Analyse tatsächlicher Risiken (Stand: 05.09.2008 14:01 UTC)

Inhaltsverzeichnis

  • Analyse von zu erwartenden Schäden
  • Sicherungsmassnahmen


    • 37risikoana.htm

    Analyse tatsächlicher Risiken

    In der Riskoanalyse wird sowohl den Gefahrenquellen als deren Ursachen bzw. Wirkungen Eintrittswahrscheinlichkeiten zugeordnet. Die Schätzung dieser Eintrittswahrscheinlichkeiten kann aufgrund eigener Erfahrungen oder aufgrund externer Berichte und Statistiken erfolgen.

    Externe Statistiken können aus unterschiedlichen Quellen gewonnen werden:

    In der Praxis sieht man vor allem Gesetzesverstöße und Imageverlust als Risiken an:

    Kriterien zur Risikobewertung sehr wichtig wichtig unwichtig Vgl.-Wert Vgl.-Wert 2002
    Verstöße gegen Gesetze, Vorschriften oder Verträge 48 % 44 % 8 % 1,40 1,47
    Imageverlust 50 % 36 % 15 % 1,35 1,51
    Schaden bei Dritten/Haftungsansprüche 43 % 42 % 16 % 1,27 1,11
    direkter finanzieller Schaden durch Manipulationen an finanzwirksamen Informationen 38 % 49 % 12 % 1,26 1,36
    Verzögerung von Arbeitsabläufen 33 % 55 % 12 % 1,21 1,35
    indirekte finanzielle Verluste (z.B. Auftragsverlust) 36 % 42 % 22 % 1,14 0,98
    direkter finanzieller Schaden an Hardware u. ä. 12 % 50 % 37 % 0,75 0,97
    Verstöße gegen interne Regelungen 9 % 54 % 37 % 0,72 0,85
    		Quelle: <kes>/Microsoft-Sicherheitsstudie 2004

    Dabei werden vor allem folgende Gesetzesgrundlagen als relevant angesehen:

    Gesetzesgrundlagen für Risikoanalyse Quelle: <kes>/Microsoft-Sicherheitsstudie 2004

    Kontrollaufgabe:
    Ermitteln Sie aus den genannten Quellen, welche Bedrohungen derzeit am wahrscheinlichsten sind.

    Literatur:
    Görtz, H., Stolp, J.: Informationssicherheit in Unternehmen. Sicherheitskonzepte und Sicherheitslösungen in der Praxis. ADDISON-WESLEY, MÜNCHEN 1999. ISBN: 3-8273-1426-7.

    © Prof. Dr. Hans Jürgen Ott --> home


    37schadenana.htm

    Analyse von zu erwartenden Schäden

    Ein Schaden im allgemeinen Sinn ist eine (in einer Währungseinheit wie Euro) bewertete Beeinträchtigung eines Unternehmensziels. Dies kann eine Rufschädigung (Imageziel), eine Kostensteigerung (Ziel: Kostensenkung), eine Umsatzeinbuße (Ziel: Umsatzsteigerung) oder gar eine Beeinträchtigung der Stabilität des Unternehmens sein, die bis zum Unternehmenszusammenbruch gehen kann (Ziel: Sicherheit, Stabilität, Überleben). So belegt eine Studie der Meta-Group vom August 1998, dass bei einem 24-stündigen Ausfall der informationstechnischen Systeme nahezu alle größeren Unternehmen ernsthaft gefährdet sind. Dass dies in Folge von Sicherheitsproblemen durchaus vorkommen kann, belegt eine Befragung von IT-Verantwortlichen und Sicherheitsexperten der Zeitschrift InformationWeek vom Sommer 2003:

    Ausfallzeiten durch Sicherheitsprobleme

    Auch wenn Sicherheitsgefährdungen vielleicht in vielen Fällen nicht existenzbedrohend sind, dann können sie doch erhebliche finanzielle Schäden hervorrufen, wie die Studie der InformationWeek ebenfalls zeigt:

    Schäden durch Sicherheitsprobleme

    Reduziert man die Unternehmensziele auf monetäre Ziele, so können folgende Schadensklassen definiert werden:

    Das regelmäßig gemeinsam durch das FBI und das Computer Security Institute (CSI) durchgeführte Computer Crime and Security Survey kommt im April 2002 zum Ergebnis, dass die Schäden in stärkerem Umfang zunehmen als die Zahl der Angriffe. So entdeckten neunzig Prozent der rund 500 schriftlich Befragten im Jahr 2001 Attacken auf ihre technische Infrastruktur. 85 Prozent von ihnen berichten über finanzielle Verluste und 44 Prozent nennen Zahlen. Insgesamt kommt so die Summe von 455,8 Mio. US$ zustande. Mit 170,8 Mio. US$ schlug der Diebstahl von proprietären Daten zu Buche, ein Schaden von 115,7 Mio. US$ entstand durch Finanzbetrug und 50 Mio. US$ resultierten aus dem unbefugten Zugang ins Firmennetz durch Insider. Obwohl die Prozentzahl derjenigen, die von Viren und Würmern heimgesucht wurden, von 94 Prozent im vorangegangenen Jahr auf mittlerweile 85 Prozent sank, nahm das Ausmaß des finanziellen Schadens zu und stieg von 45,3 Mio. US$ auf 49,9 Mio. US$. Durchschnittlich liegt der Schaden einer derartigen Attacke nunmehr bei 283 000 US$.

    Kontrollaufgabe:
    Versuchen Sie, für Ihr Unternehmen die Folgen eines Ausfalls des Webservers monetär zu bewerten.

    Literatur:
    Görtz, H., Stolp, J.: Informationssicherheit in Unternehmen. Sicherheitskonzepte und Sicherheitslösungen in der Praxis. ADDISON-WESLEY, MÜNCHEN 1999. ISBN: 3-8273-1426-7.

    © Prof. Dr. Hans Jürgen Ott --> home


    37sichmassn.htm

    Sicherungsmaßnahmen

    Zur Absicherung von DV-Systemen sind Sicherungs-Maßnahmen auf mehreren Ebenen zu treffen, wobei ein ausreichender Schutz nur durch Maßnahmen auf allen Ebenen zugleich erreicht werden kann. Diese Maßnahmen sind aufeinander abzustimmen; der schwächste Teil in diesem Konzept mit mehreren Ebenen bestimmt letztlich die Gesamtsicherheit des Systems.

    • Auf der obersten Ebene bieten organisatorische Massnahmen Schutz vor unberechtigtem physischen Eindringen von Personen in das Unternehmen und vor daraus folgenden Schäden.

    • Auf einer weiteren Stufe verhindern die Authentifizierung bzw. Identitätskontrolle den Zugang Unbekannter zu Computerressourcen im Unternehmen.

    • Hat jemand Zugang zu Rechnerrressourcen erhalten, dann muss durch Zugriffskontrolle bzw. Autorisierung gewährleistet sein, dass er nur auf die Ressourcen (Daten bzw. Rechenkapazität) zugreifen kann, für die er berechtigt ist.

    • Schliesslich muss durch Verschlüsselung der Daten verhindert werden, dass Zugriffe auf Daten "um das System herum" möglich sind, dass also die Zugriffskontrolle ausgehebelt wird, indem über nicht vorgesehene Rechnerressourcen auf Datenbestände zugegriffen wird. Der Zugriff wird durch Verschlüsselung zwar nicht unterbunden; die Daten sind jedoch nur für denjenigen nutzbar, der als Berechtigter die Möglichkeit zur Entschlüsselung erhält.

    Die derzeit in der Praxis vorfindbaren Sicherheitsmaßnahmen sind in erster Linie der Einsatz von Virenschutz-Software sowie Massnahmen zur Zugangskontrolle wie Firewall bzw.VPNs.

      Server / Zentrale Clients / Endstellen mobile Endgeräte
    realisiert geplant nicht vorgesehen realisiert geplant nicht vorgesehen realisiert geplant nicht vorgesehen
    Firewalls 95 % 2 % 3 % 43 % 11 % 46 % 41 % 20 % 39 %
    Virenschutzmechanismen 97 % 1 % 2 % 93 % 2 % 5 % 86 % 6 % 8 %
    Datensicherung (Backup) 99 % 1 % 1 % 51 % 4 % 45 % 44 % 11 % 46 %
    Intrusion Detection Systems 44 % 26 % 31 % 13 % 7 % 79 % 7 % 7 % 86 %
    Benutzerverzeichnis mit Security-Policy 63 % 13 % 24 % 32 % 11 % 57 % 28 % 7 % 64 %
    Authentifizierung
    ... Hardware-Token 15 % 9 % 76 % 7 % 14 % 79 % 17 % 17 % 67 %
    ... Passwort 95 % 1 % 5 % 94 % 2 % 5 % 85 % 1 % 14 %
    ... Chipkarte 11 % 14 % 74 % 7 % 19 % 74 % 10 % 20 % 70 %
    ... biometrische Verfahren 1 % 4 % 95 % 1 % 4 % 95 % 0 % 3 % 97 %
    Protokollierung unberechtigter Zugriffe 76 % 14 % 10 % 35 % 15 % 50 % 20 % 15 % 65 %
    Content Inspection/Filtering 52 % 15 % 33 % 19 % 11 % 70 % 12 % 10 % 78 %
    Spam-Abwehr 56 % 28 % 15 % 36 % 16 % 48 % 24 % 16 % 60 %
    Verschlüsselung
    ... sensitive Dateien 41 % 22 % 37 % 31 % 12 % 57 % 39 % 17 % 44 %
    ... Festplatten (kpl./ partitionsw.) 17 % 18 % 65 % 12 % 13 % 75 % 36 % 22 % 43 %
    ... Archivdatenträger/Backups 23 % 12 % 65 % 8 % 5 % 87 % 8 % 7 % 85 %
    ... LAN/Intranet-Verbindungen 28 % 11 % 61 % 16 % 7 % 77 % 20 % 4 % 76 %
    ... WLAN-Verbindungen 24 % 15 % 61 % 18 % 14 % 69 % 24 % 17 % 59 %
    ... WAN/Internet-Verbindungen 47 % 8 % 45 % 33 % 8 % 60 % 33 % 10 % 57 %
    ... Telefon 5 % 3 % 92 % 2 % 1 % 98 % 2 % 0 % 98 %
    ... Fax 4 % 4 % 93 % 2 % 1 % 98 % 2 % 0 % 98 %
    ... E-Mail 34 % 23 % 43 % 37 % 20 % 43 % 32 % 18 % 49 %
    Physische Sicherheit
    ... Zutrittskontrolle, biometrisch 4 % 4 % 93 % 0 % 1 % 99 %  
    ... Zutrittskontrolle, sonstige 81 % 4 % 15 % 45 % 1 % 54 %
    ... Bewachung 49 % 3 % 49 % 26 % 1 % 73 %
    ... Video-Überwachung 39 % 3 % 58 % 11 % 1 % 88 %
    ... Einbruchmeldesysteme 72 % 4 % 24 % 39 % 4 % 57 %
    ... Schutz von Glasflächen gegen Durchbruch/Durchwurf 55 % 3 % 41 % 22 % 2 % 77 %
    ... Sicherheitstüren 76 % 3 % 21 % 25 % 1 % 74 %
    ... Brandmeldesysteme 83 % 2 % 15 % 47 % 1 % 52 %
    ... Löschanlagen 57 % 3 % 40 % 20 % 2 % 79 %
    ... andere Meldesysteme (z. B. Gas, Staub, Wasser) 37 % 6 % 57 % 9 % 2 % 89 %
    ... Datensicherungsschränke/-räume 85 % 3 % 12 % 24 % 2 % 75 %
    ... Schutz gegen kompromittierende Abstrahlung (TEMPEST) 13 % 1 % 86 % 2 % 2 % 96 % 2 % 1 % 97 %
    ... Maßnahmen gegen Hardwarediebstahl 63 % 3 % 33 % 32 % 6 % 63 % 35 % 11 % 54 %
    physikalisches Löschen von Datenträgern 53 % 8 % 39 % 30 % 11 % 59 % 26 % 9 % 64 %
    Unterbrechungsfreie Stromversorgung 91 % 3 % 6 % 17 % 7 % 77 % 8 % 2 % 91 %
    Klimatisierung 83 % 3 % 13 % 12 % 3 % 85 %  
    Rückrufautomatik bei Modemzugriff 47 % 4 % 49 % 20 % 2 % 78 % 21 % 3 % 77 %
    Reserve-Netzzugang (IT/TK) zur Ausfallüberbrückung 55 % 9 % 36 % 20 % 3 % 77 % 13 % 1 % 86 %
    		Quelle: <kes>/Microsoft-Sicherheitsstudie 2004

    Einen umfangreichen Katalog von Maßnahmen, abgestimmt auf die Größe des Unternehmens und die jeweiligen Gefahrensituation, bietet das Grundschutzhandbuch des BSI. Kataloge wie das BSI-Grundschutzhandbuch geben aber für kleine und mittlere Unternehmen (KMU) ein technisches und organisatorisches Sicherheitsniveau vor, dessen Erreichung viele Unternehmen sowohl finanziell als auch organisatorisch und vom notwendigen Know How her überfordert. Das eBusiness-Kompetenzzentrum KECoS hat daher ein Sicherheits-Stufenmodell entwickelt, das KMUs in überschaubaren und technisch, organisatorisch und finanziell machbaren Schritten zu sicheren Unternehmen macht.

    Speziell an den Mittelstand richtet sich die gemeinsame Initiative "Mittelstand sicher im Internet" von Innenministerium und Wirtschaftsministerium. Hier werden eine Fülle von Informationen zu Sicherheitsmaßnahmen angeboten.

    Kontrollaufgabe:
    Zeigen Sie an einem praktischen Beispiel, wie organisatorische Maßnahmen, Maßnahmen zur Identitätskontrolle und zur Autorisierung sowie Verschlüsselung zusammenwirken können, um ein DV-System wirksam abzusichern.

    Literatur:
    Görtz, H., Stolp, J.: Informationssicherheit in Unternehmen. Sicherheitskonzepte und Sicherheitslösungen in der Praxis. ADDISON-WESLEY, MÜNCHEN 1999. ISBN: 3-8273-1426-7.

    © Prof. Dr. Hans Jürgen Ott --> home


    Derzeit eingesetzte und geplante Sicherheitsmaßnahmen in der Praxis

    Derzeit eingesetzte und geplante Sicherheitsmaßnahmen in der Praxis

    Die derzeit in der Praxis vorfindbaren Sicherheitsmaßnahmen sind in erster Linie der Einsatz von Virenschutz-Software sowie Massnahmen zur Zugangskontrolle wie Firewall bzw.VPNs; diese sollen in der nächsten Zukunft noch verstärkt werden, wie eine Befragung von IT-Verantwortlichen und Sicherheitsexperten der Zeitschrift InformationWeek vom Sommer 2003 belegt:

    eingesetzte Sicherheitstools

    zukünftig eingesetzte Sicherheitstools

    Auch in mittelständischen Betrieben wird inzwischen eine breite Palette an Sicherheitsmaßnahmen eingesetzt:

    Sicherheitsmaßnahmen im Mittelstand

    Kontrollaufgabe:
    Genügt die Anschaffung von Antiviren-Software und Firewall, um Unternehmen gegen Angrifffe aus dem Internet adäquat abzusichern?

    Literatur:
    Pohlmann N., Blumberg H.: Der IT-Sicherheitsleitfaden. Mitp-Verlag: 2004. ISBN: 3826609409 .

    © Prof. Dr. Hans Jürgen Ott --> home


    37sichmassn.htm

    Klassifizierung von Sicherungsmaßnahmen

    Zur Klassifizierung möglicher Sicherungsmaßnahmen benötigt man Klassifizierungskriterien, die einzelne Maßnahmen nach dem Vorliegen des Kriteriums in Klassen einteilen. Häufig herangezogene Kriterien sind folgende:

    Maßnahmen können danach unterschieden werden, wann diesen Gefahren begegnet wird:

    Kontrollaufgabe:
    Welche Maßnahmen werden in Ihrem Betrieb getroffen. Auf welcher Maßnahmenklasse liegt der Schwerpunkt? Warum?

    Literatur:
    Görtz, H., Stolp, J.: Informationssicherheit in Unternehmen. Sicherheitskonzepte und Sicherheitslösungen in der Praxis. ADDISON-WESLEY, MÜNCHEN 1999. ISBN: 3-8273-1426-7.

    © Prof. Dr. Hans Jürgen Ott --> home


    35orgmassn.htm

    Organisatorische Massnahmen zur Verhinderung physischer Gefahren

    Organisatorische Massnahmen lassen sich in folgende Klassen einteilen:

    Das Grundschutzhandbuch des BSI sieht eine Reihe von organisatorischen Massnahmen vor; dort werden die ersten beiden Kategorien jedoch als Infrastrukturmassnahmen bezeichnet, die letzten beiden Kategorien werden explizit als Organisation bzw. Personal bezeichnet.

    Kontrollaufgabe:

    Welche organisatorischen Massnahmen im Grundschutzhandbuch entsprechen typischerweise dem Kompetenzprofil eines Wirtschaftsinformatikers?

    Literatur:
    Eckert C.: IT- Sicherheit. Konzepte, Verfahren, Protokolle. Oldenbourg, Mchn.: 2001. ISBN: 3486252984.

     

    © Prof. Dr. Hans Jürgen Ott --> home


    35tempest.htm

    TEMPEST: Ausspähen durch elektromagnetische Abstrahlung

    Das "Abhören" der elektromagnetischen Abstrahlung von Computergeräten ist schon lange eine geübte Praxis in den Kreisen der Geheimdienste und der Wirtschaftsspionage, und stellt eine ernste Bedrohung für Behörden oder Unternehmen dar. Man kann davon ausgehen, dass es allein in Deutschland jedes Jahr mehrere hundert Versuche gibt, die Abstrahlung von Monitoren, Computern oder Tastaturen zur Informationssammlung zu nutzen. Auch bei Bankautomaten kann die Abstrahlung eingefangen werden; so lassen sich eingegebene PINs mit anderen Daten von EC-Karten abhören.

    TEMPEST (Transient Electromagnetic Pulse Emanation Standard) steht nun für Techniken, mit denen elektromagnetische Strahlung von Geräten reduziert werden kann, die Daten darstellen und verarbeiten bzw. für Techniken, die diese Abstrahlsignale stören. Beispiele sind:

    Der britische Kryptographieexperte Ross Anderson, der selbst Patente für Tempest-Schutztechniken wie die oben genannten eingereicht hat, geht davon aus, dass die Lauschangriffe auf Abstrahlung schnell billiger werden und so prinzipiell vielen Menschen zur Verfügung stünden. Man kann etwa, wie Anderson versichert, "einen Tempest-Virus schreiben, um den PGP-Schlüssel des Feindes zu erhalten und ihn ohne sein Wissen abzustrahlen, in dem man die Muster auf seinem Bildschirmschoner manipuliert. Die Signale lassen sich bereits mit einem billigen Kurzwellenradio empfangen." Man kann beispielsweise nicht nur den Text auf einem Bildschirm lesen, sondern auch die Lizenznummer des Textprogramms - und kann dadurch die Existenz von Raubkopien feststellen, bekommt aber gleichzeitig keine Probleme mit der Privacy.

    Kontrollaufgabe:
    Erstellen Sie für vertrauliche Daten Ihres Unternehmens ein TEMPEST-Konzept.

    Literatur:
    http://www.heise.de/tp/deutsch/inhalt/te/5451/1.html
    Schneier B.: Secrets & Lies. IT-Sicherheit in einer vernetzten Welt. dpunkt.verlag/Wiley 2001. ISBN: 3898641139.

    © Prof. Dr. Hans Jürgen Ott --> home