Bundesamt für Sicherheit in der Informationstechnik

M 2.299 Erstellung einer Sicherheitsrichtlinie für ein Sicherheitsgateway

Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, IT-Sicherheitsbeauftragter

Verantwortlich für Umsetzung: IT-Sicherheitsbeauftragter

Da das Sicherheitsgateway für die Sicherheit des Netzes eine zentrale Rolle spielt, ist der sichere und ordnungsgemäße Betrieb besonders wichtig. Dieser kann nur sichergestellt werden, wenn das Vorgehen in die bestehenden sicherheitstechnischen Vorgaben integriert ist.

Die zentralen sicherheitstechnischen Anforderungen (das zu erreichende Sicherheitsniveau) ergeben sich aus der organisationsweiten Sicherheitsleitlinie und sollten in einer spezifischen Sicherheitsrichtlinie für den Betrieb des Sicherheitsgateways formuliert werden, um die übergeordnet und allgemein formulierte Sicherheitsleitlinie im gegebenen Kontext zu konkretisieren und umzusetzen.

In diesem Zusammenhang ist zu prüfen, ob neben der organisationsweiten Sicherheitsleitlinie weitere übergeordnete Vorgaben wie beispielsweise IT-Richtlinien, Passwortrichtlinien oder Vorgaben zur Internetnutzung zu berücksichtigen sind.

Die Sicherheitsrichtlinie muss allen Personen und Gruppen, die an der Beschaffung und dem Betrieb des Sicherheitsgateways beteiligt sind, bekannt sein und Grundlage für deren Arbeit sein. Wie bei allen Richtlinien sind ihre Inhalte und ihre Umsetzung im Rahmen einer übergeordneten Revision regelmäßig zu prüfen.

Die Sicherheitsrichtlinie sollte zunächst das generell zu erreichende Sicherheitsniveau spezifizieren und grundlegende Aussagen zum Betrieb des Sicherheitsgateways treffen. Nachfolgend sind einige Punkte aufgeführt, die berücksichtigt werden sollten:

  • Allgemeine Konfigurationsstrategie: Da das Sicherheitsgateway eine zentrale Rolle bei der Absicherung des Netzes spielt, muss es selbst (bzw. die einzelnen Komponenten) besonders sicher konfiguriert sein.
  • Regelungen für die Arbeit der Administratoren und Revisoren:
    • Über welche Zugangswege dürfen Administratoren und Revisoren auf die Systeme zugreifen (beispielsweise nur lokal an der Konsole, über ein eigenes Administrationsnetz oder über verschlüsselte Verbindungen)?
    • Welche Vorgänge werden müssen dokumentiert werden? In welcher Form wird die Dokumentation erstellt und gepflegt?
    • Gilt für bestimmte Änderungen ein Vieraugenprinzip? Für besonders sicherheitskritische Änderungen an den Einstellungen des Sicherheitsgateway ist dies dringend empfohlen.
    • Nach welchem Schema werden Administrationsrechte vergeben?
  • Vorgaben für Beschaffung von Geräten anhand eines Anforderungsprofils
  • Vorgaben für die Installation und Konfiguration einzelner Komponenten des Sicherheitsgateways
    • Vorgehen bei der Erstinstallation
    • Überprüfung der Default-Einstellungen hinsichtlich Sicherheitsgefährdungen
    • Regelungen zur physikalischen Zugriffskontrolle
    • Verwendung und Konfiguration von Konsole und sonstigen Zugriffsarten
    • Regelungen zur Benutzer- und Rollenverwaltung, Berechtigungsstrukturen (Ablauf und Methoden der Authentisierung und Autorisierung, Berechtigung zu Installation, Update, Konfigurationsänderungen etc.). Nach Möglichkeit sollte ein Rollenkonzept für die Administration erarbeitet werden.
    • Regelungen zu Erstellung und Pflege von Dokumentation, Form der Dokumentation: Verfahrensanweisungen, Betriebshandbücher
  • Vorgaben für den sicheren Betrieb
    • Absicherung der Administration (beispielsweise: Zugriff nur über abgesicherte Verbindungen)
    • Einsatz von Verschlüsselung (Standards, Schlüsselstärken, Einsatzbereiche)
    • Vorgaben zu Passwortnutzung (Passwortregeln, durch Passwörter zu schützende Bereiche, Regeln und Situationen für Passwortänderungen, gegebenenfalls Hinterlegung von Passwörtern)
    • Werkzeuge für Betrieb und Wartung, Integration in ein bestehendes Netzmanagement
    • Berechtigungen und Vorgehensweisen bei Softwareupdates und Konfigurationsänderungen
  • Protokollierung
    • Welche Ereignisse werden protokolliert?
    • Wo werden die Protokolldateien gespeichert?
    • Wie und in welchen Abständen werden die Protokolle ausgewertet?
  • Datensicherung und Recovery
    • Einbindung in das organisationsweite Datensicherungskonzept
  • Störungs- und Fehlerbehandlung, Incident Handling
    • Regelungen für die Reaktion auf Betriebsstörungen und technische Fehler (lokaler Support, Fernwartung)
    • Regelungen für Sicherheitsvorfälle
  • Notfallvorsorge
    • Einbindung in das organisationsweite Notfallvorsorgekonzept
  • Revision und Audit (Verantwortlichkeiten, Vorgehen, Integration in ein übergreifendes Revisionskonzept)

Die Verantwortung für die Sicherheitsrichtlinie liegt beim Sicherheitsmanagement, Änderungen und Abweichungen hiervon dürfen nur in Abstimmung mit dem Sicherheitsmanagement erfolgen.

Bei der Erstellung einer Sicherheitsrichtlinie ist es empfehlenswert, so vorzugehen, dass zunächst ein Maximum an Forderungen und Vorgaben für die Sicherheit der Systeme aufgestellt wird. Diese können anschließend den tatsächlichen Gegebenheiten angepasst werden. Idealerweise wird so erreicht, dass alle notwendigen Aspekte berücksichtigt werden. Für jede im zweiten Schritt verworfene oder abgeschwächte Vorgabe sollte der Grund für die Nicht-Berücksichtigung dokumentiert werden.

Prüffragen:

  • Existiert eine Sicherheitsrichtlinie zum Sicherheitsgateway, in der Anforderungen und Vorgaben zum sicheren Betrieb nachvollziehbar dokumentiert sind?

Stand: 13. EL Stand 2013