Erfahrungen mit dem Einsatz der OCTAVE- Methode an der ... · PDF fileErfahrungen mit dem Einsatz der OCTAVE-Methode an der Universität Leipzig DFN-Kanzlerforum, Berlin, 09.05.2012

Erfahrungen mit dem Einsatz der OCTAVE-Methode an der Universität Leipzig

DFN-Kanzlerforum, Berlin, 09.05.2012

Dr. Gunnar Auth, Martin UllrichUniversität Leipzig

2Auth, Ullrich Erfahrungsbericht mit der OCTAVE-Methode 09.05.2012

Agenda

● Ausgangslage & Lösungsansatz● Methode: OCTAVE● Umsetzung: Kurze Projektbeschreibung● Ergebnisse: Empfehlungen und Maßnahmen● Fragen/Diskussion


Ausgangslage

● Untersuchungsgegenstand: Personaldezernat

● Motivation:● Einführung Neues Verwaltungsnetz● Einführung Neue Hochschulsteuerung● Datenschutzfragen● Anwendung der IT-Grundschutz-Methode nicht

zielführend


Lösung: Risikoanalyse

● Einschätzung des IST-Zustands● Eingeschränkter Untersuchungsgegenstand ● Identifizierung & Bewertung von Defiziten● Definition & Priorisierung von geeigneten

Sicherheitsmaßnahmen● Ziel: akzeptables Sicherheitsniveau

Risiko-Identifizierung Risikoabschätzung


Einführung OCTAVE (1/2)

● OCTAVE = Operationally Critical Threat, Asset and Vulnerability Evaluation

● Methode zur Risiko-basierten Beurteilung und Planung von Informationssicherheit

● Unterstützt den Anwender mit Techniken, Formblättern, Checklisten

● Entwickelt vom CERT der Carnegie Mellon University, Pennsylvania, USA

● Vom DFN-CERT ins Deutsche übersetzt und angepasst (u.a. ISO 27001 IT-Sicherheitsverfahren)


Einführung OCTAVE (2/2)

● Schwerpunkt: selbstgesteuerte und wertbezogene interne Analyse der Risiken und Sicherheitsprozesse

● Ermittlung der erforderlichen Maßnahmen zum Schutz kritischer Werte (information assets)

● Softwaretool von DFN-CERT angekündigt● Migrationspfad in Richtung ISO 27001 und BSI-

Grundschutz gangbar


Ablauf der OCTAVE-Methode

Start 2. Workshop1. Workshop Präsentation4. Workshop

3. Workshop 5.Workshop

3 Wochen 3 Wochen 7 Wochen 3 Wochen 3 Wochen

Gesamtzeit = 5 Monate


Bildung des Analyseteams

● Bereichsübergreifendes Team● Überschaubare Größe

● Personaldezernat● URZ / Verwaltungs-IT, Netzwerk-Admin● Datenschutzbeauftragter● DFN-CERT


Festlegung der kritischen Werte

Personaldaten Elektronisches Schriftgut

personenbezogene

Daten zur Verwaltung

des Arbeits- und

Dienstverhältnisses

schützenswerte

elektronische

Informationen,

sensible Reports,

Übersichten


Einschätzung aktueller IT-Sicherheitsmaßnahmen (Ampelstatus)

Themengebiet Ampelstatus

Informationssicherheitsmanagement und Informationssicherheitspolitik

Organisation

Klassifizierung und Kontrolle von Werten

Personal

Physische Sicherheit

Kommunikation und Betrieb

Zugangs- und Zugriffskontrolle

Entwicklung und Wartung

Behandlung von Sicherheitsvorfällen

Notfallplanung - Business Continuity

Einhaltung von Verpflichtungen


Arbeiten mit Bedrohungsprofilen

Vertraulichkeitfahrlässig Integrität

VerlustVerfügbarkeit

Insider

Vertraulichkeitvorsätzlich Integrität


Netzwerk

Vertraulichkeitfahrlässig Integrität


Extern

Vertraulichkeitvorsätzlich Integrität


Personal-daten

Identifizierung relevanter

Bedrohungsbäume

Identifizierung relevanter

Bedrohungsbäume

Vier mögliche BedrohungsprofilePersonen mit NetzzugangPersonen mit physischem ZugangTechnische ProblemeWeitere Problemfelder

Vier mögliche BedrohungsprofilePersonen mit NetzzugangPersonen mit physischem ZugangTechnische ProblemeWeitere Problemfelder


Ansatz zur Risikominimierung

SicherheitsmaßnahmenSchadenswirkung AnsatzEintritts-wahrscheinlichkeit


Sicherheitsstatus aktuellIS-Management

Organisation

Klassifizierung v. Werten

Personal


Kommunikation Zugangskontrolle

Entwicklung / Wartung

Sicherheitsvorfälle

Notfallplanung

Compliance


Zu verbessernde Themenbereiche

Übergeordnete Bereiche

Verwaltungsbezogene Bereiche

● Informationssicherheitsmanagement● Organisation● Behandlung von Sicherheitsvorfällen

● Personelle Sicherheit● Kommunikation und Betrieb● Entwicklung und Wartung


Übergeordnete Bereiche: Maßnahmenempfehlungen I

● Initialisierung eines ISMS:● Festlegung der Sicherheitsziele und -strategie● Erstellung und Publikation einer Leitlinie für

Informationssicherheit● Benennung eines Informationssicherheits-

Beauftragten (ISB)


Übergeordnete Bereiche: Maßnahmenempfehlungen II

● Organisation / Betrieb des ISMS:● Übernahme der Gesamtverantwortung für

Informationssicherheit durch die Organisationsleitung und Budget bereitstellen

● Aufbau einer übergeordneten Organisationsstruktur für das ISMS

● Festlegen von Rollen und Verantwortlichkeiten im Sicherheitsprozess


Übergeordnete Bereiche: Maßnahmenempfehlungen III

● Behandlung von Sicherheitsvorfällen:● Proaktiv:

– Schwachstellenmanagement, Informationsbeschaffung– Automatische Warnmeldungen, Monitoring

● Reaktiv: – Festlegen von Verhaltensregeln, Verantwortlichkeiten

und Meldewegen bei Sicherheitsvorfällen– Nachbearbeitung („lessons learned“)


Initiierung des Sicherheitsprozesses

Wie? – ISMS-Einführung und Betrieb

Verantwortung der Leitungsebene

Konzeption und Planung

Erstellung einer Sicherheitsleitlinie

Aufbau einer IS-Organisation

Bereitstellung von Ressourcen

Einbindung aller Mitarbeiter

Erstellung der Sicherheitskonzeption

Quelle: [BSI]

Umsetzung der Sicherheitskonzeption

Aufrechterhaltung und Verbesserung


Warum? – Neue Anforderungen durch Veränderungen in den Verwaltungsstrukturen● Verwendung des Business Intelligence Moduls von

HIS ● Einführung eines ReCoB-Systems

(speziell gesichertes Terminalserver-System für Web-Zugang)

● Neues Verwaltungsnetz

● Veränderte Risikolage-> Neue und modifizierte Sicherheitsmaßnahmen erforderlich-> Datenschutzbetrachtung erforderlich


Verwaltungsbezogene Bereiche: Maßnahmenempfehlungen I

● Kommunikation und Betrieb:● ChangeManagement● Regelmäßige interne und externe Audits● Regelungen zur Nutzung von mobilen

Datenträgern● Regelungen zum Einsatz von E-Mail, internen

und externen Informationssystemen● Regelungen zur Abnahme und Freigabe von IT-

Verfahren


Verwaltungsbezogene Bereiche: Maßnahmenempfehlungen II

● Entwicklung und Wartung:● Anforderungsspezifikation: Beschaffung,

Konfiguration und Umsetzung von neuen IT-Anwendungen unter Berücksichtigung von Informationssicherheit und Datenschutz

● Abnahme- und Freigabeverfahren für Hard- und Standardsoftware

● Wartungsverträge mit SLAs und Berücksichtigung von Sicherheitsanforderungen


Verwaltungsbezogene Bereiche: Maßnahmenempfehlungen III

● Personelle Sicherheit:● Sensibilisierung / Schulung der Mitarbeiter

bezügl. Informationssicherheit● Durchsetzung disziplinarischer Maßnahmen bei

Verletzung der Sicherheitspolitik ● Geregelte Prozesse beim Ausscheiden eines

Mitarbeiters (Arbeitsmittel, Zugangsberechtigungen löschen, ...)


Sicherheitsstatus –Nach erfolgreicher Maßnahmenumsetzung

IS-Management

Organisation

Klassifizierung v. Werten

Personal


Kommunikation Zugangskontrolle

Entwicklung / Wartung

Sicherheitsvorfälle

Notfallplanung

Compliance


Nächste SchritteZu verbessernde Themenbereiche

Übergeordnete Bereiche

Verwaltungsbezogene Bereiche

● Informationssicherheitsmanagement●Organisation●Behandlung von Sicherheitsvorfällen

●Personelle Sicherheit●Kommunikation und Betrieb●Entwicklung und Wartung

Folgeauftrag DFN-CERTUntersuchung der Umsetzungsvarianten für Informationssicherheitsbeauftragten:a) ISB als Mitarbeiter der UL ausschließlich für

Informationssicherheit der Universität zuständigb) ISB als „Managed Service“ eines externen

Dienstleisters für Informationssicherheit der Universität

c) ISB als gemeinsam finanzierter „Shared Service“ der Leipziger Hochschulen sowie ggf. außeruniversitärer Forschungs- einrichtungen in den Varianten eigenes Personal/Shared Service


Vielen Dank! Fragen?

KontaktDr. Gunnar AuthE-Mail: [email protected].: 0341 97 33301Martin UllrichE-Mail: [email protected].: 0341 97 33340

Documents

Erfahrungen mit dem Einsatz der OCTAVE- Methode an der ... · PDF fileErfahrungen mit dem Einsatz der OCTAVE-Methode an der Universität Leipzig DFN-Kanzlerforum, Berlin, 09.05.2012