Lösungen

Aufgabe 1: Ermittlung von Sicherheitsanforderungen

1. Identifikation der schützenswerten Assets:
   • Beispiel 1: Kundendaten – Müssen geschützt werden, um die Privatsphäre der Kunden zu wahren und gesetzliche Vorgaben einzuhalten.
   • Beispiel 2: Finanzdaten – Müssen geschützt werden, um finanzielle Verluste und Betrug zu verhindern.
   • Beispiel 3: Geschäftsgeheimnisse – Müssen geschützt werden, um Wettbewerbsvorteile zu erhalten und geistiges Eigentum zu sichern.
2. Festlegung der Sicherheitsziele:
   • Vertraulichkeit: Schutz sensibler Informationen vor unbefugtem Zugriff.
   • Integrität: Sicherstellung der Richtigkeit und Vollständigkeit der Daten.
   • Verfügbarkeit: Gewährleistung, dass Systeme und Daten bei Bedarf zugänglich sind.

Aufgabe 2: Identifikation von Bedrohungen und Schwachstellen

1. Bedrohungsanalyse:
   • Externe Bedrohung 1: Malware – Schadsoftware, die IT-Systeme infiziert und Daten stiehlt oder zerstört.
   • Externe Bedrohung 2: Phishing – Betrügerische E-Mails, die darauf abzielen, sensible Informationen zu stehlen.
   • Interne Bedrohung 1: Unachtsame Mitarbeiter – Können durch Fehler Daten verlieren oder Sicherheitslücken verursachen.
   • Interne Bedrohung 2: Böswillige Mitarbeiter – Können absichtlich Daten stehlen oder beschädigen.
2. Schwachstellenanalyse:
   • Schwachstelle 1: Unsichere Konfigurationen – Systeme, die nicht sicher konfiguriert sind, bieten Angreifern leichten Zugang.
   • Schwachstelle 2: Veraltete Software – Software, die nicht auf dem neuesten Stand ist, kann bekannte Sicherheitslücken aufweisen.

Aufgabe 3: Risikobewertung

1. Eintrittswahrscheinlichkeit und potenzielle Auswirkungen:
   • Eintrittswahrscheinlichkeit: Bezieht sich darauf, wie wahrscheinlich es ist, dass eine Bedrohung eintritt. Beispiel: Phishing-Angriffe haben eine hohe Eintrittswahrscheinlichkeit.
   • Potenzielle Auswirkungen: Bezieht sich darauf, wie schwerwiegend die Folgen eines Sicherheitsvorfalls sein können. Beispiel: Ein erfolgreicher Phishing-Angriff kann zu erheblichen finanziellen Verlusten führen.
2. Priorisierung der Risiken:
   • Risiken werden priorisiert, basierend auf ihrer Eintrittswahrscheinlichkeit und den potenziellen Auswirkungen. Ein Risiko mit hoher Priorität bedeutet, dass es dringend angegangen werden muss, um schwerwiegende Schäden zu vermeiden.

Aufgabe 4: Entwicklung und Planung von Sicherheitsmaßnahmen

1. Technische und organisatorische Maßnahmen:
   • Technische Maßnahme 1: Firewalls – Schützen vor unbefugtem Netzwerkzugriff.
   • Technische Maßnahme 2: Antiviren-Software – Schützt vor Schadsoftware.
   • Organisatorische Maßnahme 1: Sicherheitsrichtlinien – Regeln für den sicheren Umgang mit IT-Systemen.
   • Organisatorische Maßnahme 2: Schulungen – Sensibilisieren Mitarbeiter für IT-Sicherheitsthemen.
2. Priorisierung der Maßnahmen:
   • Maßnahmen werden priorisiert basierend auf der Dringlichkeit des Risikos und den verfügbaren Ressourcen. Wichtig ist, dass Maßnahmen zuerst umgesetzt werden, die die größten Risiken minimieren.
3. Planung der Umsetzung:
   • Umsetzungsplan für Zwei-Faktor-Authentifizierung:
     • Verantwortliche: IT-Abteilung
     • Zeitrahmen: Januar 2024 – März 2024
     • Ressourcen: Budget für Software, Zeit für Installation und Schulung

Aufgabe 5: Abstimmung der Maßnahmen

1. Kommunikation mit Stakeholdern:
   • Es ist wichtig, die Maßnahmen mit den Stakeholdern abzustimmen, um deren Unterstützung zu gewinnen und sicherzustellen, dass die Maßnahmen umfassend verstanden und akzeptiert werden. Diese Abstimmung kann durch Meetings, Workshops und regelmäßige Updates erfolgen.
2. Einholen von Feedback:
   • Methode 1: Umfragen – Dienen dazu, Meinungen und Anregungen der Mitarbeiter zu sammeln.
   • Methode 2: Feedback-Runden – Direkte Gespräche mit betroffenen Teams, um deren Bedenken und Vorschläge zu hören und zu diskutieren.

Aufgabe 6: Umsetzung der Sicherheitsmaßnahmen

1. Implementierung der technischen Maßnahmen:
   • Schritte zur Implementierung der 2FA:
     • Installation der Software
     • Konfiguration der Systeme
     • Testen der Implementierung
     • Schulung der Benutzer
2. Schulung und Sensibilisierung:
   • Schulungen sind wichtig, um Mitarbeiter über aktuelle Bedrohungen und sichere Verhaltensweisen zu informieren. Themen sollten Phishing-Erkennung, sichere Passwortnutzung und Umgang mit sensiblen Daten umfassen.
3. Dokumentation der Maßnahmen:
   • Die Dokumentation ist wichtig, um Transparenz zu gewährleisten und Nachweise für interne und externe Prüfungen zu liefern. Enthalten sein sollten technische Spezifikationen, Konfigurationsdetails und Schulungsprotokolle.

Aufgabe 7: Evaluierung der Maßnahmen

1. Überwachung und Monitoring:
   • Kontinuierliche Überwachung ist wichtig, um Anomalien und Sicherheitsvorfälle frühzeitig zu erkennen. Tools wie SIEM-Systeme können dafür verwendet werden.
2. Durchführung von Audits und Tests:
   • Audits und Penetrationstests prüfen die Einhaltung von Sicherheitsrichtlinien und identifizieren Schwachstellen. Sie sollten regelmäßig, z.B. vierteljährlich oder jährlich, durchgeführt werden.
3. Bewertung der Effektivität:
   • Die Effektivität der Maßnahmen wird durch die Analyse der Überwachungsergebnisse und Testergebnisse bewertet. Indikatoren können die Anzahl der erkannten und behobenen Sicherheitsvorfälle sein.
4. Kontinuierliche Verbesserung:
   • Eine kontinuierliche Verbesserung der IT-Sicherheitsmaßnahmen ist notwendig, um auf neue Bedrohungen und Anforderungen reagieren zu können. Methoden sind regelmäßige Workshops und Aktualisierungen der Schulungen und Technologien.