Sicherheitsverfahren
Sicherheitsverfahren
In der Welt der Informationstechnologie sowie in seriösen Unternehmen, die Sicherheitsverfahren einhalten, sind die Regeln streng festgelegt und müssen eingehalten werden. Im Folgenden führen wir nur einige wichtige Beispiele für Informationssicherheitsrichtlinien und -verfahren auf.
- Richtlinie zur akzeptablen Nutzung (Acceptable Use Policy, AUP)
Eine AUP legt die Einschränkungen und Praktiken fest, denen ein Mitarbeiter, der die IT-Ressourcen des Unternehmens nutzt, zustimmen muss, um Zugang zum Unternehmensnetzwerk oder zum Internet zu erhalten. Sie ist ein Standardbestandteil des Einarbeitungsprozesses für neue Mitarbeiter. Diese erhalten eine AUP zum Lesen und Unterschreiben, bevor ihnen eine Netzwerk-ID zugewiesen wird. Es wird empfohlen, dass die IT-, Sicherheits-, Rechts- und Personalabteilung eines Unternehmens gemeinsam festlegen, was in dieser Richtlinie enthalten sein soll.
- Zugriffskontrollrichtlinie (Access Control Policy, ACP)
Die ACP beschreibt, welchen Zugriff Mitarbeiter auf die Daten und Informationssysteme eines Unternehmens haben. Zu den typischerweise in dieser Richtlinie behandelten Themen gehören Standards für die Zugriffskontrolle, wie beispielsweise die Access-Control- und Implementierungsleitfäden des NIST. Weitere Punkte, die in dieser Richtlinie geregelt werden, sind Standards für den Benutzerzugriff, Netzwerkzugriffskontrollen, Kontrollen der Betriebssystemsoftware sowie die Komplexität von Unternehmenspasswörtern. Zusätzlich werden häufig ergänzende Punkte festgelegt, etwa Methoden zur Überwachung des Zugriffs auf und der Nutzung von Unternehmenssystemen, die Absicherung unbeaufsichtigter Arbeitsplätze sowie der Entzug von Zugriffsrechten beim Ausscheiden eines Mitarbeiters aus dem Unternehmen.
- Change-Management-Richtlinie
Eine Change-Management-Richtlinie bezeichnet ein formales Verfahren für Änderungen an IT-, Softwareentwicklungs- und Sicherheitsdiensten bzw. -abläufen. Ziel eines Change-Management-Programms ist es, das Bewusstsein und Verständnis für geplante Änderungen im gesamten Unternehmen zu erhöhen und sicherzustellen, dass alle Änderungen methodisch durchgeführt werden, um negative Auswirkungen auf Dienste und Kunden möglichst gering zu halten.
- Informationssicherheitsrichtlinie
Die Informationssicherheitsrichtlinien eines Unternehmens sind in der Regel übergeordnete Richtlinien, die eine Vielzahl von Sicherheitskontrollen abdecken können. Die zentrale Informationssicherheitsrichtlinie wird vom Unternehmen herausgegeben, um sicherzustellen, dass alle Mitarbeiter, die IT-Ressourcen innerhalb des Unternehmens oder seiner Netzwerke nutzen, die festgelegten Regeln und Richtlinien einhalten. Diese Richtlinie soll den Mitarbeitern verdeutlichen, dass es Regeln gibt, für deren Einhaltung sie im Hinblick auf die Vertraulichkeit der Unternehmensinformationen und IT-Ressourcen verantwortlich sind.
- Richtlinie zur Reaktion auf Sicherheitsvorfälle (Incident Response Policy, IR)
Die Richtlinie zur Reaktion auf Sicherheitsvorfälle beschreibt ein strukturiertes Vorgehen, mit dem das Unternehmen einen Vorfall bewältigt und dessen Auswirkungen auf den Betrieb behebt. Ziel dieser Richtlinie ist es, den Prozess der Vorfallsbehandlung zu beschreiben, um den Schaden für den Geschäftsbetrieb und die Kunden zu begrenzen sowie die Wiederherstellungszeit und -kosten zu reduzieren.
- Richtlinie für den Fernzugriff
Die Richtlinie für den Fernzugriff ist ein Dokument, das die zulässigen Methoden für die Fernverbindung mit den internen Netzwerken eines Unternehmens beschreibt und festlegt. Diese Richtlinie ist für Unternehmen mit verteilten Netzwerken erforderlich, die sich bis in unsichere Netzwerkumgebungen erstrecken können, wie beispielsweise das lokale Café oder nicht verwaltete Heimnetzwerke.
- E-Mail-/Kommunikationsrichtlinie
Die E-Mail-Richtlinie eines Unternehmens ist ein Dokument, das formell festlegt, wie Mitarbeiter das vom Unternehmen gewählte elektronische Kommunikationsmedium nutzen dürfen. Mitunter umfasst diese Richtlinie auch E-Mail, Blogs, soziale Medien und Chat-Technologien. Das Hauptziel dieser Richtlinie besteht darin, den Mitarbeitern Leitlinien dazu an die Hand zu geben, was als akzeptable bzw. nicht akzeptable Nutzung der unternehmenseigenen Kommunikationstechnologien gilt.
- Notfallwiederherstellungsrichtlinie
Der Notfallwiederherstellungsplan eines Unternehmens umfasst in der Regel sowohl den Input der Cybersicherheits- als auch der IT-Teams und wird als Teil des übergeordneten Geschäftskontinuitätsplans entwickelt. Der CISO und seine Teams steuern einen Vorfall anhand der Richtlinie zur Reaktion auf Sicherheitsvorfälle. Hat das Ereignis erhebliche Auswirkungen auf den Geschäftsbetrieb, wird der Geschäftskontinuitätsplan aktiviert.
- Geschäftskontinuitätsplan (Business Continuity Plan, BCP)
Der BCP koordiniert die Bemühungen im gesamten Unternehmen und nutzt den Notfallwiederherstellungsplan, um Hardware, Anwendungen und Daten wiederherzustellen, die für die Aufrechterhaltung des Geschäftsbetriebs als unverzichtbar gelten. BCPs sind für jedes Unternehmen individuell, da sie beschreiben, wie das Unternehmen im Notfall weiterarbeiten wird.
