Grundlagen Flashcards

Question

Welche außervertraglichen Erwartungen muss der IT-Betrieb bei Vergabe der Infrastruktur an einen Unterlieferanten erfüllen?

Answer 1

○ Fehlende Vereinbarungen mit dem Kunden entbinden nicht von elementaren Services, wie z. B. Datensicherung durch Backups ○ Erwartungshaltung des Fachbereichs ist zu berücksichtigen. IT hat Sorgfaltspflicht, auch wenn Fachbereich keine IT-Kenntnisse hat

Answer 2

○ Entwickler: Erstellung vereinbarter Funktionalität im Zeit- und Budget-Rahmen ○ Betrieb: möglichst wenig laufender Aufwand ○ Hohe Verfügbarkeit ○ Automatisierte, schnelle, einmalige Deployments ○ Einfache, dokumentierte, robuste, homogene Hochfahrprozeduren ○ Selbstüberwachendes System, Logging, klare Meldungen ○ Lastverteilung, First & Second Level Support, Backup & unabhängige Recovery ○ Absturz besser fehlerhafte Produkte ○ Nutzer: ○ Intuitive Nutzung ○ Erhöhung der Arbeitszufriedenheit und Leistungsfähigkeit ○ Aktuelle, aussagekräftige, nachvollziehbare, fehlerfreie Daten ○ Schnelle Reaktion auf und Behebung von Fehlern ○ Aufnahme von Verbesserungsvorschlägen und schnelle Umsetzung ○ Management ○ Höherer Mehrnutzen im Vergleich zu den eingebrachten Ressourcen

Answer 3

○ Produktbezogen: ○ Präzise, messbare Qualität ○ Qualitätsunterschiede = Attributunterschiede ○ Nutzer relevant ○ Nutzerbezogen: ○ Schwerpunkt in Nutzen ○ Hohe Qualität enthält subjektive Elemente ○ Nutzerwünsche entsprechen ○ Fertigungsbezogen: ○ Einhaltung der Anforderungen & Spezifikationen ○ Kontrolle des Produktionsprozesses erleichtern ○ Qualität entsteht im Produktionsprozess ○ Verbesserung führt zu weniger Ausschuss und weniger Kosten ○ Wertbezogen: ○ Leistung zu akzeptablem Preis

Answer 4

○ Zugriffe: Wer, wie, wie oft, welche Daten, welches Ausmaß -> HW-Sizing, IO-Anforderung ○ Aktualität -> Zusammenhang Applikation, Boot-Prozeduren, Recovery ○ Abhängigkeit von externen Daten -> Backup, Recovery, Boot-Prozeduren ○ Wichtigkeit für Geschäftsfähigkeit -> Spiegelung, Sicherung, Recovery ○ Änderungen: Benachrichtigung über Datenänderungen -> Business Planning, Sicherungszyklen ○ Lese- & Änderungsrechte -> Berechtigungskonzept, Administration

Answer 5

○ Risiko ist die häufig auf Berechnungen beruhende Vorhersage eines möglichen Schadens im negativen Fall (Gefahr) oder eines möglichen Nutzens im positiven Fall (Chance). ○ Risiko wird auch häufig definiert als die Kombination aus der Wahrscheinlichkeit, mit der ein Schaden auftritt, und dem Ausmaß dieses Schadens. ○ Risiko = Wahrscheinlichkeit * Schaden

Answer 6

○ Vermeidung: Reduktion auf ein Restrisiko von 0 (Projektabbruch) ○ Verminderung: Reduktion der Eintrittswahrscheinlichkeit & Verringerung der Schadenswirkungen ○ Überwälzung: Übertragung möglicher Störungen vor Eintritt auf andere Wirtschaftssubjekte (Outsourcing, Versicherung) ○ Selbsttragung: Akzeptanz des (Rest)-Risikos, wirtschaftlich nicht eliminierbar (finanzielle/materielle Reserven bilden) ○ Streuung: Einsatz aller Möglichkeiten

Answer 7

○ Stellt im IT-Grundschutz Standards zur Verfügung ○ Empfehlungen zur Erhöhung der Sicherheit in der Informationssicherheit ○ Empfehlungen zum Aufbau eines Informationssicherheitsmanagementsystems

Answer 8

○ Enthält und beschreibt IT-Grundschutzbausteine mit allen relevanten Sicherheitsaspekten und Gefährdungen sowie standardisierten Sicherheitsanforderungen für: ○ Geschäftsprozesse ○ Anwendungen ○ IT-Systeme ○ Kommunikationsverbindungen ○ Räume ○ Ziel: angemessener Schutz einer Institution

Answer 9

Screenshot im Ordner

Answer 10

○ Ordnungsgemäße IT-Administration ○ Patch- und Änderungsmanagement ○ Software-Tests und -freigaben ○ Outsourcing für Kunden ○ Cloud-Nutzung

Answer 11

○ Risiken durch Mängel in der Dokumentation: ○ Sicherheitsvorfälle nicht aufklärbar ○ Sollzustand unbekannt -> Vorgehen und Ausmaß eines Angriffs nicht feststellbar ○ Gerichtsfeste Beweisführung gegen Täter nicht möglich ○ Basisanforderungen an Mitarbeiter mit administrativen Aufgaben: ○ Ausreichende Kenntnisse zu IT-Systemen, Anwendungen, Plattformen ○ Zuverlässige und sorgfältige Erledigung ihrer Aufgaben ○ Ausreichend Zeit zur Erfüllung ihrer Aufgaben ○ Administrative und kontrollierende (Revision) Rollen getrennt wahrnehmen ○ Einweisung in Tätigkeit, vorhandene Architektur, zu betreuende Systeme und Anwendungen ○ Anforderungen müssen erfüllt werden, wenn Aufgaben an Dritte übergeben werden ○ Eigene User-ID, Anmeldevorgänge protokollieren

Answer 12

○ Mangelhaft festgelegte Verantwortlichkeiten: Verspätete Bearbeitung, Verzögerte Patcheinspielung ○ Mangelhafte Kommunikation beim Änderungsmanagement: Verzögerungen, Fehler, lange Reaktionszeit ○ Mangelhafte Berücksichtigung der Geschäftsprozesse: Auswirkungen fehlerhafter Änderungen auf Geschäftsprozesse ○ Unzureichende Ressourcen: Zeitdruck, Fehleranfälligkeit ○ Problematische automatisierte Verteilung von Patches: Probleme durch Automation, Verfügbarkeit dezentraler Systeme ○ Mangelhafte Wiederherstellungsoptionen: Fehlende Berücksichtigung möglicher Fehlersituationen ○ Mangelhafte Berücksichtigung von Endgeräten: Erreichbarkeit bei Aktualisierung ○ Unzureichendes Notfallvorsorgekonzept: Patch-Systeme sind kritische Infrastrukturkomponenten: ○ Patch-Server ○ Datenbankverbindung + Konfiguration ○ Backup-Server -> regelmäßige Übungen notwendig

Answer 13

○ Konzept für Planung, Genehmigung und Dokumentation! ○ Rückfall-Lösungen! ○ Festlegung Verantwortlichkeit! ○ Ausbildung! ○ Strategie für Auto Update von SW! ○ Vorherige Tests ○ Klassifizierung nach Wichtigkeit, Dringlichkeit

Answer 14

○ Definition Change Management Prozess ○ Änderungen an HW, SW, Konfiguration über CM Prozess steuern ○ Prozess für Änderungsanforderungen einrichten (Einreichung, Bearbeitung, Erfassung, Doku, Kontrolle, Prio, Kategorisierung) ○ Fast Track einrichten ○ Change-Prozess in Geschäftsprozesse integrieren ○ Fachbereiche informieren ○ Eskalationsebene einrichten ○ Abnahme- und Freigabeverfahren für HW, SW mittels Testsystemen schriftlich fixieren ○ Änderungen in allen Phasen dokumentieren

Answer 15

○ Einsatz der IT zur Aufgabenbewältigung setzt weitestgehende Fehlerfreiheit voraus ○ Mit Freigabe übernimmt fachlich zuständige Organisation Verantwortung für IT-Verfahren ○ Softwaretests sind in unterschiedlichen Phasen des Lebenszyklus möglich ○ Je nach Ergebnis müssen Tests mehrfach durchlaufen werden ○ Anforderungen an Softwaretests und -freigaben beziehen sich auf: ○ Entwickelte & eingekaufte Software ○ Konfigurationsdateien & Parametereinstellungen ○ Customizing-Informationen ○ Bereitstellung von Stammdaten ○ Archivierungsvorschriften ○ Sicherheitsvorschriften

Answer 16

○ Unzureichende Schulung: ○ Ausreichendes Wisse für Tests, Freigabe der Software und Neuerungen des Themengebiets wird durch Ausbildung oft als gegeben angesehen ○ Unkenntnis führt zu gravierenden Sicherheitsproblemen z. B. durch Nutzung unsicherer Methoden ○ Für komplexe Lösungen sollten genügen Know-How-Träger verfügbar sein um auftretende Probleme schnell zu analysieren und zu beheben ○ Tests mit Produktivdaten: ○ Produktivdaten in Testumgebung oder Test in Produktivumgebung wichtig um Funktion und Performance beurteilen zu können ○ Quelle für Sicherheitsprobleme durch vertrauliche Produktivdaten (ggf. einsehbar durch Tester) ○ Tests können Regelbetrieb massiv stören ○ Kopien von Produktivdaten für automatisierte Tests + Doku ○ Probleme durch Konfigurationsunterschiede zwischen Test- und Produktivumgebung

Answer 17

○ Testverfahren: ○ Fehler bleiben unerkannt ○ Installationsvorschriften werden nicht freigegeben oder eingehalten ○ Automatisierte, permanente Tests für Softwarequalität -> Frühzeitiges Feedback für Entwickler ○ Versionskontrollsysteme für einheitliche Codebasis und Nachvollziehbarkeit ○ Automatische Builds mit automatischen Tests ○ Statische Tests für Einhaltung der Programmierrichtlinien ○ Unit-Tests für Funktionalität von Modulen ○ Vollständige Tests, Übergabe und Dokumentation von Software mit allen Bestandteilen in der richtigen Reihenfolge ○ Freigabeverfahren: ○ Betrieb von nicht freigegebener Software -> negative Auswirkungen auf Unterstützung der Geschäftsprozesse ○ Zu dokumentierende Freigabekriterien: ○ Abhängigkeiten zu Softwareprodukten (Versionen) ○ Hinweise zu Startprozeduren, Angabe genutzter Schnittstellen ○ Abhängigkeiten zu Abläufen des Produktionsbetriebs ○ Mögliche Fehlerkonstellationen ○ Hinweise zur Wiederaufsetzung des Prozesses

Answer 18

○ Rahmenbedingungen müssen erfüllt sein ○ Softwaretests basierend auf Pflichtenheft ○ Testfälle müssen repräsentativ für zu testende Funktion sein ○ Funktionale Tests müssen durchgeführt werden und dürfen Produktion nicht beeinflussen ○ Fachliche Organisationseinheit muss Anforderungserfüllung prüfen und Software freigeben sobald Tests erfolgreich abgeschlossen wurden ○ Nichtfunktionale Anforderungen müssen ebenfalls getestet werden

Answer 19

○ Einweisung der Tester (Testarten, zu testende Bereiche, Anwendungsfälle und Anforderungen an Software) ○ Personalauswahl der Tester (Festlegung Auswahlkriterien und Qualifikation, je nach Test Kenntnisse über Programmiersprache, Entwicklungsumgebung, Testmethoden, Ggf. Sicherheitsüberprüfung) ○ Fort- und Weiterbildung (Schulung in BSI IT-Grundschutz-Bausteinen, Verfahren zur Informationsverteilung über Neuerungen an Personenkreis) ○ Nutzung Testsoftware (Abnahmeplan mit Testarten, Testfällen, erwarteten Ergebnissen) ○ Anonymisierte und pseudonymisierte Testdaten, Regressionstests, Trennung Test- und QM-Umgebung von Produktion, Pentests)

Answer 20

○ Definition eines Information Security Management Systems (ISMS): ○ Der Teil des gesamten Managementsystems, der auf Basis eines Geschäftsrisikoansatzes die Entwicklung, Implementierung, Durchführung, Überwachung, Überprüfung, Instandhaltung und Verbesserung der Informationssicherheit abgedeckt. ○ Ziele: ○ Sicherheitsverletzungen & Auswirkungen reduzieren, Einbindung sicherheitsbestimmungskonformer SLAs ○ Kennzahlen: ○ Security Incidents (Anzahl, Auswirkungen) ○ Anteil SLAs mit Sicherheitsklauseln ○ Anzahl Sicherheitsverletzungen ○ Anzahl vergeblicher Login-Versuche ○ Anzahl Security-Verbesserungsvorschläge ○ Aufwand für Security pro Jahr und Bereich ○ Einsatz: ○ Welche Ausprägung der Informationssicherheit wird benötigt ○ Welche Maßnahmen stehen zur Informationssicherheit zur Verfügung ○ Wie kann Informationssicherheit im täglichen Ablauf erreicht und sichtbar und aufrecht erhalten werden

Answer 21

○ Management von Lieferanten und ihren Services ○ Sicherstellung der Service-Qualität und Rentabilität der Ausgaben ○ KPIs: ○ Anzahl Lieferanten unter IT-Steuerung ○ Anstieg der Anzahl Lieferanten die vertragliche Ziele einhalten ○ Anstieg & Anzahl durchgeführter Service- & Vertragsreviews mit Lieferanten ○ Reduzierung & Anzahl Service-Verletzungen von Lieferanten ○ Anstieg & Anzahl Lieferanten mit Lieferanten-Manager ○ Anteil eingehaltener Underpinning Contracts ○ Anzahl Kundenbeschwerden zu Service ○ Anzahl Streitfälle mit Lieferanten ○ Zufriedenheit Lieferanten

Answer 22

○ Ziele: ○ Störungsaufkommen durch Changes reduzieren ○ Ressourcenbelastung und Kosten durch Changes reduzieren ○ Nutzung standardisierter Methoden und Verfahren ○ Aufgaben: ○ Änderungsanträge beurteilen, filtern, genehmigen, dokumentieren ○ Änderungen planen, organisieren, koordinieren ○ Eingeleitete und beauftragte Aktionen überwachen, kontrollieren und reporten ○ Abschlussprüfung ○ KPIs: ○ Anzahl Änderungen ○ Anteil zurückgewiesener Änderungen ○ Anteil erfolgreicher Änderungen ○ Anteil termingerechter Änderungen ○ Anteil Backouts ○ Anteil Änderungen im Budget

Answer 23

○ Ziele: ○ Zusammenhang & Abhängigkeiten zwischen Konfigurationsitems darstellen ○ Aufgaben: ○ Konfigurationsinformationen definieren, kontrollieren, pflegen, verifizieren ○ KPIs: ○ Anteil nicht autorisierter Konfigurationszustände ○ Anteil fehlerhafter Changes durch falsche Konfigurationsdaten ○ Bearbeitungsdauer Aktualisierung Konfigurationsdaten ○ Anteil & Anzahl ungenutzter Lizenzen ○ Anteil nicht autorisierter IT-Komponenten ○ Berichte: ○ Anzahl erfasster Konfigurationsitems (Kategorie, Typ, Status) ○ Dokumentation & Status (mit Wachstum) ○ Wert der Konfigurationsitems

Answer 24

○ Ziele: ○ Schnellstmögliche Wiederherstellung des Normalbetriebs nach Störung ○ Auswirkungen auf Geschäftsbereich minimieren ○ KPIs: ○ Anzahl Störungen ○ Dauer bis Behebung/Umgehung in Relation zur Priorität ○ Kosten pro Störung ○ Lösungsrate im Service Desk ○ Anzahl Störungen pro Arbeitsplatz im Service Desk ○ Anzahl & Anteil remote behobener Störungen ○ Rückstand Incidents ○ Erstlösungsquote ○ durchschnittliche Reaktionszeit

Answer 25

○ Aufgaben: ○ Planung, Terminierung & Steuerung Überführung von Releases in Test- und Live-Umgebung ○ Verantwortlich für Hardware, Software, Doku, Prozesse ○ Unterscheidung Major, Minor, Emergency Fix ○ KPIs: ○ Anzahl Releases ○ Anzahl Incidents pro Release ○ Kundenzufriedenheit ○ Fehlerhafte Konfigurationsitems im Konfigurations-System ○ Dauer Behebung fehlerhafter Konfigurations-Items

Answer 26

○ Aufgaben: ○ Für Behandlung von Service Requests verantwortlich ○ Stellt Informationskanäle für Anforderungen und Services ○ Stellt Informationen über Verfügbarkeit und Prozeduren für Services ○ Stellt z. B. Lizenzen und Software ○ Hoher Automatisierungsgrad vorteilhaft ○ KPIs: ○ Anzahl Requests pro Status ○ Rückstand Requests ○ Bearbeitungszeit Behandlung verschiedener Requests ○ Einhaltung Requestzeiten ○ Kosten ○ Kundenzufriedenheit

Answer 27

○ Aufgaben: ○ Vermeidung Incidents -> Stabilisierung IT Services ○ Problemanalyse, Lösungsentwicklung ○ KPIs: ○ Anzahl Change Requests ○ Dauer Fehlererkennung (bekannter Fehler) ○ Anzahl & Auswirkung Störung vor Problemlösung ○ Häufigkeit Probleme nach Status, Service, Auswirkung, Kategorie, Kunde, Dauer bis Abschluss (durchschnitt & max)

Answer 28

○ Anwenderberechtigungen für Services ○ Security & Availability Management regelt dabei das Vorgehen ○ CIA von Assets schützen durch Zugriffsberechtigung ○ Autorisierungsantrag kann Incident sein ○ Rollenkonzept für Berechtigungen, erfordert unternehmensbezogene Mitarbeiterrollen und Zuordnung zu Berechtigungsprofilen, ggf. Tätigkeitsprofile ○ Berechtigungsworkflow zur Erteilung

Answer 29

○ Einheitliche, zentrale Kommunikationsschnittstelle, konkrete Ansprechpartner für Kunden ○ Aufnahme, Doku, Auswertung aller Vorfälle ○ 1st Level Support ○ Ersteinschätzung von Vorfällen, ggf. Weiterleitung ○ Koordiniert 2nd & 3rd Level Support ○ Überwachung, Nachverfolgung, Eskalation von Supportvorgängen, erkennt Probleme und Bedürfnisse der User ○ Einhaltung des Dienstleistungsgegenstands nach SLA ○ User proaktiv über Bearbeitungsstatus informieren ○ Reporting Vorgangsstatus, Erfüllungsgrad SLA über Service Manager (Feedback an Kunde)

Answer 30

○ Technische Leitung für Anwendungen (gekauft und selbst entwickelt) ○ Technische Expertise, Fachwissen für Anwendungsverwaltung ○ Zusammenarbeit mit technischer Leitung um Wissen für Design, Test, Management und Verbesserung der IT-Services zu identifizieren, entwickeln und verfeinern ○ Ressourcen für aktuellen Service Lifecycle ○ Sicherstellung der Ausbildung beteiligter Personen ○ Schlüsselfunktion: Balance zwischen Ausbildungsgrad und Kosten Mitarbeiter

Answer 31

○ Überwachung der Steuerung der IT-Services & -Infrastruktur ○ Ausführung Routinetätigkeiten im Betrieb von Infrasturkturkomponenten & Anwendugen ○ Periodisch Aufgaben und Checklisten ○ Datensicherungskonzept ○ Job-Scheduling-Doku ○ Konsolen-Management ○ Doku Wartungschecklisten ○ Anweisung & Doku für Monitoring & Event Management soweit noch nicht in Bearbeitung

Answer 32

○ Aufzeichnungen: ○ Logfiles, Systemprotokolle ○ Änderungsdokumentation aus Change Management ○ Aufzeichnungen aus ITIL-Prozessen ○ Dokumentation aus Konfigurations-Management Datenbank ○ Finale Berichte, Memos, Protokolle ○ Finanzbuchungen und Belege ○ Dokumente: ○ Technische Dokumente, Prozessdokumente ○ Anforderungen, Installationsanleitungen, Backup- & Recovery-Dokumente, Übergabedokumentation, Prozessdokumentation ○ Anwenderdokumente: Beschreibt Nutzung des Systems ○ Sicherheitsdokumente: Systemübergreifendes Sicherheitskonzept

Answer 33

○ Positiv: ○ Kontinuität ○ Nachvollziehbarkeit, Nachweisbarkeit ○ Kommunikation ○ Planungshilfe, proaktive Fehlervermeidung ○ Reaktive Fehlervermeidung (Problemanalyse) ○ Analysegrundlagen ○ Negativ: ○ Ressourceneinsatz, Detailtiefe ist abzustimmen ○ Veraltete Dokumentation ○ Doppelte Dokumentation, Inkonsistenzen durch fehlende Synchronisation ○ Überdokumentation ○ Zeitverlust

Grundlagen Flashcards

(57 cards)