Security

KI in der Informationssicherheit: Gefahr und Risiken

In den letzten Jahrzehnten hat sich KI zu einer treibenden Kraft in der digitalen Transformation entwickelt. Unternehmen und Organisationen setzen vermehrt KI-Technologien ein, um ihre Abläufe zu optimieren und Erkenntnisse aus ihren Daten zu gewinnen. Während die Möglichkeiten von KI beeindruckend sind, birgt diese Technologie auch Risiken im Hinblick auf die Informationssicherheit.

Nationale Cyberstrategie des Bundes (NCS)

goSecurity AG, Andreas Wisler

Die Schweiz nutzt die Chancen der Digitalisierung und mindert Cyberbedrohungen und deren Auswirkungen durch geeignete Schutzmassnahmen. Sie gehört zu den weltweit führenden Wissens-, Bildungs- und Innovationsstandorten in der Cybersicherheit. Die Handlungsfähigkeit und die Integrität ihrer Bevölkerung, ihrer Wirtschaft, ihrer Behörden und der in der Schweiz ansässigen internationalen Organisationen gegenüber Cyberbedrohungen sind gewährleistet. Doch wie möchte der Bund diese Vision erreichen? Im April 2023 wurde die neue nationale Cyberstrategie veröffentlicht. Zeit also, genauer in diese zu schauen.

Das Passwort ist tot, lang lebe das Passwort

goSecurity AG, Andreas Wisler

Jeden Monat werden tausende von Kennwörtern bei Hacker-Angriffen gestohlen. Zudem verwenden immer noch viele Menschen schlechte Kennwörter. Das Beliebteste ist noch immer 123456, gefolgt von password oder hallo. Wenn das gleiche Kennwort noch für diverse Zugänge genutzt wird, wird es gefährlich. Doch es gibt inzwischen Alternativen. Die Top 200 Passwörter können unter nordpass.com/most-common-passwords-list/ abgerufen werden.

ISO 27007: Leitfaden für das Auditieren von ISMS

goSecurity AG, Andreas Wisler

In unserer April-Ausgabe haben wir uns um die Anforderungen an Zertifizierungsstellen gekümmert (beschrieben in der ISO 27006). Begleitend dazu gibt es die ISO 27007, zuletzt im Jahr 2022 aktualisiert, die zeigt, wie ein ISMS-Audit durchgeführt werden soll. Das Dokument gibt eine Anleitung für alle Grössen und Arten von Organisationen, die ISMS-Audits durchführen müssen/wollen, unabhängig davon, ob es sich um einen oder mehrere Auditoren handelt.

ISO 27400:2022 – Sicherheit für IoT-Geräte

goSecurity AG, Andreas Wisler

Internet of Things (IoT) ist heutzutage nicht mehr wegzudenken. In vielen Maschinen, Geräten, Lampen, Kühlschränken, usw. sind heute vernetzte Computer-Elemente enthalten. IoT-Systeme stellen damit eine besondere Herausforderung für die Informationssicherheit dar, da sie hochgradig verteilt sind und eine grosse Anzahl unterschiedlicher Einheiten umfassen. Dies bedeutet eine grosse Angriffsfläche damit auch eine Herausforderung angemessene Sicherheitskontrollen für das gesamte System anzuwenden und aufrechtzuerhalten. Ende Juni 2022 wurde die ISO 27400 veröffentlicht, welche die IoT-Sicherheit und den Datenschutz adressiert.

ISO 27006 – Anforderungen an die Zertifizierer

goSecurity AG, Andreas Wisler

Während die ISO 27001 die Anforderungen an das Informationssicherheitsmanagementsystems eines Unternehmens definiert, gibt die ISO 27006 die Anforderungen an die Zertifizierungsstellen vor. Doch nicht nur für diese ist ein Blick in die Norm spannend.

Incident Response als Antwort auf Cyberangriffe

SEC Consult (Schweiz) AG

Ob ein Unternehmen zur Zielscheibe für Hacker wird, hängt nicht von dessen Grösse ab, sondern auch von den Sicherheitsmassnahmen. Sind diese schwach, haben die Angreifer leichtes Spiel. Dieser Tatsache sind sich viele kleine und mittelständische Unternehmen jedoch nicht bewusst. Als fester Bestandteil einer umfassenden Security-Strategie hätten sie mit Incident Response ein Werkzeug für den Ernstfall an der Hand.

Ransomware ausser Kontrolle

goSecurity AG, Andreas Wisler

Tägliche Schlagzeilen zeigen die Allgegenwärtigkeit der Gefahr von Ransomware mit ihrem ganzen Spektrum an Angriffen. Wie besorgniserregend sich das Geschäft mit der Erpressungssoftware entwickelt, fassen einige Studien und Meldungen zusammen.

ISO 27001: Neue Massnahmen

goSecurity AG, Andreas Wisler

Ende Oktober 2022 wurde nach fast neun Jahren die ISO 27001 in einer aktualisierten Form herausgegeben. Während sich beim Informationssicherheits-Managementsystem (ISMS) nur wenig verändert hat, wurde der Anhang komplett überarbeitet. Anstelle 14 Kapiteln sind es nur noch deren vier. Bis anhin waren es 114 Massnahmen, elf kamen dazu und eine einzige wurde gestrichen, sind es neu 93. Falls Sie jetzt das Gefühl haben, der Autor könne nicht rechnen. Doch kann er. Einige Massnahmen wurden sinnvoll zusammengefasst.

ISO 27001:2022 veröffentlicht

goSecurity AG, Andreas Wisler

Ende Oktober war es nach einigen Verzögerungen so weit, die neue ISO 27001:2022 wurde veröffentlicht. Vorneweg, es hat sich inhaltlich nicht sehr viel geändert. Eine grosse Tragweite haben lediglich die Controls in Anhang A. Trotzdem ist es Zeit, genauer auf die Änderungen und das weitere Vorgehen einzugehen.

Risiko-Management mit ISO 27005

goSecurity AG, Andreas Wisler

Im jährlich durchgeführten Allianz Risk Barometer gab es in diesem Jahr eine Verschiebung. Neu sind Cyber-Risiken auf dem ersten Platz gelandet. Die Bedrohung durch Ransomware-Angriffe, Datenschutzverletzungen oder IT-Ausfälle beunruhigt die Unternehmen sogar noch mehr als Geschäfts- und Lieferkettenunterbrechungen, Naturkatastrophen oder die Covid-19-Pandemie, die alle Unternehmen beschäftigt hat. Um diesen Risiken begegnen zu können, ist das Management dieser unumgänglich. ISO 27005 ist hier ein gutes Werkzeug, das schrittweise durch den Prozess führt.

ISO 27032 – Cybersicherheit

goSecurity AG, Andreas Wisler

Cybersicherheit ist heutzutage ein Schlagwort geworden. Es reicht nicht mehr IT-Sicherheit oder Informationssicherheit umzusetzen, sondern die Gesamtheit wird mit Cyber adressiert. Bereits 2012 wurde von ISO eine Norm genau zu diesem Thema veröffentlicht. Zeit also, diese etwas genauer zu betrachten.

PCI DSS – nicht nur Banken

goSecurity AG, Andreas Wisler

Für alle Unternehmen, die mit Kreditkarten in Berührung (Verarbeiten oder Speichern) kommen, müssen die Anforderungen aus der PCI DSS (Payment Card Industry Data Security Standard) umgesetzt werden. Hinter dem Standard stehen die Kreditkartenunternehmen, aber auch viele Banken und Zahlungsdienstleister. Am 31. März 2022 wurde die neue Version 4.0 nach über neun Jahren Abstand seit dem letzten Major-Release veröffentlicht. Verbindlich wird diese für die Unternehmen aber erst per 31. März 2025.

Alternativen zu ISO 27001

Andreas Wisler, goSecurity AG

Ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen, benötigt viel Zeit und Wissen. Die ISO 27001 ist dazu der Standard, der als Referenz dient. Der erste Teil der Norm beschreibt den Aufbau des ISMS. Darin enthalten sind der Kontext, die Ressourcen, die Risiko-Bewertung, Audits und Verbesserungen. Ergänzt kommen 114 (Version 2013) beziehungsweise 93 Massnahmen (Version 2022) dazu.

Sicherheit in Industrieunternehmen

Swissmem

Im Zeitalter der Digitalisierung bieten Industriebetriebe für Cyberkriminelle besonders grosse Angriffsflächen. Cyberattacken, aber auch physische Angriffe, sind heute eine konstante Bedrohung. Es kann jedes Unternehmen unabhängig seiner Grösse treffen. Das Schadenspotenzial ist enorm und kann im Extremfall die Existenz einer Firma gefährden.

Umsetzung eines ISMS

Andreas Wisler, goSecurity AG

In den vergangenen Folgen haben wir sehr viel über die Anforderungen an ein Informationssicherheitsmanagementsystems (kurz ISMS) kennengelernt. Wie die Umsetzung aussieht, wie man idealerweise vorgeht, fehlt aber komplett. Hier können die Standards 200-x des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) helfen.

Risiken in der Informationssicherheit erfassen und verwalten

Andreas Wisler, goSecurity AG

Das Cybersecurity Framework (CSF) des NIST (National Institute of Standards and Technology) ist ein Leitfaden, der Unternehmen hilft, die Risiken in der Informationssicherheit zu erfassen und zu verwalten. Bestehende Standards, Richtlinien und Praktiken werden darin referenziert.

ISO 27001: Der Weg zur Zertifizierung

Andreas Wisler, goSecurity AG

Die Informationssicherheit ist ein wichtiges Thema. Auch in der Schweiz ist immer wieder von erfolgreichen Angriffen zu lesen, teilweise mit gravierenden Folgen für das betroffene Unternehmen. Mit dem Aufbau eines Informationssicherheitsmanagementsystems, kurz ISMS, wird dieses Thema nicht nur punktuell, zum Beispiel in der IT, angeschaut, sondern über das gesamte Unternehmen. Die Krönung ist die Zertifizierung nach ISO 27001. Akkreditierte Auditoren prüfen, ob das ISMS auch das tut, was definiert wurde. Doch bis dahin ist es ein weiter Weg.

ISO 27002:2022 – Informationssicherheit neu organisiert

Andreas Wisler, goSecurity AG

Wenn Sie diese Zeilen lesen, ist sie da, die neue Ausgabe der ISO 27002. Bei den ISO-Normen hat sich ein Zyklus von ca. fünf bis acht Jahren etabliert. Während die Anforderungen an das ISMS (ISO 27001) unverändert bleiben, hat sich bei den sogenannten Controls einiges getan. Dieser Artikel zeigt, was Sie erwartet und wie Sie die Veränderungen umsetzen können. Sollten Sie noch kein ISMS aufgebaut haben, können Sie direkt mit der neuen Ausgabe starten.

ISMS mit Tools

Andreas Wisler, goSecurity AG

Ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen, benötigt viel Zeit, Wissen und Erfahrung. Das ISMS umfasst standardisierte Verfahren, Richtlinien und vorgegebene Massnahmen, um Risiken zu minimieren und Unternehmenswerte zu schützen. Die Anforderungen aus ISO 27001 (und anderen Normen) können zwar mit Word und Excel erstellt werden. Doch gerade die Erarbeitung im Team oder für die Nachvollziehbarkeit ist dies eine echte Herausforderung. Zum Beispiel wird gerne für das Risiko Management Excel verwendet.