,

Podcast – Security on Air – Heute Mobile Device Management (MDM)

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Das Mobile Device Management ist zum einen eine softwarebasierte Verwaltung von mobilen Geräten wie Laptops, Smartphones usw. aber auch ein Konzept in dem klare Regeln aufgestellt werden, wie diese mobilen Geräte eingesetzt werden dürfen.

In unserer Folge „Mobile Device Management (MDM) aus Informationssicherheits- und Datenschutzsicht“ gehen wir auf folgende Aspekte ein:

  • Vorteile und Möglichkeiten des MDM
  • Mögliche Stolperfallen in Bezug auf private Nutzung
  • Lösungen, um eine private Nutzung zu ermöglichen
  • ISO 27002:2022 Kapitel 7.9 Security of assets off-Premises

Hier ein Paar Links zum Thema MDM:

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
,

Informationssicherheit nach ISO 27001 für Vorstände und Geschäftsführer (Teil 3)

Kommunikation und Berichtswege im ISMS

In den ersten beiden Teilen dieser Artikelserie haben wir uns mit den Aufgaben von Geschäftsführern und Vorständen in einem Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 bezüglich des Zusammensetzens eines Projektteams für die Einführung des ISMS sowie mit den Rollen und der Aufbauorganisation für den Betrieb des ISMS beschäftigt. In diesem Beitrag soll es um die Berichtswege hin zur obersten Leitung eines Unternehmens gehen.

Zuweisung von Verantwortung und Befugnissen zum Berichten

Es ist die Aufgabe der obersten Leitung, also von Geschäftsführern und Vorständen, die Verantwortlichkeit und die Befugnisse für das Berichten über die Leistung des Informationssicherheits-Managementsystems an die oberste Leitung, also an sich selbst, zuzuweisen. Mit anderen Worten, wenn die oberste Leitung nichts aus dem ISMS hört, hat sie selbst etwas falsch gemacht. Lassen wir den Fall, dass genau dies beabsichtigt ist, einmal außen vor.

Die Geschäftsführer und Vorstände sollten also zumindest einer Person, meist dem CISO oder Informationssicherheitsbeauftragten, die Pflicht zur Berichterstattung auferlegen. Verbunden mit einem jederzeitigen und unmittelbaren Vortragsrecht sorgt dies dafür, dass die oberste Leitung auch in außergewöhnlichen Situationen, wie akuten Informationssicherheitsvorfällen jederzeit informiert ist. Aber auch andere Themen, die sonst in der Hierarchie und Bürokratie einer Organisation zu versickern drohen, kommen so “ganz oben” an. Kluge Informationssicherheitsbeauftragte werden von diesem Recht nur sehr dosiert Gebrauch machen, so dass die Befürchtung einer Überbeanspruchung der Führung in der Praxis meist unbegründet ist.

Kennzahlen

Kennzahlen bieten ein wichtiges Steuerungsinstrument. Die ISO 27001:2022 fordert dieses Instrument in Kapitel 9.1, der BSI-Standard 200-1 in Kapitel 4.1 “Aufgaben und Pflichten des Managements”. Sich wichtige Kennzahlen regelmäßig berichten zu lassen, ermöglicht es der Führung im Bilde zu bleiben und steuernd eingreifen zu können. Dabei sollten zwei Ebenen abgedeckt werden:

  1. Wirksamkeit des Informationssicherheits-Managementsystems
    Funktioniert mein Managementsystem? Werden alle notwendigen Aktivitäten durchgeführt, wie z.B. Kennzahlenerfassung, Rollenbesetzungen, Risikobewertungen?
  2. Informationssicherheitsleistung
    Was kommt für die Informationssicherheit hinten raus, z.B. wie häufig auf Links in Phishing-E-Mails geklickt wurde oder wie häufig unbegleitete “Fremde” auf dem Betriebsgelände angetroffen wurden?

Auditberichte

Die eigene Organisation sollte regelmäßig in Hinblick auf Informationssicherheit auditiert werden. Die resultierenden Auditberichte zeigen Nichtkonformitäten und Verbesserungspotentiale auf. Eine wichtige Informationsquelle für die Organisationsleitung.

Managementbewertung

In der Managementbewertung bewertet die Geschäftsführung bzw. der Vorstand ihr bzw. sein ISMS. Diese Sichtweise ist wichtig. Wenn es keine spezifischen Anforderungen gibt, so gehört es mindestens zu den allgemeinen Sorgfaltspflichten der Organisationsleitung für ein angemessenes Niveau der Informationssicherheit zu sorgen. Dieser Pflicht kommt sie nach, indem sie ein ISMS einrichtet bzw. einrichten lässt. In der Folge muss sie sich vergewissern, dass dieses System funktioniert und es daher bewerten.

Damit wären die wesentlichen Teile der Kommunikation und Berichtswege an die oberste Leitung im ISMS beschrieben. Wie immer kommt es auch hier darauf an, dies möglichst gut in die Prozesse des Unternehmens zu integrieren. Integration in die Prozesse soll dann auch das Thema des nächsten Artikels dieser Serie werden.

Wie geht es weiter?

Im nächsten Artikel in der Reihe Informationssicherheit nach ISO 27001 für Vorstände und Geschäftsführer wird es um die Integration der ISMS-Prozesse in die Prozesse des Unternehmens gehen.

das Auditprogramme als Steuerungsinstrument der Geschäftsführung bzw. des Vorstandes gehen.

Was Sie noch interessieren könnte…

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Podcast – Security on Air – Heute Audit in der ISO 27001

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Laut ISO 27001:2022 Kapitel 9.2 sind interne Audits ein verpflichtender Bestandteil eines funktionierenden ISMS. Jedoch sollte man diese Audits nicht als Zwang wahrnehmen, sondern eher als Möglichkeit, gezielt Schwachstellen aufzugreifen und rechtzeitig abzustellen.

In unserer Folge „Audits in der ISO 27001 – wie, wer, was?“ gehen wir auf folgende Aspekte ein:

  • Forderungen der ISO 27001:2022 Kapitel 9.2
  • Unterschied Auditprogramm und Auditplan
  • Die Schwierigkeiten eines dynamischen Auditprogramms
  • Aufgaben und Qualifikationen von Auditprogrammleitern und Auditoren

Hier ein Paar Links zum Thema interne Audits:

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
,

TISAX® – Informationssicherheit im Detail, Teil 1

In der Artikelreihe über TISAX® als den Standard für Informationssicherheit in der Automobilindustrie soll es heute um die Inhalte gehen, die im Zuge einer Überprüfung untersucht werden. Die hierbei genutzte Liste, der VDA ISA Katalog, wurde ja im vorherigen Artikel kurz erwähnt.

Dieser Katalog erweist sich als eine etwas größere Excel-Tabelle, in der sich neben einigen Hinweisen zum Ablauf Fragen zu 41 Themengebieten der Informationssicherheit finden, die – natürlich – beantwortet werden wollen. Dabei müssen zunächst organisatorische Festlegungen getroffen werden. So soll z.B. festgelegt werden, wer innerhalb einer Organisation für das Thema Informationssicherheit verantwortlich ist, wie Anforderungen der Informationssicherheit auch in Projekten berücksichtigt werden oder wie die Zusammenarbeit zwischen der eigenen IT und unternehmensfremden IT-Dienstleistern geregelt sein soll. Überhaupt geht es bei einem systematischen Aufbau immer – nicht nur bei TISAX® – darum, viele Arbeitsabläufe in Unternehmen in Bezug auf Sicherheitsanforderungen zu betrachten und vielleicht auch erstmalig per Vorgabe unternehmensweit zu regeln.

Grundlagen eines ISMS

Solche Prozesse sind z.B. das Risikomanagement und das Assetmanagement. Unter dem Begriff „Assetmanagement“ versteht man hier die Inventarisierung, Verwaltung, Klassifizierung und Nutzung von allen Arten von Informationswerten. Dazu zählen nicht nur einzelne Dateien oder Anwendungen, der Begriff „Informationswert“ wird hier sehr weit gefasst: auch Prototypen, Zeichnungen auf Papier, Netzwerke, Patente und geistiges Eigentum, Designs werden als Informationswerte betrachtet, aber auch Prozesse, Vertragsbeziehungen oder Menschen in Schlüsselpositionen. Kurzum – alle Dinge, die Informationen enthalten oder für den Ablauf von Geschäftsprozessen benötigt werden, werden beim Assetmanagement betrachtet. Der Grund ist recht einfach: Ich muss wissen, welche Dinge vorhanden sind, damit ich sie angemessen schützen kann.

Assetmanagement und Klassifizierung

Eng verbunden mit dem Assetmanagement ist die Klassifizierung. Schließlich möchte man ja nicht nur wissen, welche Dinge vorhanden sind, sondern auch, wie mit ihnen umgegangen werden soll. Eine Klassifizierung liefert genau solche Handhabungsvorgaben. Hier macht der VDA den Vorschlag, ein vierstufiges Klassifizierungsschema mit den Stufen „öffentlich“, „intern“, „vertraulich“ und „streng vertraulich“ zu nutzen. Zu jeder der vier Stufen werden dann in abgestufter Form Handhabungsvorgaben gemacht. So könnte man z.B. festlegen, dass „öffentliche“ Informationen innerhalb und außerhalb des Unternehmens weitergegeben werden dürfen. „Interne“ Informationen dagegen dürfen nicht nach Außen gegeben werden, innerhalb des Unternehmens jedoch frei genutzt werden. Zugang zu „vertraulichen“ Informationen erhält man nur mit einer Freigabe des Werteverantwortlichen. Ähnlich werden auch andere Aktivitäten wie Drucken, Versenden per Mail oder die Nutzung im Homeoffice abgestuft geregelt, immer passend zum Schutzbedarf des jeweiligen Informationswertes.

Mit TISAX® werden grundlegende Aktivitäten in einem Informationssicherheitsmanagementsystem nicht neu erfunden, sondern – je nach Bedeutung innerhalb der Automobilindustrie – systematisch abgefragt. Einige weitere Inhalte werden wir im folgenden Artikel betrachten – oder in einem unserer Seminare.

Was Sie noch interessieren könnte…

Seminar:

“TISAX® – Informationssicherheit in der Automobilindustrie”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” hat diesem Thema auch eine Folge gewidmet. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

/von
,

Wie ein effektives Business Continuity Management auch bei Naturkatastrophen hilft

Business Continuity Management (BCM) bezieht sich auf den Prozess der Identifizierung potenzieller Bedrohungen für ein Unternehmen und die Entwicklung eines Rahmens, um sicherzustellen, dass wesentliche Geschäftsfunktionen im Falle einer Störung fortgesetzt werden können.

Das Ziel von BCM ist es, einen Plan zu erstellen, der es dem Unternehmen ermöglicht, schnell auf eine Krise zu reagieren, die Auswirkungen der Krise zu minimieren und sich letztendlich davon zu erholen. Dies beinhaltet die Identifizierung kritischer Geschäftsfunktionen, die Bewertung der Risiken, die diese Funktionen stören könnten, und die Entwicklung von Strategien zur Minderung dieser Risiken.

Ein BCM-Plan umfasst in der Regel einen umfassenden Satz von Verfahren und Protokollen, die im Falle einer Störung, z. B. einer Naturkatastrophe, eines Cyberangriffs oder einer anderen Krise, aktiviert werden können. Der Plan kann Verfahren für die Evakuierung von Mitarbeitern, die Einrichtung von Kommunikationskanälen mit Stakeholdern, die Aktivierung von Backup-Systemen und Datenwiederherstellungsprozessen sowie das Management von Lieferkettenunterbrechungen umfassen.

Ein effektiver BCM-Plan kann Unternehmen helfen, ihren Ruf zu schützen, das Vertrauen der Kunden zu erhalten und finanzielle Verluste zu reduzieren. Es kann Unternehmen auch dabei helfen, regulatorische Anforderungen und Industriestandards einzuhalten.

BCM ist ein fortlaufender Prozess, der regelmäßige Überprüfungen und Aktualisierungen erfordert, um sicherzustellen, dass er relevant und effektiv bleibt. Für Unternehmen ist es wichtig, ihre Risiken und Schwachstellen kontinuierlich zu bewerten und ihre BCM-Pläne entsprechend anzupassen.

Ein Beispiel zur Anwendung des Business Continuity Management

Business Continuity Management (BCM) hätte beispielsweise eine wichtige Rolle dabei gespielt, die türkische Bevölkerung bei der Vorbereitung, Reaktion auf und die Erholung von Erdbeben zu unterstützen. Die Türkei ist ein Land, das sich in einer seismisch aktiven Region befindet und in der Vergangenheit zahlreiche Erdbeben erlebt hat, darunter verheerende Erdbeben in den Jahren 1999 und 2020. Hier sind einige Möglichkeiten, wie BCM der türkischen Bevölkerung bei Erdbeben helfen kann:

  1. Bereitschaft: Ein BCM-Plan kann Unternehmen und Organisationen in der Türkei helfen, sich auf Erdbeben vorzubereiten, indem potenzielle Risiken und Schwachstellen identifiziert und Strategien zu deren Eindämmung entwickelt werden. Dies kann die Durchführung regelmäßiger Erdbebenübungen, die Einrichtung von Kommunikationsprotokollen und die Sicherstellung umfassen, dass wichtige Vorräte und Ausrüstung leicht verfügbar sind.
  2. Reaktion: Wenn ein Erdbeben eintritt, kann BCM Unternehmen und Organisationen helfen, schnell und effektiv zu reagieren. Dies kann die Aktivierung von Notfallverfahren, die Evakuierung von Gebäuden und die Einrichtung von Kommunikationskanälen mit den Stakeholdern umfassen. BCM kann auch dazu beitragen, dass kritische Geschäftsfunktionen auch im Katastrophenfall weiter funktionieren.
  3. Wiederherstellung: Nach einem Erdbeben kann BCM Unternehmen und Organisationen in der Türkei helfen, sich so schnell wie möglich zu erholen und den normalen Betrieb wieder aufzunehmen. Dies kann die Aktivierung von Backup-Systemen und Datenwiederherstellungsprozessen sowie die Entwicklung von Strategien zum Management von Lieferkettenunterbrechungen umfassen. BCM kann auch dazu beitragen, den Ruf von Unternehmen und Organisationen zu schützen, das Vertrauen der Kunden zu erhalten und finanzielle Verluste zu reduzieren.

Insgesamt kann BCM der Bevölkerung helfen, sich besser auf Naturkatastrophen vorzubereiten, effektiv zu reagieren, wenn sie auftreten, und sich schneller und effizienter zu erholen. Es kann auch dazu beitragen, Leben zu retten, Eigentum zu schützen und die Auswirkungen von Naturkatastrophen auf Unternehmen und Gemeinden zu minimieren.

Was Sie auch interessieren könnte:

Seminar:

“Business Continuity Management (BCM) nach ISO 22301”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast hat diesem Thema 2 Teile gewidmet. Alle Folgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website..

/von
, ,

Sicheres arbeiten im Home Office – aus den Augen, aus dem Sinn…

Nachdem in den ersten Blogartikeln mit vorrangig technischen Aspekten begonnen wurden, soll hier an die eher organisatorischen Fragestellungen aus dem letzten Artikel angeknüpft werden. Aus einer rein technischen Sicht heraus ist das Arbeiten im Home Office mit einer passenden Ausstattung und bei geschäftlichen Abläufen, die eine Präsenz im Unternehmen nicht erfordern, vergleichsweise einfach umzusetzen. Mit Hilfe der im vorherigen Artikel beschriebenen Vorgaben gibt das Unternehmen den Rahmen vor, wie im außerhalb des Büros gearbeitet werden soll.

Dieser Rahmen erlaubt es, einen erheblichen Teil der internen Kommunikation auch im Home Office nachzubilden. Allerdings setzt es voraus, dass die technischen Möglichkeiten auch regelmäßig und intensiv genutzt werden, um die Mitarbeiter im Home Office in den internen Informationsfluss des Unternehmens auf eine Art und Weise einzubinden, die mit der bei vollständiger Büropräsenz vergleichbar ist. Oder anders gesagt: Man bekommt oft im Home Office vieles nicht mit, was im Unternehmen geschieht. Insbesondere der informelle Informationsfluss leidet oft, man vermisst den Smalltalk mit dem Gegenüber im Büro, bei der Raucherpause oder dem Weg in die Kantine.

Einen Teil zu diesem verringerten Informationsfluss kann auch die schlechtere Erreichbarkeit außerhalb des Büros beitragen. Nicht immer ist ein ablenkungsfreies und ungestörtes Arbeiten möglich, und gelegentlich werden die Freiheiten bei der Gestaltung der Arbeitszeiten auch genutzt – schließlich ist es ja entscheidend, dass die Ergebnisse stimmen, ODER? Insbesondere wenn es darum geht, schnell gemeinsame Entscheidungen außerhalb der gewohnten Abläufe zu treffen, kann sich eine eingeschränkte Erreichbarkeit durchaus negativ auswirken.

Führungsstil und Vertrauen

Somit wird klar, dass sich auch die Tätigkeiten und Herausforderungen im Bereich Mitarbeiterführung erweitern. Ein eng angelegter Führungsstil, der in hohem Maße auf direkter Kontrolle und unmittelbarer Ansprache beruht, funktioniert im Home Office vermutlich eher schlecht. Vielmehr dürfte ein ergebnisorientiertes, vertrauensvolles Anleiten durch den Vorgesetzten eher zu guten Ergebnissen führen. Dazu gehört natürlich auch, dass es Vorgaben und Richtlinien für das Arbeiten im Home Office geben muss, die den geänderten äußeren Bedingungen Rechnung tragen. Home Office bietet dem Arbeitnehmer zwar Gestaltungsmöglichkeiten und Vorteile, darf aber nicht mit absoluter Freiheit und „Wild West“ verwechselt werden. Und dazu kann es auch gehören, dass Arbeitsweisen oder Abläufe anders geregelt, manchmal sogar neu erschaffen oder zumindest entsprechend abgesprochen werden.

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Wirksamkeitsmessung im ISMS – Informationssicherheitsleistung

In den vorgehenden Beiträgen habe ich einen kurzen Überblick über die beiden Ebenen der Wirksamkeitsmessung im Informationssicherheits-Managementsystem (ISMS) gegeben und mich mit der Messung der Wirksamkeit des ISMS beschäftigt. Dieser Artikel vertieft den Aspekt der Wirksamkeit der Maßnahmen der Informationssicherheit, der Informationssicherheitsleistung.

Informationssicherheitsleistung – Wirksamkeit der Maßnahmen der Informationssicherheit

Dieser Artikel nimmt Bezug auf die ISO 27001:2022. Die o.g. vorhergehenden Artikel referenzierten noch die ISO 27001:2013. Allerdings gibt es keine nennenswerten inhaltlichen Änderungen die das Kapitel 9.1 “Überwachung, Messung, Analyse und Bewertung” betreffen. Neben redaktionellen Umstellungen ist lediglich die Anmerkung, dass die ausgewählten Methoden zu vergleichbaren und reproduzierbaren Ergebnissen führen sollten, damit sie als gültig zu betrachten sind, von einer Anmerkungen zu einer Anforderung geworden.

Die ISO 27001:2022 fordert: “Die Organisation muss die Informationssicherheitsleistung… bewerten.” Dazu muss überwacht und gemessen werden. Leistung meint ein messbares Ergebnis. An zwei Beispielen für zu überwachende und zu messende Größen, die der ISO 27004:2016 entnommen sind, soll dies dargestellt werden:

  1. Anzahl unbefugten Eindringens in Einrichtungen, in denen sich Informationssysteme befinden
  2. Anzahl der von Malware betroffenen Systeme, die nicht über eine aktualisierte Anti-Malware-Lösung verfügen

Anzahl unbefugten Eindringens in Einrichtungen, in denen sich Informationssysteme befinden

In welchem Unternehmen, gab es nicht schon einmal eine Situation, wo Personen in Bereichen angetroffen wurden, zu denen sie kein Recht zum  (unbegleiteten) Zutritt hatten. Der erste Schritt zur Eindämmung solcher Vorfälle ist zunächst einmal das Erfassen. Die reine Existenz einer solchen Kennzahl macht den eigenen Mitarbeitern deutlich, dass es sich hierbei um ein Problem (ein Informationssicherheitsrisiko) handelt. Das Meldeverhalten hierzu ist oft gering. Da die Situation, sofern sie auffällt, meist sofort entschärft wird. Der erste notwendige Schritt wäre also, die Mitarbeiter für das Thema zu sensibilisieren und zur Meldung anzuhalten.

Nach ihrer Einführung wird die Kennzahl zunächst wahrscheinlich steigen, was aber nicht auf mehr Fälle sondern auf ein besseres Meldeverhalten zurückzuführen ist. Ab der Stabilisierung kann beurteilt werden, ob es sich um vernachlässigbare Einzelfälle handelt oder ob Handlungsbedarf besteht. Nach ergriffen Maßnahmen müsste die Kennzahl dann auf ein akzeptables Niveau sinken.

Anzahl der von Malware betroffenen Systeme, die nicht über eine aktualisierte Anti-Malware-Lösung verfügen

IT-System können von Schadsoftware befallen werden. Dies wird sich wahrscheinlich niemals vollständig vermeiden lassen. Definitiv vermeidbar wäre der Befall durch bekannte Schadsoftware. Diese wird zuverlässig von den gängigen Anti-Viren-Softwarepaketen erkannt und ihre Ausführung verhindert. Bei den Systemen, die trotzdem befallen werden, wäre also noch weiter zu unterscheiden, nach Befall, der sich hätte vermeiden lassen und solchem, der auch bei aktueller AV-Software aufgetreten wäre. Möglicherweise gibt es für durch die Schadsoftware ausgenutzte Sicherheitslücken auch bereits Patches.

Warum wäre eine solche Kennzahl interessant? Wir erhalten hierdurch Hinweise, ob wir den Prozess zur Aktualisierung der AV-Lösung anpassen müssen oder ob es keinen akuten Änderungsbedarf gibt, da sich auch vielleicht nicht unverzügliche Aktualisierung zumindest in der Vergangenheit nicht als Problem erwiesen hat.

Möglicherweise gibt die Analyse von Kennzahlen Hinweise auf weitere wissenswerte Fakten. In unserem Beispiel wäre die “Anzahl der von Malware betroffenen Systeme, die nicht aktuell (nicht gepatcht) sind” möglicherweise eine weitere interessante Kennzahl.

Was Sie auch interessieren könnte:

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Warum Sie keine Firmengeheimnisse bei ChatGPT posten sollten

In der heutigen digitalen Welt, in der Technologie allgegenwärtig ist, können Unternehmen auf zahlreiche Tools und Plattformen zurückgreifen, um ihre Arbeit effektiver und effizienter zu gestalten. Eines dieser Tools ist ChatGPT, ein großes Sprachmodell, das von OpenAI entwickelt wurde und in den letzten Monaten viel Aufmerksamkeit bekommen hat. Das ist ein leistungsfähiges Instrument, das sich auch in der Arbeitswelt rasant verbreitet hat. Es ist jedoch wichtig, dass Mitarbeiter sich bewusst sind, dass sie keine Firmeninternas oder -geheimnisse bei ChatGPT posten dürfen.

Warum?

Der Grund dafür ist einfach: ChatGPT ist ein Tool von Drittanbietern, das nicht direkt lokal kontrolliert wird. Obwohl ChatGPT eine künstliche Intelligenz ist, die lernen kann, indem sie mit Benutzern interagiert, hat sie kein Konzept von Geheimhaltung oder Vertraulichkeit. Wenn Sie also vertrauliche Informationen oder Firmengeheimnisse bei ChatGPT posten, besteht die Möglichkeit, dass diese Informationen von unbefugten Personen abgerufen werden können.
Die Sicherheit und Vertraulichkeit von Informationen ist von entscheidender Bedeutung für Unternehmen. Eine Veröffentlichung von Informationen, die geschützt sein sollten, kann schwerwiegende Folgen haben, einschließlich der Verletzung von Verträgen, die rechtliche Schritte oder sogar den Verlust des Vertrauens der Kunden nach sich ziehen kann. Aus diesem Grund ist es ratsam, keine vertraulichen Informationen oder Firmengeheimnisse bei ChatGPT zu posten. Je größer der gepostete Inhalt ist, desto wahrscheinlicher ist es, dass er interne Daten beinhaltet. Eine vorherige, grundlegende Säuberung ist deshalb essenziell.

Was sollten Firmen bei der Nutzung von ChatGPT beachten?

Generell sollten Unternehmen eine Strategie entwickeln, ob und wie sie mit diesen neuen Werkzeugen umgehen. Oft ist dem einzelnen Mitarbeiter gar nicht bewusst, dass es sich um externe Tools handelt und es zu unterschiedlichen Verstößen, inkl. solcher gegen die DS-GVO führen kann. Mitarbeiter sollten primär interne Tools oder Plattformen nutzen, die von ihrem Unternehmen kontrolliert werden, um ihre vertraulichen Informationen sicher zu teilen. Diese internen Plattformen können speziell auf die Bedürfnisse und Anforderungen des Unternehmens zugeschnitten werden und sind somit sicherer als Tools von Drittanbietern wie ChatGPT.

Zur Information: Italien sperrt ChatGPT

/von
,

Podcast – Security on Air – Heute die aktualisierten ISO Normen 27001 und 27002

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Auch ISO Normen werden regelmäßig überprüft und an die aktuellen Gegebenheiten angepasst. So wurden in 2022 die aufeinander aufbauenden Normen 27001 und 27002 aktualisiert. Vor allem in der 27002, die die Maßnahmen zur Umsetzung der ISO 27001 beschreibt, hat sich einiges getan.

In unserer Folge „Die aktualisierten ISO Normen 27001 und 27002“ gehen wir auf folgende Aspekte ein:

  • Änderungen in der ISO 27002 – geänderte Abschnitte, neue Controls
  • Anpassung der ISO 27001
  • Stolperfallen minimale Wortänderungen
  • Zeitplanung Zertifizierung nach der aktualisierten Norm

Hier ein Paar Links zum Thema aktualisierten ISO Normen 27001 und 27002:

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
, ,

System zur Angriffserkennung …und was sagt das BSI?

In den beiden bisherigen Blogartikel wurde deutlich, dass sich hinter den Forderungen nach einem System zur Angriffserkennung (SzA) im IT-SiG 2.0 und im EnWG sehr viel mehr verbirgt als nur ein Stück Software. Daher hat das BSI (Bundesamt für Informationssicherheit) als federführende Stelle für alle Verpflichteten eine Orientierungshilfe erstellt, die eine strukturierte Hilfestellung liefert. In diesem Artikel soll es um die Systematik in den Veröffentlichungen des BSI gehen.

Formulierung MUSS, SOLL, KANN

Das BSI nutzt in seinen Publikationen die Formulierungen „MUSS“, „SOLL“ und „KANN“. Dabei muss man alle „MUSS“-Anforderungen umsetzen, um eine Konformität zu erreichen, es gibt bei diesen Anforderungen keinen Ermessensspielraum. Etwas anders sieht es bei den „SOLL“-Anforderungen aus. Ähnlich den „MUSS“, ist bei den „SOLL“ davon auszugehen, dass auch diese immer umgesetzt sind – es sei denn, es gibt stichhaltige Gründe, von diesen Anforderungen abzusehen. Diese Gründe müssen dann aber auch sorgfältig abgewogen, fachlich nachvollziehbar und dokumentiert dargelegt werden. „KANN“-Anforderungen liefern sinnvolle Ergänzungen und Verschärfungen, ihre Umsetzung ist allerdings nicht zwingend notwendig, um eine Konformität zu erreichen. Die Untersuchung, in welchem Umfang „MUSS“, „SOLL“ und „KANN“ im Unternehmen umgesetzt sind, liefert den Reifegrad des Systems zur Angriffserkennung.
Das genutzte Reifegradmodell enthält 6 Reifegrade, beginnend beim niedrigsten Reifegrad „0“. Bei diesem Reifegrad wurden noch keinerlei Maßnahmen umgesetzt, und es gibt auch keine Planungen hierfür. Beim Reifegrad „1“ gibt es immerhin schon Planungen, sie sind aber noch nicht in allen Bereichen zu 100% umgesetzt. Beim Reifegrad „2“ wurde bereits mit der Umsetzung begonnen, es sind aber noch nicht alle „MUSS“-Anforderungen umgesetzt.

Reifegrad

Für die erfolgreiche Nachweiserbringung sieht das BSI bei der ersten Prüfung im Frühjahr 2023 mindestens den Reifegrad „3“ vor: alle „MUSS“-Anforderungen sind in allen Bereichen erfüllt, und an der Umsetzung der „SOLL“-Anforderungen wird kontinuierlich gearbeitet. In den folgenden Prüfzyklen, also erstmalig im Frühjahr 2025, wird dann der Reifegrad „4“ als Minimum verlangt. Zu diesem Zeitpunkt müssen alle „MUSS“-Anforderungen umgesetzt sein, und zusätzlich alle „SOLL“-Anforderungen, sofern diese nicht nachvollziehbar und begründet ausgeschlossen wurden.
Beim Reifegrad „5“ schließlich werden neben allen „MUSS“-Anforderungen auch die nicht ausgeschlossenen „SOLL“- und „KANN“-Anforderungen erfüllt. Zusätzliche sinnvolle eigene Maßnahmen, die in der Orientierungshilfe nicht genannt wurden, dürfen auch umgesetzt werden.

Nach diesem Überblick über die Methodik des BSI wird es im nächsten Artikel darum gehen, welche Fragestellungen bei einem System zur Angriffserkennung betrachtet werden müssen.

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Winterhuder Weg 82
22085 Hamburg

Tel: +49(0)4022947190
E-Mail: info@anmatho.de

Wir sind Mitglied im:

Wir sind zertifiziert nach ISO27001:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen