Bundesamt für Sicherheit in der Informationstechnik

M 2.424 Sicherheitsrichtlinie zum Einsatz von Patch- und Änderungsmanagement-Werkzeugen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Änderungsmanager, IT-Sicherheitsbeauftragter

Ein Patch- und Änderungsmanagement-Werkzeug spielt als zentrale Instanz zur Umsetzung des Patch- und Änderungsmanagementprozesses und zur Softwareverteilung für den sicheren und ordnungsgemäßen Betrieb der Institution eine wesentliche Rolle.

Das Patch- und Änderungsmanagement muss mit einem angemessenen organisatorischen und technischen Aufwand betrieben werden. Dabei ist unter anderem der Schutzbedarf der Geschäftsprozesse und damit der Schutzbedarf der Daten und Systeme zu berücksichtigen. Dafür sollte eine spezifische Sicherheitsrichtlinie für das Patch- und Änderungsmanagement erstellt werden. Diese muss mit dem Sicherheitskonzept der Institution und den daraus abgeleiteten Sicherheitsrichtlinien abgestimmt sein.

Aspekte, zu denen in dieser Sicherheitsrichtlinie Vorgaben formuliert werden müssen, sind:

Vorgaben für die Planung:

  • Zur Skalierbarkeit der Serverapplikation des Werkzeugs müssen bereits im Vorfeld Anforderungen zum Einsatz von Replikation, Lastverteilung und der Möglichkeit, technische Redundanzen zu benutzen, formuliert werden.
  • Für eine sichere Netzverbindung zu externen Bezugsquellen von Patches oder Änderungen z. B. bei Herstellern müssen geeignete Regelungen festgelegt werden. Beispielsweise könnte die Direktverbindung der Clients zu den Herstellern der eingesetzten Software durch entsprechende Regeln auf dem Sicherheitsgateway auf einen Proxy umgeleitet werden.
  • Damit Integrität und Authentizität von Patches und Änderungen zuverlässig überprüft werden kann, müssen geeignete Konzepte und Komponenten festgelegt werden.
  • Es müssen Anforderungen zum Bereitstellen der Dokumentation für Betrieb, Notfall und Wiederanlauf des Patch- und Änderungsmanagement-Werkzeugs formuliert werden. Zu den Anforderungen gehören unter anderem, dass die Dokumentation immer aktuell sein muss. Des Weiteren sollte definiert werden, wo die Dokumentation gelagert werden muss und wie viele Exemplare der Dokumentation vorhanden sein müssen.

Vorgaben für die Administration

  • Es ist erforderlich, ein Rechtekonzept für Mitarbeiter im Patch- und Änderungsmanagement und auch für die Dienste, welche von der Patch- und Änderungsmanagementsoftware verwendet werden, zu erstellen.
  • Für die Administratoren ist festzulegen, wie Rechte vergeben werden. welche sie bekommen oder welche sie verteilen dürfen.

Vorgaben für die Installation

Die Werkzeuge für das Patch- und Änderungsmanagement müssen sicher konfiguriert werden. Die jeweiligen konkreten Einstellungen hängen stark von den vorhandenen Anwendungen und IT-Systemen der Institution ab. Allgemeine Hinweise hierzu finden sich in M 4.237 Sichere Grundkonfiguration eines IT-Systems .

  • Es muss festgelegt werden, wie die für das Patch- und Änderungsmanagement-Werkzeug relevanten IT-Ressourcen, wie beispielsweise die Komponenten der Software zur Verteilung von Patches und Änderungen und der Betriebssysteme unter Berücksichtigung von Sicherheitsaspekten konfiguriert werden.
  • Das Patch- und Änderungsmanagement-Werkzeug sollte angemessen im LAN separiert werden. Neue Änderungen und Patches sollten nicht im Produktivnetz getestet werden, sondern in einem separaten Testnetz.

Vorgaben für den sicheren Betrieb

  • Für den Betrieb eines Patch- und Änderungsmanagement-Tools sind Vorgaben und Abläufe festzulegen, also beispielsweise, wer darauf zugreifen darf und wo Änderungen durchgeführt werden dürfen.
  • Patches und Änderungen werden häufig über das Internet bezogen. Verbindungen in öffentliche oder weniger vertrauliche Netze sind grundsätzlich über Sicherheitsgateways abzusichern.
  • Das Patch- und Änderungsmanagement-Werkzeug selbst muss in den Prozess des Patch- und Änderungsmanagements mit eingegliedert werden. In dem Zusammenhang ist zu definieren, wie Hard- und Software-Änderungen für das Patch- und Änderungsmanagement-Werkzeug selbst zu behandeln sind.

Vorgaben für Protokollierung und Monitoring

Die Art und Weise der Überwachung, Protokollierung und der Auswertung der vom Patch- und Änderungsmanagement-Werkzeug gelieferten Daten ist festzulegen

Datensicherung

Ein geeignetes Verfahren für die Datensicherung ist festzulegen. Bei der Datensicherung sollten mindestens folgende Komponenten in regelmäßigen Abständen gesichert werden:

  • Die Konfiguration bzw. die Einstellungen der für das Patch- und Änderungsmanagement benötigten Werkzeuge
  • Die Datenbanken mit den aktuellen Konfigurationen der IT-Systeme
  • Bei selbstübersetzter Software die genauen Compiler-Einstellungen
  • Die installierten Patches und Änderungen
  • Die letzten Wiederherstellungspunkte der IT-Systeme
  • Eventuell vorhandene ältere Versionsstände, beispielsweise weil die neuste Version einer Software noch nicht ausreichend getestet wurde oder nicht auf allen Systemen lauffähig ist
  • Eine Übersicht über die Vergleichsprüfsummen der Softwarepakete, diese sollte eventuell auf einem Write Once Read Many - Medium (WORM) gesichert werden

Des Weiteren muss das Verfahren für das Patch- und Änderungsmanagement-Werkzeug in das übergreifende Datensicherungskonzept der Institution eingebunden werden (siehe auch M 6.32 Regelmäßige Datensicherung ).

Störung und Notfallvorsorge

Für die Notfallvorsorge müssen die einzelnen Notfällplane der Anwendungen und IT-Systeme, die vom Patch- und Änderungsmanagement verwaltet werden, berücksichtigt werden.

In Abhängigkeit von den Verfügbarkeitsanforderungen an das Patch- und Änderungsmanagement-Werkzeugs sollte überlegt werden, ob für das Patch- und Änderungsmanagement-Werkzeug ein separater Notfallplan für unerwünschte Effekte bei und nach der Installation von Patches und Änderungen erstellt wird.

Prüffragen:

  • Gibt es eine Sicherheitsrichtlinie für das Patch- und Änderungsmanagement-Werkzeug?

  • Werden in der Sicherheitsrichtlinie alle relevanten Aspekte für den Einsatz eines Patch- und Änderungsmanagement-Werkzeugs berücksichtigt?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK