

7.4 Praxisbeispiele

7.4.1 Schutzbedarf der Geschäftsprozesse

7.4.3 Schutzbedarfsklassen

7.5 Zusammenfassung

8 Sicherheitstransformation

8.1 Haus zur Sicherheit – House of Safety, Security and Continuity (HoSSC)

8.2 Safety, Security and Continuity Function Deployment (SSCFD)

8.2.1 Transformation der Anforderungen auf Sicherheitscharakteristika

8.2.2 Detaillierung der Sicherheitscharakteristika

8.2.3 Abbildung der Charakteristika auf den Lebenszyklus

8.3 Schutzbedarfsklassen

8.4 Praxisbeispiele

8.5 Zusammenfassung

9 Sicherheitsarchitektur

9.1 Überblick

9.2 Prinzipielle Sicherheitsanforderungen

9.3 Prinzipielle Bedrohungen

9.4 Strategien und Prinzipien

9.4.1 Risikostrategie (Risk Strategy)

9.4.2 Sicherheitsstrategie (Safety, Security and Continuity Strategy)

9.4.3 Prinzip der Wirtschaftlichkeit

9.4.4 Prinzip der Abstraktion

9.4.5 Prinzip der Klassenbildung

9.4.6 Poka-Yoke-Prinzip

9.4.7 Prinzip der Namenskonventionen

9.4.8 Prinzip der Redundanz (Principle of Redundancy)

9.4.9 Prinzip des „aufgeräumten” Arbeitsplatzes (Clear Desk Policy)

9.4.10 Prinzip des „gesperrten” Bildschirms (Clear Screen Policy)

9.4.11 Prinzip der Eigenverantwortlichkeit

9.4.12 Vier-Augen-Prinzip (Confirmed Double Check Principle)

9.4.13 Prinzip der Funktionstrennung (Segregation of Duties)

9.4.14 Prinzip der Sicherheitsschalen (Security Shells)

9.4.15 Prinzip der Pfadanalyse

9.4.16 Prinzip des generellen Verbots (Deny All Principle)

9.4.17 Prinzip der minimalen Rechte (Need to Use Principle)

9.4.18 Prinzip der minimalen Dienste

9.4.19 Prinzip der minimalen Nutzung

9.4.20 Prinzip der Nachvollziehbarkeit und Nachweisbarkeit

9.4.21 Prinzip des „sachverständigen Dritten“

9.4.22 Prinzip des Closed-Shop-Betriebs und der Sicherheitszonen

9.4.23 Prinzip der Prozess-, Ressourcen- und Lebenszyklusimmanenz

9.4.24 Prinzip der Konsolidierung

9.4.25 Prinzip der Standardisierung (Principle of Standardization)

9.4.26 Prinzip der Plausibilisierung (Principle of Plausibleness)

9.4.27 Prinzip der Konsistenz (Principle of Consistency)

9.4.28 Prinzip der Untergliederung (Principle of Compartmentalization)

9.4.29 Prinzip der Vielfältigkeit (Principle of Diversity)

9.5 Sicherheitselemente

9.5.1 Prozesse im Überblick

9.5.2 Konformitätsmanagement (Compliance Management)

9.5.3 Datenschutzmanagement (Privacy Management)

9.5.4 Risikomanagement (Risk Management)

9.5.5 Leistungsmanagement (Service Level Management)

9.5.6 Finanzmanagement (Financial Management)

9.5.7 Projektmanagement (Project Management)

9.5.8 Qualitätsmanagement (Quality Management)

9.5.9 Ereignismanagement (Incident Management)

9.5.10 Problemmanagement (Problem Management)

9.5.11 Änderungsmanagement (Change Management)

9.5.12 Releasemanagement (Release Management)

9.5.13 Konfigurationsmanagement (Configuration Management)

9.5.14 Lizenzmanagement (Licence Management)

9.5.15 Kapazitätsmanagement (Capacity Management)

9.5.16 Wartungsmanagement (Maintenance Management)

9.5.17 Kontinuitätsmanagement (Continuity Management)

9.5.18 Securitymanagement (Security Management)

9.5.19 Architekturmanagement (Architecture Management)

9.5.20 Innovationsmanagement (Innovation Management)

9.5.21 Personalmanagement (Human Resources Management)

9.5.22 Ressourcen im Überblick

9.5.23 ITK-Hard- und Software

9.5.24 Infrastruktur

9.5.25 Dokumente

9.5.26 Personal

9.5.27 Organisation im Überblick

9.5.28 Lebenszyklus im Überblick

9.6 Hilfsmittel Sicherheits- und Risikoarchitekturmatrix

9.7 Zusammenfassung

10 Sicherheitsrichtlinien/-standards – Generische Sicherheitskonzepte

10.1 Übergreifende Richtlinien

10.1.1 Sicherheitsregeln

10.1.2 Prozessvorlage

10.1.3 IT-Benutzerordnung

10.1.4 E-Mail-Nutzung

10.2 Betriebs- und Begleitprozesse (Managementdisziplinen)

10.2.1 Kapazitätsmanagement

10.2.2 Kontinuitätsmanagement

10.2.3 Securitymanagement

10.3 Ressourcen

10.3.1 Zutrittskontrollsystem

10.3.2 Passwortspezifische Systemanforderungen

10.3.3 Wireless LAN

10.4 Organisation

10.5 Zusammenfassung

11 Spezifische Sicherheitskonzepte

11.1 Prozesse

11.2 Ressourcen

11.3 Zusammenfassung

12 Sicherheitsmaßnahmen

12.1 Ressourcen

13 Lebenszyklus

13.1 Beantragung

13.2 Planung

13.3 Fachkonzept, Anforderungsspezifikation

13.4 Technisches Grobkonzept

13.5 Technisches Feinkonzept

13.6 Entwicklung

13.7 Integrations- und Systemtest

13.8 Freigabe

13.9 Software-Evaluation

13.10 Auslieferung

13.11 Abnahmetest und Abnahme

13.12 Software-Verteilung

13.13 Inbetriebnahme

13.14 Betrieb

13.15 Außerbetriebnahme

13.16 Hilfsmittel Phasen-Ergebnistypen-Tabelle

13.17 Zusammenfassung

14 Sicherheitsregelkreis

14.1 Sicherheitsprüfungen

14.2 Sicherheitscontrolling

14.3 Berichtswesen (Safety-Security-Reporting)

14.4 Safety-Security-Benchmarks

14.5 Hilfsmittel IT-Sicherheitsfragen

14.6 Zusammenfassung

15 Reifegradmodell des Sicherheitsmanagements – Safety/Security/Continuity Management Maturity Model

15.1 Systems Security Engineering – Capability Maturity Model

15.2 Information Technology Security Assessment Framework

15.3 Security-Maturity-Modell

15.4 Reifegradmodell nach Dr.-Ing. Müller

15.5 Checkliste Reifegrad

15.6 Praxisbeispiel

15.7 Zusammenfassung

16 Sicherheitsmanagementprozess

16.1 Deming- bzw. PDCA-Zyklus

16.2 Planung

16.3 Durchführung

16.4 Prüfung

16.5 Verbesserung

16.6 Zusammenfassung

17 Minimalistische Sicherheit

Abbildungsverzeichnis

Markenzeichen

Verzeichnis über Gesetze, Vorschriften, Standards, Normen, Practices

Deutsche Gesetze und Verordnungen

Ausführungsbestimmungen, Grundsätze, Vorschriften

Standards, Normen, Leitlinien und Rundschreiben

Literatur- und Quellenverzeichnis

Glossar und Abkürzungsverzeichnis

Sachwortverzeichnis

Über den Autor