Ah, wunderbar, das ist ja die neue Freiheit.
Herr Göcks hat mich im letzten Jahr gefragt, irgendwie,
es wäre doch vielleicht ganz sinnvoll,
mal auch so ein Thema auf der Campus Innovation zu präsentieren
und vielleicht mal ein bisschen in die Köpfe zu bringen.
Ich habe gesagt, das ist gar nicht so schlecht.
Vielleicht kriegen wir mal einen Einblick darin, was könnte IT-Sicherheit sein?
Das könnte Informationssicherheit sein. Und was sind eigentlich
so die Leiden der Betroffenen und der beteiligten Personen?
Ich glaube, wir haben ein ganz nettes Programm zusammengestellt thematisch.
Ich habe heute das Vergnügen, zum einen zu moderieren.
Mein Name ist Ben Flickenschild, ein Informationssicherheitsbeauftragter der Uni Hamburg.
Und gleichzeitig darf ich auch den ersten Vortrag halten.
Kurz zum Ablauf, jeweils ein Vortrag als 20 Minuten,
dann können Sie den vortragenden 10 Minuten mit Fragen bombardieren und
dann darf der nächste
Soll ich es noch ein bisschen weiter in die...
So weiter? Ah, dahinten freut man sich sehr gut.
Und ein wenig nach außen, auch gerne.
Das biegt sich nicht so richtig. Ist besser so?
Aha, ja, ist gut. Ich habe was vorbereitet
mit einem schönen Titel Informationssicherheit an deutschen Hochschulen, Dichtung
Wahrheit und Auswege
Als kleine Übersicht, worüber werde ich Ihnen heute vielleicht interessante Dinge erzählen?
Wir versuchen mal, das Thema ein bisschen zu fassen.
Das ist eigentlich so Informationssicherheit. Alle reden immer von IT-Sicherheit,
aber Informationssicherheit, mal gucken, was das so ist.
Wie sieht es denn eigentlich aus, Informationssicherheit an deutschen Hochschulen?
Gibt es da nur vielleicht jemanden, der das tut oder
gibt es auch irgendwie mehrere Menschen, die das tun?
Wie sieht die Ausstattung aus personell? Ist das leistbar?
Dann würde ich ganz kurz noch mal was zu BSI Grundschutz und ISO 2701 sagen,
ob das vielleicht sinnhafte Frameworks oder Management-Dinge sind,
die man einsetzen kann, muss oder sollte.
Und dann würde ich ganz gerne einen hybriden Ansatz vorstellen.
Das ist das, was zumindest wir hier an
der Universität Hamburg versuchen gerade sinnhaft einzuführen
Dichtung. Informationssicherheit als integraler Bestandteil der IT-Strategie.
Da geht jedem CIO das Herz auf,
weil das klingt gut, es sollte auch so sein.
Es würde, glaube ich, heutzutage sagen, IT-Sicherheit,
Informationssicherheit brauchen wir an der Hochschule nicht.
Auf die Idee kommt, glaube ich, keiner.
Also es ist gut, sowas zu haben. Und das
als Bestandteil der IT-Strategie klingt super, das sollten wir so tun.
Ich halte das auch für sinnvoll. Das ist da drin zu verankern.
Man muss es leben können. Das ist in vielen Fällen
dann eher die Problematik in diesem Bereich. In Zukunft,
wir werden noch einen Beitrag gleich, ich glaube,
zum Abschluss werden, zum Thema Datenschutzgrundverordnung und Hochschulen.
Ja, das Thema wird weiter zusammenwachsen
Zwar jetzt nicht in der Funktion, aber zumindest inhaltlich thematisch.
Wir werden viele Bereiche aus dem Datenschutz quasi etwas erben dürfen.
Die DSGVO sieht vor, das Informationssicherheitsmanagement einfach vom Himmel gefallen ist,
da ist und nach dem Stand der Technik funktioniert.
Das ist erstmal schön, das freut das Gesetz.
In der Realität sieht es manchmal anders aus. Und auch
da brauchen wir Umgangsformen, wie wir diese beiden Themenbereiche sinnvoll verschweißen können.
Wir haben hohen Regelungsbedarf. Es ist oftmals so,
an vielen Hochschulen haben wir noch nicht zwingend die passenden Regelwerke,
um Informationssicherheitsmanagement und die dahinter liegende Governance von oben nach unten durchzuwickeln.
Also Hauptaufgabe vieler Kollegen ist es erstmal, Informationsleitlinien zu schaffen,
die passenden Policies dazu zu schaffen und das dann in die
Organisation oder Einrichtungen zu bringen, so, dass es lebhaft wird.
Und zum Thema Richtung, das sieht auch gut aus in der Außendarstellung,
wie ich bereits sagte, das klingt gut,
das können wir jeder machen, das tut nicht weh,
ganz prima Plan,
das nehmen wir mal so mit
Wie sieht es denn aber aus mit der Informationssicherheit an Hochschulen?
Informationssicherheitsbeauftragte sind mittlerweile relativ weitgehend bestellt. Allerdings oftmals nur mit
einem schnellen Anteil, je nach Hochschulgröße. Manchmal macht es
jemand einfach Zoom mit mit zehn Prozent seiner Stelle,
aber zumindest hat man mal gesagt, okay, super,
wir haben dann ja schon mal jemanden bestellt,
das wird schon alles gut, der macht schon seinen Job.
Der ist aber Einzelkämpfer, der ist auch Prophet im
eigenen Hause
Erlebe ich hin und wieder auch. Ja, ja,
lass den Flickenschild mal erzählen. Das machen wir schon,
das kriegen wir schon hin. Oder beziehungsweise,
ach, so schlimm ist das alles gar nicht.
Ist es aber doch. Auch das ist ein Problem,
wenn man so als Einzelkämpfer unterwegs ist, was tun wir dann?
Es gibt ein extrem breites Aufgabengebiet. Das ganze Thema Schulung,
Informationssicherheitsmanagementsystem, Awareness schaffen und all diese tollen Dinge,
die meistens auch in Informationsleitlinien aufgeführt werden.
Das muss ja irgendwie an den Mann gebracht werden, wer soll das tun?
Eigentlich aber in der Rolle ist der Informationssicherheitsbeauftragte, Berater und Auditor.
Das ist eigentlich mal, würde ich sagen, im Rollenverständnis per se,
er ist nicht dafür zuständig, Sicherheit zu schaffen,
er kontrolliert, ob es gut gemacht wird und berät dabei,
wie es besser geht.
Die Realität sieht allerdings oftmals sehr anders aus.
Ich ertappe mich selber dabei, sehr aktiv an Dokumenten mitzuwirken,
wo ich eigentlich aufgrund meiner Rolle sagen sollte,
wenn das fertig ist, dann geht mir das mal.
Ich gucke da mal rüber und entwickle dazu eine Meinung.
Ist schwer durchzusetzen, schafft man eigentlich nie.
Das heißt eigentlich, man ist deutlich mehr im Boot,
als man will
Ähm, die große Babelhörde, das BSI, hat dazu
sinnhafterweise einen, sie nennen es so schön, Schätztool entwickelt.
Den Begriff finde ich schon sehr schön. Arbeitshilfe zur Feststellung
des Aufwandes und zur Planung des personalen Ressourceneinsatzes für IT-Sicherheitsteams in der öffentlichen Verwaltung.
Sehr schöner Titel, die Länge lässt schon darauf schließen,
das ist unglaublich komplex. Was sie aber gemacht haben,
es gibt dazu ein Chat-Tool in Form der Excel-Tabelle.
Da kann ich dann mal gucken,
was brauche ich denn eigentlich so an Mitmenschen,
die eigentlich bei so einer Größe einer Volluni in diesem Bereich tätig sind.
Und man sieht es etwas schlecht, aber ich habe es nochmal aufgeführt,
hier steht 5,44 Kräfte im ersten Jahr und 3,99 Kräfte dauerhaft.
Wenn ich das so lese, würde ich sagen, super,
damit gehe ich mal ins Präsidium, schau mal hier,
das allwissende BSI sagt, ich hätte hier ganz gerne vier Leute.
Das ist gar nicht schlecht, zumal das Ganze ohne Schulungsaufgaben ohne Awareness,
da geht es nur darum,
das zu überwachen mit einer in einer Behörde angenommenen Heterogenität.
Wer Hochschulen von innen kennt, weiß,
das ist hier per se erstmal der Wilde Westen.
Das hat hier mit Streamlining überhaupt gar nichts zu tun.
Also die Heterogenität, wie sie hier angenommen wird,
würde ich mal sagen, ist ein guter Ansatz,
können wir wahrscheinlich verdoppeln in einer normalen Hochschullandschaft
Was machen wir? Das ist erstmal ein guter Ansatz,
könnte man sagen, oh Gott, oh Gott,
oh Gott, oh Gott, ich erstarr hier erstmal,
stecken Kopf in den Sand.
Aber das wird nicht funktionieren, wäre meine Aufgabe geerbt.
Was können wir tun? Zum einen standardisieren,
wir brauchen relativ klare Standardwerke, Standardvorlagen,
die wir in irgendeiner Weise durch die Hochschule rügeln,
würde ich mal sagen, um Dinge überhaupt leistbar und auch realisierbar zu halten.
Zweiter großer Punkt, den ich sehr favorisiere,
Ich würde mal vorsichtig sagen, fast alle Hochschulen in Deutschland
haben das gleiche Problem. Warum soll jede Hochschule ihr Problem
selber lösen? Das ist überhaupt gar nicht nötig.
Wir haben Management-Regelwerke, zu denen komme ich gleich kurz.
Das kann man ja einfach mal, kommt die pasten,
zumindest so weit, wo es für die eigene Organisation passt.
Und das tut auch gar nicht weh. Und es bricht
auch niemand sich einen Sacken aus der Krone zu sagen,
das hat der Kollege von einer anderen Hochschule gemacht.
Ich benutze das nur. Das ist gar nicht schlimm,
weil ich selber könnte es im Zweifelsfall überhaupt gar nicht leisten.
Man muss
das Ganze vereinfachen
Da komme ich gleich mit meinem hybriden Ansatz um die Ecke
und natürlich, was kann ich immer machen, denken.
Gesunden Menschenverstand, der hat noch nie geschadet,
wenn ich den einschalte und Dinge vielleicht mal versuche,
ein bisschen ein bisschen zu simplifizieren, ist das ein guter Ansatz.
WSI Grundschutz ISO 2701 hat wahrscheinlich oder haben viele von Ihnen vielleicht schon gehört,
das klingt ganz toll, wenn man das macht, ist man gut,
versteckt allerdings ein bisschen mehr dahinter und es ist nicht unbedingt immer leistbar.
Beide Rahmenwerke sind relativ umfangreich. Der BSI Grundschutz,
ich habe den im Schrank stehen, als gedrucktes Werk,
das sind fünf Ordner, a 1000 Seiten,
da hat man eine ganze Zeit dran zu lesen und wenn man das alles verstanden hat,
dann kann man es ja auch anwenden.
Das ist soweit erstmal die Theorie,
wenn ich das gemacht habe, ist das ja schön,
nur was mache ich denn mit der gesamten restlichen Hochschule,
wenn ich denen sage, lese mal 5000 Seiten,
frage nämlich, ob noch irgendwie,
ob ich irgendwas genommen habe zum Frühstück,
was sie denn auch gern hätten,
wird nicht funktionieren
Weiterhin, das sind Rahmenwerke, zumindest der WSI-Grundschutz, der kommt originär vom BSI,
passt für Verwaltung ganz gut, passt auch für Wirtschaft ganz gut.
Für Hochschule nicht so unbedingt wirklich. Das Hochschulatie-Umfeld lässt sich mit BSI nach allen Regeln der Kunst nicht unbedingt so erschlagen,
wenn ich jetzt den Dienstleister-Data-Apport nehme,
der für die Hamburger Verwaltung beispielsweise die IT-Dienste erbringt,
das ist super, das ist Verwaltung,
da geht es von oben nach unten durch,
das kann ich ganz passend streamlinen und der WSI drüber gießen,
passt prima, nämlich die ISO 2701,
da steht eigentlich nichts dran, außer dass man es tun sollte,
wie man es tun sollte, das fehlt da,
da kann sich in jederselben überlegen,
was er so tut.
Auch da macht es vielleicht Sinn, sich mal zusammenzusetzen.
Für Mitarbeiter und Admins schwer erfassbar, wie gerade gesagt,
wie es ihn lesen, wer in der Bahn nichts zu tun hat,
der kann das gerne mal machen, aber ich glaube,
in Summe ist das nicht so richtig sinnvoll.
Der Aufwand für die Einführung solcher Rahmenwerke in der Organisation
ist relativ hoch. Ich muss jede Menge Menschen schulen,
ich muss irgendwie sehen, dass alle das verstanden haben,
ich muss die wieder schulen, wenn ich mich zertifizieren lassen möchte,
habe ich die nächste Baustelle, brauche ich Reelzertifizierung,
nochmal schulen.
Alles relativ aufwendig und hinzu kommt noch,
das will ich dann auch ganz gerne,
ein Wissenschaftler,
der braucht das nicht
Da hat das Bild bis jetzt nicht gebraucht, die Sinnhaftigkeit,
dem zu erklären, dass das eine gute Idee ist,
der braucht das einfach nicht.
Das heißt, ich brauche einen einfachen Umgang. Ich nenne das
für mich hybriden Ansatz. Das Beste aus zwei Welten,
das heißt, es gibt zumindest beide Rahmenwerke, die ich dort betrachte.
Das Ganze besteht dadurch, dass ich sage, Basisinfrastruktur,
Dokumentation, Sicherheitsdokumentation nach BSI-Grundschutz. Also alles das,
was, ich sag mal, Flech- und Maschinensaal betrifft.
Da setzt sich BSI ein. Short of,
weil wenn ich auch das vollumfänglich machen möchte,
werde ich auch nie fertig
Service- oder Verfahrensdokumentation. Risikoanalysen, die darauf basieren auf den Technik-Layer.
Da wählen wir eine risikobasierten Ansatz nach ISO 27001. Das ist deutlich einfacher handhaber,
wenn ich die Technik schon mal aus dem Weg habe.
Und ich schaffe mir dadurch sozusagen eine Infrastrukturbibliothek der jeweiligen Dienste,
wenn man mal Eitel bemüht und das Ganze einordnet,
als nennen wir es mal CI-Typen, also sprich Configuration Items gleichen Types.
Als Beispiel, würde ich mal sagen, nehmen wir mal
einen Windows-Server oder Windows-Server-Betrieb. Das ist relativ einfach fassbar,
da kann ich das BSI nehmen,
da steht da sogar so ziemlich genau so drin.
Das ist super, da finde ich also was,
das heißt, ich baue mir jeweils Plug-ins,
wenn ich das mal in Risikoanalysen von Services und Verfahren
Basisinfrastruktur-Dokumentation. Bei mir heißt das so ein bisschen BSI-Grundschutz für Admins.
Keiner meiner Kollegen möchte 5000 Seiten lesen. Reicht ja,
wenn das einer tut oder zumindest mal das Ganze gesund quer gelesen und verstanden hat.
Das heißt, ich gebe mal die Gefährdung vor.
Das ist eigentlich nicht auf meiner Paywall. Das müssten eigentlich
alle selber erkennen, aber die Erfahrungszeit ist nicht sinnvoll,
wird nicht passieren. Das heißt, alle Gefährdungen,
die ich so für jeweilige CI-Typen oder einen Umbaumündo-Server-Beispiel zu bleiben,
wir nehmen mal den Bereich Windowserver,
da suche ich mal Gefahren raus,
für die ich denke,
die es nach BSI gilt,
mal irgendwie im Auge
zu behalten
Dann sage ich, ja, alle Gefährdungen treten auch ein.
Das heißt, es gibt gar nicht mehr die Notwendigkeit der Bewertung,
ob das wirklich eintreten kann. Ich gehe einfach davon aus,
die Welt ist böse, das wird eintreten.
Unter diesem Lichte sollten dann auch wiederum alle Maßnahmenbündel,
die an den jeweiligen Gefährdungen, die hängen, umgesetzt werden.
Ja, und auch da sage ich,
dann müssen wir die wohl vollumfänglich umsetzen in der Theorie
Das trifft natürlich nicht zu. Das ist ja eigentlich
nur ein Theoriekonstrukt. Was ich aber versuche,
damit zu erreichen, ist, dass ich sage,
alles klar, ich sage, ich habe Gefährdung,
ich habe Maßnahmen und die Kollegen dokumentieren ausschließlich die Abweichung.
Das ist ein bisschen DSI-light, aber dadurch habe ich
zwei Effekte erreicht. Zum einen habe ich eine relativ ehrliche
Sicht auf meine IT-Infrastruktur und was unter Umständen schiefgehen könnte.
Ich sage in allen, die damit befasst sind,
an diesem Punkt sind wir ehrlich. Das ist kein Hochglanz,
das ist wirklich sehr harte Dokumentation, wenn da steht,
wir haben kein Notfallkonzept,
dann schreiben wir das da rein oder wenn es so ist
Da bricht sich keiner in Zacken aus der Krone.
Ich glaube, das trifft oftmals zu. Das ist auch
gar nicht schlimm. Dann können wir ja eins machen.
Aber wir müssen es erst mal erkennen, aufschreiben und sagen,
alles klar, wo sind denn so unsere Artweichungen?
Und darauf kann ich denn Management machen, PDCA-Zyklus,
kann das Ganze in Informationssicherheitsmanagement führen. Und so habe ich dann irgendwann,
hoffentlich, eine sehr schöne Bibliothek der jeweiligen technischen Grundlagen,
auf denen ich so meine IT betreibe, Mail-Server,
Windows-Server, Linux-Server, Basis, Netzwerk, Basisinfrastruktur,
das gesamte Gebäude mit Brandschutz und allem, was dazugehört.
Das heißt aber auch, Dass ich in der Risikoanalyse
des Services im Verfahren mich darum nicht mehr kümmern muss.
Das ist der ganz große Vorteil. Üblicherweise ist es so,
dass Verfahrensverantwortliche, die sitzen nicht in einem Rechenzentrum,
die sitzen in der Verwaltung, die sitzen in der Wissenschaft.
Wenn die was zu IT-Risiken schreiben sollen,
gucken die einen sparsam an und sagen,
jetzt sind sie davon, habe ich keine Ahnung,
das kann ich Ihnen leider gar nicht sagen.
Jetzt könnte man sagen, alles klar, dann nehmen wir
die Kollegen aus dem Rechenzentrum und die arbeiten dazu.
Per se kein schlechter Ansatz, wenn die das allerdings jedes Mal machen müssen,
sind das jede Menge Ressourcen, die ich da reinbuttern muss,
eigentlich mit immer dem gleichen Ergebnis.
Das heißt, ich blende mal die Basisinfrastruktur,
Technik aus der Risikoanalyse für die Services und Verfahren aus in der Grundbeschreibung.
Dafür habe ich mal eine Infrastrukturbibliothek und sage, alles klar,
ich habe jetzt hier ein Campus-Management-System. Oh,
da brauche ich viel, da brauche ich ein Netzwerk,
da brauche ich Datenbanken, Windows-Server, Web-Server und so weiter und so fort,
diesen ganzen Stapel Papiere nehme ich virtuell und hänge die dahinter.
Das ist eine Anlage dazu, das sind mit Geldende Dokumente.
Super, muss ich mich schon nicht mehr rumkümmern.
Zweiter Klimmzug, wir werden im Mai nächsten Jahres
die Datenschutz-Grundverordnung dann auch in Geltung bekommen sozusagen.
Und die sieht vor, dass für Dinge,
wo besondere Personenbezahlung der Daten verarbeitet werden,
eine Datenschutzfolgeabschätzung zu machen ist.
Privacy Impact Analysis. Datenschutzfolgeabschätzung ist eine super Übersetzung,
freut mich schon ganz lange.
Das mache ich damit
Das klingt jetzt erstmal ein bisschen komisch,
dass man plötzlich Dinge verheiratet, die gar nicht zu verheiraten sind,
wenn ich aber die Datenschutzkollegen frage, ja,
wie macht ihr denn eure Datenschutzfolge-Abschätzung,
landet man weithin in einer ähnlichen Form einer Risikoanalyse,
weil so ganz unterschiedlich ist es denn nicht mehr,
dann bietet es sich doch geradezu an,
dies zusammenzuführen und in einem Abwasch zu machen.
Sollte ich jetzt Dinge haben, wo das gar nicht nötig ist,
dass da unglaublich viele personenbezogene Daten verarbeitet werden oder keine personenbezogene Daten,
dann lasse ich es einfach weg.
Dann ist dieses Kapitel eben nicht gefüllt,
aber im Standard kommt es vor, hat den Vorteil,
dass wenn ich im Nachgang wieder dazukomme,
dass personenbezogene Daten verarbeitet werden,
dann fühle ich es einfach noch zusätzlich aus
In so einer Risikoanalyse gibt es eine Risikomatrix am Schluss mit
Bewertung des Restrisikos und kann man das machen.
Und auch hier Management des Restrisikos oder der Restrisiken mittels dann wiederum im PDCA-Zyklus.
Informationssicherheitsmanagementsystem. Ich habe es noch mal ein bisschen grafis dargestellt,
dass man irgendwie vielleicht mal ein wenig besser aufgeschlüsselt sind,
wie das Ganze dann noch funktioniert, noch mal zusammengefasst.
Die Basisinfrastruktur hier unten, ganz klar,
da machen wir BSI Grundschutz, BSI Light,
BSI für Admins, das müssen wir gar nicht vollumfänglich machen.
Dann habe ich meine Risikoanalysen oben drüber,
die darauf fußen und sich dieser gesamten Dokumentations- und Sicherheitsbibliothek bedienen.
Und dann habe ich überhaupt auch erst mal die Chance,
das Ganze in den Informationssicherheitsmanagement irgendwie voreinander zu kriegen und zu managen.
Ich glaube, ich bin gut in der Zeit.
Vielen Dank