Zusammenfassung/Fokus Flashcards
(35 cards)
1
Q
Methoden zur Erhebung des IST-Zustands
A
- Interviews
- Selbstauskunft
- Audit
- Vulnerability Scan
- Penetration Test
2
Q
Reifegradanalyse Definition
A
Erhebung, wie gut die Fähigkeit einer Organisation ist, Prozesse und Maßnahmen durchzuführen
3
Q
Gap Analyse vs. Reifegradanalyse
A
- Gap Analyse: Konkrete Anforderungen und Ja/Nein möglich, aber dafür nur Prüfung der Anwesenheit von Prozessen
- Reifegradanalyse: Genauere Analyse möglich, aber der dahinterliegende Prozess ist identisch
4
Q
Cyber Security Strategie: Erhebung des Startpunktes
A
- Geschäftsstrategie (Zielbild, Maßnahmen zur Zielerreichung)
- IST-Zustand (Reifegraderhebung)
- Risiken (Art des Geschäfts, Art der Geschäftsführung, Umgebung)
5
Q
Inhalte der ISO 27001
A
- Verfügbarkeit:
-> Führungsverhalten und Verpflichtungen
-> Dokumentation - Integrität:
-> Fähigkeiten und Awareness
-> ISMS-Prozesse
-> Lieferantenbeziehungen
-> Interne Audits - Vertraulichkeit:
-> Leitlinie und Richtlinien
-> Rollen und Verantwortlichkeiten
-> Risikomanagement
-> Performance Monitoring & KPIs
6
Q
Aufbau der ISO 27001
A
- PDCA Zyklus
- Klausel 4: Kontext der Organisation
- Klausel 5: Führung
- Klausel 7: Unterstützung
7
Q
Interner und externer Geltungsbereich (Scope ISMS)
A
- Intern: Unternehmen, interne Vorgaben, Kultur, Struktur, Standorte, Assets, Geschäftsmodell
- Extern: Gesetzliche Anforderungen, Regulatorische Anforderungen, Vertragliche Anforderungen, Dienstleister, Kunden
8
Q
Möglichkeiten zur Begrenzung des Geltungsbereiches
A
- Grenzdefinition über Zutritt
- ” über Zugang und Zugriff
- ” über organisatorische Grenzen
9
Q
Aufbau einer typischen ISMS-Dokumentation
A
- Leitlinie: Allgemeine Sicherheitsziele
- Allgemeine Sicherheitskonzeption: Anwendungsorientierte Richtlinien mit Anforderungen und zugehörigen Maßnahmen
- Detaillierte Regelungen: konkrete Arbeitsanweisungen mit technischen Details
10
Q
Führung eines ISMS
A
- Top Management
- ISO
- Fachbereich
11
Q
Typische Schulungsinhalte für Endnutzer
A
- Sicherheitsrichtlinien
- Nutzung privater Dateien/Systeme
- Verwaltung von Sicherheitsvorfällen
- Sicherheit von Laptops & Handys
- Schutz vor Viren
- Verwendung von Passwörtern
- Richtige Nutzung des Internets
- Datensicherung & -speicherung
- Individuelle Rolle & Verantwortung
12
Q
Werkzeuge zur Überwachung des ISMS
A
- Kennzahlensystem
- Interne Audits
- Management Review
13
Q
Vorgehensweise BSI IT-Grundschutz für ISMS
A
- Strukturanalyse/Analyse des IST-Zustands
- Schutzbedarfsfeststellung
- Modellierung (Auswahl der Sicherheitsanforderungen)
- IT-Grundschutz-Check 1 (Soll-Ist-Vergleich)
-> Risikoanalyse - Konsolidierung
- IT-Grundschutz-Check 2
- Realisierung der Maßnahmen
–> Aufrechterhaltung und Verbesserung
14
Q
Asset Register Zusammenstellen
A
- Interviews mit Fachbereichen
- Netzwerk Scans
- Prozesslandkarte
15
Q
Schutzbedarfsfeststellung
A
- Einstufung nach Schutzzielen mit qualitativer Skala
- Frage: Wie schützenswert ist das Asset?
16
Q
Prinzipien der Schutzbedarfsfeststellung
A
- Maximumsprinzip
- Kumulationseffekt
- Abhängigkeitseffekt
- Verteilungseffekt
17
Q
Riskomanagementprozess nach ISO 27005
A
- Festlegung des Kontexts
- Risikoassessment (Identifikation, -analyse, -bewertung/-priorisierung)
- Risikobehandlung
-> Risikobehandlung & -überwachung und -überprüfung
-> Risikokommunikation - Dokumentatierte Informationen
18
Q
Ziele des Vulnerability Managements
A
Ziel des Schwachstellenmanagements ist also, sich über existierende Schwachstellen bewusst zu sein und diese dann so gut es geht abzusichern. Für ein gutes Schwachstellenmanagement ist abermals zu beachten:
* es müssen Rollen und Verantwortlichkeiten festgelegt sein
* die identifizierten Anforderungen und die daraus resultierenden Handlungen müssen sauber dokumentiert werden
* Aufgaben müssen priorisiert werden, denn man kann nicht einfach jede gefundene Schwachstelle gleichbehandeln.
19
Q
Security Development Lifecycle
A
- Training
- Anforderungen
- Design
- Implementierung
- Verifizierung
- Release
- Reaktion
20
Q
Outsourcing Anforderungen
A
- Durchführung von Audits
- Weitergabe von Sicherheitsanforderungen
21
Q
Security Information and Event Management (SIEM)
A
- zentrale Korrelation von verschiedenen Ereignissen über Systeme hinweg
- Identifizierung von erwarteten, unerwarteten Ereignissen, Behandlung von “Rauschen” (verwirrende/irreführende Daten, die von Logs erzeugt werden)
22
Q
Anforderungen an Backups
A
- Aufbewahrungsdauer
- Lagerort
- Umweltkontrollen
- Speichermedium
- Daten
- Häufigkeit
- Schutz
- Berechtigungen
23
Q
Capacity Management
A
- Ziel: Sicherstellung und Verbesserung der Verfügbarkeit von Ressourcen und ihre Effizienz
- Maßnahmen: nicht benötigte Daten löschen, Optimierung von Zeitplänen. Einschränkung der Bandbreite, Stilllegung von Anwendungen/Systemen, Optimierung von Datenbankabfragen
- Benötigte Ressourcen: Dokumentation, Prozesse, Verantwortlichkeiten
24
Q
Berechtigungsmanagement
A
- Need-to-know, Least Privileges, Funktionstrennung
- Berechtigungskonzept
- Rollenbasierte Berechtigungssteuerung
- Berechtigungsreviews
25
Patch Management Aspekte
- Tests
- Planung
- Dokumentation
- Prüfung der Softwarepakete
- Informierung über Updates
- Priorisierung
- Rückfalllösungen
- Verantwortlichkeiten
26
Change Management nach BSI
- Steuer- und kontrollierbarmachung von verändernden Eingriffen in Anwendungen, Infrastruktur, Dokumentationen, Prozesse und Verfahren
27
Schutz vor Malware nach ISO 27002
- Verwendung unterschiedlicher Malware Protection System Produkte
- Schwachstellenmanagement
- Blacklisting von schädlichen Webseiten
- Awareness-Maßnahmen
- Malware Scans
- Prozesse und Dokumentationen
28
Ablauf der Bewältigung eines Notfalls
- Eintritt eines Schadensereignisses
- Sofortmaßnahmen
- Alarmierung und Eskalation zu einem Notfall
- Ausrufen des Notfalls
- Wiederanlauf in den Notbetrieb
- Notbetrieb
- Nacharbeiten
- Analyse der Notfallbewältigungen
29
Information System Contingency Planning Process
- Entwicklung der Notfallplanungspolitik
- Durchführung der BIA
- Identifizierung von Präventivkontrollen
- Entwicklung von Strategien für unvorhergesehene Ereignisse
- Plunge von Tests, Schulungen und Übungen
- Plan-Pflege
30
Ebenen von Cloudservices
- IaaS
- PaaS
- FaaS
- SaaS
31
Sicherheitsbedenken bei der Cloud Nutzung
- Kontrollverlust
- Änderungen von Rahmenbedingungen
- Vendor Lock-In
- Verlust der Vertraulichkeit
- Unzureichende Schutzmaßnahmen
- Gefahr durch Identitätsdiebstahl
- Verletzung geltender Vorgaben
- Weitergabe der Daten an Sub-Dienstleistern
32
Incident Response Life Cycle
- Preparation
- Detection & Analysis
- Containment, Eradication & Recovery
- Post-Incident Activity
33
Zieldefinition Aspekte
- Strategische Relevanz
- Risikorelevanz
- Nachhaltigkeit
- Effizienz
- Stakeholder-Unterstützung
34
KPI Aspekte
- Messbarkeit
- Erreichbarkeit
- Aussagekräftige Datenbasis
- Ableitung von Maßnahmen
- Spezifisch
- Wiederspiegelung des Reifegrads
- Ergebnisorientiert
- Angemessener Aufwand zur Erhebung
- Zeitlich gebunden
- Technisch/Organisatorisch
35
Prinzipien des Cloud Computings
- Broad Network Access
- Resource Pooling
- On Demand Self Service
- Rapid Elasticity
- Measured Service
