IT-Sicherheitskonzept für die Bundeswehr
Das Thema Sicherheit in Informationssystemen bezeichnet
gerade bei der Bundeswehr einen komplexen Bereich, der
durch vielfältige Faktoren beeinflusst wird. Es
ist für die Bundeswehr von existenzieller Wichtigkeit,
das bereits vorhandene Sicherheitsniveau zu erhalten
sowie vorhandene und neue Risiken auf ein akzeptables
Maß zu reduzieren. Die dazu notwendigen Maßnahmen
sind strukturiert und systematisch zu planen, zu realisieren
und zu kontrollieren, was den Einsatz eines effektiven
Risikomanagements notwendig macht.
Schwachstellenanalyse der Sicherheitssysteme
Für eine detaillierte Untersuchung standen eine
Reihe von Standards (ISO 17799, ISO 13335), Vorgaben
des BSI (IT-Grundschutzhandbuch) sowie bundeswehreigene
Richtlinien bereit, an denen sich Computacenter methodisch
orientierte. Diese Dokumente sowie das Expertenwissen
der Computacenter-Mitarbeiter dienten als Quelle bei
der Schwachstellenanalyse der Sicherheitssysteme der
Bundeswehr.
Die Analyse lieferte bewertete Ergebnisse auf einer
definierten Skala, mit der das Sicherheitsniveau der
Bundeswehr messbar wurde. Das Projekt wurde durch Security-Experten
(lizenzierte BSI Grundschutzauditoren) von Computacenter
realisiert. Diese verfügen über die Erfahrung
und das notwendige Know-how, komplexe Umgebungen zu
analysieren, zu bewerten und effektive und effiziente
Maßnahmenempfehlungen abzuleiten.
Gesamtkonzept statt Einzelmaßnahmen
IT-Sicherheit kann nicht durch unkoordinierte Einzelmaßnahmen
erreicht werden, sondern nur durch die Anwendung von
aufeinander abgestimmten organisatorischen, technischen,
infrastrukturellen und personellen Maßnahmen.
Folgende Bausteine für die Erstellung des Sicherheitskonzepts
wurden bei der Bundeswehr in Strausberg eingesetzt:
- Bestandsaufnahme und Ist-Analyse der zu analysierenden
Infrastruktur (DMZ).
- Schutzbedarfsfeststellung für die Infrastruktur,
wofür entsprechende Kriterien zu entwickeln waren.
An diesem Punkt war zudem die Verarbeitung von VS-Daten
zu berücksichtigen.
- Analyse der allgemeinen und spezifischen Bedrohungen
der DMZ. Zu identifizieren und zu analysieren waren
die drohenden Gefahren und deren jeweilige Eintrittswahrscheinlichkeit.
- Risikoanalyse gemäß ZDv 54/100 unter
Berücksichtigung von Bedrohungsanalyse und Bestandsaufnahme.
- Empfehlungen zu IT-Sicherheitsmaßnahmen.
In dieser Phase des Sicherheitskonzepts wurde –
basierend auf den Ergebnissen der Risikoanalyse –
ein Maßnahmenkatalog erarbeitet.
Geschäftsprozesse sind schutzbedürftig
Spürbar wird das spätestens durch die wirtschaftlichen
Folgen einer Verletzung von Gesetzen und Vorschriften,
einer Rufschädigung oder eines Verfügbarkeitsverlusts.
Vertraulichkeit, Verfügbarkeit und Integrität
der Prozesse sind daher wichtige Verfahrensgrößen.
Durch die Umsetzung dieses Projektes wurde das Sicherheitsniveau
der DMZ der Bundeswehr in Strausberg analysiert, der
Schutzbedarf quantifizierbar gemacht, und effektive
und effiziente Maßnahmen wurden in die Wege geleitet. |
