Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 4. POLICY, VORFALLSBEARBEITUNG, SCHWACHSTELLENANALYSE
Natürlich sind die obigen Beispiele grob vereinfacht dargestellt und die Unterschiede in den Beträgen
besonders deutlich gewählt. In der Praxis wird sich die Abwägung deutlich schwieriger gestalten. Das
liegt zum einen daran, daß wesentlich mehr Faktoren in die Berechnung mit einfließen müssen (z.B.
Lager- und Wartungskosten, immaterielle Schäden, Restrisiken), zum anderen ist das Zahlenmaterial,
besonders die Wahrscheinlichkeiten, meistens wesentlich ungenauer und unsicherer. Das Prinzip, nach
dem diese Abwägungen getroffen werden, ist jedoch das gleiche.
Welche Risiken werden eingegangen?
Welche Restrisiken bleiben?
Wenn die Entscheidungen für oder gegen einzelne mögliche Sicherheitsmaßnahmen getroffen sind,
bleibt eine Anzahl an Risiken über, gegen die keine Absicherung getroffen wird. Entweder aus dem
Grund, daß eine Lösung unpraktikabel oder teuer war, oder daß eine Absicherung überhaupt nicht
möglich war, wie zum Beispiel bei schweren Naturkatastrophen.
Für (möglichst) alle diese Risiken sollten später Pläne erstellt werden, wie bei Eintreten des jeweiligen
Vorfalls vorgegangen werden soll (siehe Abschnitt 4.4.4).
Wenn alle Risiken und möglichen Sicherheitsmaßnahmen eingeschätzt und entsprechend die Entscheidungen
für oder gegen diese getroffen wurden, kann aus diesen Informationen die Policy erstellt
werden, in der die getroffenen Entscheidungen dann zu festen Regeln werden und entsprechend ausgearbeitet
sind.
4.4.4 Vorfallsbearbeitung
In Abschnitt 4.4.3 wurden Risiken gegen Sicherheitsmaßnahmen gegeneinander abgewägt und Entscheidungen
darüber getroffen, ob eine Absicherung stattfinden soll. Dabei blieb eine Anzahl an Risiken,
die in Kauf genommen werden, weil eine Absicherung zu teuer oder nicht praktikabel ist. Für
jedes dieser Risiken muß nun ein Plan zur Vorfallsbearbeitung erarbeitet werden, damit man dem
Vorfall trotz fehlender Absicherung nicht unvorbereitet gegenüber steht.
Auch hier muß wieder geklärt werden:
Was?
Wer?
Was soll unternommen werden, um die Auswirkungen zu begrenzen und den
Schaden zu beheben?
Wie soll dabei vorgegangen werden und wie weit soll die Schadensbehebung
gehen?
Welche Mitarbeiter sind für die einzelnen Teile der Vorfallsbearbeitung
zuständig?
Welche externen Stellen sollen kontaktiert werden?
Durch die Erarbeitung von Plänen zur Vorfallsbearbeitung kann die Schadensbegrenzung effizienter
durchgeführt und der Schaden somit reduziert werden. Auch werden Fehler vermieden, die durch
unkoordinierte Bemühungen einzelner Personen entstehen können („operative Hektik“). Die Reaktion
auf einen Vorfall ist im allgemeinen für alle Beteiligten ein Sonderfall, für den keine Routine und
wenig bis gar kein Training besteht.
Wenn also zum Beispiel ein Cracker ein System kompromittiert hat, sollte klar sein, welche Schritte
einzuleiten sind, um die Integrität des Systems wiederherzustellen, in welchem Maße Spurensicherung
stattfinden soll und ob Anzeige bei der Polizei erstattet wird.
64 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen