Innerhalb der Entwicklung von neuen und der Weiterentwicklung von bestehenden Services, Applikationen und IT-Infrastrukturen ist es unablässig, diese in Hinsicht auf vorhandene Schwachstellen und Sicherheitsrisiken zu durchleuchten. Dies ist umso wichtiger, als damit geschäftskritische Informationen und Daten verarbeitet werden.

In dynamischen Umgebungen heutiger Unternehmen gibt es eine Vielzahl wichtiger Applikationen, Services und Infrastrukturen, deren Schwachstellen und Risiken nicht immer systematisch erfasst werden können.

Dies kann dadurch begründet werden, dass eine IT-Umgebung diversen Einflüssen unterliegt:

• Projekte: Durch Projekte werden neue Applikationen und Kundenservices integriert und bereitgestellt, die entweder intern entwickelt, oder auch extern eingekauft werden oder manchmal komplett outsourced sind.
• Eigendynamik: Der IT-Betrieb, Daily Business und Maintenance etc. setzten voraus, mit den erlaubten Release- und Lifecyclephasen von Soft- und Hardware Schritt zu halten und auch Applikationen konsequent zu verbessern inklusive Erweiterung des Funktionsumfangs.
• Markttrend und Standardisierung: Neue Trends, Technologien und Konzepte kommen auf den Markt, die Unternehmen früher oder später adaptiert übernehmen (Virtualiserungen, Cloud Computing etc.) immer mit im Fokus auch der Standardisierungsgedanken, durch den man sich erhofft, die Komplexität in Schranken zu halten.

Diese Treiber wirken sich nun alle gleichzeitig auf die IT-Umgebung aus und zwar mit zunehmendem Kostendruck, zunehmendem Tempo und zunehmenden Anforderungen durch Gesetzgeber, Regulatoren und Kunden.

Dieser Druck führt aber nun gerade dazu, dass die Sicherheit, die wegen der erwähnten Dynamik und Komplexität, besonderer Sorgfalt bedürfte, gern ignoriert wird oder nur ungenügende Beachtung findet.

Man leidet halt akut unter den Missständen, die man im IT-Alltag hat und nicht direkt unter denjenigen, die sich aus latenten Schwachstellen in einer unbekannten Zukunft unter Umständen manifestieren mögen.

Diese Dynamik kann mancherorts zur zeitweisen Überforderung führen und man kann in Unternehmen ein Reparturdienstverhalten beobachten, sowie ein unsystematisches Durchwursteln von Halblösungen, um dem Druck gerecht zu werden, auch wenn dadurch nur Symptome anstatt Ursachen bekämpft werden. Diese Verhaltensweisen öffnen weiteren Schwachstellen und Risiken Tür und Tor. Dazu gesellt sich auch noch ein naives Wishful Thinking, dass es eben schon gut gehen wird, da es bis anhin ja schliesslich auch einigermassen gut gegangen ist etc.

Stattdessen wäre es angebracht, dass die Sicherheit schon bei der Planung und bei Projekten und anderen Vorhaben konsequent und systematisch Anwendung fände. Ein effektives Mittel, um sich in einem Komplexen Umfeld einen Sicherheitsüberblick zu verschaffen, sind Sicherheitskonzepte, worauf in dieser Abhandlung nun übersichtsmässig eingegangen werden soll.

Definition

Ein Sicherheitskonzept ist eine klare und gezielte Sicherheitsanalyse von Informationssystemen oder einer Applikation, eines Business Services oder auch einer IT Infrastruktur. Es dokumentiert die Sicherheitsanforderungen und Ziele, die implementierte Sicherheitsarchitektur und relevante Sicherheitskonfigurationen, sowie Prozesse zum Management und zur Überwachung der Sicherheit der beschriebenen Lösung. Weiterhin enthält es eine systematische Schwachstellen- bzw. Risikoanalyse und dokumentiert verbindliche Massnahmen zur Behandlung der identifizierten Schwachstellen/Risiken mit den zugehörigen Verantwortlichen und Terminen.

Das Sicherheitskonzept sollte als obligatorisches Lieferobjekt innerhalb von Projekten und Vorhaben angesehen werden, bei denen die IT-Umgebung auf irgend eine Weise tangiert wird: Einführung und Umstrukturierung neuer Applikationen, Technologien, Services etc. wie bei Veränderungen der gegebenen IT-Architektur, Netzwerktechnologien, Schnittstellen und auch immer dann, wenn der Fluss Informationen und Daten eine Änderung erfahren soll (wie z.B. auch bei Outsourcing vorhaben, wo Dritte ins Spiel kommen) etc. Das heisst, dass vor Inbetriebnahme eines Systems ein bewilligtes Sicherheitskonzept vorliegen müsste.

Ziele

Damit zielt das Sicherheitskonzept auf einen fachlich, konzeptionellen Überblick einer Lösung in punkto Sicherheit ab.

Es soll ein stringentes in sich abgeschlossenes Dokument sein, das jederzeit konsultiert werden kann, um die Sicherheitsgedanken und Massnahmen nachzuvollziehen, die für eine bestimmte Lösung nötig sind. Es zeigt in übersichtlicher Form die Risiken und Restrisiken der Implementation der Lösung. Daher ist es darüber hinaus auch bestens dazu geeignet, um Auditoren und internen Revisoren die Arbeit zu erleichtern, denn es erläutert und begründet auf nachvollziehbare Weise die vorgefundene zu analysierende Situation mit den entsprechenden Argumenten für und wider allfälliger Massnahmen, Schwachstellen und Risiken.

Die Sicherheitsvorkehrungen und -massnahmen in der IT-Umgebung werden dadurch anforderungsgerecht definiert, realisiert und eingehalten. Unnötige Aufwände und Sicherheitslücken werden durch ein methodisches Vorgehen verhindert.

Das Sicherheitskonzept sollte dennoch so flexibel wie möglich bleiben, quasi aus Modulen, die je nach Einsatzgebiet entsprechend gewählt werden können, je nach dem, ob es sich mehr um eine einzelne technische Sicherheitsanalyse einer einzelnen Applikation handelt, bzw. um eine eher abstrakte, konzeptionelle, strategische Analyse eines komplexen Services.

Elemente des Sicherheitskonzepts

Grundsätzlich sollte ein Grundgerüst für den Aufbau von Sicherheitskonzepten vorgegeben werden, von dem aber fallweise Kapitel ausgelassen werden können, je nach entsprechenden Analysezwecks des Sicherheitskonzepts.

Eine einfache und sinnvolle Grundstruktur könnte folgendermassen aussehen:

Wichtige Sicherheitsprinzipien müssen mitberücksichtigt werden, immer mit dem Gedanken, ob deren Anwendbarkeit auf das aktuelle Motiv wirkt:

• Prinzip der Angemessenheit
• Nutzung bewährter Praktiken wie: Good Practices, Standardisierte Sicherheit, ISO 27000 Standardfamilie, Einheitliche etablierte Prozesse und Methoden
• Standard für Applikationssicherheit, Sicherheitsarchitektur, Grundschutz
• Standard für Physische Sicherheit, Informationsschutz, Defense-in-Depth, Least Privilege, Need to Know, Zugriffskontrolle, Audit, Compliance und Nachvollziehbarkeit
• Schwachstellen- und Ereignismanagement, Business Continuity Management etc.

Ansätze für die Durchführung der Analyse:

Voraussetzungen

Natürlich muss das Unternehmen auch gewillt sein, die nötigen Ressourcen für das Management im Zusammenhang mit Sicherheitskonzepten entsprechend zu allokieren: Die Erstellung, Realisierung, Befolgung und Wirksamkeit der Sicherheitskonzepte sollte durch den CSO bzw. sein Team überprüft werden.

Der CSO prüft die vorgelegten Sicherheitskonzepte auf formale Mängel und Schwachstellen. Den allfälligen Beanstandungen des CSO und der ihm dabei zur Seite stehenden Teams sind dann Rechnung zu tragen.

Um dem Thema des Sicherheitskonzepts gerecht zu werden, kann der CSO beispielsweise interne Experten zu Rate ziehen und die eingereichten Sicherheitskonzepte in einer Diskussionsrunde kritisch prüfen. Es könnten in Form von regelmässigen Meetings gezielte Review-Sessions mit den unterschiedlichen Interessensgruppen für ein Konzept geplant werden. Das heisst, es werden nebst den Sicherheitsverantwortlichen, alle wichtigen Stakeholders bei der Diskussion und Bewilligung involviert. Zum Beispiel können je nach Ausrichtung des Konzepts, Audit, Legal & Compliance, HR, Business-Owner etc. zum Review eingeladen werden.

Worin liegt nun der Nutzen?

• Sicherheitskonzepte bilden eine einheitliche Methode und ein einheitliches Vorgehen zur Erkennung und Behandlung von Informationssicherheitsrisiken im Sinne der Risikotransparenz.
• Die systematische Dokumentation von Schwachstellen, Assets, Risiken, Massnahmen und Restrisiken pro Lösung ermöglicht eine rasche Einschätzung der Sicherheitssituation, Exposition mit einem Blick.
• Es ergibt sich eine vergleichende Einschätzung von Risiken unterschiedlicher Informationssysteme, Applikationen bzw. Services.
• Betrachtet man Sicherheitskonzepte nicht als isolierte Analysen, kann durch den Vergleich und die Kombination von Sicherheitskonzepten, erkannt werden, ob sich in gewissen Bereichen Schwachstellen bzw. Risiken akkumulieren, oder ob bestehende Massnahmen durch neu eingesetzte Technologien plötzlich untergraben werden.
• Da Sicherheitskonzepte schon früh in einer Projektphase erstellt werden: Nach der Erstellung von funktionalen Spezifikationen und vor dem Realisierungsentscheid für das System, hat man genug Zeit die sicherheitsrelevanten Aspekte angemessen zu planen und umzusetzen.
• Durch die Mitarbeit des CSO und seines Teams an den Sicherheitskonzepten und deren Überprüfung, bleiben die Mitarbeitenden und die im Review involvierten Parteien bzgl. der eingesetzten IT Mittel im Unternehmen immer à jour.
• Da die Konzepte eine Lösung bezüglich Sicherheit konsequent beschreiben und in sich abgeschlossen sind, können die Dokumente auch für Auditzwecke verwendet werden.
• Verbindliches Instrument zur Vereinbarung von Verantwortlichkeiten und Terminen für die Umsetzung von Sicherheitsmassnahmen.
• Systematisches Ablage/Archiv über alle Konzepte ergibt eine Umfangreiche Dokumentation / Bibliothek mit allen wichtigen Sicherheitsvorkehrungen pro Lösung.

Wo sind die mögliche Schwierigkeiten anzutreffen?

• Mangelndes Zusammenspiel zwischen beteiligten Team/Gruppen etc.
• Ungenügende Security Awareness der Beteiligten und Verantwortlichen Owner und Projektleiter, schlimmstenfalls des Managements.
• Risiken müssen auch zentral geführt werden vgl. Risk-Register. Die Sicherheitskonzepte alleine genügen nicht im Sinne eines Kompletten ISMS und Risk Managements.
• Lange Wartezeiten zwischen einzelnen Prozessschritten (Erstellung, Vorlage, Bewilligung etc.).
• Unklare Abgrenzung, Handhabung zwischen verschieden ausgeprägten Konzepten: Detailsicherheitskonzepten, Schwachstellenanalyse bzw. Risikoanalysen.
• Die Notwendigkeit einer regelmässigen Überprüfung kann mit der Anzahl der Sicherheitskonzepte aufwändig werden.
• Qualitätsprüfung vor Review: Welche Kriterien muss ein Sicherheitskonzept erfüllen, damit es zur Bewilligung eingereicht werden kann. (Je nach Bedeutung und Exposition der beschriebenen Lösung kann es frappante Unterschiede bzgl. der Anforderungen geben.)

Fazit

Sicherheitskonzepte sind als eine Art Vergrösserungsglas anzusehen. Sie erlauben uns Dinge deutlich zu sehen, von denen wir ohne Konzepte unter Umständen gar nicht wüssten, dass Sie existieren. Diese Erkenntnis setzt dann aber auch die Bereitschaft voraus, sich mit den erkannten Themen auseinanderzusetzen. Man sollte sich davor hüten, Energie in Sicherheitskonzepte zu investieren, die nur wegen eines formalen Zwangs, quasi weil es eine Policy oder ein CSO so vorsieht, oder weil es schon immer so gemacht wurde zu erstellen. Dies käme einer Alibiübung gleich, die kaum Nutzen erzeugen würde. Eine systematische Herangehensweise mit einheitlichem Prozess für Erstellung, Beurteilung und Management der Sicherheitskonzepte stellt hingegen ein hervorragendes Instrument dar, um auch im dynamischen Kontext einen adäquaten Sicherheitsüberblick zu gewähren.

Über den Autor

Flavio Gerbino ist seit Ende der 1990er Jahre im Bereich der Informationssicherheit tätig. Seine Schwerpunkte liegen im Bereich der strategischen Ausrichtung und des Managements der Sicherheit eines Unternehmens.