Informationssicherheitstandards Flashcards
Was ist ein ISMS?
definiert Regeln und Methoden,
um die Informationssicherheit in einem Unternehmen oder in einer Organisation zu gewährleisten
prozessorientiert und verfolgt einen Top-Down-Ansatz ausgehend von der Unternehmensführung
systematischer Ansatz zur Verbesserung der Sicherheit der
Unternehmen
Regelungen und Maßnahmen für Organisation, Systeme, Anwendungen, Infrastruktur, Personal, Dienstleister
Wozu dient ein ISMS?
- Die Sicherheit von Informationen und Daten in einer Organisation zu gewährleisten
- Risiken im Zusammenhang mit der Informationssicherheit zu identifizieren, zu bewerten und zu managen
- Sicherheitsvorfälle zu verhindern und auf sie zu reagieren
- Die Einhaltung rechtlicher, regulatorischer und vertraglicher Anforderungen zu unterstützen
- Vertrauen bei Kunden, Partnern und Stakeholdern durch nachweisliche Sicherheitsmaßnahmen zu schaffen
- Die Gesamtstrategie und Ziele der Organisation im Bereich der Informationssicherheit kontinuierlich zu verbessern
Was ist der Unterschied zwischen Clark-Wilson und ISMS?
ISMS:
Ganzheitlicher Ansatz für Informationssicherheit
Fokus auf Organisation, Prozesse und Technologie
Richtlinien und Verfahren für breite Sicherheitsaspekte
Risikomanagementzentriert
Clark-Wilson:
Spezifisches Modell für Datenintegrität
Fokus auf Transaktionsintegrität und -validierung
Implementiert Kontrollmechanismen wie Trennung der Pflichten
Anwendungsorientiert, besonders in transaktionsintensiven Systemen
Was macht die Geschäftsleitung beim ISMS?
- Initiieren das ISMS
- Ernennen die notwendigen Verantwortlichen (CSO, ISB)
-
Definieren die grundlegenden
Leitplanken - Entscheiden über den Umgang mit Risiken und Maßnahmen
- Berichtsempfänger
Was machen die Führungskräfte beim ISMS?
- Verantwortlich für die Einhaltung des ISMS in ihrem Bereich
- Oftmals Eigentümer von Risiken
Was machen die Mitarbeiter beim ISMS?
Verantwortlich für die Einhaltung der Regeln
Was machen CISO/ISB beim ISMS?
- Erstellen von Sicherheitskonzepten
- Durchführung von Risikoanalysen
- Entscheidung in sicherheitsrelevanten Belangen
- Beratung und Projektbegleitung
- Planen und Durchführen von Audits
Was sind weitere Control Functions beim ISMS?
- Datenschutzbeauftragte(r)
- Compliancebeauftragte(r)
- Arbeitsschutzbeauftragt(r)
- Notfallmanagementbeauftragte(r)
- Geheimschutzbeauftragte(r)
- Risikomanagement
- Geldwäschebeauftragte(r)
- Revision
Was ist 3LoD
Erste Verteidigungslinie: Operationale Managementebene, die für das Risikomanagement und die Kontrolle der täglichen Aktivitäten zuständig ist
Zweite Verteidigungslinie: Funktionen, die spezifische Risikomanagement- und Compliance-Aufgaben überwachen und unterstützen, wie Risikomanagement- und Compliance-Abteilungen
Dritte Verteidigungslinie: Interne Revision, die unabhängige Überprüfung und Bewertung der Wirksamkeit der ersten beiden Linien durchführt
Was ist PDCA?
kontinuierliche Verbesserung von Prozessen und Systemen in Organisationen
Plan: Ziele setzen und Vorgehensweise planen
Do: Umsetzung der geplanten Maßnahmen
Check: Überprüfen der Ergebnisse und Effektivität
Act: Anpassungen basierend auf den Überprüfungsergebnissen
Aus was besteht die Risikobewertung?
- Eintrittswahrscheinlichkeit
- Schadenspotenzial
Wer darf Risiken akzeptieren?
Process-Owner
Was ist das Schadenspotenzial?
Gesamtkosten zur Wiederherstellung des Assets x Wahrscheinlichkeit eines jährlichen Auftretens
Was ist OWASP SAMM?
Schritt 1: Bewertung - Aktuelle Reife des Unternehmens ermitteln
Schritt 2: Definition einer Roadmap - Priorisierung von Sicherheitsinitiativen
Schritt 3: Einführung - Implementierung von Sicherheitsmaßnahmen
Schritt 4: Messung und Verbesserung - Überwachung und Anpassung des
Modells
Was sind die Säulen von SAMM?
Governance: Strategie und Metriken, Richtlinien und Compliance, Bildung und Anleitung
Design: Bedrohungsbeurteilung, Sicherheitsanforderungen, Sicherheitsarchitektur
Implementation: Sicheres Bauen, Sichere Bereitstellung, Defektmanagement
Verification: Anforderungsgesteuertes Testen, Sicherheitstests, Umgebungsmanagement
Operations: Incident Management, Operational Management
