Der IT-Sicherheitsbeauftragte

Neue Bedrohungsszenarien in der IT – Lessons Learned aus der Praxis

• Warum sind Ransomware Angriffe so erfolgreich und auch so effektiv?
• Mit welchem Schadenspotential ist bei einem Malware Angriff zu rechnen?
• Wie funktionieren APT Angriffe (Advanced Persisten Threats)
• Wo sind die Grenzen von gängigen Schutztechnologien (Endpoint Schutz, Perimeterschutz, etc.)?
• Was können diese Technologien leisten, was nicht?

• Endpoint und Server Schutz
• Perimeterschutz (Next Generation Firewalls, Proxy Systeme, Intrusion Prevention Systeme)
• VPN und Remote Zugriffe
• Web Application Schutz

• Anhand von konkreten Sicherheitsvorfällen wird erläutert, was zum Sicherheitsvorfall geführt hat, wie darauf reagiert wurde, bzw. was technisch und organisatorisch geändert werden sollte, um zukünftig besser gewappnet zu sein. Die Sicherheitsvorfälle gehen beispielsweise auf das Thema Endpoint Compromise, Server Compromise, VPN Account Compromise usw. ein.
• Anhand dieser Beispiele wird auch gezeigt, wie wichtig mittlerweile die Einhaltung von „Best Current Practices“ ist und welche Rolle die User Awareness in einem Unternehmen spielt.

• Was ist zu tun, wenn doch ein Sicherheitsvorfall eingetreten ist

Für den Anfang: Ein rechtliches Update

• Aktueller Stand nach der Erlassung des neuen Netz- und Informationssicherheitsgesetzes (NIS-Gesetz) zur Umsetzung der NIS-Richtlinie: Kreis der Verpflichteten, Verordnungen und Einrichtungen?  
• Welche Auswirkungen hat das NIS-Gesetz auf Betreiber kritischer Infrastrukturen?
• Ist die Funktion von IT-Sicherheitsbeauftragten (indirekt) verpflichtend für Betreiber wesentlicher Dienste? Wenn ja, was sind die Aufgaben? Welche Rolle spielen diese im CSIRT?
• Welche Synergien zur DSGVO bestehen? Integriertes Management-System für Datenschutz und Informationssicherheit und High-Level-Structure (HLS) aus der ISO Welt

• Stand der Diskussion, mögliches Schicksal der e-Privacy Verordnung und EuGH Judikatur
• Wie ist das Verhältnis zwischen E-Privacy-Verordnung und der DSGVO?

Recht trifft auf Technik: Wie setzen Sie die DSGVO im Unternehmen richtig um?

• Aktuelles aus der Erfüllung der Aufgaben und Befugnisse der Datenschutzbehörde

• Was ist technisch zu tun?
• Welche Entscheidungen sind zu treffen? Aufgaben des Managements?
• Was bedeutet die DSGVO für jede einzelne Person des Unternehmens?

• Prozesse und Umsetzung im Unternehmen – Wo liegen die Herausforderungen?
• Bestandsaufnahme, Risikoanalyse, Verarbeitungen identifizieren & Projektorganisation

Die Rolle von IT-Sicherheitsbeauftragten

• Wer kann diese Aufgaben übernehmen?
• Über welche Kenntnisse sollte diese Person verfügen?
• Kontroll- und Überwachungspflichten

• Klärung & Sicherstellung von Verantwortungen

• An wen müssen IT-Sicherheitsbeauftragte reporten? Ist man weisungsgebunden?
• Haftungsfrage: Wann und für was haftet man?

Die Chef-Etage überzeugen: So geht‘s

• Begründung und Durchsetzung von IT-Sicherheits-Vorhaben
• Mit welchen Argumenten überzeuge ich Vorgesetzte/die IT/den Vorstand?
• Der Kostendruck und die IT-Sicherheit: Ein alter Hut?
• Den Wertbeitrag der IT-Sicherheit messen: Machen Sie den Nutzen der IT-Sicherheit (Return On Security Investment) sichtbar
• Kommunikation zwischen Fachabteilung und IT-Sicherheit: Überzeugungs- und Gesprächstechniken

Informationssicherheit: Standards, Best-Practices und Risikomanagement

• Corona und IT – Bisherige Erkenntnisse, Folgen
• IT-Vorfälle in der letzten Zeit
• Stellenwert der Informationssicherheit in der Organisation
• Informations-Sicherheits-Management-System (ISMS)
• Prävention – Detektion – Reaktion – Awareness – Notfallmanagement

• Notwendigkeit, Zweck
• Die wichtigsten Begriffe
• Risikopolitik, -strategie, -modellierung
• Der Risikomanagement-Prozess:
  • Risikoanalyse: Werte – Bedrohungen – Schutzmaßnahmen
  • Risikobewältigung, Restrisiko

• ISMS (z.B. ISO 27000, BSI)
• Risikomanagement (z.B. ISO 31000)
• IT-Standards (z.B. ITIL, technische N&S)
• Anwendungsgebiete, Zertifizierbarkeit

• Risikolandschaft: Praxisbeispiel
• Cyber-Sicherheits-Check: Erfahrungen
• Risikomanagement-Tools: Anwendbarkeit, Beispiele