(Jan/Feb 2009) Titelfoto - Resoom Magazine

Weitere Magazine

Empfehlungen

Info

28 IT-Sicherheit Grundlagen Felix Widmer Wie viel Sicherheit brauchen wir? Sicherheit ist nicht konfektionierbar. Die Palette von Programmen, die für Sicherheit sorgen sollen, ist bunt. Doch ohne grundlegendes Verständnis von Sicherheit gleicht jede Entscheidung für ein Produkt oder einer Maßnahme einem Würfelspiel. „Erfahrung ist wie eine Laterne im Rücken; sie beleuchtet stets nur das Stück Weg, das wir bereits hinter uns haben.“ (Konfuzius) Genau so funktioniert unser Sicherheitsdenken. Wir schauen zurück und stellen fest: Es ist noch nie etwas passiert. Es besteht somit kein Handlungsbedarf. Wie können wir aus der Erfahrung lernen? Wir müssen vorausschauend die relevanten Gefahren und die daraus möglichen Schäden rechtzeitig erkennen und angemessene Vorkehrungen treffen. Dazu ein Beispiel: Bahn fahren ohne Fahrschein. Ich fahre regelmäßig im Nahbereich. Ein Fahrschein kostet drei Euro. Über längere Zeit habe ich die Erfahrung gemacht, dass ich durchschnittlich jedes 20. Mal in eine Kontrolle gerate. Es wird jeweils eine Strafgebühr von 60 Euro plus 3 Euro für den Fahrschein fällig. Analysieren wir diese Situation. Die Gefahr, der ich mich aussetze, ist die mögliche Kontrolle. Meine Schwachstelle ist der fehlende Fahrschein. Der mögliche Schaden beträgt 63 Euro (Strafgebühr plus Fahrschein). Die Wahrscheinlichkeit, dass ich in eine Kontrolle gerate, beträgt 5% (jedes 20. Mal). Somit habe ich für jede Fahrt ein potenzielles Risiko von 3,15 Euro (Wahrscheinlichkeit multipliziert mit dem möglichen Schaden). Es ist uns sofort klar, dass die proaktive Investition (3 Euro) in einen Fahrschein besser ist, als die durchschnittlichen reaktiven Kosten (3,15 Euro) einer Fahrt. Welche Faktoren beeinflussen wir mit die ser Entscheidung? Wir haben den möglichen Schaden eliminiert. Die Wahrscheinlichkeit einer Kontrolle bleibt unverändert. Sie kann von uns auch gar nicht beeinflusst werden. Und damit haben wir implizit das Restrisiko (in unserem Beispiel gleich Null) ermittelt. Mit anderen Worten: Sicherheit ist ein iterativer Prozess. Wir müssen im mer wissen, wo wir stehen und uns kontinuierlich verbessern. Dazu ein weiteres Beispiel, jetzt aus der Informatik: Es gibt eine statistisch beleg bare Erfahrung, dass innerhalb von drei Jahren jede hundertste Harddisk durch einen technischen Defekt ausfällt. Wir könnten uns überlegen, alle zwei Jahre un sere Harddisks zu ersetzen. Wir reduzie ren damit zwar für uns die Ausfallwahrscheinlichkeit, der potenzielle Schaden des Datenverlusts bleibt aber unverändert bestehen. Wir müssen eine regelmäßige Datensicherung und –auslagerung einfüh ren, um einen Datenverlust zu verhindern. Auf den vorzeitigen Ersatz der Harddisks werden wir aus wirtschaftlichen Überlegungen verzichten. Es gibt natürlich noch viele andere Gründe, die zu Datenver lusten führen können. Die Eintrittswahrscheinlichkeit eines Ereignisses ist normalerweise nur sehr schwierig zu bestimmen und zu beeinflussen. Und auch wenn die Wahrscheinlichkeit noch so klein ist, das Ereignis kann heute oder morgen Realität werden. Also konzentrieren wir uns auf die Schadensverhinderung. Wie setzen wir die Prio ritäten? Die Höhe des potenziellen Schadens ist ein problematisches Maß und verleitet sehr oft dazu, einseitig in die Sicherheit zu investieren. Wir können mit Wahrscheinlichkeitsüberlegungen eine Gewichtung vornehmen. Doch damit beginnen wir uns im Kreise zu drehen. Gibt es einen Ausweg? Ich sage ganz klar: Ja! Wir müssen dazu unser Sicherheitsdenken erweitern. 1. Sicherheit ist nicht Selbstzweck. Sicherheit muss auf die Geschäftsprozesse abgestimmt sein und die Aufrechterhaltung der Geschäftsaktivitäten unterstützen. Wir müssen nach vorne blicken. Was muss geschützt werden? Was ist schützenswert? Wo sind die Schwachstellen? 2. Die meisten unserer Sicherheitsprobleme und Anforderungen an die Sicherheit sind nicht einzigartig. Viele andere sind in der genau gleichen Situation. Und sehr oft gibt es auch schon Lösungen. Diese Erfahrungen sind der Weg hinter uns. Und den müssen wir nicht noch einmal gehen. Es gibt heute viele allgemein anerkannte Maßnahmen, die ohne große Diskussion umgesetzt werden müssen, z.B. Virenschutz, Firewall, Datensicherung und auslagerung, Zutrittskontrolle, Schulung und Support, Brandschutz, Katastrophenvorsorgeplan, Wie deranlaufplan, um nur einige zu nennen. Alle diese Maßnahmen sind in den IT- Grundschutz-Katalogen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zusammengefasst und sehr praxisorientiert dokumentiert. Eine SollIst Aufnahme liefert schnell erste Sofortmaßnahmen und gibt zeitlich etwas Freiraum für die konzeptionelle Arbeit. Auch ein Sicherheitskonzept muss nicht neu erfunden werden. Der Code of Practice for Information Security Management (ISO/ IEC 17799) dient hier als Leitfaden und Inhaltsstruktur. Wir stellen damit sicher, dass unser Konzept vollständig ist. Felix Widmer: Wir müssen vorausschauend die relevan ten Gefahren und die daraus möglichen Schäden rechtzeitig erkennen und angemessene Vorkehrungen treffen. Widmen wir uns nun der Beantwortung der Kernfrage „Wie viel Sicherheit brauchen wir?“ Das TopManagement muss die Grundzüge der Sicherheitsstrategie festlegen. Aus den Geschäftsprozessen kommen die Anforderungen, z.B. an die Verfügbarkeit und Ver traulichkeit der Informationen. Das Business muss den Schaden quantifizieren, der entsteht, wenn z.B. eine Dienstleistung eine bestimmte Zeit nicht erbracht werden kann. Alle diese Aspekte werden in der Schutz - bedarfsfeststellung/-analyse dokumen
tiert. Ergänzend müssen wir alternative Bearbeitungsmöglichkeiten entwickeln. Dazu gehören auch Ausweicharbeitsplätze und Ausweichstandorte. Wir sind nun in der Lage, Sicherheit als kontinuierlichen Verbesserungsprozess zu institutionalisieren. Das heißt, Sicherheit muss gelebt und geübt werden. Was nützt ein Ersatzsystem, wenn es mit der vorhandenen Infrastruktur nicht kompati bel ist? Wie installiere ich Software, wenn ich die Lizenzschlüssel nicht mehr habe? Habe ich ein Inventar über meine Systeme und Anwendungen? Ist meine Datensicherung überhaupt aktuell? Das Risiko angemessen reduzieren, heißt mit anderen Worten: Minimieren der Summe der proaktiven Sicherheitskosten und der reaktiven Schadensbeseitigung. Es gibt keine absolute Sicherheit. Ein hohes Sicherheitsniveau reduziert die mögliche Schadensbeseitigung, verlangt aber hohe Investitionen in die Sicherheit und umgekehrt. Hays. Die Wegweiser. Die Machbarkeit ist neben der Angemessenheit und Wirtschaftlichkeit der dritte Erfolgsfaktor eines Sicherheitskonzeptes. Komplizierte und kaum verständliche Lösungen werden von den Beteiligten und Betroffenen nicht mitgetragen. Es entsteht eine neue Gefahr, die Scheinsicherheit: Alle tun so als ob und keiner hält sich an vereinbarte Sicherheitsregeln. Es werden Umgehungswege gesucht und gefunden. Wenn dieser Beitrag Sie etwas nachdenklich gemacht hat, vielleicht Ihren Horizont etwas erweitert hat, hat er seinen Zweck erfüllt. Jetzt sind Sie gefordert! Über den Autor Specialist Recruitment hays.de/it IT-Sicherheit Grundlagen 29 i Felix Widmer ist Technischer Autor für die Erstellung von Handbüchern, OnlineHilfen, Schulungsunterlagen und Präsentationen. Als Experte für Informatiksicherheit mit den Schwer punkten Katastrophenvorsorgeplanung, Geschäftskontinuität, Überlebens strategien ist er insbesondere für kleine und mittelgroße Unter nehmen (KMU) tätig. In methodischer Hinsicht ist er spezialisiert auf Service Management (ITIL) mit den Schwerpunkten Leistungsvereinbarungen, Kennzahlen und Sicherheitsaspekte. Kontakt EMail: felix.widmer@tangroup.ch Web: www.tangroup.ch Stillstand ist Rückschritt? Dann wird es Zeit, die Taktzahl zu ändern und voranzukommen. Hays bringt Sie nach vorn: Als Marktführer vermitteln wir IT-Spezialisten genau dorthin, wo sie am meisten bewegen können – als Generalisten oder Spezialisten, Projektleiter oder Realisierer, Systemarchitekten oder hardwarenahe Entwickler. In die Position, die Ihren individuellen Interessen und Fähigkeiten wirklich entspricht. Und an der Sie Ihre Erfahrungen anbringen und ausbauen können – ob Sie bereits gestandener Profi oder noch auf dem Weg dorthin sind. Ihr nächster Schritt zu interessanten Projekten: Nehmen Sie Kontakt mit uns auf und werden Sie Hays Business Partner unter www.hays.de/it
Seite 1 und 2: 02/2009 Januar/Februar 2009 E 8,50
Seite 3 und 4: Editorial Resoom Magazine Kreuzberg
Seite 5 und 6: 30 32 34 36 37 38 40 42 43 44 46 48
Seite 7 und 8: ealistischem Blick ins neue Geschä
Seite 9 und 10: Das Leistungsportfolio der DIS Inte
Seite 12 und 13: 10 Service Recht Dr. Benno Grunewal
Seite 14 und 15: 12 IT-Technologie Automotive Andrea
Seite 16 und 17: 14 IT-Business Industrialsierung J
Seite 18 und 19: 16 Marktanalyse Prognose Der Projek
Seite 20: 18 Marktanalyse Prognose Martin Lut
Seite 23 und 24: neue Entscheidung treffen, dann wie
Seite 25 und 26: Berufsverband Selbständige in der
Seite 27 und 28: www.profi4project.de profi4project
Seite 29: Preisgekrönt für mehr Erfolg Fasz
Seite 33 und 34: Team Conf - Visual Studio Team Syst
Seite 35 und 36: Sie arbeiten in den europäischen u
Seite 37 und 38: • Dokumentationsprozesse • Rege
Seite 39 und 40: Alles zum Thema Projektmanagement D
Seite 41 und 42: müssen diese Parameter durch die S
Seite 43 und 44: SAP- und EDI-Experte Alexander Kast
Seite 45 und 46: Klaus Taeniges IT-Projekt in eigene
Seite 47 und 48: UNSER NETZWERK. FÜR STARKE JOBS ST
Seite 49 und 50: * Hinweis: Erscheint Februar 2009 U
Seite 51 und 52: Durchblick Sie sehen Ihre Arbeit al

(Jan/Feb 2009) Titelfoto - Resoom Magazine

Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.

Template löschen?

Als Template speichern?