Analyse von Sicherheitskonzepten
Bei der Entwicklung neuer IT-Umgebungen oder auch einzelner Komponenten (z.B. Webanwendungen, mobile Apps oder IoT-Geräte), stellt die Integration von Sicherheitsmaßnahmen einen essentiellen Bestandteil dar. Je nach Einsatzgebiet und den damit verbundenen Sicherheitsanforderungen, müssen angemessene Sicherheitskonzepte definiert werden. Sind bereits in den Sicherheitskonzepten Lücken oder Schwachstellen vorhanden, sind erfolgreiche Angriffe auf die späteren produktiven Systeme meist nur eine Frage der Zeit. Wir unterstützen Sie daher bei der Analyse und Bewertung vorhandener Sicherheitskonzepte entsprechend definierter Anforderungen und etablierter Standards.
Eine spezielle Variante dieser Konzeptanalyse und -bewertung bieten wir in Form unserer Dienstleistung Reifegradanalyse Informationssicherheit an, die gezielt für den sicheren Betrieb von IT-Umgebungen in Unternehmen konform zu ISO/IEC 27001 entwickelt wurde.
Ziel
Bewertung von Sicherheitskonzepten hinsichtlich unternehmensspezifischer und allgemeingültiger Sicherheitsstandards und -anforderungen sowie Identifikation möglicher konzeptioneller Mängel
Fragestellung
Können die entwickelten Sicherheitskonzepte die Sicherheitsanforderungen erfüllen und wo bestehen potentielle Sicherheitsrisiken?
Scope
Sicherheitskonzepte von IT-Umgebungen oder einzelnen Komponenten
Ablauf
Im Rahmen der Analyse von Sicherheitskonzepten wird durch den Auftraggeber eine möglichst vollständige Dokumentation der IT-Umgebung oder des IT-Systems zusammen mit den spezifizierten organisatorischen und technischen Sicherheitsmaßnahmen zur Verfügung gestellt. Falls keine vollständige Dokumentation vorliegt, müssen die nötigen Informationen im Rahmen von Interviews oder Workshops mit den relevanten Ansprechpartnern erfasst werden.
Alle definierten Sicherheitsmaßnahmen und -konzepte werden hinsichtlich des Schutzbedarfs der betroffenen Informationen bzw. der betroffenen Systeme entsprechend analysiert und bewertet. Hierzu zählen je nach Beschaffenheit der IT-Umgebung oder des IT-Systems unter anderem:
- Rollen- und Rechte-Konzepte
- Authentisierungsvorgänge
- Verschlüsselungsmethoden und Schlüsselmanagement
- Härtungsmaßnahmen
- Patchmanagement und Updateprozesse
- Backup- und Notfallplanung
Die Analyse und Bewertung der spezifizierten Maßnahmen erfolgt anhand etablierter Standards und Security-Best-Practices. Falls vorhanden, können bei der Prüfung zusätzlich die Sicherheitsanforderungen und Richtlinien des Auftraggebers berücksichtigt werden.
Bestandteile
Die Analyse von Sicherheitskonzepten besteht dabei aus folgenden Bestandteilen:
- Workshop, Interviews und/oder Analyse bereitgestellter Dokumente
- Erfassung des Kontextes und der Sicherheitsanforderungen
- Identifikation von Bedrohungs- und Angriffsszenarien
- Analyse und Bewertung der definierten Maßnahmen laut Sicherheitskonzept
- Dokumentation inklusive Risikobewertung und Maßnahmenbeschreibung
Ergebnis
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Bewertung der definierten Maßnahmen laut Sicherheitskonzept
- Detaillierte Beschreibung der identifizierten Lücken und Schwachstellen
- Risikobewertung der identifizierten Lücken und Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Lücken bzw. der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.
Optional können die Ergebnisse in die Planung und Durchführung nachfolgender technischer Assessments (z. B. eine Schwachstellenanalyse oder ein Penetrationstest ) einfließen. Dieses Vorgehen unterstützt die Identifikation von Schwachstellen während eines technischen Assessments und erlaubt den Vergleich zwischen dem Soll- und Ist-Zustand der entsprechenden IT-Umgebung bzw. des entsprechenden IT-Systems auf Basis der definierten Sicherheitskonzepte. Je nach Ausführlichkeit der zur Verfügung gestellten Sicherheitskonzepte, wird dieses Vorgehen dann als Gray-Box- oder White-Box-Test bezeichnet. Für eine möglichst effiziente und vollständige Aufdeckung von Sicherheitsrisiken, empfehlen wir die Durchführung von White-Box-Tests und somit die Bereitstellung möglichst aller relevanten Sicherheitskonzepte.