Einführung des Verwaltungsstrukturen am Beispiel Bundeswehr

Einführung desIT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr

Severin RastLeiter IT Security ConsultingINFODAS GmbH

178.179 aktive Soldaten und Soldatinnen umfasst die Bundeswehr insgesamt• Bundesministerium der Verteidigung: 983

• diesem unmittelbar nachgeordnete Dienststellen: 2.014

• Streitkräftebasis: 40.720

• Zentraler Sanitätsdienst: 19.819

• Heer: 60.245

• Luftwaffe: 28.291

• Marine: 16.281

• CIR: 188

• Bereich Infrastruktur, Umweltschutz, Dienstleistungen: 964

• Bereich Ausrüstung, Informationstechnik, Nutzung: 1.571

• Bereich Personal: 7.103, davon 4.319 Studierende an den Bw-Universitäten

Die Bundeswehr als komplexe Verwaltungsstruktur

1. www.bundeswehr.de (Berlin, 19.05.2017, BMVg P I 1.)

Einleitung

• Anforderungen der Bundeswehr: Standardisierte Vorgehensweise für Effizienz und Effektivität für

Nicht standardisierten Informationsverbund

Sicherheit als Teilaspekt einer komplexen Gesamtheit von Prozessen und Aktivitäten

• Merkmale des IT-Grundschutz: Bewährte Methodik und solide Maßnahmenkataloge

Anwendung abseits eines idealen Informationsverbundes schwierig

Die Bundeswehr als komplexe Verwaltungsstruktur Einleitung

• Projekte, Dienststellen und IT-Sicherheitskonzepte

Die Bundeswehr als komplexe Verwaltungsstruktur Einleitung

Informationen Anwendungen

Netze

Infrastruktur

IT-Systeme

IT-SichhKDst


Netze

Infrastruktur

IT-Systeme

IT-SichhKProj 1


Netze

Infrastruktur

IT-Systeme

IT-SichhKProj 2


Netze

Infrastruktur

IT-Systeme

IT-SichhKProj n

Vorgaben

• Geschichte

• Interessenskonflikte

• Herausforderungen in der Bw

• Lösungen für komplexe Verwaltungsstrukturen

• Feedbackschleife

• Perspektiven

Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel Bundeswehr

• Geschichte





• Perspektiven


• Vorschriften und Werkzeuge im Überblick

IT-Sicherheit und der IT-Grundschutz in der Bundeswehr

Werkzeuge:

- GSTOOL

- SAVe

IT-Sicherheits-dokumentation:

- IT-Grundschutzkonform

- vorschriftenkonform

GSTOOL SAVe

ZDv

AH

GV

IT-SichhK

Interne Vorschriften und Dokumente:

- Zentrale Dienst-vorschrift

- Arbeitshilfe

- Gliederungsvorlage

Geschichte

Methodik in der Bundeswehr

Bundeswehrspezifische Methodik

ZDv 54/100(April 2013)

201720162015201420132012201120102009

ZDv A-960/1(Januar 2016)

ZDv 54/100(Ä3 Sept. 2010)

ZDv 54/100(Ä2 Okt. 2008)

Bundeswehrspezifische Methodik

ZDv 54/100(Mai 2007)

200820072006200520042003200220012000

ZDv 54/100(Ä1 Febr. 2008)

ZDv 54/100(Oktober 1999)

IT-GrundschutzBwBundeswehrspezifische Methodik

Geschichte

Arbeitshilfe IT-SichhKProj / Tools in der Bundeswehr

GSTOOL

AH V. 1.4(März 2015)

20172016201520142013

AH V. 1.3(April 2014)AH V. 1.2

Januar 2014

SAVe

AH V. 1.0(August 2005)

20082007200620052004

AH V. 2.0(Nov./Dez. 2007)

AH V. 1.1Dezember 2013

AH V. 1.0September 2013

SAVeSAVe GSTOOL

2018

Supportende Nutzungsende

Generallizenz SAVefür die Bundeswehr

Geschichte

• Geschichte





• Perspektiven


IT-SichhK

Konkurrierende Vorschriften

Datenschutz

§Geheimschutz

§

IT-Grundschutz

ZDv ...

Interessenskonflikte

• ZDv A-1525/1 und /2: Prüf- und Zulassungswesen für Luftfahrt in der Bundeswehr

• Schiffsausrüstungsrichtlinie des BSH: (Maritime Equipment Directive – MED)

• DIN ISO 61508: Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme.

Beispiele im Umfeld BundeswehrInteressenskonflikte

• Geschichte





• Perspektiven


Grundlegende Überarbeitung der bisherigen IT-SichhK notwendig

Definition SchutzbedarfStrukturierung /

Modellierung

Maßnahmenkatalog ersetzt

Anforderungskatalog

Ergänzende Sicherheitsanalyse /

Risikoanalyse

Wechsel in der Methodik zur Erstellung von IT-Sicherheitskonzepten in der Bundeswehr

Wechsel von der alten ZDv 54/100 zur neuen ZDv A 960/1

Herausforderungen bei Übergang/UmstellungHerausforderungen in der Bw

ZDv 54/100:Katalog von generischen Anforderungen, der gemäß Schutzbedarf auf die Teilsysteme und Segmente eines Systems angewendet wird.

Ca. 250 Anforderungen

ZDv A-960/1:Maßnahmenkataloge des IT-Grundschutzes sowie ergänzende bw-spezifische Maßnahmen werden

auf den betrachteten Informationsverbund angewendet.

>1500 Maßnahmen

Mehr spezifische MaßnahmenHerausforderungen in der Bw

Projekte mit einfacher Liste von IT-Sicherheitsmaßnahmen

IT-SichhKProj nach Anlage 16/21(ZDv 54/100)

IT-SichhKProj nachIT-Grundschutz(ZDv A-960/1)

Projekte und Dienststellen in der ÜbergangszeitHerausforderungen in der Bw


Netze

Infrastruktur

IT-Systeme

IT-SichhKDstVorgaben IT-SichhKProj

• IT in den Dienststellen der Bundeswehr ist bunt!

IT-SichhK Projekt/Dienststelle – viele verzahnte Informationsverbünde

Projekt 1

Projekt 3

DSt A „weiße IT“ bereit-gestellt

durch BWI

Projekt 2

Projekt 4

Herausforderungen in der Bw

• IT-Grundschutz geht von einer „normalen“ Büroumgebung aus

• Bundeswehr kennt auch verlegefähige und mobile Einsatzszenarien (z.B. Schiff oder Boot)

• Keine IT-Grundschutz-Bausteine

• Schiffe müssen Anforderung des BSH (Schiffsausrüstungs-richtlinie) und schiffsbauspezifische Anforderungen einhalten

Spezifische AnwendungsszenarienSchiff / Boot

Computer

Server

?VERGISS ES! SO SIEHT‘S

AUS:


2. CC-BY-SA 4.0 (Ein Dahmer, Wikipedia) BADEN-WURTTEMBERG_00257_(cropped).jpg

• Für viele Systeme sind keine IT-Grundschutz-Bausteine vorhanden

• Luftfahrzeuge und deren Bodenstationen müssen eine Luftfahrtzulassung haben

• Die Zulassungen beziehen sich oft auf spezifische Konfigurationsstände

• Regelmäßige Aktualisierungen des Patch-Standes bedeuten den Verlust der Zulassung

Spezifische AnwendungsszenarienLuftfahrzeug


3. CC-BY-SA 4.0 (Krasimir Grozev, Wikipedia) German_eurofighter.JPG

• Geschichte





• Perspektiven


• Die Erfüllung von– gesetzlichen Anforderungen,

– Normen und Standards,

– Internen Regularien und Compliance-Anforderungen

lässt sich in vielen Kontexten in eine Umsetzung von IT-Grund-schutzmaßnahmen überführen.

• Beispiele:– M 2.1 Festlegung von

Verantwortlichkeiten und Regelungen

– M 2.2 Betriebsmittelverwaltung

– M 2.40 Rechtzeitige Beteiligung des Personal-/Betriebsrates

Spezifische Vorschriften als Treiber fürIT-Sicherheit nutzen

Umsetzung vonIT-Grundschutzmaßnahmen

DIN / ISO

§

Com-pliance

Lösungen für komplexe Verwaltungsstrukturen

Geheimschutz, Datenschutz und IT-Sicherheit in Beziehung setzen

3. ZDv A-960/1, 11.4.4 Generische Informationsstruktur


abgestufte IT-Sicherheitsmaßnahmen realisieren

Teilsysteme mit entsprechend einheitlichem Schutzbedarf

Informationen unterschiedlichen Schutzbedarfes in einem IT-System

Schutzbedarf, Teilsysteme und Sicherheitsgateways

Bei Einstufung VS-VERTRAULICH oder höher, müssen die Sicherheitsgateways zugelassen

sein

Sicherheitsgateways bei einem Sicherheitsgefälle zur Schutzbedarfskategorie

„sehr hoch“ einsetzen

4. ZDv A-960/1, 11.2.2 Grundsätze bei der Festlegung von IT-Sicherheitsmaßnahmen4. ZDv A-960/1, 11.2.3.6 Informationsaustausch zwischen unterschiedlichen Informationsräumen

Teilsystem 2Teilsystem 1


• Analyse des Umsetzungsstandes und Wiederverwendung bestehender Maßnahmen im GS-Kontext

Reifegrade des ISMS bestimmenLösungen für komplexe Verwaltungsstrukturen

• Stringente Aufteilung von Verantwortlichkeiten

• klare Abgrenzung von Informationsverbünden

• Definition von Schnittstellen technisch

infrastrukturell

organisatorisch

Informationsverbünde & Schnittstellen definieren


Ansatz: Bearbeitung von Maßnahmen nach Phasen

Planung und Konzeption

Beschaffung

Umsetzung

Betrieb

Aussonderung

Ansatz: „Doppelter BSC“

Modellierung als SOLL-Vorgabe für eine Systemimplementierung während der Projektplanung

1. Basis-Sicherheitscheck:Interviewverfahren zu Prüfung der Umsetzbarkeit der

identifizierten Maßnahmen während der Planung

2. Basis-Sicherheitscheck:Systemprüfung nach der Systeminbetriebnahme

Frühzeitige, projektbegleitende Implementierung des IT-Grundschutzes


Teilsystem

Segment

Element

Information

Service Systembaustein

Raum / Gebäude

Grundfunktion

IT-Grundschutz-

Baustein

(zielobjektbezogen)

IT-Grundschutz-

Baustein

(übergreifend)

1 n 1 1

1

1

n

n

1

1

Erweiterung durch spezifische Bausteine

Teilsystem

Segment

Element

Information

Service Systembaustein

Raum / Gebäude

Grundfunktion

IT-Grundschutz-

Baustein

(zielobjektbezogen)

IT-Grundschutz-

Baustein

(übergreifend)

1 n 1 1

1

1

n

n

1

1

IT-GrundschutzBw-

Baustein

IT-GrundschutzBw-

Baustein

IT-GrundschutzBw-

Baustein

IT-GrundschutzBw-

Baustein


Kontinuierlichen Fortschreibungsprozessetablieren

Ausgangslage, Projektstart, Systementwicklung

Entwicklungsbegleitende Erstellung / Fortschreibung

Mitprüfung und Qualitätssicherung

Veröffentlichung und Inkraftsetzung

Fortschreibung / kontinuierliche Verbesserung


IT-Sicherheitskonzepte

Äußere Faktoren – konstanter Änderung unterworfen

• Geschichte





• Perspektiven


• Bausteine aus dem IT-GrundschutzBw wurden in Abstimmung zwischen BAAINBw und BSI „neutralisiert“ und veröffentlicht: Baustein B 3.407 Eingebettetes System

Baustein B 5.26 Serviceorientierte Architektur

Eigene Bausteine werden Teil des Katalogs

IT-SichhK

IT-Grundschutz

-BausteinBw-Baustein

IT-Grundschutz

-Baustein

IT-Grundschutz-Baustein

Bw-Baustein

...

Feedbackschleife

5. Quelle/URL: www.bsi.bund.de

Methodische Ansätze der Bundeswehr lassen sich abstrakt übertragen und angepasst auf andere

Informationsverbünde anwenden.

Viele Organisationen benötigen jedoch eine zusätzliche Perspektive auf die erfasste IT-Struktur

und davon abgeleitete Modellierung.

Die Strukturierung in Teilsysteme und Segmente ist ein bundeswehrspezifischer Ansatz.

Erprobte methodische Ansätze lassen sich übertragen

Feedbackschleife

Teilsystem 2Teilsystem 1

Organisation

Abteilung 1 Abteilung 2 Abteilung 3

Zentrale Verwaltung

• Geschichte





• Perspektiven


Mögliche Auswirkung Modernisierung des IT-Grundschutz

B 3.x

B 4.x

B 1.x

B 2.x

B 5.x

B 3.x

B 4.x

B 5.x

B 1.x

B 2.x

ÜbergeordneteIT-Sicherheitskonzeption

SystembezogenesIT-Sicherheitskonzept

VerfahrensbezogenesIT-Sicherheitskonzept

B 1.x

B 2.x

Basisabsicherung

Kernabsicherung

Vorgabe vonIT-Grundschutz-Profilen

Perspektiven

• Anpassung interner Vorschriften Grundschutzkompendium statt Grundschutzkataloge

Anpassung der Methodik auf Basis BSI-Standard 200-2

Risikoanalyse auf Basis BSI-Standard 200-3


Perspektiven

ZDv ...

6. Abbildung: (Münch / Schildt / Wiemers, BSI) Modernisierung des IT-Grundschutzes

• Update des eingesetzten IT-Grundschutz-Tools Prozesse (oder Services) als Zielobjekte

Neue IT-Grundschutzbausteine

Filterung von IT-Sicherheitsmaßnahmen zur einfachen Anwendung von Basisabsicherung und Kernabsicherung

Nutzung von Grundschutz-Profilen anstelle von Vorgabe

…


Perspektiven

Anpassung selbsterstellter Bausteine an die neue Struktur:


Perspektiven

Umsetzungs-hinweise

AnforderungenBaustein

B x.y

Basis …

Standard …

Erhöhter Schutzbedarf

…

Änderungen bei Audits, Zertifizierungen, Akkreditierungen

Neue Bewertungsmaßstäbe auf Basis des IT-Grundschutz-

Kompendiums

Geändertes Vorgehen bei Prüfung/Bewertung von z.B. Anforderungen und Umsetzungshinweisen


Perspektiven

„Nichts ist so unglaubwürdig wie die Wirklichkeit.“Fjodor Michailowitsch Dostojewski (1821-81)

• Die IT und damit das Management von IT-Sicherheit in der Bundeswehr sind hoch komplex.

• Viele Anwendungsfälle lassen sich durch den Standard desIT-Grundschutzes nicht abdecken.

• Ausgehend von bestehenden Regelungen und unter Berücksichtigung des IT-Grundschutzes lassen sich jedoch selbst in komplexen Verwaltungsstrukturen Lösungen für ein effizientes IT-Sicherheitsmanagement erarbeiten.

Einführung des IT-Grundschutzes in komplexen Verwaltungsstrukturen am Beispiel BundeswehrFazit

Vielen Dank für Ihre Aufmerksamkeit.

https://www.infodas.de

1. Quelle/URL: www.bundeswehr.de (Berlin, 24.04.2017, BMVg P I 1.)

2. Quelle/Dokument: Zentrale Dienstvorschrift der Bundeswehr ZDv A-960/1

3. Abbildung: CC-BY-SA 4.0 (Ein Dahmer, Wikipedia) de.wikipedia.org/wiki/Baden-W%C3%BCrttemberg-Klasse#/media/File:BADEN-WURTTEMBERG_00257_(cropped).jpg

4. Abbildung: CC-BY-SA 4.0 (Krasimir Grozev, Wikipedia) de.wikipedia.org/wiki/ Eurofighter_Typhoon#/media/File:German_eurofighter.JPG

5. Quelle/URL: www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/ Inhalt/ _content/allgemein/vorwort/Danksagung.html

6. Abbildung: Foliensatz „Modernisierung des IT-Grundschutzes“ (Münch / Schildt / Wiemers, BSI), IT-Grundschutz-Tag, Nürnberg, 19.10.2016

Quellen

• SAVe® ist ein ISMS-Werkzeug zur Modellierung von IT-Sicherheitsprozessen und Erstellen von IT-Sicherheitskonzepten.

• SAVe® wird im Rahmen von Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz verwendet und ist von der Zertifizierungsstelle des BSI anerkannt.

• SAVe® zeigt seine Stärken insbesondere im Umfeld komplexer, verteilter und heterogener IT-Infrastrukturen, mit zum Teil sehr hohen Schutzanforderungen.

• SAVe® ist modular aufgebaut. Dies ermöglicht die flexible Erweiterbarkeit von Sicherheitsmodellen wie:

IT-Grundschutz (BSI Standards 100-1 bis 100-3 und zukünftig 200-1 bis 200-3)

Notfallvorsorge (BSI Standard 100-4 und ISO 22301)

Datenschutz (BDSG und LDSGs und zukünftig Datenschutzrichtlinie)

ISO 2700x

SAVe 5: Wichtigste Funktionalitäten I

• Importfunktion der Daten aus dem GSTOOL

• Abwärtskompatibilität zu Vorgängerversionen

• Erweiterter und flexibler Berichtsmanager für regelmäßige und anlassbezogene Berichte

• Mandantenfähigkeit (strikte Trennung von Nutzerdaten)

• Skalierbarkeit des Tools von Stand-Alone-Betrieb über Kleingruppe bis hin zur Client-Server-Umgebung.

• Mehrbenutzerfähigkeit ermöglicht gleichzeitiges, teambasiertes Arbeiten

• Berichtsausgabe als PDF und in MS-Office-kompatiblen Formaten

• SAVe® ist lizensiert zur Nutzung der Daten der IT-Grundschutz-Kataloge des BSI

• SAVe® unterstützt bereits heute die Vorgehensweise des modernisierten IT-Grundschutz.

Weitere Informationen zu SAVe® erhalten Sie unter: www.save-infodas.de

SAVe 5: Wichtigste Funktionalitäten II

http://www.save-infodas.de/

Documents

Einführung des Verwaltungsstrukturen am Beispiel Bundeswehr