Informatik-Sicherheitsmanagement: Eine Herausforderung Für Die Unternehmensführung

ISBN-13: 9783519021865 / Niemiecki / Miękka / 1991 / 280 str.

Christine Strauss; Christine Strauss

Opis

Durch die zunehmende Abhangigkeit der Unternehmungen von informa tionstechnischen Einrichtungen wachst die Bedeutung der Informations sicherheit und wird zu einer zentralen Fragestellung. Die Sicherheitsproblematik der fruhen technischen Informatik konzentrierte sich auf Funktionssicherheit und behandelte Probleme der Verfugbarkeit von Ressourcen und der Korrektheit von Programmen. In einer Phase der Umorientierung anfangs der 70er Jahre erkannte man, dass nicht so sehr die einzelnen Ablaufe und Programme im Mittelpunkt stehen, sondern vielmehr den Daten eine zentrale Bedeutung zukommt. Der Sicherheitsbegriff wurde um Fragestellungen der Datenintegritat und der Konsistenz in Datenbanken erweitert. Durch die Verbreitung Offener Systeme, welche eine Kommuni kation unterschiedlichster Rechner und Dienstleistungsstellen ermoglichen, wird das Problem der Datengeheimhaltung zu einer aktuellen Problem stellung. Sichere Verschlusselungsalgorithmen und kryptographische Ver fahren sind Losungsmethoden zu diesen neuen Sicherheitsfragen. Die Kopplung dieses erweiterten. Sicherheitsverstandnisses bezuglich Infor mationstechnik (11') mit okonomischen Zielsetzungen war die Motivation zu dieser Arbeit. Die Integration von IT-Sicherheit in eine unternehmenweit gultige Sicherheitskonzeption verlangt als Konsequenz die Vorgabe einer adaquaten Sicherheitspolitik durch die Unternehmensfuhrung. Die Inhalte dieser Sicherheitspolitik mussen mit den ubrigen unternehmerischen Ziel setzungen, die in der Unternehmenspolitik festgehalten sind, konform gehen. Eine Sensibilisierung des Topmanagements fur Sicherheitsfragen und in besonderem Masse fur IT-Sicherheitsfragen ist daher eine zwingende Vor aussetzung fur eine erfolgreiche Sicherheitskonzeption. Um den Managementaspekten bei der Erstellung von IT -Sicherheitskonzepten Rechnung zu tragen, bedarf es eines Kosten/Nutzen-Kalkuls, das ein okono misch orientiertes Vorgehen bei der Losung von Sicherheitsfragen im IT Bereich ermoglicht. Ebenso bedarf es der Institutionalisierung betrieblicher Ablaufe bei der Risikobewaltigung.

Spis treści

1 Einleitung.- 1.1 Die Bedeutung der Sicherheit im IT-Bereich.- 1.2 Vorgehen bei der Risikobewältigung.- 1.2.1 Beispiele aus der Praxis.- 1.2.2 Usancen bei der Risikobewältigung.- 1.3 Ursachen «schlechter Lösungen».- 1.3.1 Mangelndes Problembewusstsein.- 1.3.2 Probleme bei der Funktionstrennung.- 1.3.3 Probleme bei der Informationsbeschaffung.- 1.3.4 Probleme bei der Finanzierung.- 1.4 Ziel der Arbeit.- 1.5 Abgrenzung.- 1.6 Gliederung der Arbeit.- 2 Grundbegriffe.- 2.1 Entscheidungstheoretische Grundlagen.- 2.1.1 Die Entscheidung als Auswahlprozess.- 2.1.2 Delegation von Entscheidungen.- 2.1.3 Einflussfaktoren im Entscheidungsprozess.- 2.1.4 Idealtypische Risikohaltungen.- 2.2 Der Sicherheitsbegriff allgemein.- 2.3 Der Sicherheitsbegriff im IT-Bereich.- 2.3.1 Datenschutz — Datensicherheit.- 2.3.2 Datensicherheit aus Benutzersicht.- 2.3.3 Datensicherheit aus der Sicht des Systembetreibers.- 2.3.4 Datensicherheit aus der Sicht des Systemingenieurs.- 2.3.5 Definition «Sicherheit».- 2.4 Der Risikobegriff.- 2.4.1 Definition «Risiko».- 2.4.2 Risikoarten.- 2.4.3 Risikobewertung, Schätzverfahren.- 2.4.4 Praxisnahe Risikobewertung.- 2.4.4.1 Der Mittelwert als Risikomass.- 2.4.4.2 Probable und Possible Maximum Loss.- 2.4.4.3 Die Varianz als Risikomass.- 2.4.4.4 Die graphische Darstellung des Risikos.- 2.4.4.5 Intervallschätzung.- 2.4.5 Prognose des Schadensausmasses.- 2.4.6 Risiko im IT-Bereich.- 2.4.7 Bemerkungen zum Risikobegriff.- 2.5 Der Begriff «Risk Management».- 2.6 Der Begriff «Sicherheitspolitik».- 2.7 Portfoliotheorie.- 2.7.1 Grundlagen.- Exkurs A: Das (|?,?)-Prinzip.- Exkurs B: Kovarianz und Korrelation.- 2.7.2 Historische Entwicklung, Anwendungsgebiete.- 2.7.3 Portfolio Management.- 2.7.4 Diskussion.- 2.8 Portfoliotechnik im Strategischen Management.- 2.9 Sicherheitsmassnahmen.- 2.10 Risikobewältigung im aufbauorganisatorischen Kontext.- 2.11 Zusammenfassung.- 3 Bestehende Konzepte zur Risikobewältigung im IT-Bereich.- 3.1 Standards und Sicherheitskriterienkataloge.- 3.1.1 Das «Orange Book».- 3.1.2 Der IT-Sicherheitskriterienkatalog.- 3.1.3 Kriterien des britischen Handelsministeriums.- 3.1.4 Information Technology Security Evaluation Criteria.- 3.1.5 Zusammenfassung.- 3.2 NBS Guideline for Automatic Data Processing Risk Analysis.- 3.3 Checklisten.- 3.4 Fallstudien.- 3.5 Computer Aided Risk Analysis/Management.- 3.5.1 Quantitative Methoden.- 3.5.1.1 RiskCalc.- 3.5.1.2 LRAM.- 3.5.1.3 CompuDARE.- 3.5.2 Qualitative Methoden.- 3.5.2.1 RANK-IT.- 3.5.2.2 RiskPac.- 3.5.3 MARION.- 3.5.4 Expertensysteme.- 3.5.4.1 KEEPER.- 3.5.4.2 COSSAC.- 3.6 Zusammenfassung.- 4 Portfoliomethode zur Risikobewältigung.- 4.1 Formulierung der Sicherheitspolitik.- 4.1.1 Ziel einer Sicherheitspolitik.- 4.1.2 Erstellung eines Risikobildes.- Exkurs C: Funktionaler Ansatz zur Risikoidentifikation.- 4.1.3 Allgemeine Grundsätze einer Sicherheitspolitik.- 4.1.3.1 Abdeckung existenzgefährdender Risiken.- 4.1.3.2 Erfüllung behördlicher Auflagen.- 4.1.3.3 Tolerierbare Risiken selbst tragen.- 4.1.3.4 Kopplung verbleibender Risikobewältigung an die unternehmerische Investitionsstrategie.- 4.1.4 Risikoklassifikation.- 4.1.5 Finanzierung von Sicherheitsmassnahmen.- 4.2 Anwendung der Sicherheitspolitik.- 4.2.1 Die Auswahl von Sicherheitsmassnahmen.- 4.2.1.1 Risikobeurteilung.- 4.2.1.2 Massnahmenbeurteilung.- 4.2.1.2.1 Massnahmenklassifikation.- 4.2.1.2.2 Merkmale von Sicherheitsmassnahmen.- 4.2.1.2.3 Grundsätze bei der Implementation.- 4.2.1.3 Effektive Sicherheitsmassnahmen.- 4.2.1.4 Generierung von Portfolios.- 4.2.1.4.1 Substitutive Portfolios.- Exkurs D: Diskussion.- 4.2.1.4.2 Simultane Portfolios.- 4.2.1.5 Berechnung der Effizienz.- 4.2.1.6 Auswahl des optimalen Portfolios.- 4.2.1.7 Nebeneffekte.- 4.2.2 Überprüfung des implementierten Portfolios.- 4.2.2.1 Grundsätze bei der Überprüfung.- 4.2.2.2 Konsequenzen aus Überprüfungstätigkeiten.- 4.3 Zusammenfassung.- 5 Fallstudie I: «Hacking».- 5.1 Risikobeurteilung.- 5.1.1 Risikoanalyse.- 5.1.1.1 Risikoidentifikation.- 5.1.1.2 Risikoabgrenzung.- 5.1.1.3 Bestimmung der Risikofaktoren.- 5.1.1.4 Diskussion.- 5.1.2 Risikobewertung.- 5.1.2.1 Quantifizierung der Risikofaktoren.- 5.1.2.2 Risikoklassifikation.- 5.2 Bestimmung effektiver Massnahmen.- 5.2.1 Suche nach Massnahmenalternativen.- 5.2.2 Bestimmung kausaler Zusammenhänge.- 5.2.3 Schätzung des Restrisikos.- 5.2.4 Berechnung der Effektivität.- 5.3 Generierung von Portfolios.- 5.3.1 Überprüfung auf Vollständigkeit.- 5.3.2 Auflistung der Portfolios.- 5.4 Berechnung der Effizienz.- 5.4.1 Anschaffungs- und laufenden Kosten.- 5.4.2 Bestimmung der Effizienz.- 5.5 Interpretation der Ergebnisse.- 5.6 Interaktive Optimierung.- 5.6.1 Portfolioberechnung.- 5.6.1.1 Modellierungssprachen.- 5.6.1.2 Modellierung und Lösung.- 5.6.2 Das Modell.- 5.6.3 Diskussion.- 5.6.4 Der Modellierungsvorgang.- 5.6.5 Ein heuristischer Ansatz.- 5.7 Diskussion der Resultate.- 5.7.1 Kostenminimierung.- 5.7.2 Maximierung der Rendite.- 5.7.3 Risikominimierung.- 5.8 Diskussion des quantitativen Portfolioansatzes.- 6 Fallstudie II: Computerviren.- 6.1 Szenarium.- 6.2 Risikobeurteilung.- 6.2.1 Risikoanalyse.- 6.2.1.1 Risikoidentifikation.- 6.2.1.2 Risikoabgrenzung.- 6.2.1.3 Bestimmung der Risikofaktoren.- 6.2.2 Risikobewertung.- 6.2.2.1 Zerlegung des Risikos in Teilrisiken.- 6.2.2.2 Qualitative Risikoausprägungen.- 6.2.2.2.1 Gruppenbildung.- 6.2.2.2.2 Kritische Systemkomponenten.- 6.2.2.2.3 Unbewusste Einbringung.- 6.2.2.2.4 Grad der Öffentlichkeit.- 6.2.2.2.5 Ausmass der Bedrohung.- 6.2.2.2.6 Konsequenzen.- 6.2.2.2.7 Risikoschätzung.- 6.2.2.3 Risikoklassifikation.- 6.3 Bestimmung effektiver Massnahmen, Effizienz.- 6.4 Rahmenbedingungen.- 6.5 Realisierung.- 6.5.1 Massnahmen in «öffentlichen Bereichen».- 6.5.2 Massnahmen in «geschlossenen Bereichen».- 6.6 Risikosituation nach Realisierung der Massnahmen.- 6.6.1 Erfahrungen auf Universitätsebene.- 6.6.2 Erfahrungen auf Institutsebene.- 6.7 Zusammenfassung.- 7 Schlussbemerkungen und Ausblick.- 7.1 Unternehmenspolitische Grundsätze.- 7.2 Vergleich mit bestehenden Ansätzen der Risikobewältigung.- 7.3 Kritische Beurteilung der Methode.- 7.4 Möglichkeiten der Weiterentwicklung.- 7.4.1 Methoden zur Risikobewältigung.- 7.4.2 Offizielle Produktbewertungen.- Anhang A: Beispiele zu «Preloss»- und «Postloss»-Massnahmen.- A.1 «Preloss»-Massnahmen.- A.2 «Postloss»-Massnahmen.- Anhang B: Listing des GAMS-Modells gegen Hackingversuche.- Anhang C: Computeranomalien und -viren.- C.1 Logischer Aufbau eines Virusprogramms.- C.2 Der Infektionsvorgang.- C.3 Die Schadensfunktion.- C.4 Besondere Probleme bei der Virenprophylaxe.- C.5 Motivation der Autoren von Virusprogrammen.- C.6 Virusgefahr durch Gruppenbildungen.- Literatur.- Weitere Literatur.- Abkürzungen und Akronyme.