Bundesamt für Sicherheit in der Informationstechnik

B 1.9 Hard- und Software-Management

Logo Hard- und Software-Management

Beschreibung

Um den notwendigen und erwünschten Sicherheitsgrad für die gesamte IT-Organisation zu erreichen, genügt es nicht, nur die einzelnen IT-Komponenten zu sichern. Es ist vielmehr erforderlich, auch alle Abläufe und Vorgänge, die diese IT-Systeme berühren, so zu gestalten, dass das angestrebte Niveau der Informationssicherheit erreicht und beibehalten wird. Es sind daher für alle diese Vorgänge Regelungen einzuführen und zu pflegen, die die Wirksamkeit der Sicherheitsmaßnahmen gewährleisten.

Den Schwerpunkt dieses Bausteins bilden dabei Regelungen, die sich spezifisch auf informationstechnische Hardware- oder Software-Komponenten beziehen, mit dem Ziel, einen ordnungsgemäßen IT-Betrieb in Bezug auf Management bzw. Organisation sicherzustellen. Sicherheit sollte integrierter Bestandteil des gesamten Lebenszyklus eines IT-Systems bzw. eines Produktes sein.

Gefährdungslage

In diesem Baustein werden für den IT-Grundschutz die folgenden typischen Gefährdungen betrachtet:

Höhere Gewalt

G 1.1Personalausfall
G 1.2Ausfall von IT-Systemen
G 1.4Feuer
G 1.5Wasser
G 1.8Staub, Verschmutzung
G 1.19Ausfall eines Dienstleisters oder Zulieferers

Organisatorische Mängel

G 2.1Fehlende oder unzureichende Regelungen
G 2.2Unzureichende Kenntnis über Regelungen
G 2.4Unzureichende Kontrolle der Sicherheitsmaßnahmen
G 2.6Unbefugter Zutritt zu schutzbedürftigen Räumen
G 2.7Unerlaubte Ausübung von Rechten
G 2.9Mangelhafte Anpassung an Veränderungen beim IT-Einsatz
G 2.10Nicht fristgerecht verfügbare Datenträger
G 2.15Vertraulichkeitsverlust schutzbedürftiger Daten im Unix-System
G 2.21Mangelhafte Organisation des Wechsels zwischen den Benutzern
G 2.22Fehlende oder unzureichende Auswertung von Protokolldaten
G 2.24Vertraulichkeitsverlust schutzbedürftiger Daten des zu schützenden Netzes
G 2.67Ungeeignete Verwaltung von Zutritts-, Zugangs- und Zugriffsrechten

Menschliche Fehlhandlungen

G 3.1Vertraulichkeits- oder Integritätsverlust von Daten durch Fehlverhalten
G 3.2Fahrlässige Zerstörung von Gerät oder Daten
G 3.3Nichtbeachtung von Sicherheitsmaßnahmen
G 3.5Unbeabsichtigte Leitungsbeschädigung
G 3.6Gefährdung durch Reinigungs- oder Fremdpersonal
G 3.8Fehlerhafte Nutzung von IT-Systemen
G 3.9Fehlerhafte Administration von IT-Systemen
G 3.11Fehlerhafte Konfiguration von sendmail
G 3.17Kein ordnungsgemäßer PC-Benutzerwechsel
G 3.35Server im laufenden Betrieb ausschalten
G 3.44Sorglosigkeit im Umgang mit Informationen

Technisches Versagen

G 4.10Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen
G 4.13Verlust gespeicherter Daten
G 4.22Software-Schwachstellen oder -Fehler
G 4.31Ausfall oder Störung von Netzkomponenten
G 4.35Unsichere kryptographische Algorithmen
G 4.38Ausfall von Komponenten eines Netz- und Systemmanagementsystems
G 4.39Software-Konzeptionsfehler
G 4.43Undokumentierte Funktionen

Vorsätzliche Handlungen

G 5.1Manipulation oder Zerstörung von Geräten oder Zubehör
G 5.2Manipulation an Informationen oder Software
G 5.4Diebstahl
G 5.9Unberechtigte IT-Nutzung
G 5.21Trojanische Pferde
G 5.23Schadprogramme
G 5.26Analyse des Nachrichtenflusses
G 5.68Unberechtigter Zugang zu den aktiven Netzkomponenten
G 5.71Vertraulichkeitsverlust schützenswerter Informationen
G 5.82Manipulation eines Kryptomoduls
G 5.83Kompromittierung kryptographischer Schlüssel
G 5.84Gefälschte Zertifikate
G 5.87Web-Spoofing

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Ein Informationsverbund besteht aus einer Vielzahl von IT-Komponenten, die zunächst als Einzelkomponenten gemäß der Maßnahmenvorschläge aus den entsprechenden Bausteinen abgesichert werden sollten. Damit für alle eingesetzten IT-Komponenten das gleiche Sicherheitsniveau erreicht wird, sollten durch das Hard- und Software-Management einheitliche Regelungen vorgegeben werden.

Im Rahmen des Hard- und Software-Managements sind unabhängig von der Art der eingesetzten IT-Komponenten eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Beschaffung bis zum Betrieb. Die Schritte, die dabei durchlaufen werden sollten, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Aspekte der Informationssicherheit müssen frühzeitig in die strategische Ausrichtung und die Beschaffung von IT-Systemen mit einfließen, da sie ganz konkrete Auswirkungen auf die Aufgabendurchführung und den Ablauf von Geschäftsprozessen haben. Hierbei müssen die definierten Sicherheitsanforderungen für die bereits vorhandenen IT-Systeme sowie die Anforderungen aus den geplanten Einsatzszenarien konsolidiert werden (siehe M 2.214 Konzeption des IT-Betriebs ).

Die Beschaffung und der Einsatz von Hardware und Software erfordern spezifische Regelungen für die verschiedenen Benutzer.

Hierbei müssen die für einen sicheren Geschäftsablauf erforderlichen Sicherheitsparameter der IT-Systeme den Benutzern transparent gemacht werden (siehe M 2.223 Sicherheitsvorgaben für die Nutzung von Standardsoftware ). Trotz intensiver Schulung müssen die Benutzer im laufenden Betrieb hinsichtlich Funktionalität der Programme und Sicherheit sowie bei auftretenden Problemen zielgerichtet und zügig unterstützt werden (siehe M 2.12 Betreuung und Beratung von IT-Benutzern ). Hierzu sind Benutzerbetreuer und Help-Desks einzurichten.

Die für den sicheren Betrieb aller IT-Komponenten notwendigen Maßnahmen müssen in einer Sicherheitsrichtlinie festgelegt werden. Die Einhaltung des darin spezifizierten Sicherheitsniveaus erfordert neben den technischen Maßnahmen auch ein umfangreiches Regelwerk für den Benutzer, das diesem Hilfestellung und eine verbindliche und präzise Anleitung gibt. Potentielle Risikofaktoren und Schwachstellen wie Passwörter, Fremdpersonal, nicht freigegebene IT-Komponenten, Zugang zu den IT-Systemen müssen durch organisatorische Regelungen oder durch eine Kombination von organisatorischen und technischen Maßnahmen (siehe M 2.11 Regelung des Passwortgebrauchs ) minimiert werden. Die Benutzer müssen regelmäßig für den sorgfältigen Umgang mit sicherheitskritischen Informationen und IT-Komponenten sensibilisiert werden.

Der effiziente und sichere Betrieb heterogener Netze erfordert strikte Richtlinien hinsichtlich Test, Installation und Dokumentation neuer Hardware und Software (siehe M 2.216 Genehmigungsverfahren für IT-Komponenten ) sowie eine effiziente Benutzerverwaltung (siehe M 2.30 Regelung für die Einrichtung von Benutzern / Benutzergruppen ). Der physikalische Zugang zu IT-Systemen sowie eine Authentisierung der Benutzer gegenüber den Anwendungen und Systemen (siehe M 2.220 Richtlinien für die Zugriffs- bzw. Zugangskontrolle ) sollte grundsätzlich unter Beachtung des Need-to-Know-Prinzips erfolgen.

Der Einsatz von externen Datenträgern kann ein hohes Sicherheitsrisiko darstellen, da vermeintliche Sicherheitsbarrieren häufig einfach ausgehebelt werden können. Regelungen der Verwendung, Kennzeichnung und Prüfungen z. B. auf Schadsoftware für CD-ROMs, Memory-Sticks und andere über USB anschließbare Geräte für den Datenaustausch, dienen ebenfalls zur Aufrechterhaltung eines sicheren IT-Betriebs (siehe M 2.3 Datenträgerverwaltung ).

Aufgabe des Änderungsmanagements ist es, Änderungen an den aktuellen Konfigurationen einem formalen Dokumentations- und Freigabeprozess zu unterziehen (siehe M 2.221 Änderungsmanagement ). Sicherheitskritische Aspekte müssen hierbei ebenso bewertet werden wie die Durchführung nach dem Vier-Augen-Prinzip und die aktuelle Dokumentation der Änderungen. Hierzu gehört auch, dass nur zugelassene Komponenten eingesetzt werden dürfen, da sonst ein kontrollierbarer Betrieb nicht möglich ist (siehe M 2.9 Nutzungsverbot nicht freigegebener Hard- und Software ).

Beschaffung

Für die Beschaffung von IT-Systemen müssen die aus dem Konzept resultierenden Anforderungen an die jeweiligen Produkte formuliert und basierend darauf die Auswahl der geeigneten Produkte getroffen werden. Der formalen Freigabe eines neuen Produktes (siehe M 2.62 Software-Abnahme- und Freigabe-Verfahren ) sollte eine funktionale Prüfung und eine Konsistenzprüfung hinsichtlich der geforderten Sicherheitseigenschaften vorausgehen (siehe M 4.65 Test neuer Hard- und Software ).

Umsetzung

Die Umsetzung der Sicherheitsrichtlinie für den Betrieb erfordert Festlegungen für Sicherheitsmaßnahmen im Rahmen der Installation und ersten Konfiguration (siehe M 4.135 Restriktive Vergabe von Zugriffsrechten auf Systemdateien ) sowie für den laufenden Betrieb der IT-Systeme.

Die strukturierte Datenhaltung mit konsequenter Trennung von Programm- und Arbeitsdateien (siehe M 2.138 Strukturierte Datenhaltung ) sollte auf einer weitgehend einheitlichen Konfiguration der Systeme aufsetzen. Diese wiederum unterstützt eine zentral durchführbare Systemverwaltung (siehe M 2.69 Einrichtung von Standardarbeitsplätzen ).

Die Sicherstellung einer durchgängigen Systemadministration - auch in Ausfallzeiten wie bei Krankheit oder Urlaub - lässt sich durch entsprechende Vertretungsregelungen erreichen (siehe M 2.26 Ernennung eines Administrators und eines Vertreters ). Die Kompetenzen des Vertreters müssen transparent gemacht werden.

Die Dokumentation der Systemkonfiguration muss aktuell und verständlich sein und sollte werkzeugunterstützt erfolgen (siehe M 2.25 Dokumentation der Systemkonfiguration ). Neben den physikalischen IT-Komponenten sind auch die logischen Netzstrukturen sowie die Rollen und Zugriffsrechte zu dokumentieren.

Betrieb

Durch die Systemadministration ist der laufende Betrieb mit unterschiedlichen Schwerpunkten aufrecht zu erhalten. Die durch Migration, Ausfall und Neuanschaffung erforderlichen Änderungen des IT-Bestandes (siehe M 4.78 Sorgfältige Durchführung von Konfigurationsänderungen ) müssen nach erfolgter Freigabe im IT-Bestandsverzeichnis zeitnah nachgeführt werden (siehe M 2.34 Dokumentation der Veränderungen an einem bestehenden System und M 2.219 Kontinuierliche Dokumentation der Informationsverarbeitung ).

Die laufende Beobachtung und Auswertung des Betriebes (siehe M 2.10 Überprüfung des Hard- und Software-Bestandes und M 2.64 Kontrolle der Protokolldateien ) hinsichtlich Konformität und eventuellen Sicherheitsverletzungen sowie die Durchführung der entsprechenden Sicherheitsmaßnahmen (siehe M 2.215 Fehlerbehandlung ) erfordern eine permanente Informationsbeschaffung über entsprechende Updates der unterschiedlichen Hersteller (siehe M 2.35 Informationsbeschaffung über Sicherheitslücken des Systems ). Durch Einspielen der erforderlichen Sicherheitspatches sollte die geforderte Sicherheit auch schon präventiv erreicht werden (siehe M 2.273 Zeitnahes Einspielen sicherheitsrelevanter Patches und Updates ).

Aussonderung

Bei der Außerbetriebnahme von IT-Systemen ist dafür zu sorgen, dass wichtige Daten nicht verloren gehen, sondern vor der Abgabe bzw. Verschrottung der IT-Systeme gesichert werden (siehe M 4.234 Geregelte Außerbetriebnahme von IT-Systemen und Datenträgern ). Fast noch wichtiger ist es jedoch, die Datenträger dieser Systeme anschließend so gründlich zu löschen (siehe B 1.15 Löschen und Vernichten von Daten ), dass nicht im Nachhinein Unbefugte auf sensible Daten Zugriff erhalten, da in der Regel nach der Aussonderung keine Kontrolle darüber besteht, was mit den IT-Systemen weiter geschieht.

Nachfolgend wird das Maßnahmenbündel für den Bereich "Hard- und Software-Management" vorgestellt:

Planung und Konzeption

M 2.3(B)Datenträgerverwaltung
M 2.9(A)Nutzungsverbot nicht freigegebener Hard- und Software
M 2.12(C)Betreuung und Beratung von IT-Benutzern
M 2.24(Z)Einführung eines IT-Passes
M 2.30(A)Regelung für die Einrichtung von Benutzern / Benutzergruppen
M 2.214(A)Konzeption des IT-Betriebs
M 2.216(C)Genehmigungsverfahren für IT-Komponenten
M 2.218(C)Regelung der Mitnahme von Datenträgern und IT-Komponenten
M 2.221(A)Änderungsmanagement
M 2.223(B)Sicherheitsvorgaben für die Nutzung von Standardsoftware
M 4.134(Z)Wahl geeigneter Datenformate
M 4.434(C)Sicherer Einsatz von Appliances
M 5.68(Z)Einsatz von Verschlüsselungsverfahren zur Netzkommunikation
M 5.77(Z)Bildung von Teilnetzen

Beschaffung

M 2.62(B)Software-Abnahme- und Freigabe-Verfahren

Umsetzung

M 1.29(Z)Geeignete Aufstellung eines IT-Systems
M 1.32(B)Geeignete Aufstellung von Druckern und Kopierern
M 2.25(A)Dokumentation der Systemkonfiguration
M 2.26(A)Ernennung eines Administrators und eines Vertreters
M 2.38(B)Aufteilung der Administrationstätigkeiten
M 2.69(B)Einrichtung von Standardarbeitsplätzen
M 2.111(A)Bereithalten von Handbüchern
M 2.138(B)Strukturierte Datenhaltung
M 2.204(A)Verhinderung ungesicherter Netzzugänge
M 4.1(A)Passwortschutz für IT-Systeme
M 4.7(A)Änderung voreingestellter Passwörter
M 4.65(C)Test neuer Hard- und Software
M 4.84(A)Nutzung der BIOS-Sicherheitsmechanismen
M 4.135(A)Restriktive Vergabe von Zugriffsrechten auf Systemdateien
M 5.87(C)Vereinbarung über die Anbindung an Netze Dritter
M 5.88(C)Vereinbarung über Datenaustausch mit Dritten

Betrieb

M 1.46(Z)Einsatz von Diebstahl-Sicherungen
M 2.10(C)Überprüfung des Hard- und Software-Bestandes
M 2.34(A)Dokumentation der Veränderungen an einem bestehenden System
M 2.35(B)Informationsbeschaffung über Sicherheitslücken des Systems
M 2.64(A)Kontrolle der Protokolldateien
M 2.110(A)Datenschutzaspekte bei der Protokollierung
M 2.215(B)Fehlerbehandlung
M 2.219(A)Kontinuierliche Dokumentation der Informationsverarbeitung
M 2.273(A)Zeitnahes Einspielen sicherheitsrelevanter Patches und Updates
M 4.78(A)Sorgfältige Durchführung von Konfigurationsänderungen
M 4.107(B)Nutzung von Hersteller- und Entwickler-Ressourcen
M 4.109(Z)Software-Reinstallation bei Arbeitsplatzrechnern
M 4.254(Z)Sicherer Einsatz von drahtlosen Tastaturen und Mäusen
M 4.306(Z)Umgang mit Passwort-Speicher-Tools
M 4.345(Z)Schutz vor unerwünschten Informationsabflüssen
M 5.150(Z)Durchführung von Penetrationstests

Aussonderung

M 2.167(B)Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Daten
M 4.234(B)Geregelte Außerbetriebnahme von IT-Systemen und Datenträgern

Notfallvorsorge

M 6.27(C)Sicheres Update des BIOS
M 6.137(Z)Treuhänderische Hinterlegung (Escrow)

Stand: 15. EL Stand 2016

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK