SlideShare ist ein Scribd-Unternehmen logo
IT auf Großbaustellen
XING Event 3:
Security und Compliance
Montag 07.04.2014, 10:30 – 11:15
Manfred Meise – Geschäftsführer (manfred.meise@mmi-consult.de)
© mmi consult GmbH 2005 - 2014
Über uns und über mich …
IT auf Großbaustellen
 mmi consult GmbH
IBM Business Partner der ersten Stunde
Anwendungslösungen für den Mittelstand
Beratung, Schulung, Lösungsbausteine
Branchenschwerpunkt: Großbaustellen (ARGEn)
http://www.baustellen-it.de
 Manfred Meise, Dipl. Ing (FH)
Geschäftsführender Gesellschafter
IT Berater / Trainer seit mehr als 25 Jahren
zertifizierter IBM Produktspezialist
Betreuung internationaler Baustellenprojekte
© mmi consult GmbH 2005 - 2014
Agenda
1. Security und Compliance der Baustellen-IT:
Risikoabschätzung und -bewertung
2. Technische Maßnahmen zum Schutz von
Systemen und Daten
3. Rechtlicher Rahmen für den Betrieb der Baustellen-IT
4. Organisatorische Maßnahmen:
Was müssen Bauleitung und Mitarbeiter beachten?
5. Die tägliche Gradwanderung:
Vorgaben einhalten - Handlungsfähigkeit behalten
IT auf Großbaustellen
Security und Compliance der Baustellen-IT:
Risikoabschätzung und -bewertung
© mmi consult GmbH 2005 - 2014
Datenschutz wird leider zu gering bewertet …
IT auf Großbaustellen
© mmi consult GmbH 2005 - 2014 IT auf Großbaustellen
Begriffsdefinitionen: Worum geht es eigentlich?
 Vertraulichkeit
 Daten dürfen lediglich von autorisierten Benutzern gelesen
bzw. modifiziert werden
 gilt sowohl beim Zugriff auf gespeicherte Daten wie auch
während der Datenübertragung
 Integrität
 Daten dürfen nicht unbemerkt verändert werden
 bzw. es müssen alle Änderungen nachvollziehbar sein
 Verfügbarkeit
 Verhinderung von Systemausfällen
 der Zugriff auf Daten muss innerhalb eines vereinbarten
Zeitrahmens gewährleistet werden
 Compliance
 Einhaltung von Verhaltensmaßregeln, Gesetzen und
Richtlinien
 Einhaltung vertraglicher Vereinbarungen mit dem Bauherrn
© mmi consult GmbH 2005 - 2014
Bedrohungen der IT Sicherheit
IT auf Großbaustellen
Bedrohung
Effekte und Ziele
Systemausfall
Missbrauch
Sabotage
Spionage
Betrug
Diebstahl
Ursache oder Mittel
Höhere Gewalt
Fehlbedienung
Malware
Vortäuschung
falscher Identität
DoS
Man in the middle
Social Engineering
Gegenmaßnahmen
Management
Firewalls
Authentifizierung
Autorisierung
Verschlüsselung
Signaturen
…
© mmi consult GmbH 2005 - 2014 IT auf Großbaustellen
Bedrohung + Schwachstelle = Gefährdung
 Eine Bedrohung allein ist wirkungslos
 Eine Bedrohung bei Ausnutzung
vorhandener Schwachstellen richtet
Schaden am Schutzobjekt an
 Durch gezielte Gegenmaßnahmen
werden Schachstellen „gestopft“. Das
Risiko für Schaden wird reduziert oder
„auf Null“ gesetzt
© mmi consult GmbH 2005 - 2014
Risikomanagement
 Risikoidentifikation:
 Bestimmung relevanter Assets
(Prozesse, IT-Systeme, Personen, Daten)
 Bestimmung der Bedrohungen
 Bestimmung der Verwundbarkeiten
 Risikoanalyse:
 Ermittlung Eintrittswahrscheinlichkeiten
 Ermittlung potenzieller Schadensauswirkungen
 Risikobewertung:
 Priorisierung zu festgestellten Risiken
 Risikobehandlung
 Wie gehen wir mit den einzelnen Risiken um?
 Umgang mit dem Restrisiko
IT auf Großbaustellen
Technische Maßnahmen zum Schutz von Systemen und Daten
© mmi consult GmbH 2005 - 2014
Existierende Empfehlungen und Best Practices
IT auf Großbaustellen
 Bundesamt für Sicherheit in der Informationstechnik (BSI)
IT Grundschutz Kataloge:
http://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/inhalt_node.html
 ITIL®
Risk Management
http://wiki.de.it-processmaps.com/index.php/Risikomanagement
Availability Management
http://wiki.de.it-processmaps.com/index.php/Availability_Management
Information Security Management
http://wiki.de.it-processmaps.com/index.php/IT_Security_Management
Compliance Management
http://wiki.de.it-processmaps.com/index.php/Compliance_Management
Incident Management
http://wiki.de.it-processmaps.com/index.php/Incident_Management
 Erfahrungen aus eigenen Projekten
 Architekturentwürfe und Checklisten
© mmi consult GmbH 2005 - 2014
Ausgewählte Maßnahmen für Baustellen
IT auf Großbaustellen
 Infrastruktur
 Zugangskontrolle, Einbruchsschutz
 Blitz- und Brandschutz
 fachgerechte und redundante Primärverkabelung
 Hardware und Software
 Spiegelung / Clustering
 Datenschutzprogramme
 Virenschutzprogramme
 Zugriffskontrolle und –protokollierung
 Verwendung von Einmalpasswörtern
 Kommunikation
 Firewalls (Portfreigaben)
 Verschlüsselung (SSL)
 Perimeternetze / VLAN (z.B. für Wohncontainer)
 Notfallvorsorge
 Notfallplan / -konzept
 Alternative Stromversorgung
 Prüfung der Wiederherstellbarkeit von Beriebsumgebungen nach Sicherheitsvorfällen
 Erfassen und Dokumentieren von Sicherheitsvorfällen
 u.v.m.
Rechtlicher Rahmen für den Betrieb der Baustellen-IT
© mmi consult GmbH 2005 - 2014 IT auf Großbaustellen
Was müssen wir alle berücksichtigen?
 Internationales und nationales Datenschutzrecht
 regelt die informationelle Selbstbestimmungen und geschützte
Geheimnisse
 bindent für alle IT Systeme sofern sie nicht ausschließlich privat
genutzt werden
 Schutz vor Missbrauch, unberechtigter Einsicht oder Verwendung,
Änderung oder Verfälschung
 Schutz personenbezogener oder persönlicher Daten
 Fernmeldegeheimnis (Telekommunikationsgeheimnis), Brief- und
Postgeheimnis
 Strafrechtliche Verfolgung bei Verletzung
 Nachweis- und Auskunftspflichten (Compliance)
 GDPdU-konforme Aufbewahrung von Buchhaltungsrelevanten
Informationen (Abgabenordnung)
 Einhaltung von Handelsgesetzen (z.B. EHUG)
 Bautagebuch nach Honorarordnung für Architekten und Ingenieure
(HOAI)
 Geldbußen bis Mißachtung
 Vermeidung von Computerkriminalität
 Betrug
 Sabotage
 Software Piraterie
 Fälschung
 Ausspähen von Daten
 Strafrechtliche Verfolgung bei Verletzung
....
© mmi consult GmbH 2005 - 2014
Wer ist für die Einhaltung verantwortlich?
IT auf Großbaustellen
 Geschäftsführer
haftbar
 Datenschutzbeauftrager
Aufsicht
Weisungsbefugnis
 Systemadministratoren
Einhaltung von Datenschutzverpflichtung
Gewährleistung der Vertraulichkeit (Zugangsmöglichkeit zu allen Informationen)
 Mitarbeiter
Informationspflicht
Zustimmungsregelung
Einhaltung von Compliance-Regeln
Organisatorische Maßnahmen:
Was müssen Bauleitung und Mitarbeiter beachten?
© mmi consult GmbH 2005 - 2014 IT auf Großbaustellen
Datenschutz organisatorisch umsetzen
 Datenschutzbeauftragte bestellen
 intern / extern
 Fachliche Eignung und Aufgaben sind gesetzlich geregelt
http://www.gesetze-im-internet.de/bdsg_1990/__4f.html
http://www.gesetze-im-internet.de/bdsg_1990/__4g.html
 Verstöße unverzüglich melden
 Geschäftsführer/Projektleiter
 Datenschutzbeauftragter
 Daten nur in gesicherten Umgebungen speichern
 Keine public Cloud Plattformen
 Keine USB Sticks mit nach Hause nehmen
 Keine Datensicherung auf Medien, die frei zugänglich
sind
 Zugänglichkeit von Daten einschränken und festlegen
 klare Prozesse zur Festlegung von Berechtigungen
 auswertbare Dokumentation über Veränderungen an
Berechtigungen
 Vertretungsregelungen vorsehen
 Wichtige Funktionen im Rahmen des Datenschutzes
müssen mehrfach belegt sein
© mmi consult GmbH 2005 - 2014 IT auf Großbaustellen
Datenschutz organisatorisch umsetzen … (2)
 Datenschutzvereinbarung erstellen und mit jedem
Mitarbeiter abschliessen
 Rechte / Pflichten darlegen
 Zustimmungen für Zustimmungsregelungen einholen (z.B.
Entbinden von Telekommunikationsgeheimnis)
 Compliance Regeln festschreiben
 Stichproben und Protokolle sind erforderlich
 Gewohnheitsrecht vermeiden
 Regelung zur Verwendung von Email für private Zwecke
 Urheberrechte gewährleisten und rechtlich nicht
unbedenkliche Inhalte verhindern
 Nutzung von Internet
 Passwortverwendung
 Individuell und Personenbezogen
 Regelmäßige Änderung
 Zuwiderhandlungen / Verletzungen ahnden
 Ignoranz der Verletzung „kann teuer werden“
 3rd Party Trust
 Externe Administration zur Wahrung des
Vertrauenschutzes innerhalb der ARGE
 ….
Die tägliche Gradwanderung:
Vorgaben einhalten - Handlungsfähigkeit behalten
© mmi consult GmbH 2005 - 2014
Beispiele: IT Sicherheit erhöhen
IT auf Großbaustellen
 Behandlung von Kennwörtern
 Benutzerkennwörter
 Individuell – nicht zu einfach
 Nicht weitergeben / nicht aufschreiben
 Regelmäßig ändern
 Administrative Kennwörter
 dokumentieren (verschlossen aufbewahren)
 herausgabe dokumentieren
 Regelmäßig ändern
 BYOD SmartPhones und Tablets
 Fernmeldegeheimnis und Schutz privater Daten
 MDM Lösung mit getrennten Bereichen für geschäftliche / private Daten
 Remote Wipe bei Diebstahl oder Ausscheiden von Mitarbeitern
 Helpdesk
 Hilfestellung für Benutzer
 Verletzung des Datenschutzes
 Datensicherungen
 Automatisierte Backups
 Speicherung der Daten in der privaten Cloud
 Physikalische Sicherheit erhöhen, Umwelteinflüsse ausschliessen
 Verwendung von Cloudbasierten Sytemen
 Nutzung zertifizierter kommerzieller Rechenzentren
 Virenschutz
 Flächendeckend einsetzen
© mmi consult GmbH 2005 - 2014
Beispiele: Compliance gewährleisten
IT auf Großbaustellen
 Datenschutzvereinbarung
Mit jedem Mitarbeiter abschließen
„Spielregeln“ festlegen
 Mailsignaturen
Müssen rechtlich bindende Angaben enthalten
 Lizenzverwaltung für Software
Nur legal erworbene Software einsetzen
Regelmäßige Erhebungen
 Vollzugriffsberechtigung auf Daten
nur für Mitarbeiter ausserhalb der ARGE Gesellschafter
 Datenschutzbeauftragten bestellen
Intern/extern
© mmi consult GmbH 2005 - 2014
Offene Fragen
 Audit
Wie ist eine Baustelle aufgestellt?
Kurzfristiger Maßnahmenkatalog
 Schulung
Alle Baustellenmitarbeiter sensibilisieren/informieren
 Datenschutzvereinbarung
Inhalt
Nachträglich abzuschließen
 Wer kümmert sich darum?
Expertise im eigenen Haus vorhanden?
Externe Unterstützung
 Aktivitäten sind Teil des ITSM Konzeptes
Siehe Webcast vom 24.03.2014
http://www.baustellen-it.de/cms/web.nsf/id/pa_xing02_de.html
IT auf Großbaustellen
© mmi consult GmbH 2005 - 2014
Unsere nächsten Webcast-Themen
 XING Event 1: Die besondere Herausforderung
Besonderheiten von Großbaustellen
Modelle für ITK Infrastrukturen
Erfahrungen
Slides: http://de.slideshare.net/mmi-consult/it-auf-grobaustellen-32029533
 XING Event 2: IT Betrieb für Baustellen
Zuständigkeiten
Prozesse für Einrichtung und Support
Best practices Ansätze
Slides: http://de.slideshare.net/mmi-consult/it-auf-grobaustellen-2
 XING Event 4: Welche Anwendungslösungen benötigt jede Großbaustelle
Email, Kalender, Kontakte
Dateiablagen, Planverwaltungen
Vertragsmanagement
IT auf Großbaustellen
© mmi consult GmbH 2005 - 2014
weitere Informationen und Kontakte …
IT auf Großbaustellen
mmi consult gmbh
Manfred Meise
Hartriegelweg 24
D-85551 Kirchheim b. München
Telefon: +49 89 904 801-50
Telefax: +49 89 904 801-51
Mobil: +49 172 810 7732
http://www.baustellen-it.de
http://www.site-office-it.com
eMail: info@baustellen-it.de

Weitere ähnliche Inhalte

Andere mochten auch

Government Facilities - Turnkey Energy Solutions
Government Facilities - Turnkey Energy SolutionsGovernment Facilities - Turnkey Energy Solutions
Government Facilities - Turnkey Energy Solutions
McKenney's Inc
 
Cursos Pagament Octubre Desembre 2008
Cursos Pagament Octubre Desembre 2008Cursos Pagament Octubre Desembre 2008
Cursos Pagament Octubre Desembre 2008
ugtajuntamentblanes
 
12 10-31 reunión ela dirección gamesa
12 10-31 reunión ela dirección gamesa12 10-31 reunión ela dirección gamesa
12 10-31 reunión ela dirección gamesa
elagit
 
Mod1 tipos objetivos
Mod1 tipos objetivosMod1 tipos objetivos
Mod1 tipos objetivos
Evaristo Rivieccio Vega
 
Ausgabe Heiraten in Leipzig - Magazin 2014
Ausgabe Heiraten in Leipzig - Magazin 2014Ausgabe Heiraten in Leipzig - Magazin 2014
Ausgabe Heiraten in Leipzig - Magazin 2014
meinhochzeitsratgeber
 
Animals Around the world - ENJOY THE NATURE
Animals Around the world - ENJOY THE NATURE Animals Around the world - ENJOY THE NATURE
Animals Around the world - ENJOY THE NATURE
Mihran Kalaydjian
 
Lecciones de pascua
Lecciones de pascuaLecciones de pascua
Lecciones de pascua
Ministerio Infantil Arcoiris
 
Acuvim ii-series-brochure-1040 e1303
Acuvim ii-series-brochure-1040 e1303Acuvim ii-series-brochure-1040 e1303
Acuvim ii-series-brochure-1040 e1303
David Vellet
 
Streamlining the Hiring Process Power Point
Streamlining the Hiring Process Power PointStreamlining the Hiring Process Power Point
Streamlining the Hiring Process Power Point
Richard Smith
 
Roupeiro Iris portas deslizantes
Roupeiro Iris portas deslizantesRoupeiro Iris portas deslizantes
Roupeiro Iris portas deslizantes
pegapegamoveis
 
Momenti di inerzia
Momenti di inerziaMomenti di inerzia
Momenti di inerzia
valter .
 
Key aggregate searchable encryption (kase) for group data sharing via cloud s...
Key aggregate searchable encryption (kase) for group data sharing via cloud s...Key aggregate searchable encryption (kase) for group data sharing via cloud s...
Key aggregate searchable encryption (kase) for group data sharing via cloud s...
Pvrtechnologies Nellore
 
Select an e forms vendor
Select an e forms vendorSelect an e forms vendor
Select an e forms vendor
Info-Tech Research Group
 
Salut comunitària | Alternatives per evitar l'estrès
Salut comunitària | Alternatives per evitar l'estrèsSalut comunitària | Alternatives per evitar l'estrès
Salut comunitària | Alternatives per evitar l'estrès
Centre Cívic Casa Golferichs
 
Alianza estratégica deporte inclusivo.
Alianza estratégica deporte inclusivo.Alianza estratégica deporte inclusivo.
Alianza estratégica deporte inclusivo.
José María
 
National PE Institute 2015 - Keynote
National PE Institute 2015 - KeynoteNational PE Institute 2015 - Keynote
National PE Institute 2015 - Keynote
Ashley Casey
 
Trastornos hipertensivos asociados al embarazo
Trastornos hipertensivos asociados al embarazoTrastornos hipertensivos asociados al embarazo
Trastornos hipertensivos asociados al embarazo
Anestesia - Universidad CES
 
Tahiti, Moorea y Bora Bora
Tahiti, Moorea y Bora BoraTahiti, Moorea y Bora Bora
Tahiti, Moorea y Bora Bora
MARC DOUROJEANNI
 
TELESCOPIO ESPACIAL HUBBLE
TELESCOPIO ESPACIAL HUBBLETELESCOPIO ESPACIAL HUBBLE
TELESCOPIO ESPACIAL HUBBLE
jeronimozgz
 
Comunicacion y delegacion
Comunicacion y delegacionComunicacion y delegacion
Comunicacion y delegacion
diplomaturacomahue
 

Andere mochten auch (20)

Government Facilities - Turnkey Energy Solutions
Government Facilities - Turnkey Energy SolutionsGovernment Facilities - Turnkey Energy Solutions
Government Facilities - Turnkey Energy Solutions
 
Cursos Pagament Octubre Desembre 2008
Cursos Pagament Octubre Desembre 2008Cursos Pagament Octubre Desembre 2008
Cursos Pagament Octubre Desembre 2008
 
12 10-31 reunión ela dirección gamesa
12 10-31 reunión ela dirección gamesa12 10-31 reunión ela dirección gamesa
12 10-31 reunión ela dirección gamesa
 
Mod1 tipos objetivos
Mod1 tipos objetivosMod1 tipos objetivos
Mod1 tipos objetivos
 
Ausgabe Heiraten in Leipzig - Magazin 2014
Ausgabe Heiraten in Leipzig - Magazin 2014Ausgabe Heiraten in Leipzig - Magazin 2014
Ausgabe Heiraten in Leipzig - Magazin 2014
 
Animals Around the world - ENJOY THE NATURE
Animals Around the world - ENJOY THE NATURE Animals Around the world - ENJOY THE NATURE
Animals Around the world - ENJOY THE NATURE
 
Lecciones de pascua
Lecciones de pascuaLecciones de pascua
Lecciones de pascua
 
Acuvim ii-series-brochure-1040 e1303
Acuvim ii-series-brochure-1040 e1303Acuvim ii-series-brochure-1040 e1303
Acuvim ii-series-brochure-1040 e1303
 
Streamlining the Hiring Process Power Point
Streamlining the Hiring Process Power PointStreamlining the Hiring Process Power Point
Streamlining the Hiring Process Power Point
 
Roupeiro Iris portas deslizantes
Roupeiro Iris portas deslizantesRoupeiro Iris portas deslizantes
Roupeiro Iris portas deslizantes
 
Momenti di inerzia
Momenti di inerziaMomenti di inerzia
Momenti di inerzia
 
Key aggregate searchable encryption (kase) for group data sharing via cloud s...
Key aggregate searchable encryption (kase) for group data sharing via cloud s...Key aggregate searchable encryption (kase) for group data sharing via cloud s...
Key aggregate searchable encryption (kase) for group data sharing via cloud s...
 
Select an e forms vendor
Select an e forms vendorSelect an e forms vendor
Select an e forms vendor
 
Salut comunitària | Alternatives per evitar l'estrès
Salut comunitària | Alternatives per evitar l'estrèsSalut comunitària | Alternatives per evitar l'estrès
Salut comunitària | Alternatives per evitar l'estrès
 
Alianza estratégica deporte inclusivo.
Alianza estratégica deporte inclusivo.Alianza estratégica deporte inclusivo.
Alianza estratégica deporte inclusivo.
 
National PE Institute 2015 - Keynote
National PE Institute 2015 - KeynoteNational PE Institute 2015 - Keynote
National PE Institute 2015 - Keynote
 
Trastornos hipertensivos asociados al embarazo
Trastornos hipertensivos asociados al embarazoTrastornos hipertensivos asociados al embarazo
Trastornos hipertensivos asociados al embarazo
 
Tahiti, Moorea y Bora Bora
Tahiti, Moorea y Bora BoraTahiti, Moorea y Bora Bora
Tahiti, Moorea y Bora Bora
 
TELESCOPIO ESPACIAL HUBBLE
TELESCOPIO ESPACIAL HUBBLETELESCOPIO ESPACIAL HUBBLE
TELESCOPIO ESPACIAL HUBBLE
 
Comunicacion y delegacion
Comunicacion y delegacionComunicacion y delegacion
Comunicacion y delegacion
 

Ähnlich wie IT auf Grossbaustellen - Security und Compliance

abtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
abtis stellt auf Roadshow modernes Konzept für Endpoint Security vorabtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
abtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
bhoeck
 
Sicherheitsprobleme mit privaten Geräten im Firmenumfeld
Sicherheitsprobleme mit privaten Geräten im FirmenumfeldSicherheitsprobleme mit privaten Geräten im Firmenumfeld
Sicherheitsprobleme mit privaten Geräten im Firmenumfeld
ONE Schweiz
 
IT auf Großbaustellen
IT auf GroßbaustellenIT auf Großbaustellen
IT auf Großbaustellen
mmi-consult
 
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
bhoeck
 
It Sicherheit in der Instandhaltung
It Sicherheit in der InstandhaltungIt Sicherheit in der Instandhaltung
It Sicherheit in der Instandhaltung
Branding Maintenance
 
Pforzheimer Schüler für IT-Sicherheit sensibilisieren
Pforzheimer Schüler für IT-Sicherheit sensibilisierenPforzheimer Schüler für IT-Sicherheit sensibilisieren
Pforzheimer Schüler für IT-Sicherheit sensibilisieren
bhoeck
 
privatsphare.org
privatsphare.orgprivatsphare.org
privatsphare.org
Bert82
 
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
Jan Rodig
 
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
PROJECT CONSULT Unternehmensberatung Dr. Ulrich Kampffmeyer GmbH
 
Informationssicherheitsmanagment
InformationssicherheitsmanagmentInformationssicherheitsmanagment
Informationssicherheitsmanagment
Claus Brell
 
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden könnenSocial Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
LEITWERK AG
 
Microsoft Kompendium IT-Compliance und -Security
Microsoft Kompendium IT-Compliance und -SecurityMicrosoft Kompendium IT-Compliance und -Security
Microsoft Kompendium IT-Compliance und -Security
Michael Hettich
 
Walter Khom, MBA (bit media e-solutions)
Walter Khom, MBA (bit media e-solutions)Walter Khom, MBA (bit media e-solutions)
Walter Khom, MBA (bit media e-solutions)
Praxistage
 
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
Ivanti
 
IT auf Grossbaustellen - IT Betrieb
IT auf Grossbaustellen  - IT BetriebIT auf Grossbaustellen  - IT Betrieb
IT auf Grossbaustellen - IT Betrieb
mmi-consult
 
FOM Vortrag Bernd Fuhlert April 2013
FOM Vortrag Bernd Fuhlert April 2013FOM Vortrag Bernd Fuhlert April 2013
FOM Vortrag Bernd Fuhlert April 2013
Bernd Fuhlert
 
Cyber Security im Cloud Zeitalter
Cyber Security im Cloud Zeitalter Cyber Security im Cloud Zeitalter
Cyber Security im Cloud Zeitalter
A. Baggenstos & Co. AG
 
Cyberrisiken in der Zahnarztpraxis - Prophylaxe
Cyberrisiken in der Zahnarztpraxis  - ProphylaxeCyberrisiken in der Zahnarztpraxis  - Prophylaxe
Cyberrisiken in der Zahnarztpraxis - Prophylaxe
jiricejka
 
Klöcker & Kück Datenschutz
Klöcker & Kück Datenschutz Klöcker & Kück Datenschutz
Klöcker & Kück Datenschutz
Andreas Klöcker
 
Was tun bei einer Datenpanne? Das verlangt die DSGVO
Was tun bei einer Datenpanne? Das verlangt die DSGVOWas tun bei einer Datenpanne? Das verlangt die DSGVO
Was tun bei einer Datenpanne? Das verlangt die DSGVO
Michael Rohrlich
 

Ähnlich wie IT auf Grossbaustellen - Security und Compliance (20)

abtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
abtis stellt auf Roadshow modernes Konzept für Endpoint Security vorabtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
abtis stellt auf Roadshow modernes Konzept für Endpoint Security vor
 
Sicherheitsprobleme mit privaten Geräten im Firmenumfeld
Sicherheitsprobleme mit privaten Geräten im FirmenumfeldSicherheitsprobleme mit privaten Geräten im Firmenumfeld
Sicherheitsprobleme mit privaten Geräten im Firmenumfeld
 
IT auf Großbaustellen
IT auf GroßbaustellenIT auf Großbaustellen
IT auf Großbaustellen
 
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
abtis mit Security-Lösungen für eine digitale Welt auf der it-sa 2019
 
It Sicherheit in der Instandhaltung
It Sicherheit in der InstandhaltungIt Sicherheit in der Instandhaltung
It Sicherheit in der Instandhaltung
 
Pforzheimer Schüler für IT-Sicherheit sensibilisieren
Pforzheimer Schüler für IT-Sicherheit sensibilisierenPforzheimer Schüler für IT-Sicherheit sensibilisieren
Pforzheimer Schüler für IT-Sicherheit sensibilisieren
 
privatsphare.org
privatsphare.orgprivatsphare.org
privatsphare.org
 
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
Herausforderungen & Erfolgsfaktoren bei der Konzeption und Implementierung vo...
 
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
[DE] ECM 2.0 - die Zukunft dokumentbezogener Technologien | Ulrich Kampffmeye...
 
Informationssicherheitsmanagment
InformationssicherheitsmanagmentInformationssicherheitsmanagment
Informationssicherheitsmanagment
 
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden könnenSocial Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
Social Engineering- Wie Soft Skills zur Sicherheitsfalle werden können
 
Microsoft Kompendium IT-Compliance und -Security
Microsoft Kompendium IT-Compliance und -SecurityMicrosoft Kompendium IT-Compliance und -Security
Microsoft Kompendium IT-Compliance und -Security
 
Walter Khom, MBA (bit media e-solutions)
Walter Khom, MBA (bit media e-solutions)Walter Khom, MBA (bit media e-solutions)
Walter Khom, MBA (bit media e-solutions)
 
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
Schützen Sie Ihr Unternehmen mit einem mehrstufigen Lösungsansatz für AntiPh...
 
IT auf Grossbaustellen - IT Betrieb
IT auf Grossbaustellen  - IT BetriebIT auf Grossbaustellen  - IT Betrieb
IT auf Grossbaustellen - IT Betrieb
 
FOM Vortrag Bernd Fuhlert April 2013
FOM Vortrag Bernd Fuhlert April 2013FOM Vortrag Bernd Fuhlert April 2013
FOM Vortrag Bernd Fuhlert April 2013
 
Cyber Security im Cloud Zeitalter
Cyber Security im Cloud Zeitalter Cyber Security im Cloud Zeitalter
Cyber Security im Cloud Zeitalter
 
Cyberrisiken in der Zahnarztpraxis - Prophylaxe
Cyberrisiken in der Zahnarztpraxis  - ProphylaxeCyberrisiken in der Zahnarztpraxis  - Prophylaxe
Cyberrisiken in der Zahnarztpraxis - Prophylaxe
 
Klöcker & Kück Datenschutz
Klöcker & Kück Datenschutz Klöcker & Kück Datenschutz
Klöcker & Kück Datenschutz
 
Was tun bei einer Datenpanne? Das verlangt die DSGVO
Was tun bei einer Datenpanne? Das verlangt die DSGVOWas tun bei einer Datenpanne? Das verlangt die DSGVO
Was tun bei einer Datenpanne? Das verlangt die DSGVO
 

IT auf Grossbaustellen - Security und Compliance

  • 1. IT auf Großbaustellen XING Event 3: Security und Compliance Montag 07.04.2014, 10:30 – 11:15 Manfred Meise – Geschäftsführer (manfred.meise@mmi-consult.de)
  • 2. © mmi consult GmbH 2005 - 2014 Über uns und über mich … IT auf Großbaustellen  mmi consult GmbH IBM Business Partner der ersten Stunde Anwendungslösungen für den Mittelstand Beratung, Schulung, Lösungsbausteine Branchenschwerpunkt: Großbaustellen (ARGEn) http://www.baustellen-it.de  Manfred Meise, Dipl. Ing (FH) Geschäftsführender Gesellschafter IT Berater / Trainer seit mehr als 25 Jahren zertifizierter IBM Produktspezialist Betreuung internationaler Baustellenprojekte
  • 3. © mmi consult GmbH 2005 - 2014 Agenda 1. Security und Compliance der Baustellen-IT: Risikoabschätzung und -bewertung 2. Technische Maßnahmen zum Schutz von Systemen und Daten 3. Rechtlicher Rahmen für den Betrieb der Baustellen-IT 4. Organisatorische Maßnahmen: Was müssen Bauleitung und Mitarbeiter beachten? 5. Die tägliche Gradwanderung: Vorgaben einhalten - Handlungsfähigkeit behalten IT auf Großbaustellen
  • 4. Security und Compliance der Baustellen-IT: Risikoabschätzung und -bewertung
  • 5. © mmi consult GmbH 2005 - 2014 Datenschutz wird leider zu gering bewertet … IT auf Großbaustellen
  • 6. © mmi consult GmbH 2005 - 2014 IT auf Großbaustellen Begriffsdefinitionen: Worum geht es eigentlich?  Vertraulichkeit  Daten dürfen lediglich von autorisierten Benutzern gelesen bzw. modifiziert werden  gilt sowohl beim Zugriff auf gespeicherte Daten wie auch während der Datenübertragung  Integrität  Daten dürfen nicht unbemerkt verändert werden  bzw. es müssen alle Änderungen nachvollziehbar sein  Verfügbarkeit  Verhinderung von Systemausfällen  der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet werden  Compliance  Einhaltung von Verhaltensmaßregeln, Gesetzen und Richtlinien  Einhaltung vertraglicher Vereinbarungen mit dem Bauherrn
  • 7. © mmi consult GmbH 2005 - 2014 Bedrohungen der IT Sicherheit IT auf Großbaustellen Bedrohung Effekte und Ziele Systemausfall Missbrauch Sabotage Spionage Betrug Diebstahl Ursache oder Mittel Höhere Gewalt Fehlbedienung Malware Vortäuschung falscher Identität DoS Man in the middle Social Engineering Gegenmaßnahmen Management Firewalls Authentifizierung Autorisierung Verschlüsselung Signaturen …
  • 8. © mmi consult GmbH 2005 - 2014 IT auf Großbaustellen Bedrohung + Schwachstelle = Gefährdung  Eine Bedrohung allein ist wirkungslos  Eine Bedrohung bei Ausnutzung vorhandener Schwachstellen richtet Schaden am Schutzobjekt an  Durch gezielte Gegenmaßnahmen werden Schachstellen „gestopft“. Das Risiko für Schaden wird reduziert oder „auf Null“ gesetzt
  • 9. © mmi consult GmbH 2005 - 2014 Risikomanagement  Risikoidentifikation:  Bestimmung relevanter Assets (Prozesse, IT-Systeme, Personen, Daten)  Bestimmung der Bedrohungen  Bestimmung der Verwundbarkeiten  Risikoanalyse:  Ermittlung Eintrittswahrscheinlichkeiten  Ermittlung potenzieller Schadensauswirkungen  Risikobewertung:  Priorisierung zu festgestellten Risiken  Risikobehandlung  Wie gehen wir mit den einzelnen Risiken um?  Umgang mit dem Restrisiko IT auf Großbaustellen
  • 10. Technische Maßnahmen zum Schutz von Systemen und Daten
  • 11. © mmi consult GmbH 2005 - 2014 Existierende Empfehlungen und Best Practices IT auf Großbaustellen  Bundesamt für Sicherheit in der Informationstechnik (BSI) IT Grundschutz Kataloge: http://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/inhalt_node.html  ITIL® Risk Management http://wiki.de.it-processmaps.com/index.php/Risikomanagement Availability Management http://wiki.de.it-processmaps.com/index.php/Availability_Management Information Security Management http://wiki.de.it-processmaps.com/index.php/IT_Security_Management Compliance Management http://wiki.de.it-processmaps.com/index.php/Compliance_Management Incident Management http://wiki.de.it-processmaps.com/index.php/Incident_Management  Erfahrungen aus eigenen Projekten  Architekturentwürfe und Checklisten
  • 12. © mmi consult GmbH 2005 - 2014 Ausgewählte Maßnahmen für Baustellen IT auf Großbaustellen  Infrastruktur  Zugangskontrolle, Einbruchsschutz  Blitz- und Brandschutz  fachgerechte und redundante Primärverkabelung  Hardware und Software  Spiegelung / Clustering  Datenschutzprogramme  Virenschutzprogramme  Zugriffskontrolle und –protokollierung  Verwendung von Einmalpasswörtern  Kommunikation  Firewalls (Portfreigaben)  Verschlüsselung (SSL)  Perimeternetze / VLAN (z.B. für Wohncontainer)  Notfallvorsorge  Notfallplan / -konzept  Alternative Stromversorgung  Prüfung der Wiederherstellbarkeit von Beriebsumgebungen nach Sicherheitsvorfällen  Erfassen und Dokumentieren von Sicherheitsvorfällen  u.v.m.
  • 13. Rechtlicher Rahmen für den Betrieb der Baustellen-IT
  • 14. © mmi consult GmbH 2005 - 2014 IT auf Großbaustellen Was müssen wir alle berücksichtigen?  Internationales und nationales Datenschutzrecht  regelt die informationelle Selbstbestimmungen und geschützte Geheimnisse  bindent für alle IT Systeme sofern sie nicht ausschließlich privat genutzt werden  Schutz vor Missbrauch, unberechtigter Einsicht oder Verwendung, Änderung oder Verfälschung  Schutz personenbezogener oder persönlicher Daten  Fernmeldegeheimnis (Telekommunikationsgeheimnis), Brief- und Postgeheimnis  Strafrechtliche Verfolgung bei Verletzung  Nachweis- und Auskunftspflichten (Compliance)  GDPdU-konforme Aufbewahrung von Buchhaltungsrelevanten Informationen (Abgabenordnung)  Einhaltung von Handelsgesetzen (z.B. EHUG)  Bautagebuch nach Honorarordnung für Architekten und Ingenieure (HOAI)  Geldbußen bis Mißachtung  Vermeidung von Computerkriminalität  Betrug  Sabotage  Software Piraterie  Fälschung  Ausspähen von Daten  Strafrechtliche Verfolgung bei Verletzung ....
  • 15. © mmi consult GmbH 2005 - 2014 Wer ist für die Einhaltung verantwortlich? IT auf Großbaustellen  Geschäftsführer haftbar  Datenschutzbeauftrager Aufsicht Weisungsbefugnis  Systemadministratoren Einhaltung von Datenschutzverpflichtung Gewährleistung der Vertraulichkeit (Zugangsmöglichkeit zu allen Informationen)  Mitarbeiter Informationspflicht Zustimmungsregelung Einhaltung von Compliance-Regeln
  • 16. Organisatorische Maßnahmen: Was müssen Bauleitung und Mitarbeiter beachten?
  • 17. © mmi consult GmbH 2005 - 2014 IT auf Großbaustellen Datenschutz organisatorisch umsetzen  Datenschutzbeauftragte bestellen  intern / extern  Fachliche Eignung und Aufgaben sind gesetzlich geregelt http://www.gesetze-im-internet.de/bdsg_1990/__4f.html http://www.gesetze-im-internet.de/bdsg_1990/__4g.html  Verstöße unverzüglich melden  Geschäftsführer/Projektleiter  Datenschutzbeauftragter  Daten nur in gesicherten Umgebungen speichern  Keine public Cloud Plattformen  Keine USB Sticks mit nach Hause nehmen  Keine Datensicherung auf Medien, die frei zugänglich sind  Zugänglichkeit von Daten einschränken und festlegen  klare Prozesse zur Festlegung von Berechtigungen  auswertbare Dokumentation über Veränderungen an Berechtigungen  Vertretungsregelungen vorsehen  Wichtige Funktionen im Rahmen des Datenschutzes müssen mehrfach belegt sein
  • 18. © mmi consult GmbH 2005 - 2014 IT auf Großbaustellen Datenschutz organisatorisch umsetzen … (2)  Datenschutzvereinbarung erstellen und mit jedem Mitarbeiter abschliessen  Rechte / Pflichten darlegen  Zustimmungen für Zustimmungsregelungen einholen (z.B. Entbinden von Telekommunikationsgeheimnis)  Compliance Regeln festschreiben  Stichproben und Protokolle sind erforderlich  Gewohnheitsrecht vermeiden  Regelung zur Verwendung von Email für private Zwecke  Urheberrechte gewährleisten und rechtlich nicht unbedenkliche Inhalte verhindern  Nutzung von Internet  Passwortverwendung  Individuell und Personenbezogen  Regelmäßige Änderung  Zuwiderhandlungen / Verletzungen ahnden  Ignoranz der Verletzung „kann teuer werden“  3rd Party Trust  Externe Administration zur Wahrung des Vertrauenschutzes innerhalb der ARGE  ….
  • 19. Die tägliche Gradwanderung: Vorgaben einhalten - Handlungsfähigkeit behalten
  • 20. © mmi consult GmbH 2005 - 2014 Beispiele: IT Sicherheit erhöhen IT auf Großbaustellen  Behandlung von Kennwörtern  Benutzerkennwörter  Individuell – nicht zu einfach  Nicht weitergeben / nicht aufschreiben  Regelmäßig ändern  Administrative Kennwörter  dokumentieren (verschlossen aufbewahren)  herausgabe dokumentieren  Regelmäßig ändern  BYOD SmartPhones und Tablets  Fernmeldegeheimnis und Schutz privater Daten  MDM Lösung mit getrennten Bereichen für geschäftliche / private Daten  Remote Wipe bei Diebstahl oder Ausscheiden von Mitarbeitern  Helpdesk  Hilfestellung für Benutzer  Verletzung des Datenschutzes  Datensicherungen  Automatisierte Backups  Speicherung der Daten in der privaten Cloud  Physikalische Sicherheit erhöhen, Umwelteinflüsse ausschliessen  Verwendung von Cloudbasierten Sytemen  Nutzung zertifizierter kommerzieller Rechenzentren  Virenschutz  Flächendeckend einsetzen
  • 21. © mmi consult GmbH 2005 - 2014 Beispiele: Compliance gewährleisten IT auf Großbaustellen  Datenschutzvereinbarung Mit jedem Mitarbeiter abschließen „Spielregeln“ festlegen  Mailsignaturen Müssen rechtlich bindende Angaben enthalten  Lizenzverwaltung für Software Nur legal erworbene Software einsetzen Regelmäßige Erhebungen  Vollzugriffsberechtigung auf Daten nur für Mitarbeiter ausserhalb der ARGE Gesellschafter  Datenschutzbeauftragten bestellen Intern/extern
  • 22. © mmi consult GmbH 2005 - 2014 Offene Fragen  Audit Wie ist eine Baustelle aufgestellt? Kurzfristiger Maßnahmenkatalog  Schulung Alle Baustellenmitarbeiter sensibilisieren/informieren  Datenschutzvereinbarung Inhalt Nachträglich abzuschließen  Wer kümmert sich darum? Expertise im eigenen Haus vorhanden? Externe Unterstützung  Aktivitäten sind Teil des ITSM Konzeptes Siehe Webcast vom 24.03.2014 http://www.baustellen-it.de/cms/web.nsf/id/pa_xing02_de.html IT auf Großbaustellen
  • 23. © mmi consult GmbH 2005 - 2014 Unsere nächsten Webcast-Themen  XING Event 1: Die besondere Herausforderung Besonderheiten von Großbaustellen Modelle für ITK Infrastrukturen Erfahrungen Slides: http://de.slideshare.net/mmi-consult/it-auf-grobaustellen-32029533  XING Event 2: IT Betrieb für Baustellen Zuständigkeiten Prozesse für Einrichtung und Support Best practices Ansätze Slides: http://de.slideshare.net/mmi-consult/it-auf-grobaustellen-2  XING Event 4: Welche Anwendungslösungen benötigt jede Großbaustelle Email, Kalender, Kontakte Dateiablagen, Planverwaltungen Vertragsmanagement IT auf Großbaustellen
  • 24. © mmi consult GmbH 2005 - 2014 weitere Informationen und Kontakte … IT auf Großbaustellen mmi consult gmbh Manfred Meise Hartriegelweg 24 D-85551 Kirchheim b. München Telefon: +49 89 904 801-50 Telefax: +49 89 904 801-51 Mobil: +49 172 810 7732 http://www.baustellen-it.de http://www.site-office-it.com eMail: info@baustellen-it.de