In der Software-Entwicklung sind agile Methoden schon viele Jahre bekannt und werden gelebt. Die Produktivität und die Arbeitszufriedenheit erhöhen sich. Die Qualität leidet dabei nicht und konnte sogar verbessert werden. Doch wie sieht das in der Informationssicherheit aus? Können auch hier agile Werkzeuge helfen, diese zu erhöhen?   © Storyblocks, Registriert auf Andreas Wisler Was ist Kanban? Vielen ist Kanban nur als «viele Post-Its...

Bereits viele Jahre wurde uns das neue Datenschutzgesetz versprochen. Immer wieder wurde es nach hinten verschoben. Nach vierjährigem Gesetzgebungsprozess wurde es Ende September 2020 vom Parlament verabschiedet. In Kraft ist es jedoch noch nicht, es fehlt die Verordnung dazu. Darin werden die Details geregelt. Am 23. Juni 2021 war es dann so weit, der Bundesrat hat den Vorentwurf zur totalrevidierten Verordnung zum schweizerischen Datenschutzges...

Monitoringsysteme zur Überwachung der Verfügbarkeit und schneller Reaktion auf Probleme sind heutzutage bei allen Unternehmen im Einsatz. Systeme, die die IT-Sicherheit und Policy-Verletzungen überwachen, sind hingegen selten anzutreffen. Die ISO 27001 fordert im Kapitel A.12.4 «Protokollierung» entsprechende Vorgaben. Dieser Artikel gibt eine Einführung in das Thema SIEM und Protokollierung. © Storyblocks, Registriert auf Andreas Wisler Dass ein...

Dieser Beitrag zeigt auf, was in welchen Kapitel der ISO 27001 Norm enthalten ist. Wo ein Dokument Pflicht ist, ist dies erwähnt. Die einzelnen Artikel gehen auf die Details ein. © Storyblocks, Registriert auf Andreas Wisler   4 Kontext der Organisation Im «ersten» Kapitel geht es darum die eigene Firma vorzustellen. Was macht die Firma, wer sind die interessierten Parteien, was haben diese für Erwartungen. Weiter gilt es den Anwendungs...

Wie schnell kann es passieren, und ein System fällt aus? Oder ein Hacker verschafft sich Zugriff auf das Firmen-Netzwerk und verschlüsselt alle Dateien? Oder ein Naturereignis zerstört Teile der Infrastruktur? Oder ein wichtiger Mitarbeitender fällt aus? Die Gründe für einen Unterbruch der (IT-) Dienstleistungen sind vielzählig. Daher ist es wichtig, sich bereits vor dem Eintreten eines solchen Ereignisses Gedanken zu machen und entsprechende Vor...

Um die Cloud führt heute praktisch kein Weg mehr vorbei. Viele Dienste laufen direkt in der Cloud oder nutzen Cloud-Speicher im Hintergrund. Oft werden auch schützenswerte oder sensitive Daten dem Cloud-Anbieter übergeben. Daher ist es wichtig, den richtigen Partner zu haben. Die ISO 27018 ermöglicht es dem Anbieter seinen Kunden zu zeigen, dass er sicher mit den anvertrauten Daten umgeht.  Die ISO/IEC 27018 wurde im Januar 2019 in der zweit...

Wer misst, misst Mist. Diesen Satz lernte ich gleich zu meiner Ausbildung zum Elektroniker. Dies gilt nicht nur bei der Elektrotechnik, auch bei der Messung der Informationssicherheit ist es wichtig zu definieren, was gemessen wird, wie dies durchgeführt wird und wie die Ergebnisse zu interpretieren sind. Die ISO 27004 hilft, genau dies durchzuführen.   © Storyblocks, Registriert auf Andreas Wisler Die Informationssicherheit zu messen, ist e...

Gerade in Krisenzeiten wird die Wichtigkeit einer guten Vorbereitung erkennbar. Tritt eine Krise oder ein grösseres negatives Ereignis ein, gilt es schnell zu reagieren. Zu diesem Zeitpunkt ist es aber zu spät, sich mit allen notwendigen Schritten im Detail auseinanderzusetzen. Nun muss reagiert und nicht mehr diskutiert werden. Die Business Impact Analyse zeigt im Vorfeld, auf was der Fokus bei einem solchen Ereignis gelegt werden muss und welch...

An dieser Stelle folgen nach und nach Ressourcen rund um das Thema der ISO-Normen. © Storyblocks, Registriert auf Andreas Wisler ISACA Implementierungsleitfraden ISO/IED 27001:2013BSI - Fragebogen zur SelbsteinschätzungBSI - Leitfaden zur ImplementierungIT Unlimited - In 12 Schritten zur erfolgreichen ISO-IEC_27001_ZertifizierungHalkyn Consulting - ISO27001 compliance checklistGRC21 - ISO 27001 Implementation

Der erste Artikel dieser ISO-Reihe zeigte eine Übersicht über die ISO-Normen 27001 und 27002. Der zweite Teil geht auf das Kapitel 4 «Kontext des Unternehmens» ein. Aus meiner Erfahrung haben die Unternehmen damit am meisten Mühe. Da dies jedoch die Basis für alle weiteren Dokumente, Definitionen und Messpunkte darstellt, sollte genügend Zeit dafür reserviert werden. In einem ersten Schritt gilt es die folgende Anforderung zu erfüllen: «Die Organ...

Der dritte Teil geht auf das Normenkapitel 5 – Führung ein. Es genügt (nicht) mehr, dass die Geschäftsleitung zwar den Auftrag gibt, aber nicht aktiv mitarbeitet und die Umsetzung nicht unterstützt. Im BSI 100-1 steht sogar «Wenn Zielvorgaben aufgrund fehlender Ressourcen nicht erreichbar sind, sind hierfür nicht die mit der Umsetzung betrauten Personen verantwortlich, sondern die Vorgesetzten, die unrealistische Ziele gesetzt bzw. die erforderli...

Das Kapitel 7 der ISO 27001 befasst sich mit den Themen Ressourcen, Kompetenz, Bewusstsein, Kommunikation und Dokumentation. © Storyblocks, Registriert auf Andreas Wisler Die Norm verlangt, dass die notwendigen Ressourcen auch zur Verfügung stehen. Es darf nicht nur ein Lippenbekenntnis sein, „wir betreiben ein ISMS", aber die notwendigen Ressourcen, die es dazu benötigt, werden nicht zur Verfügung gestellt. Oft reicht es zwar für den Aufbau des ...

Nachdem wir in den vorangehenden Teilen alles vorbereitet haben, folgen nun der Betrieb, die Bewertung sowie die stetige Verbesserung des ISMS. Gemäss dem bekannten Demingkreis wurde das „Plan" umgesetzt, als nächste Schritte folgen Do – Check und Act.  Betrieb Das Normkapitel 8 verlangt die Planung der Schritte zur Zielerreichung des ISMS. Diese sind für jedes Unternehmen individuell, sollten aber immer in die gewohnten Betriebsabläufe inte...

Nach dem Aufbau, dem Unterhalt und der stetigen Pflege des ISMS, sind wir beim Anhang angelangt. Im ersten Teil (A.5) werden Anforderungen an Informationssicherheitsrichtlinien gestellt. Während beim Aufbau des ISMS (27001) jede Anforderung mit „Muss" formuliert wurde, wird bei ISO 27002 (entspricht dem Anhang A.5 – A.18 von ISO 27001) „Sollte" verwendet. Hier hat ein Unternehmen etwas mehr Spielraum. Jedoch werden Anforderungen sehr schnell auch...

Die ISO 27001 bzw. der Anhang fordern eine Vielzahl von technischen Massnahmen. Dieser Blog zeigt verschiedene Möglichkeiten. Diese Seite wird regelmässig aktualisiert. Technisches Inventar Mit Spicworks Inventory kann auf einfache Art und Weise eine Übersicht über alle am Netzwerk angeschlossenen Geräte erstellt werden. Es ist kostenlos. Download unter: https://www.spiceworks.com/free-pc-network-inventory-software/ Mit Glpi kann ein ITSM Softwar...

Im siebten Kapitel der ISO 27001 dreht sich alles um den Menschen. Dies beginnt für das Unternehmen bereits vor der Einstellung und endet nachdem der Arbeitnehmende die Firma wieder verlassen hat.   © Storyblocks, Registriert auf Andreas Wisler Vor der Einstellung Im ersten Schritt gilt es bereits im Bewerbungsprozess Sicherheitsprüfungen vorzunehmen. Dies muss aber immer in Einklang mit geltenden Gesetzen, dem Datenschutz sowie der Privatsp...

Der Zugang an Systeme, egal ob Computer, Laptop, Mobile Device oder Server muss geregelt sein. Das Ziel ist kurz, aber prägnant: Der Zugang zu Informationen und informationsverarbeitenden Einrichtungen ist eingeschränkt. Dies ist einfacher geschrieben, als umgesetzt. In der ISO-Norm 27002, Kapitel 9 sind dazu 14 Massnahmen zu diesem Thema gefordert. Zudem steht in der Fussnote der Schweizer Version der ISO 27002: Der Zugang kann sowohl physisch a...

Einbrechen ist auch heute immer noch im Hoch. Eine Türe nicht richtig geschlossen, ein Fenster vergessen und schon bricht jemand ein und stiehlt etwas. Das Kapitel 11 beschäftigt sich daher mit den Themen «Physische und umgebungsbezogene Sicherheit». Das Ziel formuliert sich dementsprechend: «Unbefugter Zutritt, die Beschädigung und die Beeinträchtigung von Information und informationsverarbeitenden Einrichtungen der Organisation sind verhindert....

Das Kapitel A.12 der ISO-Norm behandelt alles rund um die ICT. Das Ziel ist dementsprechend einfach: «Der ordnungsgemässe und sichere Betrieb von informationsverarbeitenden Einrichtungen ist sichergestellt.»   © Storyblocks, Registriert auf Andreas Wisler Dokumentation Bereits der erste Punkt ist eigentlich selbstverständlich, ist aber für viele Unternehmen eine Herausforderung: «Die Betriebsverfahren sollten dokumentiert und allen Benutzern...

Das 13. Kapitel der ISO 27002 behandelt die Sicherheit in der Kommunikation. Das Ziel ist der Schutz von Information in Netzwerken und den unterstützenden informationsverarbeitenden Einrichtungen sicherzustellen. Zuerst gilt es das Netzwerk vor unbefugtem Zugriff zu schützen. So sollten Computer-Anschlüsse nicht auf Vorrat gepatcht werden, d.h. mit dem Netzwerk verbunden sein, sondern nur bei Bedarf. Technisch kann das Protokoll 802.1x eingesetzt...