Information Security Management (ISMS) with QSEC
1 gefällt mir2,256 aufrufe
Die Präsentation der WMC GmbH beschreibt das Informationssicherheitsmanagement nach ISO 27001 und die Vorteile der QSEC-Suite zur Umsetzung und Verwaltung von ISMS. WMC hat sich seit über 11 Jahren auf IT-Consulting im Bereich Informationssicherheit spezialisiert und bietet eine produktbasierte Lösung zur Risikomanagement und Compliance-Überwachung an. Die Agenda umfasst die Vorstellung der QSEC-Produkte und deren Rolle im Geschäftserfolg sowie ein interaktives Segment für Fragen und Diskussionen.
Information Security Management (ISMS) with QSEC
- 1. „Best in Class ist nie ein Zufall“ – WMC schneller mehr Ergebnis. QSEC Suite Präsentation WMC GmbH Best Practice im Informationssicherheitsmanagement nach ISO 27001 „Best in Class ist nie ein Zufall !“
- 2. Agenda Begrüßung und Abstimmung der Agenda Vorstellung ganzheitliches ISMS QSEC-Suite Präsentation Fragen und Diskussion 2 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 3. WMC – seit 11 Jahren optimale Leistungen im Projekt- und Lösungsgeschäft • ausschließlich Kunde • ausschließlich Consultants mit Consultants mit Managementerfahrung Managementerfahrung • Konzeption und gemeinsame • Konzeption und gemeinsame Umsetzung messbarer, Umsetzung messbarer, akzeptierter Ergebnisse akzeptierter Ergebnisse Consulting (IT-Security) Consulting (IT-Solutions) Kernkompetenzen Kernkompetenzen • Information - / IT-Security • IT-LifeCycle Management • IT-Risk Management • Asset- und Contract Management • Licence Management Produktfamilie - QSEC-Suite Datenbankbasierte Produkte für Aufbau und Betrieb von Information Security Management Systemen 3 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ © 2011 WMC GmbH
- 4. WMC Referenzen / Projekte (Auszug) arvato systems GmbH (Bertelsmann Gruppe) Medien Axel Springer AG Huf Hülsbeck & Fürst GmbH Marquardt GmbH Reich GmbH Automotive Wilhelm Karmann GmbH Volkswagen Osnabrück GmbH Paul Albrechts Verlag GmbH PAV CARD GmbH Veolia Umweltservice GmbH Dienstleistung Germanischer Lloyd AG Sana IT Services GmbH Gesundheitswesen ITERGO (ERGO Konzern) DVAG (Deutsche Vermögensberatung AG) Versicherungen 4 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 5. Agenda Vorstellung ganzheitliches ISMS • ISMS führt zu Geschäftserfolg, Profit und Image • ISMS nach ISO/IEC 27001/ Vorgehensmodell • IT-Risikomanagement • QSEC Produktfamilie und Leistungen 5 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 6. WMC - Compliance-, IT-Risko- und Maßnahmen-Management (CRM) CRM führt zu mehr Geschäftserfolg, Profit und stärkt die Menschen. Business im Wandel Informationstechnologie 1. Information Schnelle und wirksame Umsetzung von 2. Global Geschäftsstrategien 3. Werte Wettbewerbsvorteil Kostenvorteil Innovationsvorteil „Supply“ orientierte IT (2000-2010) Strategisch wirksame und sichere IT (2010 – 2020) » Intelligente Nutzung von Informationssicherheit » IT-Kostenmanagement » Risiko-Wertorientierte Steuerung von IT Investitionen » IT-Industrialisierung CRM » Wirkungsvolle Unterstützung der Geschäftsbereiche » Full Scope Outsourcing Trans- » Übergreifende Prozesse » Abwicklung IT-Projekte formation » Anwendungskritikalität » IT-Service Qualität » Konsequente Ausrichtung der IT Organisation am Geschäft 6 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 7. Sicherung des Unternehmenserfolges durch ein ISMS Informationssicherheitsmanagement – notwendiges Übel oder wesentlicher Beitrag zum Geschäftserfolg? Unternehmen Risiko- und Chancenmanagement Informations- Wertschöpfungs- Qualitäts- sicherheits- management management management Werte Werte Werte schaffen stärken sichern Geschäftserfolg, Profit, Image 7 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ © 2011 WMC GmbH
- 8. ISMS - Wie diese Themen erfolgreich gemanagt werden können Notfallplanung Qualitätsmanagement Risikomanagment SOX Business Continuity Informations- Management sicherheit Datensicherung ISO/IEC 27001 IT-Risikomanagement Business Impact Analyse IT-Servicemanagement 8 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ © 2011 WMC GmbH
- 9. Keine Prozesssicherheit ohne Informationssicherheit Informationssicherheit IT-Strategie folgt der Unternehmensstrategie IT - Organisation Unternehmensstrategie / - Kultur Geschäftsprozesse die Ausgangsbasis Geschäftsprozessebene Arbeitsergebnis IT-Anwendungen unterstützen IT- Applikationen Geschäftsprozesse Applikationsebene / IT-Anwendungen Technische Systemebene / IT-Infrastruktur 9 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 10. QSEC-Suite - Methode zur Einführung und Betrieb eines ISMS Act überprüfen Plan Methode zum Betrieb eines ISMS Strategische Ausrichtung Grundsätze und Leitlinien bestimmen erstellen (Security Policy) • Geschäftsführungsentscheidung zur konsequenten Sicherheitspolitik 0 • Ernennung eines Sicherheitsbeauftragten auf Managementebene • Einführung von Grundsätzen und Leitlinien Permanentes Assessment Selfassesment durchführen • Implementierung der ISMS-Organisation • Technik überprüfen und bewerten (Vulnerability Assessment) Effektive, wiederholende Sensibilisierung • Ressourcen und Prozesse zugeordnen und bewerten 1 • Ggf. weitere branchenspezifische Assessments (z.B. ISO / TS 16949) Permanentes Risikomanagement • Beurteilung der Prozesse nach „Business-Kritikalität“ Risikomanagement durchführen • der Mitarbeiter Erstellung eines Business-Blueprints der Systemlandschaft • Ermittlung der Assetwerte zur Bildung eines Kennzahl-Systems 2 • Bedrohungs- und Schwachstellenanalyse der Systemlandschaft Permanente Risikobegegnung • Bewertung der möglichen Risiken Risktreatment Risikobegegnung durchführen • Erstellung eines Risikobegegnungsplans 3 • Entscheidung zur Akzeptanz oder des Transfer von Risiken • Durchführung von Sicherheitssofortmaßnahmen Permanentes Maßnahmenmgmt. • Anpassung des BCM zur Abdeckung operativer Risiken Maßnahmenmgmt.. durchführen • Terminierung und Initiierung notwendiger Projekte 4 • Überprüfung der Umsetzung eingeleiteter Maßnahmen Check • Absicherung durch Etablierung des Notfallmanagements Do 10 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ © 2011 WMC GmbH
- 11. Schematischer Ablauf des IT Risikomanagement Prozessmodell erstellen Angebotsphase Montage … Versand Übergeordnete Risikobewertung Kritikalität: niedrig Kritikalität: hoch Kritikalität: mittel (Kritikalität der GP festlegen) Applikation 1 Applikation 3 Applikation 5 Datenbank a Datenbank e Datenbank h Alle Assets Datenbank b Datenbank f Datenbank i • identifizieren, Server x Server z Server w • gruppieren und • den Prozessen zuordnen Applikation 2 Applikation 4 Applikation 6 Datenbank c Datenbank g Datenbank k Server y Server v Server z Detaillierte Analyse Detaillierte Analyse • Asset Bewertung Basisbewertung Basisbewertung Vertraulichkeit, Integrität, Verfügbarkeit, • Bedrohungsanalyse Authentizität, Finanzieller Wert • Schwachstellenanalyse • Risikobewertung Bedrohungen Schwachstellen Appl. 4 analysieren und oder analysieren und DB c bewerten. bewerten Basisbewertung Server v (existierende Sicherheits- maßnahmen berücksichtigen) Maßnahmen Management 11 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 12. Compliance Management: Systematisches, methodenbasiertes Vorgehen BDSG Sicherheitsmanagement Qualitätsmanagement ISO 27001 ISO 9001 inkl. IT-Risko 27005 Qualitätsmanagementsystem Kontinuierliche Verbesserung Anforderungen Verantwortung der Leitung Kunde Zufriedenheit Messung, Kunde Management Analyse, DIN EN ISO 9001Verbes- Managementprozess der Ressourcen serung Abgebildet in QSEC Produkt u./o. Dienstleistungs- realisierung Produkt/ Dienst- Act Plan leistung Sicherheit ist ein Umweltmanagement Prozess Servicemanagement ISO 14001 Check Do ISO 20000 SOX 12 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 13. Die QSEC-Suiten / QSEC Easy Express • Vollständige ISMS Abbildung nach ISO/IEC 27001 • Plan-Do-Check-Act (PDCA) • Nachhaltigkeit • Vollständiges IT-Risikomanagement ISO/IEC 27005 • Bedrohungen/Schwachstellen • Ganzheitlichkeit • Vollständiges Maßnahmenmanagement • Liefert jederzeit den aktuellen Status • Übersichtlichkeit • Schnittstellenmanagement • BIA / BCM*) • Integration in die Infrastruktur • Geschäftskontinuität • Eindeutigkeit • Planbarkeit *) BIA=Business Impact Analyse, BCM=Business Continuity Management 13 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 14. QSEC Easy Express • Compliance • Maßnahmen • IT-Risiko • Dokumenten • Reporting • Limitiert auf 3 User und 1 Untersuchungsbereich 14 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 15. QSEC Family • QSEC Easy Express • QSEC-Suite Enterprise Edition • QSEC-Suite GRC Edition Nachhaltigkeit • Intuitive Benutzerführung • Methode • Content „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ 15
- 16. QSEC-Suite Enterprise Edition • Compliance • Maßnahmen • IT-Risiko • Dokumenten • Security-Incident • Reporting „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ 16
- 17. QSEC-Suite GRC Edition • Compliance • Maßnahmen • IT-Risiko • Dokumenten • Security-Incident • BIA/BCM • Reporting „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ 17
- 18. QSEC-Family - Produktvergleich „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“ 18
- 19. QSEC-Suite Module im Überblick Module in Planung Enterprise Suite GRC Suite QSEC-Suite Dashboard QSEC-Suite QSEC-Suite QSEC-Suite QSEC-Suite Reporting Management Compliance IT-Risiko Reporting BCM Compliance- IT- Reporting Business Continuity management Risikomanagement Berichte Management QSEC-Suite QSEC-Suite QSEC-Suite QSEC-Suite Erweiterungen Maßnahmen Dokument BIA Incident Maßnahmen- Dokumenten- Security-Incident- Business Impact Awareness management management management Analyse Awarenessmanagement Schnittstellen Schnittstellen Mailsystem, Asset Management (z. B. Spider), AD, Ticketsystem (z. B. helpLine) Risikomanagement Montoring Tools QSEC-Suite Vulnerability-Scan Core Server, Gemeinsame Plattform, Berechtigungen vorhanden in Realisation 19 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 20. QSEC-Suite integriert in der IT-Infrastruktur Assetgruppe Kritikalität Geschäftsprozesse Vertraulichkeit Verfügbarkeit Mitarbeiter- Asset berechtigungen Management Integrität Active Directory (AD) Spider / Service Center Assetgruppe Schwachstellen QSEC-Suite Vulnerability Prozess Maßnahmen ISMS / BDSG Geschäftsprozesse Management Management Qualys Integriertes Aris / Adonis Management System Benachrichtigungen Security-Incidents Incident Mailsystem Management Perigrine / helpLine 20 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 21. QSEC Suite Enterprise Edition – mehr als nur eine Software (1/2) In der QSEC-Suite Enterprise Edition ist folgender Content enthalten Modul Beschreibung Bemerkung Stammdaten Rollenbeschreibungen z.B. Sicherheitsbeauftragter, Datenschutzbeauftragter, Qualitätsbeauftragter etc. Compliance ISO/IEC 27001 Chapter 0-8 • Ständige Überarbeitung und Fragenkatalog mit 48 Fragen Update ISO/IEC 27001 Annex A • Selbstverständlich kann auch Ihr Fragenkatalog mit 502 Fragen bestehender Fragenkatalog ISO/IEC 9001 eingebunden werden Fragenkatalog mit 126 Fragen ISO/IEC 14001 Fragenkatalog mit 148 Fragen ISO/IEC 20000 Fragenkatalog mit 400 Fragen PCI/DSS Fragenkatalog mit 98 Fragen VDA PTS Fragenkatalog mit 102 Fragen Bundesdatenschutzgesetz (BDSG) Fragenkatalog mit 402 Fragen Sarbanes-Oxley-Act (SOX) Fragenkatalog mit 229 Fragen 21 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 22. QSEC Suite Enterprise Edition – mehr als nur eine Software (2/2) In der QSEC-Suite Enterprise Edition ist folgender Content enthalten Modul Beschreibung Bemerkung IT-Risiko- Bedrohungskatalog (50) Ständige Überarbeitung und management Schwachstellenkatalog (120) Update Dokumenten- Musterdokumente Ständige Überarbeitung und management z.B. Sicherheitsmanagement (25) Update Security Policy Sicherheitsleitlinien Klassifizierungsrichtlinie IT-Risikomanagementrichtlinie etc. Maßnahmen- Maßnahmenvorschlagslisten Ständige Überarbeitung und management z.B. Sicherheitsmanagement (1.200) Update Control- und Risikobezogen 22 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 23. QSEC-Suite Beispiel: Maßnahmenmanagement Struktur im Maßnahmenmanagement z.B. ISO 27001 Untersuchungs- • A5 • Bezeichnung bereich • A6 • Beschreibung • Zieldatum • Priorität • Verantwortlich • Umsetzungsgrad • Status Maßnahmen • Projektname • Projektverantwortlicher • Verknüpfung • Compliance • Dokument z.B. Name des verantwort- • mit anderen • Patch Dokument lichen Mitarbeiters Maßnahmen • Klassifizierung • Protokollierung • individuelle Maßnahmen z.B. • Risikomanagement • Richtlinie • Arbeitsanweisung • Formular • Handbuch • Checkliste Für jede Sicht wird eine entsprechende Verknüpfung am Dokument erstellt. 23 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 24. QSEC-Suite Beispiel: Reporting Reifegrad IST- / SOLL Darstellung mit Maßnahmenauflistung Assetgruppenbewertung Mitgelieferte A5 Untersuchungsbereich: ITRZ + Recht Sicherheitspoli tik Reports A15 5 A6 10 Einhaltung Organisation 9 der … 4 der … A14 Business 3 A7 8 10 • Standardberichte Anzahl Assetgruppen • Management- Continuity Management 7 2 Management von Werten 6 1 IST 0 SOLL 5 berichte A13 A8 Management von… Personalsicher heit 4 3 6 • Arbeitsberichte 2 4 • SOA A12 A9 • Maßnahmen 1 Beschaffung, Physische Entwicklung … Sicherheit 0 A11 Zugangskontro A10 Betriebs- und Detaillierte Bewertung • Risiko Basisbewertung • Reifegrad lle Kommunikat… Erfasste Assetgruppen Assetgruppenstatus Risikostatus Gap-Analyse des Schutzzniveaus je Assetgruppe Untersuchungsbereich: ITRZ + Recht Untersuchungsbereich: ITRZ + Recht • Individuelle Berichte 4 nach Vorgabe 3,5 3 3 3 4 Schutzniveau 2,5 4 20% 2 2 2 20% 1,5 1 3 60% 1 0,5 0 SAP MM SAP HR SAP PP SAP WM Risikowert >= 7 SAP MM SAP HR SAP PP SAP WM Risikowert 5 - 7 Soll-Wert 4 4 3 3 Risikowert <=4 Ist-Wert 1 2 3 2 Assetgruppe 24 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 25. QSEC-Suite Technik Die QSEC-Suite ist eine webbasierte Anwendung: Client Webserver Datenbank Incident neu Compliance • Web-Browser • Microsoft • Microsoft Dokumente Reporting • SSL Windows Server SQL • Keine Installation 2003 - 2008 R2 Server 2008 / R2 Maßnahmen • Keine Wartung • Microsoft Risiko IIS • Schnittstellen zu • ASP.NET 4.0 anderen Systemen Programmierung mit Microsoft Visual Studio 2010 Aktuelle Version: 3.0 QSEC-Suite - der sichere, softwaregestützte Weg zum ganzheitlichen Information Security Management System (ISMS) nach ISO/IEC 2700x 25 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 26. QSEC - Versionsentwicklung 2008 - 2012 QSEC Leistungen QSEC 4.0 bis 5.0 QSEC 1.6.0 bis 3.0 Module: • Event- console Module: Normen: • Dashboard QSEC 1.0.0 bis 1.5.0 • Integration • strategisches • BS 25999 (BCM) • (Qualys/ISS/ Management von • SOX Checkpoint Module: Normen: etc.) Unternehmenszielen • Sonder- • BIA lösungen • SharePoint • Admin • ISO 27001 • CoBIT • QSEC- (Business Impact • Stammdaten • ISO 27002 • Fragenkatalog Online Analyse) • Compliance • ISO 27005 • Englische (SaaS) • BCM • Maßnahmen • ISO 9001 (QM) Sprachvariante • Security Incident • Risiko (IT) • ISO 14001 Management • Dokumenten (Umwelt) • Dokumentenportal • Reporting • ISO 20000 (ITIL) • Schnittstellen • (Reifegrad) • VDA PTS • Berechtigungskonzept • PCI / DSS nach Legal Entities 15.10.2008 31.12.2009 30.12.2011 31.12.2012 26 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 27. ISMS Einführung - Nutzen • Ernstgenommene ISMS Einführung erhöht die Unternehmenssicherheit signifikant und leistet einen wesentlichen Beitrag zum Risikomanagement im Unternehmen • Nachweis des Sicherheitsmanagements und dessen Überprüfung durch externe Auditoren zur Erfüllung von Kundenanforderungen • Erhaltung und Stärkung der eigenen Wettbewerbsfähigkeit • Möglichkeit der gezielten IT-Investition durch Kenntnis der geschäftskritischen Erfordernisse (IT-Risikomanagement) • Generierung angemessener Sicherheitsstandards und -lösungen im Rahmen der IT Strategie • Einsparungen durch Roll Out des praxiserprobten ISMS auf weitere Standorte bzw. bei Unternehmensexpansion - „ISMS aus der Box“ für neue Standorte • Konsolidierbare und vergleichbare Daten im Sicherheitsmanagement in Konzernstrukturen • Erfüllung von Anforderungen aus dem Datenschutzgesetz „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 28. Vorteile von und Anforderungen an eine Toolunterstützung • Integrierte zentrale Datenbank • Konzernstrukturen weltweit darstellbar • Vorgehen nach einheitlicher Methode in großen und komplexen Unternehmensstrukturen • je Norm / Gesetz komplett hinterlegter Content • vollintegriertes IT-Risikomanagement • Integration in die bestehende IT-Infrastruktur (AD, SAP, Asset System etc.) – keine Doppelerfassung von Daten • Zentrale Dokumentenverwaltung (oder Verlinkung mit DMS) • Historie aller relevanten Veränderungsdaten • Zuweisung expliziter Aufgaben an alle am Projekt beteiligten Verantwortlichen • automatische Wiedervorlage über Mailsystem • Erfassung und Kritikalitätsbewertung der Geschäftsprozesse je Untersuchungsbereich • Maßnahmenvorschläge 28 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 29. QSEC-Suite Vorteile im Ergebnis • hohe Transparenz über alle Aktivitäten und Status im Bereich des Compliance- und IT-Risikomanagements • permanente Information über und nachhalten von Veränderungen und Verbesserungen über den PDCA Kreislauf • daraus abgeleitet die Möglichkeit der Optimierung der IT-Investitionen auf die wesentlichen, geschäftskritischen Prozesse • Einsparung von ca. 30-50% der internen und externen Kosten einer ISMS-Einführung / Betrieb (bzw. Qualitäts-, Umweltmanagement etc.) sind möglich • Positive Auswirkungen auf das Image des Unternehmens bei Kunden, Lieferanten, Banken, Versicherungen und Investoren durch lückenlose Nachweisbarkeit aller durchgeführten Aktivitäten inkl. tagesaktuellem Status 29 „Best in Class ist nie ein Zufall „Bestin Class ist nie ein Zufall !“ !“
- 30. Version 2.1 „Best in Class ist nie ein Zufall !“