Praxis des Security Managements

Inhaltsverzeichnis

Grußwort des Herausgebers

Ein langer Weg zusammen…

Danksagung der Präsidentin der Fachhochschule Brandenburg

I. Status Quo

1. Benutzbare Sicherheit: Security Management as a Service

1.1. Einleitung

1.2. Motivation

1.3. Security, Usability, Privacy und Trust

1.3.1. Security

1.3.2. Usability

1.3.3. Privacy

1.3.4. Trust

1.4. Usable Security and Privacy, eine kurze Geschichte

1.5. Security Management as a Service

1.5.1. Privacy-Box

1.5.2. Vorgehen

2. Nationale Datenschutzzertifikate im Lichte des New Legislative Framework

2.1. Einleitung

2.2. Datenschutzzertifikate des ULD

2.2.1. Zertifizierung von Landesbehörden (Behördenaudit)

2.2.2. Zertifizierung von IT-Produkten und IT-Dienstleistungen

2.3. European Privacy Seal (EuroPriSe)

2.4. Nationale Rechtsgrundlagen für Datenschutzzertifikate?

2.4.1. Bundesrecht

2.4.2. Landesrecht

2.5. Die europäische Perspektive auf Zertifikate

2.5.1. Zertifikate als Ergebnis von Konformitätsbewertung

2.5.2. Was sind technische Vorschriften?

2.5.3. Technische Vorschriften sind normativ unerwünscht

2.5.4. Notifizierung

2.5.5. Akkreditierung und Konformitätsbewertung

2.6. Zusammenfassung in Thesen

II. Anwendung

3. Sicherheitsmechanismen in Datenbanken

3.1. Zusammenfassung

3.2. Motivation

3.3. Ebenen

3.4. Rechtevergabe bei DBMS am Beispiel von Oracle

3.4.1. Benutzer

3.4.2. Rechte, Privilegien

3.4.3. Rollen

3.5. Das ideale System

3.6. Wirklichkeit – Wirtschaftliche Aspekte

3.7. Erste empirische Untersuchungen

3.8. Zusammenfassung und Ausblick

4. Anforderungen an die Sicherheit von Kernkraftwerken aus internationaler Sicht

4.1. Zusammenfassung

4.2. Einleitung

4.3. Das Barrierenkonzept

4.4. Das Gestaffelte Sicherheitskonzept (Defence-in-Depth)

4.4.1. Ebene 1: Normalbetrieb

4.4.2. Ebene 2: Betriebsstörungen

4.4.3. Ebene 3: Auslegungsstörfälle

4.4.4. Ebene 4: Beherrschung auslegungsüberschreitender Ereignisse bzw. Zustände und Minderung der Auswirkungen durch anlageninterne Notfallmaßnahmen

4.4.5. Ebene 5: Minimierung radiologischer Konsequenzen in der Umgebung durch anlagenexterne Maßnahmen des behördlichen Katastrophenschutzes

4.5. Ergebnisse und Fazit

III. Werkzeuge

5. Informationssicherheit messen: Anleitung für die Entwicklung aussagekräftiger Metriken

5.1. Einleitung

5.2. Motivation und Relation zum Sicherheitsmanagement

5.2.1. Zielsetzung verstehen

5.2.2. Nutzung richtig einschätzen

5.3. Eigenschaften von Metriken

5.4. Definition des Messverfahrens

5.4.1. Fragestellung ausarbeiten

5.4.2. Variablen und Messmethode finden

5.4.3. Direkte Messung und Kontextinformationen unterscheiden

5.4.4. Erfassung der Werte und Normierung

5.4.5. Aggregation der Werte

5.4.6. Vergleich und Bewertung

5.4.7. Praktische Durchführung

5.5. Die Zukunft „messen“

5.6. Kommunikation

5.7. Programm zur Entwicklung und Umsetzung

5.8. Zusammenfassung

6. A practical overview of the forensic software NUIX

6.1. Abstract

6.2. Introduction

6.3. Preparation

6.3.1. Test Scenario

6.3.2. Implementation

6.3.3. Hard- and Software

6.4. Investigation results

6.5. Conclusion

Autoren

Sachar Paulus (Hg.)

Praxis des Security Managements

Status Quo – Anwendung – Werkzeuge

Open Source Press

Alle in diesem Buch enthaltenen Programme, Darstellungen und Informationen wurden nach bestem Wissen erstellt. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grunde sind die in dem vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autor(en), Herausgeber, Übersetzer und Verlag übernehmen infolgedessen keine Verantwortung und werden keine daraus folgende Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen – oder Teilen davon – entsteht, auch nicht für die Verletzung von Patentrechten, die daraus resultieren können. Ebensowenig übernehmen Autor(en) und Verlag die Gewähr dafür, dass die beschriebenen Verfahren usw. frei von Schutzrechten Dritter sind.

Die in diesem Werk wiedergegebenen Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. werden ohne Gewährleistung der freien Verwendbarkeit benutzt und können auch ohne besondere Kennzeichnung eingetragene Marken oder Warenzeichen sein und als solche den gesetzlichen Bestimmungen unterliegen.

Dieses Werk ist urheberrechtlich geschützt. Alle Rechte, auch die der Übersetzung, des Nachdrucks und der Vervielfältigung des Buches – oder Teilen daraus – vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlags in irgendeiner Form (Druck, Fotokopie, Mikrofilm oder einem anderen Verfahren), auch nicht für Zwecke der Unterrichtsgestaltung, reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden.

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Copyright © 2015 Open Source Press GmbH

Gesamtlektorat: Andreas Witt

Satz: textovia web application (textovia.com)

Umschlaggestaltung: Lena Levitina

ISBN: 9783955391331 (E-Book EPUB) http://www.opensourcepress.de

Grußwort des Herausgebers

Ich erinnere mich gut an den Tag im Herbst 2005, als wir uns das erste Mal in Berlin bei der SAP-Repräsentanz in der Nähe des Hackeschen Markts trafen. Von Anfang an imponierte mir die Zielstrebigkeit, mit der Friedrich Holl das Gespräch führte. Die Fachhochschule Brandenburg plante einen berufsbegleitenden Masterstudiengang im Sicherheitsbereich und suchte Lehrende aus der Praxis.

Der Masterstudiengang Security Management war in der Hochschulplanung des Landes Brandenburg überhaupt nicht vorgesehen, eigentlich konnte es ihn gar nicht geben, und dennoch hat Friedrich Holl ihn – mit der Hilfe des damaligen Dekans Hartmut Heinrich – zum Leben erweckt. Inzwischen wurde der Studiengang zum zweiten Mal akkreditiert und erfreut sich eines regen Interesses. Obwohl Friedrich Holl im Sicherheitsbereich keine umfassende Praxiserfahrung hatte sammeln können, traute er sich zu, einen solchen Studiengang „aus dem Boden zu stampfen“. Man kann also mit Fug und Recht behaupten, dass dieser Masterstudiengang einzig auf die Zielstrebigkeit und die Durchsetzungsstärke von Friedrich Holl zurückgeht.

Bereits wenige Jahre nach der erfolgreichen Einführung des Masterstudiengangs Security Management, der sich zunächst auf Unternehmenssicherheit mit IT fokussierte, suchte er die Nähe zur Atomenergie – wahrlich eine explosive Unternehmung. Nach einem ersten, leider wenig fruchtbaren Versuch über die Gesellschaft für Anlagen- und Reaktorsicherheit gelang es Friedrich, zusammen mit Guido Gluschke, einem Sicherheitsberater aus Karlsruhe, Weiterbildungskurse für die International Atomic Energy Agency (IAEA) anzubieten – mit internationalem Publikum im beschaulichen Brandenburg – und sogar an einem Projekt für einen internationalen Master in Nuclear Security mitzuarbeiten. Abgesehen davon, dass ein solches Vorhaben in Berlin sicherlich die alternative Szene auf den Plan gerufen hätte, wäre es wohl auch aus politischen Gründen gescheitert; an der Fachhochschule Brandenburg fand es aber den richtigen Nährboden und mit dem inzwischen gereiften Studiengang auch den passenden fachlichen Hintergrund.

Es gibt noch viele weitere Beispiele für die Zielstrebigkeit von Friedrich Holl. Da ich erst seit 2006 regelmäßig an der Fachhochschule Brandenburg war, kenne ich die älteren Geschichten nur vom Hörensagen und kann sie nicht beurteilen. Doch ähnliche Zielstrebigkeit muss Friedrich Holl wohl bereits zu seiner Zeit als Senatsvorsitzender bewiesen haben.

Was treibt einen Menschen dazu, solch unbequeme Aktivitäten zu starten? Denn eines ist sicher: Mit Gegenwind musste Friedrich Holl immer rechnen. Vielleicht hat er diesen Gegenwind gebraucht (als Segler weiß er schließlich, wie man Gegenwind nutzt, um durch geschicktes Kreuzen sein Ziel zu erreichen), vielleicht ist er aber auch ein Getriebener der Wissenschaft. Was Menschen, die nicht in der Wissenschaft tätig sind, oft nicht nachvollziehen können, ist, dass viele Wissenschaftler einen großen Drang haben, ihre Erkenntnisse auch „unters Volk“ zu bringen. Das ist nicht durch Selbstdarstellung motiviert – es ist schlicht der Drang, Menschen zu helfen, das Richtige zu tun. Wenn man sieht, wie schlampig in Unternehmen mit personenbezogenen Daten umgegangen oder auf die Gefahren der Industriespionage geachtet wird, und wenn man einmal verstanden hat, wie einfach es im Grunde ist, es „richtig“ zu machen, dann will man wieder und immer wieder vermitteln, erläutern, erklären – kurz: Menschen dazu bringen, das Richtige zu tun.

Genau das zeichnet Friedrich Holl aus meiner Sicht am meisten aus. Natürlich hat er die Wissenschaft in den Bereichen Usability, Datenschutz und Informationssicherheit vorangebracht, doch sein eigentliches Verdienst liegt in der Unermüdlichkeit, mit der er die Welt ein Stückchen besser machen will. Ein bezeichnender Ausspruch, den man oft von ihm hört, lautet: „Das kann doch nicht sein!“ – wenn ihn mal wieder Formalitäten und persönliche Befindlichkeiten bei der Erreichung seiner altruistischen Ziele behindern. Das Zitat drückt aus, wie sehr ihm diese Ziele am Herzen liegen und mit welcher Inbrunst er sie verfolgt.

Aus eben diesem Grund haben wir uns entschlossen – an dieser Stelle ein großes Dankeschön an die Kolleginnen und Kollegen, die mitgeholfen haben, dieses Buch zu erstellen, allen voran Andreas Witt, der den Großteil der Arbeit übernommen hat – über die Themen, die Friedrich Holl am wichtigsten sind, Artikel zusammenzutragen und im Rahmen einer Festschrift zu veröffentlichen. Es sind Themen, die keinen direkten Profit versprechen, sondern auf den ersten Blick für Mehraufwand und Mehrkosten sorgen; aber mit der Zeit schaffen sie einen Wettbewerbsvorteil und können sogar zum Alleinstellungsmerkmal eines Unternehmens werden. Für den Bereich „Usability“ (früher nannte man es „Ergonomie“) ist das schon lange bekannt; für den Datenschutz wird es aktuell diskutiert, und für den komplexen Bereich der Informations- und Cybersicherheit sind die Experten davon schon lange überzeugt – der Markt hat es aber noch nicht angenommen. Die Themen sind bezeichnend für Friedrich Holls Wunsch, die Welt ein wenig besser zu machen. Das Buch ist ein Zeichen des Dankes an und des Respekts vor Friedrich Holl – für seine Einstellung, seine Beharrlichkeit und seine guten Intentionen.

Ich möchte mich aber auch ganz persönlich bei Friedrich für die interessante und sehr kreative Zeit in Brandenburg bedanken. Auch wenn ich aus persönlichen Gründen die Fachhochschule Brandenburg wieder verlassen habe und sein Erbe nicht weiterführen kann, so wird diese für mich sehr schöne Zeit an der Hochschule immer mit Friedrich verbunden bleiben. Danke sehr!

Ich wünsche Ihnen, liebe Leserinnen und Leser, eine anregende Lektüre und – ganz im Sinne von Friedrich Holl – viele Ideen, wie man die Dinge ein klein wenig besser machen kann.

Neckargemünd, in November 2014

Ein langer Weg zusammen…

Dienstag, 22.10.14 um 14.30 Uhr, Pariser Platz 1 – direkt neben der amerikanischen Botschaft im Haus der Commerzbank: Der Studiengang Security Management hat eingeladen zu einem Treffen der Kooperationspartner. Anstelle der erwarteten 18 Gäste kommen insgesamt 25, davon nahezu 20 aus Unternehmen – großen und mittelständischen. Das illustre Treffen an prominentem Ort findet starken Anklang. Ich darf die Gäste im Namen des Fachbereichs Wirtschaft begrüßen.

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!

Lesen Sie weiter in der vollständigen Ausgabe!