Changes

Jump to: navigation, search

Störfallrecht in der Praxis

7,773 bytes added, 1 year ago
→‎25.10.2021 um 15.00 Uhr: Update Informations-Sicherheit
 =2825./2926.10.2021 2022 in KölnMainz===2825.10.2021 2022 um 1215.00 Uhr: '''Update Informations-Sicherheit'''==*Randbedingungen u. a. durch die Störfallverordnung*Aktuelle Herausforderungen zu der KAS-51"Maßnahmen gegen Eingriffe Unbefugter"*Empfehlungen zur Durchführung von Penetrationstests*Ausblicke Überblick und Entwicklungen Cyber-SecurityAbgrenzung der ISO 27000 Normenreihe    [[File:20211026 Verteidiger Dilemma mR.png|700px]]<br />*Checklisten und NutzwertanalysenVerteidiger Dilemma <br />===Randbedingungen [[#top|-> <u>Inhaltsverzeichnis</u. a. durch die Störfallverordnung===> (dieses Ressourcen-Wikis)]]
<br /><br />
 
 
 
[[File:20211026 Sprachgebrauch mR.png|700px]]<br />
<nowiki>[[File:20211026 Sprachgebrauch mR.png|700px|link=]]<br /></nowiki>
*Sprachgebrauch
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 
 
===Herausforderungen der KAS-51 "Maßnahmen gegen Eingriffe Unbefugter"===
<br /><br />
 
 
 
[[File:20211026 Prozess-Steuerung mR.png|700px]]<br />
<br /><br />
[[File:20211026 Die richtigen Daten mR20221017 Separation air gap.png|700px]]<br />*Die richtigen Daten Separation
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Verteidiger Dilemma Schadsoftware verstehen mR.png|700px]]<br />*Verteidiger Dilemma Schadsoftware verstehen
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Störfall-Verordnung mR20221017 Allianz Risk Barometer 2022.png|700px]]<br />*Störfall-Verordnung Allianz Risk Barometer 2022
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 
===Aktuelle Herausforderungen zu KAS-51===
[[File:20211026 Entwicklung Maßnahmen mR20221017 Bitkom Wirtschaftsschutz 1.png|700px]]<br />*Entwicklung Maßnahmen Weitere Zunahme von Cyberattacken erwartet
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Ergänzende Bemerkungen mR20221017 Bitkom Wirtschaftsschutz 2.png|700px]]<br />*Ergänzende Bemerkungen Wirtschaft rechnet mit verstärkten Cyberangriffen
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Schadsoftware verstehen mR20221017 Bitkom Wirtschaftsschutz 3.png|700px]]<br />*Schadsoftware verstehen Cyberattacken bedrohen Existenz
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Empfehlungen zur Durchführung von Penetrationstests===
===Ausblicke und Entwicklungen Cyber-Security===   [[File:20211026 BSI-Standards mR20221017 Buch Hardware Security.png|700px]]<br />*BSI-Standards Buch: Hardware & Security
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Allianz Risk Barometer 2mR20221017 Notfall-Kommunikation analog.png|700px]]<br />*Allianz Risk Barometer Notfall-Kommunikation analog
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Überblick und Abgrenzung der ISO 27000 Normenreihe=== [[File:20211026 BSI Lagebericht mR20221017 ISO 27000 Normenreihe.png|700px]]<br />*BSI Lagebericht ISO 27000 Normenreihe
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
 [[File:20211026 Wirtschaftsschutz 2021 REINER mR.png|700px]]<br />*Wirtschaftsschutz 2-Faktor Authentifizierung
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 BSI Newsletter Zero Trust mR.png|700px]]<br />*BSI Newsletter Zero Trust
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Checklisten===
 
 
 
 
'''Checkliste zu Ausfällen'''
{|class="wikitable"
|+
!Nr
!Ausfall
!Fragen
|-
|1
|Gesamt-Strom-Ausfall
(bei Einspeisung)
|Vitale Stromkreise definiert?<br />
Altenative Einspeisung?<br />
Generator?<br />
Überbrückungsdauer?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|2
|Teil-Strom-Ausfall
|Redundanz auf Gelände? z.B. Offener Ring?<br />
Altenative Einspeisung?<br />
Generator?<br />
Überbrückungsdauer?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|3
|Gesamt-Internet-Ausfall
(bei Einspeisung)
|Vitale LAN-Strecken definiert?<br />
Altenative LAN-Struktur?<br />
Dauer bis Reaktivierung?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|4
|Teil-Internet-Ausfall
|LAN-Redundanz auf Gelände?
Altenative LAN-Struktur?<br />
Dauer bis Reaktivierung?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|5
|Telefon-Ausfall
|Festnetz-/ Mobiltelefon-Redundanz;
Wer besitzt Firmen-Mobiltelefon?<br />
? Mobiltelefon-Gruppengespräche möglich? Falls ja, welche Gruppengröße?
|-
|6
|Teil-Steuerungs-Infrastruktur-Ausfall
|Steuerungs-Infrastruktur-Redundanz auf Gelände?
Altenative LAN-Struktur?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|}
 
 
'''BSI-Checkliste'''
#Cyber-Sicherheit ist Chefsache!
#Cyber-Resilienz erhöhen!
#Netzwerke schützen Netzwerke!
#Managen Sie Cyber-Risiken!
#Schützen Sie die „Kronjuwelen“!
#Sichern Sie Ihre Daten!
#Die Mitarbeiter mitnehmen und regelmäßig schulen!
#Patchen, patchen, patchen!
#Verschlüsselung sollte der Normalfall werden!
#Nutzen Sie die Angebote des BSI!
===Checklisten und Nutzwertanalysen===
[[File'''AKIS-Checkliste zur ersten Orientierung'''{|class="wikitable"|+!Nr!Maßnahmen!Durchführung|-||'''Information Security Dilemma'''|Der Verteidiger muss alle Zugänge schützen.Dem Angreifer '''genügt 1 Zugang'''.|-||'''Problem: Vernetzung'''|0:20211026 Nutzwertanalyse mRursprünglich reines lokales Netzwerk mit wenigen offsite Komponenten.png1: Unternehmen mit Kunden, Lieferanten, Partnern (und ggf. untereinander) verbunden.|-|1|Außenkommunikation|Sind Sie in der Außenkommunikation zurückhaltend, was Details Ihrer Schutzmaßnahmen betrifft.|-|2|Awareness|Führen Sie regelmäßig Awareness-Trainings durch, unterstützt durch "interne" Spear Fishing Angriffe.Werden Sie alle Security- und Privacy-Spezialisten.Führen Sie interne Tests durch.|700px]]<br -|3|Backups|Prüfen und validieren Sie die Backup-Prozesse (Offline-, OffSite-Kufri und Lafri-Backups).Backups werden regelmäßig erstellt und an Alternativ-Standorten gelagert.Regelmäßig werden die Restore-Prozesse getestet.|-|4|Begriffsdefinition|Erstellen/>Updaten Sie Ihr Firmen-Glossar mit Quellen-Bezug und -Zeitstempel und stellen Sie es zentral zur Verfügung.|-|5|Beschaffungsplanung|Bei Neu- und Ersatzbeschaffungen muss immer der Information Security Impact (ISI) bewertet und berücksichtigt werden.|-|6|Erfahrungs-Austausch|Tauschen Sie "im Verband" Erfahrungen aus.|-|7|Härten(engl. Hardening)|"Härten“ bedeutet die Entfernung aller Softwarebestandteile und Funktionen, die zur Erfüllung der vorgesehenen Aufgabe durch das Programm nicht zwingend notwendig sind. Oftmals gelingt einem Angreifer der Einbruch in einen Server durch den Missbrauch eines Programms, das auf diesem Server gar nicht installiert sein müsste. Nichtbenutzte Ports sind zu schließen. Ggf. werden sogar einzelne, nicht benötigte „Befehle“ (die zugehörigen Betriebssystemroutinen) entfernt.|-|8|Inhouse Consulting|Involvieren Sie Ihre Mitarbeiter durch Anreizsystem, ggf. serous game, Wettbewerb, Preise vergeben. Animieren Sie Ihre Mitarbeiter, Firmen-Schwachstellen zu benennen.|-|9|Kommunikation|Kommunizieren Sie mit Geschäftspartnern verschlüsselt.|-|10|Load balancing|Das Operations-Support-System (OSS) ist so zu optimieren, dass ungeplante Komponenten-Abschaltungen bzw. Leistungsminderungen aufgefangen werden und teilautomatisch ausgeglichen werden können.|-|11|Logging|Systemzustände, Zugriffsberechtigungen, Firewall-Einstellungen und Zugriffe werden alle dokumentiert und redundant abgespeichert.Überprüfen Sie jedes IT-Gerät auf Log-Speicherung.|-|12|Löschungen|Insbesondere Lösungen und Überschreibungen müssen nachvollziehbar und ggf. rückabwickelbar dokumentiert werden.|-|13|Melde-Kommunikation|„was tun, wenn …“ Anweisungen bei Anomalien und/oder Ausfällen definieren;Kommunikation über z.B.:* Anweisungs-Aushänge in jedem Raum (z.B. A4);*Nutzwertanalyse Anweisungs-Einstecker für Mitarbeiter (z.B. A8)|-|14|Melde-Wege|Meldegründe, Schwellwerte, Rollen|-|15|Multiple Sourcing|Redundanz durch Diversity, Einsatz mehrerer, paralleler, unabhängiger Softwaresysteme zur Lösung der selben Funktionalität und Prüfung bzw. Übernahme validierter Ergebnisse.<br |-|16|Netzwerk|Vermeiden/>beschränken Sie drahtlose Verbindungen.[[#top|-> <u>Inhaltsverzeichnis<|17|Notfallplan|Erstellen/u> Updaten und veröffentlichen Sie den abgestuften Notfallplan, auch durch Aushang in allen Räumen. Ggf. Ansprechpartner mit Mobilfunknummern.|-|18|Notfalltraining|Simulieren Sie verschiedene Not-Situationen und trainieren Sie die entsprechenden Notfall-Konzepte.|-|19|Not-Telephon|Installieren Sie eine Unabhängige, offline Analog-Nebenstellenanlage mit separaten ggf. speisefreien Endgeräten zwischen den Hauptgebäuden.|-|20|Open Source|Kann proprietäre Software durch Open Source- oder quell-offene Software ersetzt werden?.|-|21|Pattern-Recognition,Anomalien|Definition von üblichen Muster-Prozess-Abläufen; laufender Vergleich mit IST-Prozess-Abläufen; Erkennung von "Auffälligkeiten".|-|22|Penetration|Penetration-Test Teams von unabhängigen, konkurrierenden Anbietern (und Mitarbeitern) sollen parallel und quasi-regelmäßig Einbruchsversuche vornehmen und dokumentieren.|-|23|PreOp-Testing|Ziel für später: "No surprises!"|-|24|Rechte-Konzept|Führen Sie ein zentrales Authentisierungs- und Rechte-Konzept ein.|-|25|Remote Support Zugriffe|Prüfen und Dokumentieren Sie alle Remote Support Zugriffe.|-|26|Risiko-Analyse|Führen Sie regelmäßig TOM-Risiko-Analysen durch (dieses Technik, Organisation, Menschen).Priorisieren Sie Daten, Anwendungen und Prozesse entsprechend der Risiko-Analyse.Analysieren Sie Ihre IT-Ressourcenbezüglich Verfügbarkeit, Zuverlässigkeit, Loyalität und Qualifikation|-|27|Sechs-Augen-Prinzip|Speziell IT-Administrations-Funktionen sollten nur im Vier- oder besser: im Sechs-Augen-Prinzip erfolgen und vollständig dokumentiert we|-|28|Separierung|Alle Endgeräte sowie Netz- und Speichergeräte werden bewertet und in entsprechenden, separaten Netzwerkbereichen betrieben.Netze mit Hoch-Risiko-Komponenten werden galvanisch von anderen Netzen getrennt (air gap). Datenaustausch erfolgt über Datenträger.Operations-Support-System (OSS) und Betriebs-Support-System (BSS) und Administration-Support-WikisSystem (ASS)]]sind kontrollierbar zu vernetzen.|-|29|Supply-Chain Problematik|IT-Dienstleister auf "IT-Security" prüfen; Abhängigkeiten minimieren, Risiken evaluieren, Notfallpläne mit Dienstleistern abstimmen.|-|30|Training|Üben Sie regelmäßig Notfälle und Notfallpläne mit "relevanten" Mitarbeitern.|-|31|Updates|Funktions- und insbesondere Security-Updates sind notwendig. Prüfen und validieren Sie die Update-Prozesse.<br /><br /Hierbei besteht die Möglichkeit, verschlüsselte Informationen zu Externen zu übertragen (->Hash).|-|32|Vertretungsregelung|Prüfen und Updaten des Vertretungskonzepts.|-|33|Zugriffsregelung|Berechtigungen sollen nur auf einer Need-to-know Basis erfolgen.|} 
[[File:20211026 REINER mR.png|700px]]<br />
*2-Faktor Authentifizierung
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Zero Trust mR.png|700px]]<br />
*Zero Trust
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Störfallrecht Ressourcen-Wikis)]]
<br /><br />
|Auch in kleinen und mittelgroßen Unternehmen schreitet die Digitalisierung rasant voran und eröffnet gerade diesen ganz neue Chancen. Doch unzureichend geschützte Systeme bieten Cyber-Kriminellen viele Möglichkeiten, sensible Daten auszuspähen und Geräte oder Prozesse zu sabotieren. Hinzu kommt, dass ein Unternehmen alle seine potenziellen Schwachpunkte absichern muss – denn einem Angreifer genügt es, eine einzige ausfindig zu machen. Daher ist ein umfassendes Sicherheitskonzept so wichtig.
|-
|9918|[https://shop.reiner-sct.com/authenticator/reiner-sct-authenticator Link]|REINER SCT (2FA)|Zwei-Faktor-Authentisierung (2FA) mit Time-based One-time Password Algorithmus (TOTP): Wirkungsvoller Schutz vor Identitäts-Diebstahl, für Smartphone, Tablet, Notebook oder Desktop, bei allen führenden Online-Plattformen sofort nutzbar.
|}
Retrieved from "https://wiki.trutzbox.de/view/Special:MobileDiff/5343...5506"

Navigation menu