Bericht IT-Security_Sensibilisierungsworkshop - vszgb verband ...

Kurzbericht zum IT-Security Sensibilisierungs-
Workshop des vszgb Entwurf
IT-Security – Sensibilisierungs-Workshop für Informatik-Verantwortliche von
Schwyzer Gemeinden.
Am Dienstagnachmittag, 9. Juni 2009, konnte Daniel Harder, Präsident der IT-
Fachgruppe des vszgb (verband schwyzer gemeinden und bezirke) 25 Teilnehmer
im Zivilschutzzentrum Schwyz zum Workshop begrüssen.
Er hielt ein kurzes Einführungsreferat über seine Erfahrungen zum Thema IT-
Security in der Gemeindeverwaltung Freienbach. Die RPK erteilte im Jahre 2002 an
eine externe Kontrollstelle den Auftrag zur Überprüfung des Informatikbereichs in der
Gemeinde. Die Durchleuchtung der von der IT-Abteilung mit viel Aufwand erfassten
Ist-Situation, brachte ca. 1 Dutzend Schwachstellen zutage. Daraus wurde ein konkreter
Massnahmenkatalog entwickelt, welcher in den Jahren 2003 bis 2007 umgesetzt
wurde. Der dabei entstandene IT-Security-Ordner wird von den IT-
Verantwortlichen regelmässig konsultiert und laufend aktualisiert. Sein Fazit: Im IT-
Bereich werden heute klare und strenge Sicherheitsrichtlinien beachtet. Der Aufwand
hat sich gelohnt. Die Mitarbeitenden der IT-Abteilung haben heute für die Durchsetzung
der IT-Sicherheit die Unterstützung der Verwaltungsleitung und der Behörden.
Daniel Harder stellte darauf die zugezogenen Referenten des Workshops vor:
• Jules Busslinger, lic. iur., Datenschutzbeauftragter der Kantone Schwyz, Obwalden
und Nidwalden.
• Geri Wölfinger, Geschäftsführer, & Urs Fässler, VR-Präsident der tribull ag,
Goldau.
Sensibilisierung
Die Gefährdung im IT-Betrieb setzt sich zusammen aus ‚Bedrohung & Schwachstellen’
Die Gefährdungs-Arten sind grob in
• Höhere Gewalt
• Technisches Versagen
• Vorsätzliche Handlung
• Organisatorische Mängel
zu unterteilen. Die höchste und teuerste Gefährdung für die IT entsteht gemäss
-Studie durch „Irrtum und Nachlässigkeit“ der Mitarbeitenden in der Verwaltung.
Das Fehlverhalten entsteht wegen fehlenden Regelungen, Unwissenheit, mangelnder
Ausbildung, Gleichgültigkeit und in selteneren Fällen durch Boshaftigkeit der
Menschen.
Technische Sicherheit
Der Ausführungsgrad der technischen Sicherheit wird ermittelt aufgrund der Frage:
„Wie viel Ausfall verträgt unsere EDV?“ Wie lange können schlimmstenfalls Anwender
ohne Verfügbarkeit einer Applikation auskommen? Eine tabellarische Auflistung
sämtlicher Anwendungen dient der Ermittlung des Schutzbedarfes.
urs.faessler@bluewin.ch 1 / 3 30.06.2009

Kurzbericht zum IT-Security Sensibilisierungs-
Workshop des vszgb Entwurf
Neben der Stromversorgung sind die interne Verkabelung und die Netzkomponenten
auf Ausfallsicherheit zu überprüfen. Die früher ‚einbruchsicheren’ internen IT-Netze
bekommen wegen Internet, E-Mail, WLAN usw. ‚Fallmaschen’. Diese sind mit Firewalls,
Virenschutz, Spamfilter und einem gut funktionierenden Backup-System zu
schliessen.
Funktionale Sicherheit
Heute stehen in den Gemeindeverwaltungen neben den zentralen Applikationen 20
und mehr Randapplikationen im Einsatz. Diese werden von unterschiedlichen Herstellern
meistens über Remote-Support am Laufen gehalten. Zur Sicherstellung der
Datenintegrität muss der Zugang von aussen und die ‚unbefugte’ Datenveränderung
von innen abgesichert sein. Dazu dient eine aktuell gehaltene Liste über die Zugriffsberechtigung.
Anwendungs-Sicherheit
Heutzutage kann man sich die Verwaltungsarbeit ohne die Benützung von dafür spezialisierten
Software-Teilen kaum noch vorstellen. Trotzdem sollten Mitarbeitende an
Facharbeitsplätzen in der Lage sein, elementare Handlungen auch ohne den Computer
zu erledigen (Aufenthaltsbestätigungen, Verzugszinsberechnungen usw.).
Von jeder Anwendung muss der logische Ablauf bekannt sein, um Fragen wie:
• Bis zu welchem Zeitpunkt können eingegebene Daten verändert werden?
• Kann provisorisch verbucht werden?
• Wie kann ein fehlerhafter Lauf rückgängig gemacht werden?
Von den Software-Herstellern sind entsprechende Checklisten und Musterabläufe
zur Verfügung zu stellen.
Datenschutz SZ, OW, NW – Organisation
Jules Busslinger erklärte Organisation und Stellung der Datenschutzstelle. Sie hat
den Auftrag, die Anwendung von Vorschriften über den Datenschutz zu überwachen.
Sie berät die Behörden und wirkt bei der Gesetzgebung mit.
Begriffe und Verantwortung
Die Datenschutzstelle beobachtet im Bereich ‚Personendaten’ deren korrekte Bearbeitung.
Wie gehen die ‚öffentlichen Organe’, das sind u.a. Gemeinderäte, Kommissionen,
Verwaltungsstellen mit den Personendaten um?
Wird nach den Grundsätzen von ‚Treu und Glauben’ und der ‚Verhältnismässigkeit’
nachgekommen? Das bedeutet die Beachtung von: Zweckbindung, Zugriffsrechte,
Datenvermeidung und Datensparsamkeit. Die ‚öffentlichen Organe’ sollen sich bei
der Personendaten-Bearbeitung an Organisationserlasse und Zuständigkeitsregelungen
halten.
Herr Busslinger stellt fest, dass im IT-Sicherheitsmanagement der Gemeinderat die
strategische, die Verwaltungsleitung die operative und IT-Verantwortliche die betriebliche
Verantwortung tragen.
urs.faessler@bluewin.ch 2 / 3 30.06.2009

Kurzbericht zum IT-Security Sensibilisierungs-
Workshop des vszgb Entwurf
Häufigste Versäumnisse
Geri Wölfinger machte auf alltägliche Gefahren im Umgang mit der IT und deren
Output aufmerksam z.B.
• Nachlässigkeiten im Umgang mit Listen beim Transport, Lagerung, Vernichtung
und Wiederverwendung (Rückseiten).
• Verlassen von Bildschirmarbeitplätzen ohne logout.
• Passwort-Handling
• Externe DVD’s, Stick’s, Handy’s, PDA’s oder Notbook's gehören nicht an den
Gemeindearbeitsplatz.
• Vorsicht bei Downloads
• Einfacher Zutritt zu Datenarchiv
Massnahmen
Im Kapitel ‚Massnahmen’ erinnerte Urs Fässler nochmals an den Schutzbedarf von
Daten (Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit).
Sicherheit ist Chefsache – deshalb sollten die politisch verantwortlichen, nämlich der
Gemeinderat, dem Thema Sicherheit in der Gemeinde-Informatik mehr Beachtung
schenken. Er kann sich, ähnlich wie die Gemeinde Freienbach, eine transparente
Sicht auf die IT-Sicherheit verschaffen. Das ist heute zu einem tragbaren Fixpreis
erhältlich.
Vor Ort, nämlich in Ihrem Gemeindehaus wird zusammen mit den IT-
Verantwortlichen ein evtl. Gefährdungspotential erhoben. In einem auch für Laien
lesbaren Bericht wird die Sicherheits-Situation dargestellt und Behebungsmassnahmen
empfohlen.
Die Mitarbeitenden von tribull ag sind seit über 20 Jahren im Gemeinde-IT-Umfeld
tätig und garantieren eine fachmännische Ausführung der Sicherheitsabklärungen.
urs.faessler@bluewin.ch 3 / 3 30.06.2009