Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

4.4. ERSTELLUNG UND UMSETZUNG
Besonders bei schweren Vorfällen wie Bränden, Personenschäden oder Ausfällen von weiten Teilen
der Systeme z.B. durch Gewitterschaden stellt für alle Beteiligten eine starke psychische Belastung
dar, unter der es schwer ist, aus dem Stand sinvoll und effizient zu handeln. In manchen Fällen kann
es sogar unmöglich sein, auf einen Vorfall sinnvoll zu reagieren, wenn nicht vorher schon Vorbereitungen
getroffen wurden. So sollte zum Beispiel eine Kopie der Pläne zur Vorfallsbearbeitung an
mehreren Stellen gelagert werden, damit diese bei einem Brand auch zur Verfügung stehen und nicht
verbrennen.
Idealerweise bieten die Pläne zur Vorfallsbearbeitung die „Vorbereitung auf das Unvorhersehbare“
und zu jedem möglichen Vorfall gibt es Handlungsanweisungen, wie vorzugehen ist. Solch ein „Zauberbuch“
wird es jedoch in der Praxis natürlich nicht geben. Trotzdem ist es sinnvoll, möglichst viele
Möglichkeiten bei der Erstellung dieser Pläne in Betracht zu ziehen, denn jede Stunde die für die
Erstellung eines solchen Dokumentes verwendet wird, zahlt sich im Ernstfall um ein Vielfaches aus.
4.4.5 Zusammenspiel
In den vorigen Abschnitten wurden drei Teile vorgestellt, aus denen ein vollständiges Sicherheitskonzept
bestehen sollte, die Risikoanalyse, die Policy selbst und die Vorfallsbearbeitung.
Am Anfang steht eine Risikoanalyse, die Risiken und Schwachstellen aufdeckt und Gegenmaßnahmen
abwägt.
Diese Menge von Risiken wird dadurch in zwei Teile aufgespalten. Der größte Teil sollte in der Policy
durch entsprechende Maß nahmen verhindert oder verringert werden. Die restlichen Risiken sollten
dann in den Plänen zur Vorfallsbearbeitung Beachtung finden.
Risiken
Schwachstellen-
Analyse
Vorfalls-Bearbeitung /
Notfall-Plan
Policy
Abbildung 4.2: Das Zusammenspiel der drei Teile
Idealerweise gibt es also kein Risiko, das weder in der Policy noch bei der Vorfallsbearbeitung behandelt
wird (siehe Abbildung 4.2). Natürlich ist auch dies wieder ein Idealbild, das in der Praxis kaum
zu erreichen ist. Es sollte aber auf jeden Fall das angestrebte Ziel sein, dieses Bild so weit wie möglich
zu verwirklichen.
4.4.6 Umsetzung der Policy und Kontrolle
Nach der erfolgreichen Erstellung der Policy und ihrer Zusätze (Handbücher, Standards usw.) kann
diese „in Betrieb genommen“ werden. Sie wird also nochmals durch den zuständigen Entscheidungsträger
abgesegnet und ist ab sofort gültig und bindend. Jedoch ist die Arbeit an der Policy nicht abge-
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 65