IT-Security Sachverständigentätigkeit
Strukturanalysen
Schutzbedarfsanalysen
Bedrohungsanalysen
Strukturanalysen
Der Schutzbedarf einer Anwendung, eines IT-Systems oder eines Anwendungen und/oder IT-Systeme nutzenden Produktes ist in einem Sicherheitsdokument zu dokumentieren.
Es zwischen 2 Dokumententypen von Sicherheitsdokumenten unterschieden:
- Strukturbeschreibungen
- Sicherheitskonzeptionen
Produkte oder Individuelle Dienstleistungen (IDL), die keine Anwendungen und IT-Systeme enthalten, benötigen keine Sicherheitsdokumentation. Dies trifft z. B. auf Personaldienstleistungen, Handelswaren oder Lizenzen zu.
Sicherheitskonzeption
In einer Sicherheitskonzeption werden neben Informationen zur Schutzbedarfsklassifizierung der be-trachteten Anwendung bzw. des IT-Systems auch relevante Gefährdungen für alle darin beschriebenen Anwendungen und IT-Systeme strukturiert identifiziert. Hierfür werden die Bedrohungen und die umgesetzten Sicherheitsmaßnahmen abgeglichen. Bei Bedarf werden verbleibende Gefährdungen, auch aus Fachlichen Richtlinien, qualitativ bewertet und als Informationsrisiko dargestellt.
Die Erstellung einer Sicherheitskonzeption ist grundsätzlich dann notwendig, wenn eine Anwendung oder ein IT-System innerhalb eines kritischen Kundengeschäftsprozesses eines Institutes eingesetzt wird.
Für von Betreiber bereitgestellte Anwendungen/ IT-Systeme bedeutet dies, dass die Anwendung oder das IT-System als notfallrelevantes Produkt im evtl. vorhandenen Produktkatalog gekennzeichnet ist. Konkret ist dies der Fall, wenn für das Produkt eine Wiederanlaufzeit von 16 Stunden definiert wurde. Bei den Indi-viduellen Dienstleistungen sind die SLA-Vereinbarungen heranzuziehen.
Darüber hinaus wird eine vollständige Sicherheitskonzeption für interne Anwendungen und IT-Systeme benötigt, die wesentlichen Einfluss auf die als notfallrelevant gekennzeichneten Produkte besitzen. Dies sind insbesondere Anwendungen und IT-Systeme, die zur Steuerung der Produktionsumgebung eingesetzt werden. Innerhalb des Betreibers sind dies z. B. die Systeme in einer eigenständigen Sicherheitsumgebung „Admin-LAN“.
Strukturbeschreibung
Für Produkte, Anwendungen und IT-Systeme, auf die die Kriterien der Sicherheitskonzeption nichtzutreffend sind, ist eine Strukturbeschreibung zu erstellen. In einer Strukturbeschreibung werden der Schutzbedarf und die Architektur der betrachteten Anwendung, des IT-Systems oder Produktes dokumentiert.
Statt einer Sicherheitskonzeption kann eine Strukturbeschreibung für individuelle Dienstleistungen (IDL) des Betreibers, die Anwendungen oder IT-Systeme bereitstellen, erstellt werden, sofern die Anwendung oder das IT-System vom Kunden nicht in einem kritischen Geschäftsprozess genutzt wird.
Auch für Produkte oder individuelle Dienstleistungen, die selbst keine eigenverantwortlichen Anwendungen bzw. IT-Systeme beinhalten, sondern nur abhängige Anwendungen bzw. IT-Systeme, ist eine Strukturbeschreibung zu erstellen, sofern keine Pflicht (gemäß der Kriterien) zur Erstellung einer Sicherheitskonzeption besteht.
Schutzbedarfsanalysen und -Feststellungen
Aufgabe der Schutzbedarfsfeststellung ist es, für alle von der Sicherheitsrichtlinie Informationsrisikomanagement betroffenen Anwendungen einschließlich ihrer Daten sowie für die IT-Systeme, die Kommunikationsverbindungen und Räumlichkeiten zu entscheiden, welchen Schutzbedarf sie in Bezug auf jedes der drei Schutzziele der Informationssicherheit besitzen.
Die Schutzziele sind dabei wie folgt definiert:
- Verfügbarkeit: Die Anwendungen einschließlich ihrer Daten sowie die zugehörigen IT-Systeme, Kommunikationsverbindungen und Räume stehen innerhalb eines vereinbarten Zeitrahmens zur Verfügung.
- Integrität: Die Daten sind vor unbefugter Modifikation (inkl. Erzeugung und Löschung) ge-schützt. Modifikationen an Daten, Anwendungen und Kommunikationsverbindungen und Räumen werden erkannt.
- Vertraulichkeit: Die Daten sind vor Kenntnisnahme durch Unbefugte geschützt. Die Schutzziele Verbindlichkeit, Unabstreitbarkeit, Rechtsverbindlichkeit und Authentizität werden unter dem Grundwert Integrität subsumiert
Aufgabe der Schutzbedarfsfeststellung ist es, für alle von der Sicherheitsrichtlinie Informationsrisikomanagement betroffenen Anwendungen einschließlich ihrer Daten sowie für die IT-Systeme, die Kommu-nikationsverbindungen und Räumlichkeiten zu entscheiden, welchen Schutzbedarf sie in Bezug auf jedes der drei Schutzziele der Informationssicherheit besitzen.
Die Schutzziele sind dabei wie folgt definiert:
- Verfügbarkeit: Die Anwendungen einschließlich ihrer Daten sowie die zugehörigen IT-Systeme, Kommunikationsverbindungen und Räume stehen innerhalb eines vereinbarten Zeitrahmens zur Verfügung.
- Integrität: Die Daten sind vor unbefugter Modifikation (inkl. Erzeugung und Löschung) geschützt. Modifikationen an Daten, Anwendungen und Kommunikationsverbindungen und Räumen werden erkannt.
- Vertraulichkeit: Die Daten sind vor Kenntnisnahme durch Unbefugte geschützt.
Die Schutzziele Verbindlichkeit, Unabstreitbarkeit, Rechtsverbindlichkeit und Authentizität werden unter dem Grundwert Integrität subsumiert.
weitere Analysetätigkeiten
Bedrohungsanalysen
Das Ziel der Bedrohungsanalyse liegt darin, alle erdenklichen Bedrohungen zu ermitteln, die einen Schaden an einem Unternehmenswert (einer Anwendung oder einem IT-System und den verarbeiteten Informationen) des Betreibers anrichten können.
Im Rahmen der Bedrohungsanalyse können im Einzelfall auch Bedrohungen ermittelt werden, die im Verantwortungsbereich Dritter (zum Beispiel Endkunden des Betreibers) liegen und dort einen Schaden anrichten können.
Eine Bedrohung, die durch einen angeschlossenen Kunden hervorgerufen wird (und ein daraus folgender Schaden nur den Kunden selbst betrifft), ist im Rahmen der Bedrohungsanalyse nicht zu betrachten (Abgrenzung).
Für eine in einer fachlichen Richtlinie dokumentierten nicht bzw. nicht vollständig umgesetzte Vorgabe, ist in der auf der fachlichen Richtlinie basierenden Sicherheitsdokumentation die in Frage kommende Bedrohung zu beschreiben.
Basis für die Bedrohungsanalyse ist das Asset. Eine Bedrohung kann nur entstehen, wenn diese auf ein entsprechendes Asset (Wert) trifft. Für das betrachtete Asset müssen die in Frage kommenden Bedrohungen ermittelt werden. Als Hilfestellung hierzu ist ein Muster-Bedrohungskatalog mit den beschriebenen Bedrohungskategorien zu nutzen. Dabei sind die Bedrohungen individuell im Kontext der Anwendung und des Assets zu beschreiben. Es ist nicht zulässig, allein die Bedrohungskategorie oder den Namen der Bedrohung zu übernehmen. Die Aufgabe besteht in einer Transferleistung der allgemein beschriebenen Bedrohungskategorie in das reale Umfeld der Anwendung.
Im Rahmen der Bedrohungsanalyse sind Bedrohungen unabhängig davon aufzulisten, ob bereits Sicherheitsmaßnahmen ergriffen wurden. Erst in der darauffolgenden Gefährdungsanalyse werden die ermittelten Bedrohungen den umgesetzten Sicherheitsmaßnahmen gegenübergestellt (und bei Bedarf eine Risikoanalyse erstellt).
Gefährungsanalysen
Ziel der Gefährdungsanalyse ist es, auf Basis der ermittelten Bedrohungen und umgesetzten Maßnahmen die verbleibenden Gefährdungen zu ermitteln.
Basierend auf der Bedrohungsanalyse werden im ersten Schritt alle umgesetzten Sicherheitsmaßnahmen dokumentiert (inklusive der Zuordnung zu einer oder mehreren Bedrohungen, die dadurch reduziert werden).
Im nächsten Schritt wird dann auf Basis der Bedrohungen und umgesetzten Maßnahmen die Gefährdungsanalyse durchgeführt. Der Liste aller Bedrohungen wird dabei die Liste der bereitgestellten Sicherheitsmaßnahmen in der Anwendung / dem IT-System gegenübergestellt. Dabei wird abgeschätzt, ob diese Sicherheitsmaßnahmen für die Schutzziele Integrität, Vertraulichkeit und Verfügbarkeit ausreichend ist oder noch eine Bedrohung verbleibt, die damit eine Gefährdung darstellt.
Für jede Gefährdung ist im Folgenden eine Informationsrisikoanalyse durchzuführen.
Informationsrisikoanalysen
Die Aufgabe des Durchführenden/Verantwortlichen der Informationsrisikoanalyse besteht darin, identifizierte Gefährdungen einer Informationsrisikoanalyse zu unterziehen, um zu ermitteln, ob melde- oder genehmigungspflichtige Informationsrisiken vorliegen. Gefährdungen können z. B. im Rahmen von Audits identifiziert oder mit Hilfe von Sicherheitskonzeptionen ermittelt werden.
Gefährdungen werden im Rahmen der Informationsrisikoanalyse durch eine qualitative Bewertung der Eintrittswahrscheinlichkeit und der maximalen Schadenshöhe zu einem Informationsrisiko.
Bei der Informationsrisikoanalyse ist zu berücksichtigen, dass im Rahmen der Bedrohungs- und Gefährdungsanalyse auch Gefährdungen, zu erkennen an einem vorangestellten „*“, identifiziert werden können, die nicht im Verantwortungsbereich (Risiko-Eigner) des Betreibers, sondern im Verantwortungsbereich (Risiko-Eigner) Dritter liegen. Um dennoch eine Transparenz dieser Gefährdungen und der damit verbundenen Informationsrisiken für Dritte zu gewährleisten, werden diese mit den gleichen Werkzeugen qualitativ bewertet.
Alle wichtigen IT-Security Serviceleistungen
aus einer Hand.
Fragen Sie uns gerne an um Ihre IT Security überprüfen, bzw. optimieren zu können.