It Sicherheitsanalyse

IT-Sicherheitsanalysen

Um Sicherheitsmassnahmen zu verbessern, bietet das Unternehmen seinen Auftraggebern IT-Sicherheitsanalysen als Inventarisierung oder als permanente, zyklische Überwachung an, um vorhandene Sicherheitslöcher in Netzwerken und Anlagen zu erkennen und zu belegen. Die IT-Risikobewertung, die auf dem BSI IT-Grundschutz oder den Spezifikationen des Bundesamtes für Sicherheit der Informationstechnologie (BSI) basiert, identifiziert Schwachpunkte und bildet die Grundlage für Entscheidungen zur weiteren Sicherheitsoptimierung zur Erfüllung des Rechts.

Diese IT-Sicherheitsanalyse ist modular strukturiert und basiert auf den Spezifikationen des Bundesamtes für Sicherheit in der Informationstechnologie (BSI). Das Assessmentmodul:

IT-Grundschutz - 7.2 Zusatzsicherheitsanalyse

Darüber hinaus hat sich herausgestellt, dass die Maßnahmen von IT-Grundschutz keine ausreichende Absicherung für die einzelnen Objekte darstellen, weil sie einen erhöhten oder sehr erhöhten Vertraulichkeits-, Integritäts- oder Verfügbarkeitsbedarf haben, das Objekt aber in einer für den Anwendungsbereich von ITSchutzes nicht typischen Art und Umgebung operiert wird.

Bei der ergänzenden Sicherheitsanalyse handelt es sich um einen Entscheidungsfindungsprozess, der bestimmt, für welche dieser Objekte weitere Prüfungen notwendig sind und für welche nicht. Durch die Ermittlung des Schutzbedarfs bei der Beispielgesellschaft RECPLAST gGmbH entstand ein höherer Schutzanspruch für mehrere Objekte in einem der drei Sicherungsziele. Im Rahmen dieser Ermittlungen sollte auch die Unversehrtheit der Räumlichkeiten, in denen die Kunden wohnen, geprüft werden.

Bei den beiden Applikationen Finanzwesen und Personaldatenbearbeitung führte die Ermittlung des Schutzbedarfs auch zu einem erhöhten Vertraulichkeitswert, und auch das Schutzbedürfnis der Applikation Finanzwesen im Hinblick auf die Vollständigkeit wurde hochgesteckt. Dies führte auch zu einem erhöhten Schutzanspruch in Bezug auf die Unversehrtheit und Geheimhaltung des Rechners, auf dem die beiden Applikationen laufen (siehe Kap. 4.4 Ermittlung des Schutzbedarfs für die IT-Systeme).

Die Erörterung dieser Erkenntnis im IS Management Team zeigte jedoch, dass die Implementierung der Aufgabe M 4.72 Datenbankverschlüsselung eine genügende Absicherung für die Applikationen und damit auch für den Datenserver für beide Applikationen bereitstellt. Dokumentation der zusätzlichen Sicherheitsanalyse! Die Ergebnisse einer zusätzlichen Sicherheitsanalyse sind die Entscheidung, ob und wie die Maßnahmen von IT-Grundschutz für die zu betrachtenden Objekte ausreichend sind.

Zu jedem in die ergänzende Sicherheitsanalyse einbezogenen Objekt müssen die gefällten Entscheide genau begründet, mit dem Vorstand abgestimmt und in einem Lagebericht verständlich dokumentiert werden.