Sicherheitsleitlinie - Beschaffung, Entwicklung und Wartung von Informationssystemen
 

Kryptografische Maßnahmen

Durch das Chiffrieren werden Daten für einen nichtberechtigten Externen unleserlich, was ein Speichern oder einen Transport der Daten verhindert. Die Verwendung von kryptografischen Methoden wird auch für das Verschicken von als vital oder vertraulich klassifizierten Informationen der Organisation über E-Mail vorgeschlagen. Der EDV-Verantwortliche wählt die zu verwenden kryptografischen Mittel aus. Er kann gegebenenfalls einen externen Experten konsultieren. (KMU: siehe Abfangen von Kommunikationen).

Umsetzung

Einige Beispiele von freien Verschlüsselungs-Tools:

TrueCrypt

TrueCrypt (www.truecrypt.org) ist eine freie Verschlüsselungs-Software mit der Sie eine ganze Festplatte oder einen Bereich einer Festplatte verschlüsseln können, zum Abspeichern sensibler Daten. Diese verschlüsselten Bereiche (Container) können sich auf einer Festplatte, einem Fileserver oder sogar auf einem Wechseldatenträger befinden. TrueCrypt ist einfach zu bedienen und zuverlässig in puncto Sicherheit.

7Z

7Z (www.7-.ZIP.org) ist eine gratis Software zum Packen und Archivieren von Dateien. Dieses Tool bietet die Möglichkeit der Verschlüsselung mit AES 256 Bit. Es kann benutzt werden, um vertrauliche Dateien zu verschlüsseln und mit einem Wechseldatenträger zu transportieren, beziehungsweise sogar über E-Mail zu verschicken, da die Dateien gepackt sind.

Es handelt sich, genau wie bei TruCrypt, um ein symmetrisches Chiffrierverfahren, bei dem der geheime Schlüssel über einen sicheren Kanal ausgetauscht werden muss. Benutzen Sie einen sicheren Kanal zur Übertragung des Schlüssels, aber verwenden Sie einen anderen als zur Übertragung der Daten. Sie können den Schlüssel über den Postweg, via Fax oder SMS verschicken oder selbst übergeben.

Aufbewahrung der Chffrierschlüssel

Verantwortung

Der Informationssicherheitsbeauftragte und der Schlüsselverwalter sind für den Chiffrier-Prozess verantwortlich.

Erstellung eines Repository (Verzeichnis)

Der Informationssicherheitsbeauftragte definiert einen gesicherten Bereich (typischerweise einen Safe, der als GEHEIM klassifiziert ist), in dem er die Kopien der von den Benutzern verwendeten Chiffrierschlüssel aufbewahrt. Für das Repository gibt es kein Backup. Im Fall einer Zerstörung müssen die Schlüsselverwalter erneut eine Kopie der Schlüssel hinterlegen.

Ein als GEHEIM klassifiziertes Papier-Repository in einem Tresor.

Die anwendbaren Sicherheits-Maßnahmen :

  • Zwei Personen werden benötigt (Vieraugenprinzip; getrennte Authentifizierung);

  • Protokoll zum Zugang und zum Öffnen der Schlüssel;

  • Schlüssel in verschlossenen Umschlägen;

  • Das Inventar der Inhalte enthält:

    • den Namen des Schlüsselverwalters; die Namen der Berechtigten Personen;

    • den Namen der Krypto-Tools und -Umgebung;

    • den Typ der geschützten Daten;

    • die Kennung des Umschlags, der den Schlüssel enthält.

Elektronisches Repository (für als vertraulich klassifizierte Schlüssel)

Die gleiche, oben angeführte Prozedur wird verwendet, außer der Anwendung des Vieraugenprinzips, denn nur der Informationssicherheitsbeauftragte kann das elektronische Depot öffnen. Aus diesem Grund kann er die Schlüssel in elektronischer Form verwalten (in einem ausreichend geschützten Container). Er kann den Namen des Schlüssel durch den Schlüssel selbst ersetzen. Der Informationssicherheitsbeauftragte muss dafür sorgen, dass seine Sicherheitskopien den Schlüsselsafe enthalten.

Import in das physische Repository

Der Schlüsselverwalter füllt ein Formular aus, schreibt den Schlüssel in Anwesenheit des Repository-Verwalters nieder, welcher das Formular prüft, aber nur so, dass er sich den Schlüssel unmöglich merken, aber die Güte des Schlüssels überprüfen kann.

Der Repository-Verantwortliche aktualisiert das Repository und lässt den Schlüsselverantwortlichen des neuen Schlüssels unterschreiben.

Entnahme aus dem Repository

Ein Schlüssel kann aus dem Repository entnommen werden. Die autorisierten Personen können den Schlüssel einsehen:
Autorisiert sind :

  1. Der Schlüsselverantwortliche für seinen eigenen Schlüssel;

  2. jede vom für die verschlüsselten Daten verantwortlichen Werte-Manager delegierte Person, nach Überprüfung der Legitimierung durch den Sicherheitsbeauftragten.

Jede Einsicht eines Schlüssels wird dokumentiert und sowohl von der einsehenden Person, als auch vom Repository-Verwalter unterschrieben.

Zerstörung eines Schlüssels aus dem Repository

Nach schriftlicher Anfrage durch den Schlüsselverwalter und Unterzeichnung durch den für die verschlüsselten Daten verantwortlichen Werte-Manager zerstört der Repository-Verwalter den Schlüssel. Nach Überprüfung der Rechtmäßigkeit der Anfrage, zerstört er den Umschlag mit dem enthaltenen Schlüssel in einem Schredder. Das Schlüsselverzeichnis wird aktualisiert und der Vernichtungsantrag aufbewahrt.

Die elektronische Unterschrift

Die elektronische Unterschrift kann zur Feststellung der Authentizität eines Absenders und zur Überprüfung der Integrität einer Nachricht oder eines Dokuments benutzt werden.

Diese Technik sollte beim Versenden von E-Mails mit rechtlich bindenden Inhalten verwendet werden. Es obliegt dem EDV-Verantwortlichen, den Benutzern diese Technik zur Verfügung zu stellen. LuxTrust (www.luxtrust.lu) bietet Lösungen im Bereich der elektronischen Unterschrift an. OpenPGP ist eine freie Alternative im Bereich Unterschrift und Verschlüsselung .
Dokumente sowie E-Mails können elektronisch unterschrieben werden. Die Unterschrift garantiert die Authentizität der Absender sowie die Integrität des Inhalts.

Wenden Sie die Sicherheitsmaßnahmen an für:

  • Garantie der Integrität

  • Garantie der Nicht-Abstreitbarkeit

Der Umgang mit technischen Schwachstellen

Jede Organisation muss Risiken in Bezug auf Ausbeutung von bereits bekannten technischen Schwachstellen machen.
Hierfür wird eine systematische und effiziente Schwachstellenverwaltung für die gesamte Infrastruktur (Programme, Anwendungen, Betriebssysteme und Netzwerkkomponenten) eingerichtet. Dies wird durch die Anwendung von Patches oder anderen geeigneten Maßnahmen für die Vermeidung der Ausnutzung technischer Schwachstellen erreicht. Das Monitoring der Maßnahmen erlaubt die Messung der tatsächlichen Wirksamkeit.