BEGIN:VCALENDAR VERSION:2.0 PRODID:https://github.com/derhansen/sf_event_mgt METHOD:PUBLISH BEGIN:VEVENT UID:627-1320@fg-secmgt.gi.de CLASS: PUBLIC SUMMARY:Management von Informationssicherheit und organisatorische Alternat iven DESCRIPTION:Die Themen\n\n Ansiedlung des IT-Sicherheitsmanagements im Unt ernehmen Maturing the Security Workforce Organisation von IT-Security Ak tuelles aus der Normung (SC27) Versuch eines systematischen Überblicks übe r Organisationsalternativen \n\n\n\nBericht zum Workshop und Details zu den Vorträgen\n\nS. Haack/ Vodafone D2: Ansiedlung des IT-Sicherheitsmanagemen ts im Unternehmen\n\nHerr Haack erläutert das Problem vor dem Hintergrund e iner gerade abgeschlossenen praktischen Erfahrung.\n\nAls Ausgangsbasis wir d der IT-Sicherheitsmanagement Prozess definiert als die vier wesentlichen Teilprozesse "Ziele und Richtlinien", "Implementation", "Betrieb" und "Über prüfung". Da der ITSM-Prozess jedoch nicht getrennt vom jeweiligen Unterneh menszweck gesehen werden kann, ist eine Verzahnung mit den Geschäftsprozess en zwingend notwendig.\n\nEs gibt immer wieder Rollenkonflikte, wenn die vi er Teilprozesse in einer Hand liegen. So kann beispielsweise nur schlecht d er Betrieb von Sicherheitsmaßnahmen und deren Überprüfung von einer Organis ationseinheit durchgeführt werden. Daher wird eine Trennung auf mindestens zwei getrennte Instanzen vorgeschlagen.\n\nEine weitere Problematik ist die Verteilung der Rollen im Unternehmen. Eine Ansiedlung von Sicherheitsfunkt ionen im IT-Betrieb kann zu Problemen führen, da der Betrieb in seiner Roll e als Dienstleister für die Fachabteilungen nur schlecht Sicherheitsvorgabe n gegenüber diesem durchsetzen kann. Daher sind einige der Sicherheitsproze sse außerhalb des IT-Betriebes anzusiedeln. Auf diese Weise kann die IT-Sic herheit auf die Geschäftsprozesse einwirken, die dann wiederum die Sicherhe itsanforderungen gegenüber der IT-Abteilung stellen.\n\nAm Ende wird ein ko nkreter Vorschlag für die Ansiedlung der Sicherheitsfunktionen im Unternehm en gemacht, der die genannten Problematiken größtenteils lösen kann.\n\n[   Präsentation als PDF]\n\nStichworte aus der Diskussion:\n\n Es wurden vers chiedene Varianten diskutiert, wie dem Sicherheits-Offizier stärkere Möglic hkeiten zur Durchsetzung seiner Ziele eingeräumt werden können, wenn Zielko nflikte zwischen Geschäftsprozessen und Sicherheitszielen, insbesondere fin anzieller Art, bestehen. Ein eigenes Budget, das reguläre Projekte in Bezu g auf die Realisierung von Sicherheitszielen finanziell unterstützt ("Zucke rbrot") wurde mehrheitlich als nicht zielführend angesehen. Die "Peitsche" einer Eskalierung der Zielvorgaben wird als das normale Vorgehen angesehen , in dem ein - aus Sicht des Unternehmens - ausgewogenes Vorgehen verabschi edet werden kann. Auch eine Ansiedlung der Sicherheitsfunktion auf entspre chend hoher Stelle (z. B. direkt unter der Geschäftsführung) wurde nicht vo n allen als vollständig Problemlösend angesehen. So hänge es immer sehr sta rk von den handelnden Personen und deren Bewusstsein für die Thematik selbe r ab.  \n\nPeter Berlich/ IBM Zürich: Maturing the Security Workforce\n\nMa turing the Security Workforce Peter Berlich stellte eine Studie von (ISC)2 zur beruflichen Entwicklung in der Sicherheitsbranche vor.(ISC)2 hat in ein er Umfrage Daten zur beruflichen Stellung, Entwicklungswünschen und Perspek tiven von technischen und Führungsfunktionen in der IT-Sicherheit erheben l assen. Die Studie beleuchtet insbesondere die Bedeutung formaler Abschlüsse , erlaubt aber auch Rückschlüsse auf die Funktion und Stellung des Sicherhe itsbeauftragten im Unternehmen im allgemeinen.\n\nDie Stärken und Schwächen der Studie insgesamt, der Ausgangsdaten und die Ergebnisse wurden im Forum teils kontrovers diskutiert.\n\nInsbesondere wurde der Wunsch nach einer r epräsentativen Erhebung und Auswertung erhoben. Da es sich um eine (autoris ierte) Vorabveröffentlichung handelt, können die Unterlagen zu diesem Thema erst nach dem Stichtag der offiziellen Publikation zugestellt werden. Herr Berlich wird die Verteilung organisieren.  \n\nPeter Berlich/ IBM Zürich: Organisation von IT-Security im Unternehmen\n\nErgänzend zur Diskussion des Vormittags ging Herr Berlich auf einige Fokusthemen ein, die jeweils in ei ne ausführliche Diskussion mündeten. Die behandelten Themen waren der logis che Aufbau einer Sicherheitsorganisation und der Prozesslandschaft, die Rol le des internen und externen Dienstleisters und seine Einbettung in das Gov ernancemodell der Organisation, die Elemente einer Sicherheitsorganisation und die Frage der Kostenverteilung.\n\n[  Präsentation als PDF]  \n\nMartin a Rohde/ BSI: Aktuelles aus der Normung\n\nDie Norm für ISMS ISO/IEC 17799, die nach einem Fast-Track von UK vor ca. 4 Jahren eingebracht worden ist, befindet sich inzwischen in der letzten technischen Konsolidierungsrunde. E s sind nur noch wenige größere Änderungen eingebracht worden, wie z.B. die Aufnahme eines "incident managements" im Maßnahmenbereich.\n\nDer noch fehl ende Teil 2 von BS 7799 wird nun als neues Arbeitsprojekt behandelt. Das Zi el ist, bis zum Jahr 2006 eine international gemeinsame Basis für nationale Zertifizierungssysteme zu haben. Aufgrund des engen Zeitrahmens kann nicht mit einer größeren Überarbeitung des vorliegenden britischen Normentextes gerechnet werden.\n\nEin weiteres Arbeitsprojekt ist eine Metriken-Norm für das Messen der Erfüllung von Sicherheitsmanagement. Hier existieren keine Vorarbeiten. Mit einer Fertigstellung vor 2008 ist nicht zu rechnen.\n\nAuc h die Norm ISO/IEC 13335 wird aktualisiert. Der erste Teil steht zur Veröff entlichung an und wird in das deutsche Normenwerk übernommen. Im zweiten Te il wird ein generischer Riskikomanagement-Prozess beschrieben.\n\n[  Präsen tation als PDF]\n\nReferenzen: Das BSI hat zu ISMS und Zertifizierung Studi en erstellen lassen:\n\n BSI: Studie zu ISO-Normungsaktivitäten ISO/BPM - Vergleich der Audit- und Zertifizierungsschemata für IT-Grundschutz und BS 7799-2 [Link] BSI: Studie zu ISO-Normungsaktivitäten ISO/BPM - Anforderung en an Information Security Management Systeme [Link] \n\nStichworte aus der Diskussion:\n\n In der Diskussion wurde auf das ohne Copyright verwendbar e Dokument von NIST "Computer Security Incident Handling Guide" verwiesen. Herr Keller wird den Link darauf noch verteilen.  \n\nHelmut Stiegler/ STI Consulting: Versuch eines systematischen Überblicks über organisatorische A lternativen\n\nVorgesehen war, gemeinsam in der Runde das Spektrum der orga nisatorischen Alternativen auszuloten. Als Diskussionsgrundlage sollten die vorgestellten Folien dienen. Auf Grund der beschränkten Zeit konnte dies n icht geleistet werden. Ausserdem war in den vorangegangenen Vorträgen und D iskussionen die Vielfalt sinnvoller Alternativen schon als nahezu unbegrenz t erkannt worden, mit den einzigen Konstanten - im Vortrag von Herrn Berlic h schon einhellig festgestellt:\n\n Rollentrennung zwischen den Instanzen für Zielfestlegung, Umsetzung und Überprüfung, die organisatorische Unabhä ngigkeit des Sicherheits-Managements von den von ihr betreuten Abteilungen. \n\nEine lebhafte Diskussion erzeugte der Versuch, die Argumente von Zhou Zhing "CMM in Uncertain Environments" auf das IT-Sicherheitsmanagement - be sonders bei kleinen Firmen - zu übertragen: (1) organisatorische Reife ist nur in stabilen Perioden von Vorteil, (2) in Umbruchsphasen sollte auf tief ere Reife-Stufen zurückgegangen werden. Die Begründung ist, dass Formalisie rungen und "best practice" immer auf Erfahrungen der Vergangenheit beruhen, die plötzlich ungültig geworden sein können - ohne dass man irgend einen E influss darauf nehmen kann.\n\nKontrovers wurde z.B. diskutiert, ob die Rüc kkopplung einer Level 5-reifen Organisation nicht genügen muss, auch Umbruc hphasen zu beherrschen. Als Problem der heutigen Praxis wurde genannt, dass schon die häufigen innerbetrieblichen Umstrukturierungen regelmäßig negati ve Auswirkungen auf die etablierten Sicherheitsmaßnahmen haben. "Lernen und Anpassen" dauert immer einige Zeit (und ist aufwendig). Wie ein Sicherheit s-Management ausgestaltet sein muss, damit es hiergegen eine stärkere Stabi lität aufweist, blieb offen. Vorkehrungen diesbezüglich sind auch in den gä ngigen Standards nicht enthalten.\n\n[  Präsentation als PDF]  \n\nFachgrup pen-Internes: Verwendung des Verteilers der FG SECMGT\n\nAktuelle Informati on zur Fachgruppe steht im Web unter www.secmgt.de. Aus Sicht der GI sollen aber auch alle GI-Mitglieder, die Interesse an der FG angemeldet haben, üb er wichtige Ereignisse informiert werden. Dies soll einmal im Jahr mit Hinw eis auf die Website und die Möglichkeit der Anmeldung an den aktiven Vertei ler erfolgen (hierzu muss die GI eingeschaltet werden). Eine Überschneidung mit aktiv angemeldeten Mitgliedern kann dabei nicht ausgeschlossen werden. \n\nInformationsaustausch zwischen FG-Mitgliedern: Aufgrund der Größe der G ruppe und der stark wechselnden Teilnehmer soll in Zukunft Informationen üb er die Teilnehmer einer Veranstaltung nur noch an die Teilnehmer selbst geh en. Mails der FG-Leitung werden zukünftig verschickt über den maschinell ge führten Verteiler secmgt@gi-fb-sicherheit.de , womit SECMGT als Absender au ftritt, anstelle von den Personen des Leitungsgremiums wie bisher. (Format kollidiert allerdings leicht mit manchen Mailsystemen!) Über diesen Verteil er können auch allgemein interessierende Fragen in der Runde - aktuell ca. 120 Adressaten - verteilt und diskutiert werden. Achtung: der Verteiler wir d - auf Grund von Klagen wegen Spam - moderiert. Man sollte also z.B. keine n weiteren Adressaten als die SECMGT wählen.  \n\nThemenvorschläge für folg ende Treffen:\n\n Operatives Risiko-Management und IT-Sicherheits-Manageme nt (Prof. Petzel, SAP?, CA zu Tool - als Beispiel Outsourcing und Managed Security (Beiträge von Hrn. Berlich und Hrn. Keller) Awareness, Motivation , Schulung (noch keine Beiträge genannt) Internes Marketing Skalierung (n och keine Beiträge genannt) Standards ( ... ) Ausbildung, Praxiserfahrung von CISOs (mögliche Kandidaten u.a. sind Hr Postl, Hr. Keller) BCP, DRP, BIA (Business Impact Analysis) Herstellertag: Was tun sie zur Unterstützun g des Sicherheits-Managements? Hierbei könnte IBM (Hr. Berlich würde Kontak t herstellen und ggf. eigenen Beitrag machen können), MS, Oracle, Suse, SUN , SAP gefragt werden! LOCATION:Computer Associates DTSTAMP:20180726T171125Z DTSTART:20041014T083000Z DTEND:20041014T151500Z END:VEVENT END:VCALENDAR