Monthly Archives: August 2015

Finally! Ein zeitgemäßer Cyber Security Standard für die Praxis („SANS-CSC“)

Global Threats - (c) 2008-2015 Dahamoo GmbH

Global Threats – (c) 2008-2015 Dahamoo GmbH

IT-Sicherheit ist schon wegen des Internets ein grenzenloses, weltweites Thema, weswegen sich der Blick auf das Geschehen außerhalb Deutschlands in der Regel lohnt.

Dort hat die aus dem Britischen Standard BS7799 hervorgegangen Serie der ISO Standards 27xxx zwar in den letzten 10 Jahren eine gewisse Verbreitung gefunden – speziell wenn es um die Zertifizierung eines Information Security Management Systems (ISMS) ging; in der Praxis haben sich jedoch aus unserer Erfahrung die dort zahlreich, aber lose aufgelisteten Kontrollen als zu abstrakt erwiesen, um mit vernünftigem Aufwand eine wirkungsvolle Cyber Defense aufzubauen. Sicher, wenn alle Risiken mittels des ISMS ermittelt und adressiert werden könnten, käme man theoretisch nach einer gewissen Zeit zu einem angemessenen Maß an Sicherheit. Und wenn man alle Kontrollen der ISO 27002 implementieren würde, hätte man sicher einen guten Grundschutz.

Nur, welche Firma hat die Zeit und das Geld, diesen Aufwand einmalig und dauerhaft zu stemmen? Und wo fange ich eigentlich an, was ist wichtig, welche Lösungen/Produkte gibt es? Wie kann ich die Wirksamkeit der Kontrollen messen?

Diese Fragen werden in einem Cyber Security Framework besser adressiert, das sich nach unserer Beobachtung auf internationaler Ebene immer mehr durchsetzt, und zwar die „Critical Security Controls for Effective Cyber Defense“ vom SANS Institute. Die Kontrollen sind zeitgemäß und bauen systematisch aufeinander auf, so dass man die Priorisierung bei der Umsetzung quasi „geschenkt“ bekommt, d.h. man arbeitet sich einfach durch die Step-by-Step Beschreibungen.

Des weiteren sind alle Kontrollen mit Kosten/Nutzen Kategorien versehen. Das heißt, der Anwender kann sich zunächst auf die sogenannten QuickWins konzentrieren und die technologisch aufwendigen, sprich teuren, Kontrollen („advanced“) hinten anstellen.

Ebenso gibt es eine komplette Übersicht von Tools und Programmen, OpenSource wie kommerziell, die zur Umsetzung der Kontrollen herangezogen werden können. Schlussendlich sind Wirksamkeitmetriken und Wirksamkeitstest beschrieben, so dass sich die Umsetzung einheitlich messen lässt, d.h. alle nutzen den selben Maßstab und die selben Messverfahren, was eine gute Vergleichbarkeit ermöglicht!

Bei eine zweistelligen Anzahl von Anwendungen in der Kundenberatung in den letzten 12 Monaten wurden diese Eigenschaften ausnahmslos geschätzt. Alles in allem lassen die SANS-Critical Security Controls also kaum Wünsche für den IT-Security Professional offen.

Masterthesis: IT-Sicherheitsgesetz – Zertifizierung/Förderung der Cyber-Sicherheit im Gesundheitswesen

h-brs

Hochschule Bonn-Rhein-Sieg, Picture: tohma, some rights reserved.

Zur Steigerung der Cyber-Sicherheit sogenannter „kritischer Infrastrukturen“ (kurz: KRITIS) trat am 25. Juli 2015 das neue IT-Sicherheitsgesetz in Kraft, siehe Bundesamt für Sicherheit in der Informationstechnik und heise.de. Zu den KRITIS-Einrichtungen zählen insbesondere auch Krankenhäuser und Kliniken. Zur Sicherstellung und Bewahrung eines „angemessen hohen“ Sicherheitsniveaus wird von den KRITIS-Einrichtungen und deren Betreibern unter anderem gefordert, dass sie innerhalb der kommenden zwei Jahre das Sicherheitsniveau durch IT-Sicherheitsaudits und -Zertifizierungen nachweisen. Weiterhin müssen die Betreiber die Einhaltung eines hohen Sicherheitsniveaus alle zwei Jahre nachweisen.

Das Anstreben einer IT-Sicherheitszertifizierung ist meist mit hohen finanziellen und organisatorischen Aufwänden verbunden. Der tatsächliche Aufwand und der Nutzen einer Zertifizierung sind dabei stark von dem genutzten Standard abhängig.

Continue reading