Safety & security

• BSI-Standards zum IT-Grundschutz: mit Empfehlungen für den organisatorischen Rahmen und das methodische Vorgehen zur Gewährleistung von Informationssicherheit
• BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS) beschreibt, welche grundlegenden Anforderungen ein Managementsystem für Informationssicherheit erfüllen muss, welche Komponenten es enthält und welche Aufgaben zu bewältigen sind. Die Darstellung orientiert sich an den Vorgaben der Norm ISO 27001 und weiterer aktueller internationaler Standards zur Informationssicherheit.
• BSI-Standard 200-2: IT-Grundschutz-Methodik bietet methodische Hilfestellungen zur schrittweisen Einführung eines ISMS in einer Institutionen und beschreibt effiziente Verfahren, um die allgemeinen Anforderungen des BSI-Standards 200-1 und der zugrunde liegenden Norm ISO/IEC 27001 zu konkretisieren.
• BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz ist ein gegenüber anderen Methoden vereinfachtes Verfahren zur Risikoanalyse beschrieben. Diese Methode ist dann wichtig und hilfreich, wenn Komponenten abzusichern sind, bei denen fraglich ist, ob die Erfüllung von Basis- und Standard-Anforderungen für eine ausreichende Sicherheit genügt.
• IT-Grundschutz-Kompendium: mit dem die in den BSI-Standards formulierten allgemeinen Empfehlungen zum Management von Informationssicherheit konkretisiert und umgesetzt werden können
• Das IT-Grundschutz-Kompendium ist ein modular aufgebautes umfangreiches Arbeitsinstrument und Nachschlagewerk zur Informationssicherheit. Es besteht aus den IT-Grundschutz-Bausteinen, die in zehn thematische Schichten eingeordnet sind und jeweils unterschiedliche Aspekte betrachten.

• Seit dem 31. Januar 2018 ist eine Zertifizierung nach dem IT-Sicherheitskatalog gem. §11 Abs. 1a EnWG der Bundesnetzagentur für Netzbetreiber, wie z.B. Strom- und Gasnetzbetreiber, Pflicht.
• Der IT-Sicherheitskatalog fordert von allen Netzbetreibern, dass sie ein Informationssicherheits-Managementsystem (ISMS) auf Basis der um spezifische Aspekte aus der Netzsteuerung erweiterten ISO/IEC 27001 betreiben und zertifizieren lassen.
• Die wichtigsten Standards für ein ISMS nach dem IT-Sicherheitskatalog sind:
• DIN ISO/IEC 27001 für die Umsetzung eines geeigneten ISMS
• ISO/IEC 27019 für den spezifischen Maßnahmenkatalog im Bereich Energienetze

• Planung und Umsetzung der notwendigen technischen und organisatorischen Maßnahmen nach international anerkannten Standards zum Information Security Management System (ISMS)
• BSI IT-Grundschutz
• ISO 27001 Informationssicherheit
• Bei der ISO 27001 handelt es sich um die international führende Norm für Informationssicherheits-Managementsysteme (ISMS). Sie bietet Organisationen aller Art und Größe klare Leitlinien für die Planung, Umsetzung, Überwachung und Verbesserung ihrer Informationssicherheit.
• Die ISO/IEC 27002 ist ein internationaler Standard, der Empfehlungen für diverse Kontrollmechanismen für die Informationssicherheit beinhaltet. Dabei geht es um Sicherheit gegen Angriffe. Der entsprechende Standard für die funktionale Sicherheit ist die ISO/IEC 90003, siehe ISO 9001.

• Ziel ist es, die Netzwerksicherheit mittels Richtlinien für die unterschiedlichen Zielgruppen in einem Unternehmen zu definieren und umzusetzen.
• Folgende Sicherheitsaspekte sind relevant: Umgang, Wartung und Betrieb von IT-Netzwerken und deren Beziehung intern und extern (, gemeint sind Fernzugriffe von Nutzern).
• Eine Zertifizierung ist für diejenigen sinnvoll, die innerhalb eines Unternehmens für die IT-Sicherheit im Allgemeinen, und im Speziellen für Netzwerksicherheit verantwortlich sind.
• Die Zertifizierung besteht aus sechs Teilen:

Überblick und Konzepte

• Richtlinien für den Entwurf und die Implementierung der Netzwerksicherheit
• Referenznetzwerkszenarien - Bedrohungen, Entwurfstechniken und Steuerungsprobleme
• Sichern der Kommunikation zwischen Netzwerken mithilfe von Sicherheitsgateways
• Sichern der Kommunikation zwischen Netzwerken mithilfe von Virtual Private Networks (VPN)
• Sichern des drahtlosen IP-Netzwerkzugriffs

• Ziel des Standards ist es, die Auswahl, Entwicklung und den Betrieb eines IDS (Erkennung des Eindringens in Netze und Systeme) im Unternehmen zu beschreiben.
• Kurz zur Methodik: 
  1. Auswahl: Mittels einer Risikoanalyse wird festgestellt, bei welchem System bzw. Netzwerk Schutzbedarf besteht. Anschließend wird eine Lösung zur IDS gewählt, welches bestimmte Kriterien berücksichtigt wie netzwerk- oder systembasiertes IDS, Performanz, Sicherheit oder Kosten für Anschaffung und Betrieb.
  2. Entwicklung/Einsatz: Der Einsatz eines IDS umfasst Aktivitäten, die der Inbetriebnahme des Systems dienen. Aufgezeigt werden die Unterschiede in der Inbetriebnahme bei netzwerk- und systembasierten IDS. Wichtig sind die verschiedenen Platzierungsmöglichkeiten für ein netzwerkbasiertes IDS. Der Sicherheitsaspekt des IDS selbst ist ebenfalls relevant.
  3. Inbetriebnahme: Wesentliche Aspekte beim Betrieb eines IDS ist die Etablierung der Betriebsprozesse, die Feineinstellung des IDS, der Umgang mit Schwachstellen und die Handhabung mit den Alarmen. Hauseigenes Expertenteam (CSIRT) oder externe Dienstleister können diese auswerten und handhaben. Zudem geht es um den Rechtsrahmen bei der Erkennung und um die Handhabung von IT-Eingriffen.

• IEC 62443 - Internationale Normreihe für Industrielle Kommunikationsnetze (Industrie 4.0) – IT-Sicherheit für Netze und Systeme
• Die IEC 62443 Normreihe bezieht sich speziell auf die IT-Sicherheit sogenannter “Industrial Automation and Control Systems”, kurz IACS. Diese Systeme werden für den Betrieb von automatisierten Anlagen benötigt, sind aber angreifbar und somit potenzielle Ziele von Cyber-Attacken.
• Seit 2015 werden die Betreiber in die Pflicht genommen und sind verantwortlich für den Schutz ihrer IT-Infrastruktur. Die IEC 62443 Cyber-Security-Normfamilie bildet einen Rahmen, der Orientierung schafft und einen Standard vorgibt.
• • grundlegendsten Ansatz der IEC 62443 Normreihe: Defense-in-depth
  • vier Bestandteile der IEC 62443:

1. Allgemeine Information
2. Richtlinien und Verfahren
3. System: Konzept „Zonen und Leitungen“ und „Sicherheitsstufe“
4. Komponente

• Anforderungen an die Entwicklung von Embedded Systems unter Berücksichtigung der Funktionalen Sicherheit nach IEC 61508 und der IT-Sicherheit nach IEC 62443

• Zertifizierung der Anbieter von Vertrauensdiensten und Vertrauensdienstanbietern (engl. trust service provider, abgekürzt TSP), das sind elektronische Dienste wie z. B. Verzeichnisdienste, Bereitstellung von Applikationen, Beratungsdienste
• Die Richtlinien regeln den Rahmen, in dem elektronische Signaturen, Zertifikate und Zeitstempel herausgegeben und verwendet werden.

• CISA (Certified Information Systems Auditor) ist eine weltweit anerkannte Zertifizierung im Bereich Revision, Kontrolle und Sicherheit von Informationssystemen.
• CISSP (Certified Information Systems Security Professional) eignet sich für Sicherheitsanwender, Manager und Führungskräfte, die daran interessiert sind, ihr Wissen bezüglich eines breiten Spektrums an Sicherheitspraktiken und -Prinzipien auszubauen.
• CCSP (Certified Cloud Security Professional) ist gedacht für Cybersicherheits- und IT-Experten, um ihr Bewusstsein und ihr Verständnis bezüglich Standards aus dem Bereich Cloud Security zu demonstrieren.
• SSCP (Systems Security Certified Practitioner) passt zu Cybersicherheits- und IT-Profis, die die praxisbezogene, ausführende Seite innerhalb der täglichen Absicherung ihres Unternehmens repräsentieren.
• CISM (Certified Information Security Manager) ist eine IT-Sicherheits-Zertifizierung. Es soll erfahrenen Führungs- und Fachkräften die Möglichkeit gegeben werden, ihre Qualifikation hinsichtlich der Planung, der Umsetzung sowie der Steuerung und der Überwachung von IT-Sicherheitskonzepten.
• CGEIT (Certified in the Governance of Enterprise IT) ist eine IT-Governance-Zertifizierung. Experten vertiefen Ihr Wissen in den Bereichen IT-Governance und IT-Management; speziell zu IT-Governance, strategisches Management, Nutzenrealisierung, Risiko- und Ressourcenoptimierung.
• CRISK (Certified in Risk and Information Systems Control) ist die einzige Zertifizierung, die IT-Fachspezialisten auf die einzigartigen Herausforderungen des IT- und Unternehmensrisikomanagements vorbereitet und diese als strategische Partner für das Unternehmen positioniert.
• ITIL (Information Technology Infrastructure Library) ist eine Sammlung vordefinierter Prozesse, Funktionen und Rollen, wie sie typischerweise in jeder IT-Infrastruktur mittlerer und großer Unternehmen vorkommen.
• CEH (Certified Ethical Hacker) ist eine Zertifizierung für ethisches Hacking. IT-Systemexperten verwenden Hacking-Techniken und -Werkzeuge, die von Hackern und Informations-sicherheitsexperten verwendet werden. Sie verfügen über Kenntnisse wie IT Syteme bzgl. der Sicherheit bewertet und nachgewiesen werden.
• PMP (Project Management Professional) ist eine häufig angestrebte Zertifizierung. Inhaltlich geht es um Grundbegriffe wie Project Charters, Scope Statements, Risk Management Plans, etc. Ebenso relevant ist agiles Projektmanagement, einschließlich aktiven Zuhörens und Wissensaustausch; Kontrolle der Projektkosten, Berichterstattung über die Projektleistung und Abschluss des Projekts.
• GWAPT (Certified Web Application Penetration Tester) bestätigt die Fähigkeit eines Testers, Unternehmen durch Penetrationstests und ein gründliches Verständnis der Sicherheitsprobleme von Webanwendungen besser zu schützen. Inhaber einer GWAPT-Zertifizierung haben Kenntnisse über Exploits von Webanwendungen und Penetrationstestmethoden nachgewiesen.