I T – S I C H E R H E I T S H A N D B U C H 24.11.2003Thomas.Roessler@a-sit.at1 Österreichisches...

24.11.2003 Thomas.Roessler@a-sit.at 1

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

Österreichisches IT-SicherheitshandbuchInformationsveranstaltung am 24.11.2003

Technische Aspekte

DI Thomas Rössler

Zentrum für sichere Informations-technologie Austria, A-SIT

24.11.2003 Thomas.Roessler@a-sit.at 2

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

Inhaltsübersicht

• Einleitung• Technische Grundlagen

XML – XSL - XSLT

• Das Konzept und das Schema• Die Transformationen• Anwendbarkeit

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 3

Einleitung

<?xml version="1.0" encoding="UTF-8"?><booklet xmlns="http://www.a-sit.at/siha/stuktur_2.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.a-sit.at/siha/stuktur_2.xsdX:\workdata\SIHA_Update\XML\struktur_2.xsd"> <meta> <booktitle>Österreichisches IT-Sicherheitshandbuch</booktitle> <booksubtitle>Teil 1: IT-Sicherheitsmanagement</booksubtitle> <bookversion>2.1</bookversion> <bookdate>Mai 2003</bookdate> <documentname>OE-IT-SIHB_V2_1_Teil1.html</documentname> </meta> <chapter version="2.1.000"> <title> <name>Vorwort (Management Summary)</name> </title>

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 4

Einleitung

<?xml version="1.0" encoding="UTF-8"?><booklet xmlns="http://www.a-sit.at/siha/stuktur_2.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.a-sit.at/siha/stuktur_2.xsdX:\workdata\SIHA_Update\XML\struktur_2.xsd"> <meta> <booktitle>Österreichisches IT-Sicherheitshandbuch</booktitle> <booksubtitle>Teil 1: IT-Sicherheitsmanagement</booksubtitle> <bookversion>2.1</bookversion> <bookdate>Mai 2003</bookdate> <documentname>OE-IT-SIHB_V2_1_Teil1.html</documentname> </meta> <chapter version="2.1.000"> <title> <name>Vorwort (Management Summary)</name> </title>

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 5

Die Extensible Markup Language (XML)

• XML ist eine Metasprache zur Definition von Markup-Sprachen

• Mit XML kann man die logische Bedeutung von Daten, Informationen und Texten definieren

• XML ist unter Kontrolle eines internationalen Normungsgremium

• XML ist ein offener Standard und wird breit unterstützt

• Für XML existieren eine Fülle von Standardtechnologien<?xml version=“1.0“?>

<?xml version=“1.0“?>

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 6

Die Extensible Markup Language (XML)

• Demnach eignet sich XML für das Sicherheitshandbuch…

• … die Daten und Informationen werden in einer geeigneten XML-Struktur erfasst

• … dieses XML-Dokument stellt den zentralen Datenbestand dar

• … es repräsentiert das Sicherheitshandbuch• … eignet sich zur manigfaltigen Darstellung,

Weiterverarbeitung, zur Verwendung in Zusammenhang mit anderen Anwendungen und Programmen…

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 7

XML-Schema

• Das XML-Schema definiert die Struktur und Form des XML-Sicherheitshandbuchs

• Das Schema ist die Spezifikation und Grundlage einer XML-Anwendung

• Ziel dabei:• die Struktur des Sicherheitshandbuchs ideal

abzubilden• alle notwendigen Informationen berücksichtigen• ein XML-Dokument zu formulieren, das auch

hinsichtlich zukünftiger Anwendungen flexibel und keinesfalls einschränkend ist

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 8

Das XML-Schema

• Struktur: BuchBuch

KapitelKapitel KapitelKapitel KapitelKapitel

Sektionen Sektionen Sektionen Sektionen

Textblöcke Textblöcke Textblöcke Textblöcke

Zielgruppe

Priorität

Version

Org-Art

Org-Größe

Referenz

…

Darstellung Meta-Info Textart

• Zusatzinformationen:

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 9

Das XML-Schema

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnitt beschriebenen Maßnahmen dienen dem Schutz von IT-Systemen mittels baulichen und infrastrukturellen Vorkehrungen. Dabei sind verschiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSHB" index="M 1.19" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gegebenheiten ent sprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RECOMMENDED" industry="RECOMMENDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen bei einstiegsgefährdeten Türen oder Fenstern, </item> …

Kapitel

Sektion

Abschnitt

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 10

Das XML-Schema

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnitt beschriebenen Maßnahmen dienen dem Schutz von IT-Systemen mittels baulichen und infrastrukturellen Vorkehrungen. Dabei sind verschiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSHB" index="M 1.19" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gegebenheiten ent sprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RECOMMENDED" industry="RECOMMENDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen bei einstiegsgefährdeten Türen oder Fenstern, </item> …

Kapitel

Sektion

Abschnitt

Relevanz aus Sicht der Organisation:

egovernment = MANDATORY|

RECOMMENDED|VOLUNTARY|NOT RELEVANT

Relevanz aus Sicht der Organisation:

industry = MANDATORY|

RECOMMENDED|VOLUNTARY|NOT RELEVANT

Relevanz aus Sicht der Organisation:

size = SMALL | LARGE

Relevanz aus Sicht der Benutzerrolle:

wir unterscheiden zwischen folgenden Rollen:

management = INTERN | EXTERN maintenance = INTERN | EXTERN user = INTERN | EXTERN client = INTERN | EXTERN

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 11

Die Transformationen

• XML-Dokumente können in andere Dokumente transformiert werden

• weitere XML-Dokumente• HTML-Dokumente zur Darstellung in Browsern• etc.

• Dies geschieht unter Verwendung von XML-Stylesheet-Transformationen (XSLT)

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 12

Die Transformationen

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnitt beschriebenen Maßnahmen dienen dem Schutz von IT-Systemen mittels baulichen und infrastrukturellen Vorkehrungen. Dabei sind verschiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSHB" index="M 1.19" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gegebenheiten ent sprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RECOMMENDED" industry="RECOMMENDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen bei einstiegsgefährdeten Türen oder Fenstern, </item> …

XML-Dokument <chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnittebenen Maßnahmen dienen dem Schutz von IT-Systemen m und infrastrukturellen Vorkehrungen. Dabei sind veiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSH" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gesprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RNDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen hrdeten Türen oder Fenstern, </item> …

Zieldokument

XSLT

XSL-Stylesheet

XSL-Stylesheet

XSL-Stylesheet

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnittebenen Maßnahmen dienen dem Schutz von IT-Systemen m und infrastrukturellen Vorkehrungen. Dabei sind veiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSH" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gesprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RNDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen hrdeten Türen oder Fenstern, </item> …

Zieldokument

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnittebenen Maßnahmen dienen dem Schutz von IT-Systemen m und infrastrukturellen Vorkehrungen. Dabei sind veiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSH" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gesprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RNDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen hrdeten Türen oder Fenstern, </item> …

Zieldokument

Aus einem Datendokument…

…verschiedeneStylesheets…

…verschiedeneZieldokumente

Konfiguration

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 13

Die Transformationen

• Anhand dieser Transformationen werden aus dem Sicherheitshandbuch verschiedenste Ansichten erzeugt

• Für folgende HTML-Dokumente wurden entsprechende Stylesheets entworfen:

• Komplettansicht• Zusammenfassende Überblicksansicht• zielgruppen- und rollenorientierte Checklisten• diverse Indizes (Referenzlisten)• eigene Ansichten für SW-Ausdrucke

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 14

Die Transformationen

• Vorteile dieser Vorgehensweise

– Daten sind nur in einem zentralen Datendokument enthalten einfache Datenpflege (Updates, etc.)

– neue Ansichten (Zieldokumente) einfach erzeugbar durch Entwicklung entsprechender Stylesheetssomit ist Sicherheitshandbuch sehr flexibel

– Sicherheitshandbuch kann einfach auch Online angeboten werden

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 15

HTML-Dokumente

• In erster Linie wird das Sicherheitshandbuch in HTML-Dokumente transformiert

• Vorteil der Repräsentation als HTML-Dokument:• Dokumente können in jedem Web-Browser (Internet

Explorer, Netscape Navigator, Mozilla, etc.) dargestellt werden – keine zusätzliche Software notwendig

• weiterverwendbar• Dokumente können sehr dynamisch gestaltet werden,

zum Beispiel werden Textpassagen und Dokumente verknüpft, etc.

• Transformationsergebnisse eignen sich ohne Modifikation für eine Online Version des Handbuchs

<HTML>

<HTML>

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 16

Sicherheitshandbuch als Online-Service

• Durch selbes Prinzip der Transformation kann das Handbuch ohne Modifikation auch online zur Verfügung gestellt werden

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrue Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesemeschriebenen Maßnen dienen dem Schutz von IT-Syls baulichen und inastrukturellen Vorkehrungen. Dabei sind verschi Schutzbenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" >="BSI GSHB" index="M 1.19" title="Einbruchsschutz"/>

XML-Dokument

XSL-Stylesheet+

durch Server bereitgestellt

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 17

Einbindung in Anwendungen

• Dank XML kann der Datenbestand des Sicherheits-handbuchs über definierte Schnittstellen einfach in Applikationen eingebunden werden

<chapter version="2.1.000"> <title> <name>Bauliche und infrastrukturelle Maßnahmen</name> <ordinal>1</ordinal> </title> <abstract>Die in diesem Abschnitt beschriebenen Maßnahmen dienen dem Schutz von IT-Systemen mittels baulichen und infrastrukturellen Vorkehrungen. Dabei sind verschiedene Schutzebenen zu … </abstract><section version="2.1.000"> <title> <name>Bauliche Maßnahmen</name> <ordinal>1</ordinal> </title> <topic version="2.1.000" prefix="INF" ordinal="1.3" name="Einbruchsschutz" > <convergence source="BSI GSHB" index="M 1.19" title="Einbruchsschutz"/> <abstract>Die gängigen Maßnahmen zum Einbruchsschutz sollten den örtlichen Gegebenheiten ent sprechend angepasst werden. </abstract> <detailed>Dazu gehören:</detailed> <itemize> <item egovernment="RECOMMENDED" industry="RECOMMENDED" orgsize="SMALL"> <role> <maintenance type="INTERN"/> </role>Sicherungen bei einstiegsgefährdeten Türen oder Fenstern, </item> …

XML-Dokument

SiHa ToolReport Info

KapitelauswahlKapitel 1Kapitel 1.1Kapitel 1.2Kapitel 2….

MassnahmenSYS 1.1SYS 1.2SYS 1.3...

Details

Display5.1 Berechtigungssysteme, Schlüssel- undPasswortverwaltungDurch organisatorische und technischeVorkehrungen ist sicherzustellen, dass der Zugriffzu IT-Systemen, Netzwerken, Programmen undDaten nur berechtigten Personen oder Prozessenund nur im Rahmen der festgelegten Regelnmöglich ist. …..

Umsetzung

Begründung...

Ja Teilweise Nein

Übernehmen Löschen OK

Welche Personen können.MANDATORYKann der Besitz von ...Dürfen auch andere PersoWie wird der Zugang..

...

REQUIREDVOLUNTARY

...4321

REQUIRED

Vorgaben

e-Government AdministrationOrganisation: Rolle:Grösse:klein

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 18

Vorteile auf einem Blick…

• gesamtes Sicherheitshandbuch liegt in einem XML-Dokument vor– XML ist offener Standard - wird vielfältig unterstützt

• auf Basis des Dokuments werden alle Ansichten mittels Transformationen erzeugt

Trennung von Daten und deren Darstellung

• neue Ansichten einfach realisierbar – es müssen nur neue XSL-Stylesheets erzeugt werden

• Sicherheitshandbuch ist online-fähig• XML erlaubt es das Handbuch einfach in Applikationen zu

integrieren

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 19

Demonstration

Lassen Sie sich von den Vorteilen überzeugen….

… anhand einer kleinen…

Demonstration

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 20

Erster Schritt…

• Vorkonfiguration des Sicherheitshandbuches…

• Eigenschaften der Organisation• Art, Grösse

– Verantwortlichkeiten– etc.

• auch mit Tool möglich 1

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

24.11.2003 Thomas.Roessler@a-sit.at 212Zweiter Schritt…

• Abrufen der verschiedenen Ansichten des Sicherheitshandbuches…

… auf Basis der Vorkonfiguration…

zum Beispiel:

Übersichtsdarstellungen, Komplettansicht, diverse Checklisten, …

24.11.2003 Thomas.Roessler@a-sit.at 22

I T –

S I C

H E

R H

E I T

S H

A N

D B

U C

H

Wir danken für Ihre Aufmerksamkeit

A-SIT, Zentrum für sichere Informationstechnologie – Austria

Thomas.Roessler@a-sit. at

http://www.a-sit.at Unterstützung IT-Sicherheitshandbuch