IT Security Management: Unterschied zwischen den Versionen
Andrea (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
Andrea (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
Zeile 1: | Zeile 1: | ||
<itpmch><title> | <itpmch><title>Information Security Management | IT Process Wiki</title> | ||
<meta name="keywords" content="itil security management, information security management, prozess security management" /> | <meta name="keywords" content="itil security management, information security management, prozess security management" /> | ||
<meta name="description" content="Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat." /> | <meta name="description" content="Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat." /> | ||
<meta property="og:url" content="https://wiki.de.it-processmaps.com/index.php/IT_Security_Management" /> | <meta property="og:url" content="https://wiki.de.it-processmaps.com/index.php/IT_Security_Management" /> | ||
<meta property="og:title" content=" | <meta property="og:title" content="Information Security Management | IT Process Wiki" /> | ||
<meta property="og:description" content="Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat." /> | <meta property="og:description" content="Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat." /> | ||
<meta property="og:site_name" content="IT Process Wiki - das ITIL®-Wiki"> | <meta property="og:site_name" content="IT Process Wiki - das ITIL®-Wiki"> | ||
Zeile 11: | Zeile 11: | ||
<meta property="fb:admins" content="100002592864414" /> | <meta property="fb:admins" content="100002592864414" /> | ||
<meta property="og:image" content="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" /> | <meta property="og:image" content="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" /> | ||
<meta property="og:image:width" content=" | <meta property="og:image:width" content="1200" /> | ||
<meta property="og:image:height" content=" | <meta property="og:image:height" content="1200" /> | ||
<meta name="twitter:card" content="summary"> | |||
<meta name="twitter:site" content="@itprocessmaps"> | |||
<meta name="twitter:creator" content="@itprocessmaps"> | |||
<meta name="twitter:title" content="Information Security Management | IT Process Wiki"> | |||
<meta name="twitter:description" content="Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind."> | |||
<meta name="twitter:image" content="https://wiki.de.it-processmaps.com/images/thumb/e/e7/Itil-security-management.jpg/600px-Itil-security-management.jpg"> | |||
<meta name="twitter:image:alt" content="Übersicht zu Information Security Management: Dieses Bild illustriert den Prozess Security Management nach ITIL. Es zeigt die relevanten Schnittstellen von ITIL Security Management, die Teil-Prozesse sowie deren wechselseitige Verknüpfungen."> | |||
<link href="https://plus.google.com/103931183857349076198/posts" rel="publisher" /> | <link href="https://plus.google.com/103931183857349076198/posts" rel="publisher" /> | ||
</itpmch> | </itpmch> | ||
Zeile 41: | Zeile 48: | ||
ITIL V3 ordnet Information Security Management im Service-Design-Prozess ein. Damit wird eine bessere Integration in den Service-Lifecycle erreicht wird - zuvor wurde Security Management noch in einer eigenen Publikation behandelt. Der Prozess wurde darüber hinaus an neue Erkenntnisse und Anforderungen im Bereich der IT-Sicherheit angepasst. | ITIL V3 ordnet Information Security Management im Service-Design-Prozess ein. Damit wird eine bessere Integration in den Service-Lifecycle erreicht wird - zuvor wurde Security Management noch in einer eigenen Publikation behandelt. Der Prozess wurde darüber hinaus an neue Erkenntnisse und Anforderungen im Bereich der IT-Sicherheit angepasst. | ||
[[Image:Itil-security-management.jpg|right|thumb| | [[Image:Itil-security-management.jpg|right|thumb|500px|alt=Information Security Management ITIL|link=https://wiki.de.it-processmaps.com/index.php/Datei:Itil-security-management.jpg|[https://wiki.de.it-processmaps.com/images/pdf/Prozessuebersicht_it_security_management_itilv3.pdf ITIL Security Management (.pdf)]]] | ||
ITIL liefert keine detaillierte Beschreibung aller Aspekte von Information Security Management, da für diesen Bereich eigene und detailliertere Standards verfügbar sind - wie z.B. ISO 27001. Stattdessen bietet ITIL einen Überblick über die wichtigsten Aktivitäten und hilft beim Bestimmen der Schnittstellen mit den anderen Service-Management-Prozessen. | ITIL liefert keine detaillierte Beschreibung aller Aspekte von Information Security Management, da für diesen Bereich eigene und detailliertere Standards verfügbar sind - wie z.B. ISO 27001. Stattdessen bietet ITIL einen Überblick über die wichtigsten Aktivitäten und hilft beim Bestimmen der Schnittstellen mit den anderen Service-Management-Prozessen. | ||
Auf Grund der Einführung von Design-Koordinierung in | Auf Grund der Einführung von Design-Koordinierung in ITIL 2011 haben sich die Datenflüsse leicht geändert. Das Übersichts-Diagramm zu [[Media:Itil-security-management.jpg|Information Security Management (.JPG)]] illustriert die wichtigsten Schnittstellen des ITIL-Prozesses (siehe Abb. 1). | ||
<p> </p> | In [[ITIL 4]] wird "Information Security Management" als eine [[ITIL_4#Allgemeine_Management-Praktiken|allgemeine Management-Praktik]] aufgeführt. | ||
<p style="clear:both;"> </p> | |||
==Teil-Prozesse== | ==Teil-Prozesse== | ||
Zeile 54: | Zeile 62: | ||
<p><span itemprop="name" content="Security Management Teil-Prozesse:"><strong class="selflink">ITIL Security Management</strong> umfasst die folgenden Teil-Prozesse:</span> | <p><span itemprop="name" content="Security Management Teil-Prozesse:"><strong class="selflink">ITIL Security Management</strong> umfasst die folgenden Teil-Prozesse:</span> | ||
</p> | </p> | ||
<p><b><span id="ITIL_Security_Management_Design" itemprop="itemListElement">Design von Sicherheitskontrollen</span></b> | <p><b><span id="ITIL_Security_Management_Design" itemprop="itemListElement">Design von Sicherheitskontrollen</span></b> | ||
</p> | </p> | ||
<ul><li itemprop="description">Prozessziel: Angemessene technische und organisatorische Maßnahmen designen, mit denen sichergestellt werden kann, dass alle Assets, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. | <ul><li itemprop="description">Prozessziel: Angemessene technische und organisatorische Maßnahmen designen, mit denen sichergestellt werden kann, dass alle Assets, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Information_Security_Management_Test" itemprop="itemListElement">Sicherheits-Test</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Prozessziel: Dafür Sorge tragen, dass alle Sicherheits-Mechanismen regelmäßigen <a href="/index.php/IT_Security_Management#Testprotokoll" title="IT Security Management">Tests</a> unterzogen werden. | <ul><li itemprop="description">Prozessziel: Dafür Sorge tragen, dass alle Sicherheits-Mechanismen regelmäßigen <a href="/index.php/IT_Security_Management#Testprotokoll" title="IT Security Management">Tests</a> unterzogen werden. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="ITIL_Security_Incidents" itemprop="itemListElement">Bearbeitung von Security Incidents</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Prozessziel: Aufdecken und Abwehren von Angriffen und Verletzungen der Informationssicherheit sowie Minimierung des Schadens im Falle erfolgter Sicherheits-Verletzungen. | <ul><li itemprop="description">Prozessziel: Aufdecken und Abwehren von Angriffen und Verletzungen der Informationssicherheit sowie Minimierung des Schadens im Falle erfolgter Sicherheits-Verletzungen. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="ITIL_Security_Management_Review" itemprop="itemListElement">Security Review</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Prozessziel: Überprüfen, ob die Sicherheitsmaßnahmen und –Prozeduren immer noch im Einklang stehen mit den Risikoeinschätzungen aus Unternehmenssicht; Überprüfen, ob die entsprechenden Maßnahmen und Prozeduren regelmäßig auf dem aktuellen Stand gehalten und getestet werden. | <ul><li itemprop="description">Prozessziel: Überprüfen, ob die Sicherheitsmaßnahmen und –Prozeduren immer noch im Einklang stehen mit den Risikoeinschätzungen aus Unternehmenssicht; Überprüfen, ob die entsprechenden Maßnahmen und Prozeduren regelmäßig auf dem aktuellen Stand gehalten und getestet werden. | ||
</li></ul> | </li></ul> | ||
</div><!-- end of schema.org/ItemList --><p></html> | </div><!-- end of schema.org/ItemList --><p></html> | ||
==Definitionen== | ==Definitionen== | ||
Zeile 83: | Zeile 86: | ||
<p><span itemprop="name">Die folgenden <a href="/index.php/ITIL-Glossar#ITIL-Glossar_A_bis_Z" title="ITIL-Glossar">ITIL-Begriffe und Acronyme</a> (<i>Informations-Objekte</i>) werden in ITIL Security Management zur Darstellung der Prozess-Outputs und -Inputs verwendet:</span> | <p><span itemprop="name">Die folgenden <a href="/index.php/ITIL-Glossar#ITIL-Glossar_A_bis_Z" title="ITIL-Glossar">ITIL-Begriffe und Acronyme</a> (<i>Informations-Objekte</i>) werden in ITIL Security Management zur Darstellung der Prozess-Outputs und -Inputs verwendet:</span> | ||
</p> | </p> | ||
<p><b><span id="Sicherheitsbericht" itemprop="itemListElement">Informations-Sicherheitsbericht</span></b> | <p><b><span id="Sicherheitsbericht" itemprop="itemListElement">Informations-Sicherheitsbericht</span></b> | ||
</p> | </p> | ||
<ul><li itemprop="description">Der Informations-Sicherheitsbericht wird in regelmäßigen Abständen erstellt. Er liefert anderen Service-Management-Prozessen sowie dem IT-Management Information über den Stand der Informationssicherheit. | <ul><li itemprop="description">Der Informations-Sicherheitsbericht wird in regelmäßigen Abständen erstellt. Er liefert anderen Service-Management-Prozessen sowie dem IT-Management Information über den Stand der Informationssicherheit. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Informations-Sicherheits-Richtlinie" itemprop="itemListElement">Informations-Sicherheits-Richtlinie</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Die Informationssicherheits-Richtlinie beschreibt und kommuniziert den Ansatz der Organisation zum Managen der Informationssicherheit. Diese enthält Verweise auf spezifischere <a href="/index.php/IT_Security_Management#Sicherheitsrichtlinie" title="IT Security Management">unterstützende Informationssicherheits-Richtlinien</a>, die z.B. bindende Regeln für die Benutzung von Systemen und Informationen vorgeben. | <ul><li itemprop="description">Die Informationssicherheits-Richtlinie beschreibt und kommuniziert den Ansatz der Organisation zum Managen der Informationssicherheit. Diese enthält Verweise auf spezifischere <a href="/index.php/IT_Security_Management#Sicherheitsrichtlinie" title="IT Security Management">unterstützende Informationssicherheits-Richtlinien</a>, die z.B. bindende Regeln für die Benutzung von Systemen und Informationen vorgeben. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="ITIL_Security_Management_Regeln" itemprop="itemListElement">Regeln für Event-Filterung und -Korrelation</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Regeln und Kriterien, mit deren Hilfe die Bedeutung von Events eingeschätzt und eine angemessene Reaktion bestimmt werden kann. Regeln für Event-Filterung und -Korrelation werden typischerweise in Event-Monitoring-Systemen hinterlegt. Manche dieser Regeln werden während der Service-Design-Phase definiert, z.B. um sicherzustellen, dass Services die erforderliche Verfügbarkeit erreichen. | <ul><li itemprop="description">Regeln und Kriterien, mit deren Hilfe die Bedeutung von Events eingeschätzt und eine angemessene Reaktion bestimmt werden kann. Regeln für Event-Filterung und -Korrelation werden typischerweise in Event-Monitoring-Systemen hinterlegt. Manche dieser Regeln werden während der Service-Design-Phase definiert, z.B. um sicherzustellen, dass Services die erforderliche Verfügbarkeit erreichen. | ||
</li><li><i>(Hinweis: Neuer Output in ITIL 2011. Dieser wurde hinzugefügt, um hervorzuheben, dass (einige) Regeln zur Filterung und Korrelation von Events von Information Security Management entworfen werden, mit dem Ziel, die Entdeckung von Sicherheits-Problemen zu unterstützen.)</i> | </li><li><i>(Hinweis: Neuer Output in ITIL 2011. Dieser wurde hinzugefügt, um hervorzuheben, dass (einige) Regeln zur Filterung und Korrelation von Events von Information Security Management entworfen werden, mit dem Ziel, die Entdeckung von Sicherheits-Problemen zu unterstützen.)</i> | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Security-Advisories" itemprop="itemListElement">Security Advisories</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Eine Liste bekannter Sicherheitslücken, die z.B. aus Inputs von externen Produktlieferanten erstellt wird. Die Liste enthält Anweisungen zum Schließen der Sicherheitslücken und für den Umgang mit bereits eingetretenen Sicherheitsverletzungen. | <ul><li itemprop="description">Eine Liste bekannter Sicherheitslücken, die z.B. aus Inputs von externen Produktlieferanten erstellt wird. Die Liste enthält Anweisungen zum Schließen der Sicherheitslücken und für den Umgang mit bereits eingetretenen Sicherheitsverletzungen. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="ITIL_Security-Alert" itemprop="itemListElement">Security Alert (Sicherheitsalarm)</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Ein Security Alert wird typischerweise vom Information Security Management herausgegeben, wenn Bedrohungen der Informationssicherheit absehbar oder bereits eingetreten sind. Sicherheitswarnungen werden mit dem Ziel veröffentlicht, Anwender und IT-Mitarbeiter in die Lage zu versetzen, Angriffe auf die Informationssicherheit zu erkennen und sich mit geeigneten Maßnahmen zu schützen. | <ul><li itemprop="description">Ein Security Alert wird typischerweise vom Information Security Management herausgegeben, wenn Bedrohungen der Informationssicherheit absehbar oder bereits eingetreten sind. Sicherheitswarnungen werden mit dem Ziel veröffentlicht, Anwender und IT-Mitarbeiter in die Lage zu versetzen, Angriffe auf die Informationssicherheit zu erkennen und sich mit geeigneten Maßnahmen zu schützen. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="SMIS" itemprop="itemListElement">Security Management Information System (SMIS)</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Das Security Management Information System (SMIS) ist der zentrale Speicherort für alle relevanten Daten des Information-Security-Management-Prozesses. | <ul><li itemprop="description">Das Security Management Information System (SMIS) ist der zentrale Speicherort für alle relevanten Daten des Information-Security-Management-Prozesses. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Testplan-Verf.C3.BCgbarkeit-Kontinuit.C3.A4t-Sicherheit" itemprop="itemListElement">Testplan für Verfügbarkeit/ Kontinuität/ Sicherheit</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Ein Zeitplan für die regelmäßig durchzuführenden <a href="/index.php/IT_Security_Management#Information_Security_Management_Test" title="IT Security Management">Tests</a> der Verfügbarkeits-, Kontinuitäts- und Sicherheitsmechanismen, der gemeinsam vom <a href="/index.php/Availability_Management" title="Availability Management">Availability Management</a>, <a href="/index.php/IT_Service_Continuity_Management" title="IT Service Continuity Management">IT Service Continuity Management</a> und <strong class="selflink">Information Security Management</strong> gepflegt wird. | <ul><li itemprop="description">Ein Zeitplan für die regelmäßig durchzuführenden <a href="/index.php/IT_Security_Management#Information_Security_Management_Test" title="IT Security Management">Tests</a> der Verfügbarkeits-, Kontinuitäts- und Sicherheitsmechanismen, der gemeinsam vom <a href="/index.php/Availability_Management" title="Availability Management">Availability Management</a>, <a href="/index.php/IT_Service_Continuity_Management" title="IT Service Continuity Management">IT Service Continuity Management</a> und <strong class="selflink">Information Security Management</strong> gepflegt wird. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Testprotokoll" itemprop="itemListElement">Testprotokoll</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Ein Testprotokoll stellt eine Zusammenfassung von Test- oder Assessment-Aktivitäten bereit. Ein solches Protokoll wird zum Beispiel während der Release-Tests in der Service-Transition-Phase erstellt, oder während der im <a href="/index.php/Availability_Management" title="Availability Management">Availability</a>, <a href="/index.php/IT_Service_Continuity_Management" title="IT Service Continuity Management">IT Service Continuity</a> oder <strong class="selflink">Information Security Management</strong> durchgeführten Tests. | <ul><li itemprop="description">Ein Testprotokoll stellt eine Zusammenfassung von Test- oder Assessment-Aktivitäten bereit. Ein solches Protokoll wird zum Beispiel während der Release-Tests in der Service-Transition-Phase erstellt, oder während der im <a href="/index.php/Availability_Management" title="Availability Management">Availability</a>, <a href="/index.php/IT_Service_Continuity_Management" title="IT Service Continuity Management">IT Service Continuity</a> oder <strong class="selflink">Information Security Management</strong> durchgeführten Tests. | ||
</li></ul> | </li></ul> | ||
<p><b><span id="Sicherheitsrichtlinie" itemprop="itemListElement">Unterstützende Informations-Sicherheitsrichtlinie</span></b> | |||
</p> | </p> | ||
<ul><li itemprop="description">Unterstützende Informations-Sicherheitsrichtlinien sind spezielle Richtlinien, die die <a href="/index.php/IT_Security_Management#Informations-Sicherheits-Richtlinie" title="IT Security Management">übergeordnete Informationssicherheits-Richtlinie</a> ergänzen. Sie stellen bindende Regeln für die Nutzung von Systemen und Daten sowie für die Nutzung und Erbringung von Services und Systemen zur Gewährleistung einer ausreichenden Informationssicherheit auf. | <ul><li itemprop="description">Unterstützende Informations-Sicherheitsrichtlinien sind spezielle Richtlinien, die die <a href="/index.php/IT_Security_Management#Informations-Sicherheits-Richtlinie" title="IT Security Management">übergeordnete Informationssicherheits-Richtlinie</a> ergänzen. Sie stellen bindende Regeln für die Nutzung von Systemen und Daten sowie für die Nutzung und Erbringung von Services und Systemen zur Gewährleistung einer ausreichenden Informationssicherheit auf. | ||
</li></ul> | </li></ul> | ||
</div><!-- end of schema.org/ItemList --><p></html> | </div><!-- end of schema.org/ItemList --><p></html> | ||
==KPIs== | ==KPIs== | ||
Zeile 136: | Zeile 129: | ||
<html><ul><li><a href="https://wiki.de.it-processmaps.com/index.php/ITIL-Kennzahlen_Service_Design#ITIL-Kennzahlen_Information_Security_Management" title="ITIL KPIs Security Management">Kennzahlen zum Information Security Management</a></li></ul> | <html><ul><li><a href="https://wiki.de.it-processmaps.com/index.php/ITIL-Kennzahlen_Service_Design#ITIL-Kennzahlen_Information_Security_Management" title="ITIL KPIs Security Management">Kennzahlen zum Information Security Management</a></li></ul> | ||
<p></html> | <p></html> | ||
==Rollen | Verantwortlichkeiten== | ==Rollen | Verantwortlichkeiten== | ||
Zeile 145: | Zeile 137: | ||
<p> </p> | <p> </p> | ||
{| | {| class="wikitable" style="background: white;" | ||
|- | |- | ||
|style=" | |+ style="background:#013b5e; color:#ffffff; font-size: 120%" colspan="7"|'''Verantwortlichkeits-Matrix: ITIL Security Management''' | ||
|- | |- | ||
! style="background:#ffffee; width: | !style="background:#ffffee; width: 40%; text-align:center" | ITIL-Rolle / Teil-Prozess | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | [[IT Security Management#Information Security Manager|Information Security Manager]] | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | Service Owner[[#ITIL Security Rollen|<small>[3]</small>]] | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | Anwendungs-system-Analytiker[[#ITIL Security Rollen|<small>[3]</small>]] | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | Technischer Analytiker[[#ITIL Security Rollen|<small>[3]</small>]] | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | IT-Operator[[#ITIL Security Rollen|<small>[3]</small>]] | ||
! style="background:# | ! style="background:#eeeeee; font-size: 90%" | Facilities Manager[[#ITIL Security Rollen|<small>[3]</small>]] | ||
|- | |- | ||
| style="text-align:left;" |[[#ITIL Security Management Design|Design von Sicherheitskontrollen]] | | style="text-align:left;" |[[#ITIL Security Management Design|Design von Sicherheitskontrollen]] | ||
Zeile 190: | Zeile 182: | ||
|- | |- | ||
|} | |} | ||
'''Erläuterungen''' | '''Erläuterungen''' | ||
Zeile 200: | Zeile 190: | ||
<span id="ITIL Security Rollen">[3] siehe [[Rollen in ITIL|→ Rollen-Beschreibungen]]</span> | <span id="ITIL Security Rollen">[3] siehe [[Rollen in ITIL|→ Rollen-Beschreibungen]]</span> | ||
==Anmerkungen== | ==Anmerkungen== | ||
Zeile 234: | Zeile 222: | ||
<link itemprop="url" href="https://wiki.de.it-processmaps.com/index.php/IT_Security_Management" /> | <link itemprop="url" href="https://wiki.de.it-processmaps.com/index.php/IT_Security_Management" /> | ||
<link itemprop="primaryImageOfPage" href="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" /> | <link itemprop="primaryImageOfPage" href="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" /> | ||
<span id="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" itemprop="image" itemscope itemtype="https://schema.org/ImageObject"> | |||
<meta itemprop="caption" content="Information Security Management"> | |||
<meta itemprop="contentUrl" content="https://wiki.de.it-processmaps.com/images/e/e7/Itil-security-management.jpg" /> | |||
<meta itemprop="width" content="1200" /> | |||
<meta itemprop="height" content="1200" /> | |||
<meta itemprop="representativeOfPage" content="true"/> | |||
<meta itemprop="dateCreated" content="2011-09-19" /> | |||
<meta itemprop="dateModified" content="2020-06-20" /> | |||
<span itemprop="thumbnail" itemscope itemtype="https://schema.org/ImageObject"> | |||
<meta itemprop="url" content="https://wiki.de.it-processmaps.com/images/thumb/e/e7/Itil-security-management.jpg/600px-Itil-security-management.jpg" /> | |||
<meta itemprop="width" content="600" /> | |||
<meta itemprop="height" content="600" /> | |||
</span> | |||
<meta itemprop="keywords" content="Information Security Management" /> | |||
<meta itemprop="keywords" content="ITIL Security Management" /> | |||
</span> | |||
<link itemprop="isPartOf" href="https://wiki.de.it-processmaps.com/index.php/ITIL_Service_Design" /> | <link itemprop="isPartOf" href="https://wiki.de.it-processmaps.com/index.php/ITIL_Service_Design" /> | ||
<meta itemprop="significantLinks" content="https://wiki.de.it-processmaps.com/index.php/ITIL-Kennzahlen_Service_Design#ITIL-Kennzahlen_Information_Security_Management" /> | <meta itemprop="significantLinks" content="https://wiki.de.it-processmaps.com/index.php/ITIL-Kennzahlen_Service_Design#ITIL-Kennzahlen_Information_Security_Management" /> | ||
Zeile 246: | Zeile 250: | ||
<!-- Diese Seite liegt in folgenden Kategorien: --> | <!-- Diese Seite liegt in folgenden Kategorien: --> | ||
[[Kategorie:ITIL | [[Kategorie:ITIL 2011]][[Kategorie:ITIL V3]][[Kategorie:ITIL-Prozess]][[Kategorie:Service Design]][[Kategorie:Information Security Management|!]] | ||
<!-- keine Inhalte nach diesem Kommentar! --> | <!-- keine Inhalte nach diesem Kommentar! --> |
Version vom 24. Juli 2020, 12:24 Uhr
![diese Seite teilen](/images/d/d7/ITIL-Wiki-teilen.jpg)
![ES - EN - Information Security Management](/images/e/e1/ITIL-Wiki-english-es.jpg)
Ziel: Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat.
Deutsche Bezeichnung: Information Security Management
Teil von: Service Design
Prozess-Verantwortlicher: Information Security Manager
Prozess-Beschreibung
ITIL V3 ordnet Information Security Management im Service-Design-Prozess ein. Damit wird eine bessere Integration in den Service-Lifecycle erreicht wird - zuvor wurde Security Management noch in einer eigenen Publikation behandelt. Der Prozess wurde darüber hinaus an neue Erkenntnisse und Anforderungen im Bereich der IT-Sicherheit angepasst.
![Information Security Management ITIL](/images/thumb/e/e7/Itil-security-management.jpg/500px-Itil-security-management.jpg)
ITIL liefert keine detaillierte Beschreibung aller Aspekte von Information Security Management, da für diesen Bereich eigene und detailliertere Standards verfügbar sind - wie z.B. ISO 27001. Stattdessen bietet ITIL einen Überblick über die wichtigsten Aktivitäten und hilft beim Bestimmen der Schnittstellen mit den anderen Service-Management-Prozessen.
Auf Grund der Einführung von Design-Koordinierung in ITIL 2011 haben sich die Datenflüsse leicht geändert. Das Übersichts-Diagramm zu Information Security Management (.JPG) illustriert die wichtigsten Schnittstellen des ITIL-Prozesses (siehe Abb. 1).
In ITIL 4 wird "Information Security Management" als eine allgemeine Management-Praktik aufgeführt.
Teil-Prozesse
ITIL Security Management umfasst die folgenden Teil-Prozesse:
Design von Sicherheitskontrollen
- Prozessziel: Angemessene technische und organisatorische Maßnahmen designen, mit denen sichergestellt werden kann, dass alle Assets, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind.
Sicherheits-Test
- Prozessziel: Dafür Sorge tragen, dass alle Sicherheits-Mechanismen regelmäßigen Tests unterzogen werden.
Bearbeitung von Security Incidents
- Prozessziel: Aufdecken und Abwehren von Angriffen und Verletzungen der Informationssicherheit sowie Minimierung des Schadens im Falle erfolgter Sicherheits-Verletzungen.
Security Review
- Prozessziel: Überprüfen, ob die Sicherheitsmaßnahmen und –Prozeduren immer noch im Einklang stehen mit den Risikoeinschätzungen aus Unternehmenssicht; Überprüfen, ob die entsprechenden Maßnahmen und Prozeduren regelmäßig auf dem aktuellen Stand gehalten und getestet werden.
Definitionen
Die folgenden ITIL-Begriffe und Acronyme (Informations-Objekte) werden in ITIL Security Management zur Darstellung der Prozess-Outputs und -Inputs verwendet:
Informations-Sicherheitsbericht
- Der Informations-Sicherheitsbericht wird in regelmäßigen Abständen erstellt. Er liefert anderen Service-Management-Prozessen sowie dem IT-Management Information über den Stand der Informationssicherheit.
Informations-Sicherheits-Richtlinie
- Die Informationssicherheits-Richtlinie beschreibt und kommuniziert den Ansatz der Organisation zum Managen der Informationssicherheit. Diese enthält Verweise auf spezifischere unterstützende Informationssicherheits-Richtlinien, die z.B. bindende Regeln für die Benutzung von Systemen und Informationen vorgeben.
Regeln für Event-Filterung und -Korrelation
- Regeln und Kriterien, mit deren Hilfe die Bedeutung von Events eingeschätzt und eine angemessene Reaktion bestimmt werden kann. Regeln für Event-Filterung und -Korrelation werden typischerweise in Event-Monitoring-Systemen hinterlegt. Manche dieser Regeln werden während der Service-Design-Phase definiert, z.B. um sicherzustellen, dass Services die erforderliche Verfügbarkeit erreichen.
- (Hinweis: Neuer Output in ITIL 2011. Dieser wurde hinzugefügt, um hervorzuheben, dass (einige) Regeln zur Filterung und Korrelation von Events von Information Security Management entworfen werden, mit dem Ziel, die Entdeckung von Sicherheits-Problemen zu unterstützen.)
Security Advisories
- Eine Liste bekannter Sicherheitslücken, die z.B. aus Inputs von externen Produktlieferanten erstellt wird. Die Liste enthält Anweisungen zum Schließen der Sicherheitslücken und für den Umgang mit bereits eingetretenen Sicherheitsverletzungen.
Security Alert (Sicherheitsalarm)
- Ein Security Alert wird typischerweise vom Information Security Management herausgegeben, wenn Bedrohungen der Informationssicherheit absehbar oder bereits eingetreten sind. Sicherheitswarnungen werden mit dem Ziel veröffentlicht, Anwender und IT-Mitarbeiter in die Lage zu versetzen, Angriffe auf die Informationssicherheit zu erkennen und sich mit geeigneten Maßnahmen zu schützen.
Security Management Information System (SMIS)
- Das Security Management Information System (SMIS) ist der zentrale Speicherort für alle relevanten Daten des Information-Security-Management-Prozesses.
Testplan für Verfügbarkeit/ Kontinuität/ Sicherheit
- Ein Zeitplan für die regelmäßig durchzuführenden Tests der Verfügbarkeits-, Kontinuitäts- und Sicherheitsmechanismen, der gemeinsam vom Availability Management, IT Service Continuity Management und Information Security Management gepflegt wird.
Testprotokoll
- Ein Testprotokoll stellt eine Zusammenfassung von Test- oder Assessment-Aktivitäten bereit. Ein solches Protokoll wird zum Beispiel während der Release-Tests in der Service-Transition-Phase erstellt, oder während der im Availability, IT Service Continuity oder Information Security Management durchgeführten Tests.
Unterstützende Informations-Sicherheitsrichtlinie
- Unterstützende Informations-Sicherheitsrichtlinien sind spezielle Richtlinien, die die übergeordnete Informationssicherheits-Richtlinie ergänzen. Sie stellen bindende Regeln für die Nutzung von Systemen und Daten sowie für die Nutzung und Erbringung von Services und Systemen zur Gewährleistung einer ausreichenden Informationssicherheit auf.
KPIs
Rollen | Verantwortlichkeiten
Information Security Manager - Prozess-Verantwortlicher
- Der Information Security Manager ist verantwortlich dafür, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. Er ist normalerweise eingebunden in ein unternehmensweites Security Management, das einen breiteren Wirkungsbereich als der Service-Provider hat; dieses umfasst u.a. auch einen den Sicherheitsaspekten genügenden Umgang mit Schriftstücken und Telefonaten innerhalb des Gesamtunternehmens sowie die Zugangskontrolle zu Betriebseinrichtungen.
ITIL-Rolle / Teil-Prozess | Information Security Manager | Service Owner[3] | Anwendungs-system-Analytiker[3] | Technischer Analytiker[3] | IT-Operator[3] | Facilities Manager[3] |
---|---|---|---|---|---|---|
Design von Sicherheitskontrollen | A[1]R[2] | R[3] | R[3] | R[3] | - | - |
Sicherheits-Test | AR | - | - | - | R[3] | R[3] |
Bearbeitung von Security Incidents | AR | - | - | - | - | - |
Security Review | AR | - | - | - | - | - |
Erläuterungen
[1] A: Accountable i.S.d. RACI-Modells: Verantwortlich dafür, dass Information Security Management als Gesamt-Prozess korrekt und vollständig ausgeführt wird.
[2] R: Responsible i.S.d. RACI-Modells: Verantwortlich für die Ausführung bestimmter Aufgaben in ITIL Security Management.
[3] siehe → Rollen-Beschreibungen
Anmerkungen
Von: Stefan Kempter , IT Process Maps.
Überblick › Prozess-Beschreibung › Teil-Prozesse › Definitionen